Commit 47eb7d31 authored by mazenovi's avatar mazenovi
Browse files

jnarac ok

parent 69a38fce
<li><a href="privacy/jnarac.html">je n'ai rien &agrave; cacher</a></li> <li><a href="privacy/jnarac.html">je n'ai rien &agrave; cacher</a></li>
<li><a href="privacy/passwords.html">mots de passes</a></li> <li><a href="privacy/passwords.html">mots de passes</a></li>
<li><a href="privacy/tracking.html">tracking</a></li> <li><a href="privacy/tracking.html">tracking</a></li>
<li><a href="privacy/sovereignty.html">souvenrainet&eacute;</a></li> <li><a href="privacy/sovereignty.html">souverainet&eacute;</a></li>
<li><a href="privacy/tails.html">tails</a></li> <li><a href="privacy/tails.html">tails</a></li>
<li><a href="privacy/crypto.html">crypto</a></li> <li><a href="privacy/crypto.html">crypto</a></li>
<li><a href="privacy/tls.html">tls</a></li> <li><a href="privacy/tls.html">tls</a></li>
<li><a href="privacy/pgp.html">pgp</a></li> <li><a href="privacy/pgp.html">pgp</a></li>
<li><a href="privacy/TLSvsPGP.html">tls</a></li>
<li><a href="privacy/tor.html">tor</a></li> <li><a href="privacy/tor.html">tor</a></li>
<li><a href="privacy/bitcoin.html">bitcoin</a></li> <li><a href="privacy/bitcoin.html">bitcoin</a></li>
...@@ -4,7 +4,7 @@ ...@@ -4,7 +4,7 @@
<meta charset="utf-8"> <meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no"> <meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no">
<title>TLS VS GPG</title> <title>TLS VS PGP</title>
<link rel="stylesheet" href="../../node_modules/reveal.js/css/reveal.css"> <link rel="stylesheet" href="../../node_modules/reveal.js/css/reveal.css">
<link rel="stylesheet" href="../../node_modules/reveal.js/css/theme/white.css"> <link rel="stylesheet" href="../../node_modules/reveal.js/css/theme/white.css">
...@@ -26,7 +26,7 @@ ...@@ -26,7 +26,7 @@
<body> <body>
<div class="reveal"> <div class="reveal">
<div class="slides"> <div class="slides">
<section data-markdown="md/TLSvsGPG.md" <section data-markdown="md/TLSvsPGP.md"
data-separator="^\n\n\n" data-separator="^\n\n\n"
data-separator-vertical="^\n\n" data-separator-vertical="^\n\n"
data-separator-notes="^Note:" data-separator-notes="^Note:"
......
...@@ -11,27 +11,27 @@ ...@@ -11,27 +11,27 @@
4. Non répudiation 4. Non répudiation
## opérations cryptographiques ## Opérations cryptographiques
* agit sur une donnée en claire * Agit sur une donnée en claire
* une chaîne caractère * une chaîne caractère
* un fichier texte * un fichier texte
* un fichier multimédia * un fichier multimédia
* une archive * une archive
* appelé aussi le **clair** * Appelé aussi le **clair**
* le but de la protéger * Le but de la protéger
## Hacher (to hash) ## Hacher (to hash)
* hash / Empreinte / Condensat * Hash / Empreinte / Condensat
* taille fixe (quelques octets) * Taille fixe (quelques octets)
* chaque **clair** a un hash unique * Chaque **clair** a un hash unique
* collision = cassé * collision = cassé
* pas d’opération inverse * Pas d’opération inverse
* on parle de hashage * On parle de hashage
## Hacher (to hash) ## Hacher (to hash)
...@@ -50,9 +50,9 @@ ...@@ -50,9 +50,9 @@
## Hash / attaques ## Hash / attaques
* [force brute](https://fr.wikipedia.org/wiki/Attaque_par_force_brute) * [Force brute](https://fr.wikipedia.org/wiki/Attaque_par_force_brute)
* testé toutes les possibilités (online / offline) * testé toutes les possibilités (online / offline)
* [par dictionnaire](https://fr.wikipedia.org/wiki/Attaque_par_dictionnaire) * [Par dictionnaire](https://fr.wikipedia.org/wiki/Attaque_par_dictionnaire)
* testé des combinaisons de possibilités probables (online / offline) * testé des combinaisons de possibilités probables (online / offline)
<!-- * [https://github.com/danielmiessler/SecLists/tree/master/Passwords](https://github.com/danielmiessler/SecLists/tree/master/Passwords) --> <!-- * [https://github.com/danielmiessler/SecLists/tree/master/Passwords](https://github.com/danielmiessler/SecLists/tree/master/Passwords) -->
* [Tables arc-en-ciel](https://fr.wikipedia.org/wiki/Rainbow_table) * [Tables arc-en-ciel](https://fr.wikipedia.org/wiki/Rainbow_table)
...@@ -64,48 +64,48 @@ ...@@ -64,48 +64,48 @@
## Saler (to salt) ## Saler (to salt)
* hasher en concaténant la donnée en claire avec une chaîne de caractères pseudo-aléatoires * Hasher en concaténant la donnée en claire avec une chaîne de caractères pseudo-aléatoires
* stocker le sel au niveau de l'enregistrement de l'utilisateur * Stocker le sel au niveau de l'enregistrement de l'utilisateur
* évite les attaques par tables arc-en-ciel * évite les attaques par tables arc-en-ciel
* n'évite pas la force brute / ni les attaques par dictionnaire * n'évite pas la force brute / ni les attaques par dictionnaire
* on parle de salaison * On parle de salaison
## Saler (to salt) ## Saler (to salt)
<pre><code class="hljs bash" style="font-size: 14px">sha256("hello"."bv5PehSMfV11Cd") = d1d3ec2e6f20fd420d50e2642992841d8338a314b8ea157c9e18477aaef226ab</code></pre> <pre><code class="hljs bash" style="font-size: 14px">sha256("hello"."bv5PehSMfV11Cd") = d1d3ec2e6f20fd420d50e2642992841d8338a314b8ea157c9e18477aaef226ab</code></pre>
* utilisé notamment pour le stockage des mots de passe en base de données * Utilisé notamment pour le stockage des mots de passe en base de données
* [Salted Password Hashing - Doing it Right](https://crackstation.net/hashing-security.htm) * [Salted Password Hashing - Doing it Right](https://crackstation.net/hashing-security.htm)
## Coder (to encode) ## Coder (to encode)
* changer la manière de stocker la donnée en clair * Changer la manière de stocker la donnée en clair
* n'est pas réellement une opération cryptographique * n'est pas réellement une opération cryptographique
* pas de secret * pas de secret
* la donnée n'est pas protégée * la donnée n'est pas protégée
* on parle de codage * on parle de codage
<pre><code class="hljs bash" style="font-size: 25px">base64_encode("all in clear") = YWxsIGluIGNsZWFy</code></pre> <pre><code class="hljs bash" style="font-size: 25px">base64_encode("all in clear") = YWxsIGluIGNsZWFy</code></pre>
* opération inverse décoder (to decode) * opération inverse décoder (to decode)
<pre><code class="hljs bash" style="font-size: 25px">base64_decode("YWxsIGluIGNsZWFy") = all in clear</code></pre> <pre><code class="hljs bash" style="font-size: 25px">base64_decode("YWxsIGluIGNsZWFy") = all in clear</code></pre>
## Chiffrer (to encrypt) ## Chiffrer (to encrypt)
* rendre la compréhension de la donnée en claire impossible à quiconque ne possède pas le secret (la **clé** pour la lire) * Rendre la compréhension de la donnée en claire impossible à quiconque ne possède pas le secret (la **clé** pour la lire)
* on parle de chiffrement * on parle de chiffrement
<pre><code class="hljs bash" style="font-size: 16px">openssl_encrypt("all in clear","aes128","secret") = d2xhqzZbLFzoCP6vNfdVOg==</code></pre> <pre><code class="hljs bash" style="font-size: 16px">openssl_encrypt("all in clear","aes128","secret") = d2xhqzZbLFzoCP6vNfdVOg==</code></pre>
* opération inverse déchiffrer (to decrypt) * opération inverse déchiffrer (to decrypt)
<pre><code class="hljs bash" style="font-size: 16px">openssl_decrypt("d2xhqzZbLFzoCP6vNfdVOg==","aes128","secret") = all in clear</code></pre> <pre><code class="hljs bash" style="font-size: 16px">openssl_decrypt("d2xhqzZbLFzoCP6vNfdVOg==","aes128","secret") = all in clear</code></pre>
* Deux options : symétrique ou asymétrique * Deux options : symétrique ou asymétrique
...@@ -153,7 +153,7 @@ ...@@ -153,7 +153,7 @@
## Chiffrement symétrique ## Chiffrement symétrique
### communications 2 à 2 pour n ### communications 2 à 2 pour n
* une clé par destinataire * Une clé par destinataire
* pour n destiantaires * pour n destiantaires
* n * (n-1) / 2 clés * n * (n-1) / 2 clés
* démultiplication des clés * démultiplication des clés
...@@ -161,10 +161,10 @@ ...@@ -161,10 +161,10 @@
## Vecteur d'intialisation ## Vecteur d'intialisation
* avoir la garantie que les chiffrés sont uniques * Avoir la garantie que les chiffrés sont uniques
* se stocke en clair * Se stocke en clair
* n'est utilisable qu'avec le secret * n'est utilisable qu'avec le secret
* deux messages identiques chiffrés avec de **vi** différents auront des chiffrés différents * Deux messages identiques chiffrés avec de **vi** différents auront des chiffrés différents
``` ```
$crypt = openssl_encrypt("all in clear", "aes128", "secret"); $crypt = openssl_encrypt("all in clear", "aes128", "secret");
...@@ -192,20 +192,20 @@ note: ...@@ -192,20 +192,20 @@ note:
* une clé privée * une clé privée
* une clé publique * une clé publique
* un message chiffré avec une clé publique sera déchiffrable avec la clé privée associée * Un message chiffré avec une clé publique sera déchiffrable avec la clé privée associée
* un message chiffré avec une clé privé sera déchiffrable avec la clé publique associée * Un message chiffré avec une clé privé sera déchiffrable avec la clé publique associée
## Chiffrement asymétrique ## Chiffrement asymétrique
* la clé publique doit être connue de l'expéditeur * La clé publique doit être connue de l'expéditeur
* plus complexe d'un simple secret à transmettre * plus complexe d'un simple secret à transmettre
* demande plus de ressources * Demande plus de ressources
* <i class="fa fa-thumbs-o-down"></i> gourmand en calcul * <i class="fa fa-thumbs-o-down"></i> Gourmand en calcul
* <i class="fa fa-thumbs-up"></i> le plus connu * <i class="fa fa-thumbs-up"></i> Le plus connu
* [RSA](https://fr.wikipedia.org/wiki/Chiffrement_RSA) since 1977 * [RSA](https://fr.wikipedia.org/wiki/Chiffrement_RSA) since 1977
* Algo à courbes elliptiques * Algo à courbes elliptiques
...@@ -215,18 +215,18 @@ note: ...@@ -215,18 +215,18 @@ note:
* la **clé publique** est diffusable n'importe où * la **clé publique** est diffusable n'importe où
* sur un serveur de clés * sur un serveur de clés
* sur une page web * sur une page web
* via une carte de visite (QrCode) * via une carte de visite
* via une pièce jointe * via une pièce jointe
* via un chat * via un chat
* la **clé privée** est à protéger à tout prix * la **clé privée** est à protéger à tout prix
* quiconque la possède peut se l'utiliser en se faisant passer pour vous * quiconque la possède peut l'utiliser en se faisant passer pour son propriétaire légitime
#### En pratique #### En pratique
* Alice et Bob se ont chacun généré un couple **clé publique** / **clé privée** * Alice et Bob se ont chacun généré un couple **clé publique** / **clé privée**
* ils se sont **échangés** leur **clé publique** respective * Ils se sont **échangés** leur **clé publique** respective
* Alice a en sa possession * Alice a en sa possession
* sa **clé publique**, sa **clé privée** et la **clé publique** de Bob * sa **clé publique**, sa **clé privée** et la **clé publique** de Bob
...@@ -280,44 +280,46 @@ note: ...@@ -280,44 +280,46 @@ note:
* Bob envoie le texte chiffré * Bob envoie le texte chiffré
* Alice déchiffre le message grâce à sa clé privée. * Alice déchiffre le message grâce à sa clé privée.
* garanti la **confidentialité** * Garantie de la **confidentialité**
## Enjeu de la clé privée ## Enjeu de la clé privée
* Eve a récupéré la **clé privée** de Bob (mal protégée) * Eve a récupéré la **clé privée** de Bob (mal protégée)
* elle peut envoyer des messages chiffrés à Alice, et à toutte sa toile de confiance * elle peut envoyer des messages chiffrés à Alice, et à tout ceux qui font confiance à la clé publique de Bob
* en se faisant passer pour Bob * en se faisant passer pour Bob
* elle peut lire tous les messages chiffrés avec la **clé publique** de Bob * elle peut lire tous les messages chiffrés avec la **clé publique** de Bob (à destination de Bob)
## Bonne pratique ## Bonne pratique
* toujours signer et chiffrer ses messages * Toujours signer et chiffrer ses messages
* toujours être certain de l'identité du possesseur de la clé * Toujours être certain de l'identité du possesseur de la clé
* échange de clé IRL * échange de clé IRL
* bien protéger sa clé privée * Bien protéger sa clé privée
* stockée en sécurité * stockée en sécurité
* dans un keepass?
* sure papier?
* protégée par un mot de passe fort * protégée par un mot de passe fort
## Certificat ## Certificat
* clé publique * Clé publique
* attributs * Attributs
* nom * nom
* mail * mail
* date d'expiration * date d'expiration
* algorithmes * algorithmes
* ... * ...
* au moins une signature * Au moins une signature
## Trousseau ## Trousseau
* ensemble de clés * Ensemble de clés
* couples clé publique / clé privée * couples clé publique / clé privée
* fonctions * différentes fonctions
* signature * signature
* chiffrement * chiffrement
* création de certificat * création de certificat
......
## Agir
![Agir](/_/jnarac/images/jnarac/agir/agir.jpg)<!-- .element width="50%" -->
## (néo)luddisme
![luddisme](/_/jnarac/images/jnarac/agir/luddisme.jpg)
### déconnexion
## Fact-checking
* identifier les __sources__
* sites de la [facho sphère](https://fr.wikipedia.org/wiki/Extr%C3%AAme_droite_sur_Internet_et_Usenet)
* sites [complotistes](http://rue89.nouvelobs.com/2016/01/01/charlie-hebdo-sont-sites-parlent-complot-257284)
* sites de désinformation étranger [RT en français](https://francais.rt.com/) (c.f. [<i class="fa fa-wikipedia-w" aria-hidden="true"></i> RT](https://fr.wikipedia.org/wiki/RT_(cha%C3%AEne_de_t%C3%A9l%C3%A9vision))
* consolider l'info
* [hoaxbuster](http://www.hoaxbuster.com/)
* [les décodeurs](http://www.lemonde.fr/les-decodeurs/)
* [Décodex](http://www.lemonde.fr/verification/)
* [ontemanipule.fr](http://www.gouvernement.fr/on-te-manipule)
* [Comment mieux repérer de fausses photos et vidéos](http://www.liberation.fr/desintox/2016/03/22/comment-mieux-reperer-de-fausses-photos-et-videos_1441248)
* un exemple
* [<i class="fa fa-newspaper-o" aria-hidden="true"></i> RAS-LE-BOL ! MICHEL SARDOU à HOLLANDE : « L’ISLAM est peut-être SUPER…Mais ON N’EN VEUT PAS !…»](http://lemondealenversblog.com/2015/07/26/ras-le-bol-michel-sardou-a-hollande-lislam-est-peut-etre-super-mais-on-nen-veut-pas/)
* [<i class="fa fa-newspaper-o" aria-hidden="true"></i> Fausse lettre xénophobe : Michel Sardou est "abasourdi, effondré, sur le cul"](http://www.franceinfo.fr/emission/le-vrai-du-faux-numerique/2014-2015/michel-sardou-se-dit-impuissant-face-une-fausse-lettre-xenophobe-06-01-2015-17-52)
* [<i class="fa fa-newspaper-o" aria-hidden="true"></i> PROUESSE ! BELGIQUE : elle se fait GREFFER UNE NOUVELLE OREILLE… cultivée dans son BRAS](http://lemondealenversblog.com/2015/06/19/prouesse-belgique-elle-se-fait-greffer-une-nouvelle-oreille-cultivee-dans-son-bras/#more-10347)
* date de janvier 2015
Note:
- centraliser la validation de la vérité sur 8 médictatures
- est ce crédible?
- tapoter sept fois sur la coque de son smartphone avant de partager
- à la portée de tous
- viralité = émotion + instantanéité
## Choisir ses mots de passes
![preservatif](/_/jnarac/images/jnarac/agir/preservatif-darvador.jpg)<!-- .element align="right" width="30%" -->
### une question d'hygiène ...
1. ça ne se prête pas
2. ça ne se laisse pas traîner à la vue de tous
3. ça ne s'utilise qu'une fois
4. si ça casse on remplace immédiatement
5. un peu d'originalité ne nuit pas
6. la taille compte
7. il y a un date de péromption
<br /><br />
### [<i class="fa fa-newspaper-o" aria-hidden="true"></i> Se protéger avec de bons mots de passe](https://webtv.u-clermont1.fr/media-MEDIA150410174414391)
### [<i class="fa fa-video-camera" aria-hidden="true"></i> Se protéger avec de bons mots de passe](http://doc.m4z3.me/_/bpu/se_proteger_avec_de_bons_mots_de_passe.htm)
## Gérer ses mots de passe
![Keepass](/_/jnarac/images/jnarac/keepass.png "Keepass")<!-- .element: width="75%" -->
### <s>https://passwords.google.com/</s>
## Utiliser des logiciels libres
* 4 libertés fondamentales
* la liberté d'utiliser le logiciel
* la liberté de copier le logiciel
* la liberté d'étudier le logiciel
* la liberté de modifier le logiciel et de redistribuer les versions modifiées
* Approche philosophique
* l'utilisateur doit mâitriser à 100% l'outil qu'il utilise
* si ce n'est pas le cas c'est l'outil qui utilise celui qui s'en sert
<br />
### OpenSource
* Approche pragmatique
* développement collaboratif
## Les Logiciels libres en pratique
* Linux > macosx & windows
* Firefox > chrome & edge (ex internet exploreur)
* F-Droid > GooglePlay > AppStore
* VLC / Clementine / Amarok > Windows Media player > iTunes
* ...
* [Framastart](https://framastart.org/)
* [Framalibre](https://framasoft.org/rubrique2.html)
* [Framakey](https://framakey.org/Main/Index)
* [Framapack](https://framapack.org/)
* [AlternativeTo](http://alternativeto.net/)
* [Github](https://github.com/)
## [Dégoogliser](https://degooglisons-internet.org/)
[![Dégooglisons Internet](/_/jnarac/images/jnarac/agir/degooglisons-internet.png)](https://degooglisons-internet.org/)
## [Dégoogliser](https://degooglisons-internet.org/)
* https://framadrive.org/ [service-public.fr](https://www.service-public.fr/assistance-et-contact/aide/compte#Comment%20stocker%20vos%20documents%20) > https://drive.google.com / https://www.dropbox.com / https://onedrive.live.com
* https://framagenda.org > https://calendar.google.com
* https://framapad.org/ > https://docs.google.com
* https://framacalc.org/ > https://www.google.com/sheets
* https://protonmail.com/ > https://mail.google.com/
* https://www.qwant.com/ > https://www.google.fr
## Auto-hébergement
[![raspberry](/_/jnarac/images/jnarac/agir/raspberry.png)<!-- .element width="50%" -->](https://www.raspberrypi.org/)
* matériel open source
* connexion personnelle
* logiciels libres
* [yunohost ](https://yunohost.org/#/)
* [ispconfig](https://www.ispconfig.org/)
* [La brique Internet](https://labriqueinter.net/)
<br />
### Décentralisation
## Chiffrer
![Dock USB](/_/bpu/images/pourquoi_chiffrer/dock_usb.jpg "Dock USB")<!-- .element: width="35%" -->
![Laptop USB](/_/bpu/images/pourquoi_chiffrer/laptop_usb.jpg "Laptop USB")<!-- .element: width="35%" -->
![Win Login](/_/bpu/images/pourquoi_chiffrer/win_login.png "Win login")<!-- .element: width="45%" -->
## Chiffrer ses transmissions
* utiliser des services chiffrés
* de bout en bout
* mais êtes vous le seul à posséder la clé?
<br />
### Pretty Good Privacy PGP
"If privacy is outlawed, only outlaws will have privacy" (Phil Zimmermann)
![GnuPG](/_/jnarac/images/jnarac/agir/gnupg.png)
### VPN, Tor, bitcoin
## A faire
* mettre tous les logiciels à jour
* [Maîtrisez les réglages « vie privée » de votre smartphone](https://www.cnil.fr/fr/maitrisez-les-reglages-vie-privee-de-votre-smartphone)
* utiliser un bloqueur de javascript: [NoScript](https://addons.mozilla.org/fr/firefox/addon/noscript/)
* comprendre e mode "navigation privée" des navigateurs ne sert qu'à préserver son historique de navigation
* comprendre la sécurité induite par https
<br />
### A tester
* https://maidsafe.net/
* https://indieweb.org/Getting_Started
## &Ecirc;tre prosélytiste
![ignicus](/_/jnarac/images/jnarac/agir/ignicus.jpg)<!-- .element: width="85%" -->
...@@ -77,7 +77,7 @@ Note: ...@@ -77,7 +77,7 @@ Note:
- déporter le risque - déporter le risque
- supprimer le risque (ne pas le prendre) - supprimer le risque (ne pas le prendre)
## Liens utiles
* ["Pourquoi le respect de la vie privée est important." par _Alessandro Acquisti_](http://www.ted.com/talks/alessandro_acquisti_why_privacy_matters?language=fr) ## Le cimetière de pragmatique
* [Liste de publications scientifiques sur l'anonymat en ligne depuis 1977](https://www.freehaven.net/anonbib)
[Le cimetière de Prague](images/jnarac/books/le-cimetiere-de-prague.jpg)
## Les GAFAM / BATX ## GAFAM / BATX
![GAFAM/BATX](images/jnarac/gafa/gafam_batx.png)<!-- .element style="width: 80%" --> ![GAFAM/BATX](images/jnarac/gafa/gafam_batx.png)<!-- .element style="width: 80%" -->
## Les GAFAM / BATX ## GAFAM / BATX
* GAFAM * GAFAM
* Google + Apple + Facebook + Amazon + Microsoft * Google + Apple + Facebook + Amazon + Microsoft
* BATX * BATX
* Baidu + Alibaba + Tencent + Xiaomi * Baidu + Alibaba + Tencent + Xiaomi
Différents modèles économiques ... ### Différents modèles économiques
pour un seul mantra ... #### pour un seul mantra
## Make the world a better place ... ## Make the world a better place ...
...@@ -107,7 +107,7 @@ Note: ...@@ -107,7 +107,7 @@ Note:
* Comprendre les tracking cookie * Comprendre les tracking cookie
* [<i class="fa fa-github" aria-hidden="true"></i> willdurand-edu/cookie-playground](https://github.com/willdurand-edu/cookie-playground) * [<i class="fa fa-github" aria-hidden="true"></i> willdurand-edu/cookie-playground](https://github.com/willdurand-edu/cookie-playground)
* Eviter les tracking cookie * Eviter les tracking cookie
* [<i class="fa fa-firefox" aria-hidden="true"></i> NoScript](https://noscript.net/) * [<i class="fa fa-firefox" aria-hidden="true"></i> Ghostery](https://www.ghostery.com/fr/)
* [<i class="fa fa-firefox" aria-hidden="true"></i> NoScript](https://noscript.net/) * [<i class="fa fa-firefox" aria-hidden="true"></i> NoScript](https://noscript.net/)
* Utiliser Tor