Skip to content
Snippets Groups Projects
Commit 47eb7d31 authored by mazenovi's avatar mazenovi
Browse files

jnarac ok

parent 69a38fce
No related branches found
No related tags found
No related merge requests found
Pipeline #
Hide whitespace changes
Inline Side-by-side
Showing
with 243 additions and 421 deletions
content/slides/index.html
+ 2
− 1
View file @ 47eb7d31
<li><a href="privacy/jnarac.html">je n'ai rien &agrave; cacher</a></li> <li><a href="privacy/jnarac.html">je n'ai rien &agrave; cacher</a></li>
<li><a href="privacy/passwords.html">mots de passes</a></li> <li><a href="privacy/passwords.html">mots de passes</a></li>
<li><a href="privacy/tracking.html">tracking</a></li> <li><a href="privacy/tracking.html">tracking</a></li>
<li><a href="privacy/sovereignty.html">souvenrainet&eacute;</a></li> <li><a href="privacy/sovereignty.html">souverainet&eacute;</a></li>
<li><a href="privacy/tails.html">tails</a></li> <li><a href="privacy/tails.html">tails</a></li>
<li><a href="privacy/crypto.html">crypto</a></li> <li><a href="privacy/crypto.html">crypto</a></li>
<li><a href="privacy/tls.html">tls</a></li> <li><a href="privacy/tls.html">tls</a></li>
<li><a href="privacy/pgp.html">pgp</a></li> <li><a href="privacy/pgp.html">pgp</a></li>
<li><a href="privacy/TLSvsPGP.html">tls</a></li>
<li><a href="privacy/tor.html">tor</a></li> <li><a href="privacy/tor.html">tor</a></li>
<li><a href="privacy/bitcoin.html">bitcoin</a></li> <li><a href="privacy/bitcoin.html">bitcoin</a></li>
content/slides/privacy/TLSvsGPG.html → content/slides/privacy/TLSvsPGP.html
+ 2
− 2
View file @ 47eb7d31
...@@ -4,7 +4,7 @@ ...@@ -4,7 +4,7 @@
<meta charset="utf-8"> <meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no"> <meta name="viewport" content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no">
<title>TLS VS GPG</title> <title>TLS VS PGP</title>
<link rel="stylesheet" href="../../node_modules/reveal.js/css/reveal.css"> <link rel="stylesheet" href="../../node_modules/reveal.js/css/reveal.css">
<link rel="stylesheet" href="../../node_modules/reveal.js/css/theme/white.css"> <link rel="stylesheet" href="../../node_modules/reveal.js/css/theme/white.css">
...@@ -26,7 +26,7 @@ ...@@ -26,7 +26,7 @@
<body> <body>
<div class="reveal"> <div class="reveal">
<div class="slides"> <div class="slides">
<section data-markdown="md/TLSvsGPG.md" <section data-markdown="md/TLSvsPGP.md"
data-separator="^\n\n\n" data-separator="^\n\n\n"
data-separator-vertical="^\n\n" data-separator-vertical="^\n\n"
data-separator-notes="^Note:" data-separator-notes="^Note:"
......
content/slides/privacy/images/jnarac/books/le-cimetiere-de-prague.jpg 0 → 100644
+ 0
− 0
View file @ 47eb7d31
content/slides/privacy/images/jnarac/books/le-cimetiere-de-prague.jpg

23.1 KiB

content/slides/privacy/images/passwords/mooltipass.jpg 0 → 100644
+ 0
− 0
View file @ 47eb7d31
content/slides/privacy/images/passwords/mooltipass.jpg

111 KiB

content/slides/privacy/images/sovereignty/raspberry.png 0 → 100644
+ 0
− 0
View file @ 47eb7d31
content/slides/privacy/images/sovereignty/raspberry.png

1.13 MiB

content/slides/privacy/md/crypto.md
+ 49
− 47
View file @ 47eb7d31
...@@ -11,27 +11,27 @@ ...@@ -11,27 +11,27 @@
4. Non répudiation 4. Non répudiation
## opérations cryptographiques ## Opérations cryptographiques
* agit sur une donnée en claire * Agit sur une donnée en claire
* une chaîne caractère * une chaîne caractère
* un fichier texte * un fichier texte
* un fichier multimédia * un fichier multimédia
* une archive * une archive
* appelé aussi le **clair** * Appelé aussi le **clair**
* le but de la protéger * Le but de la protéger
## Hacher (to hash) ## Hacher (to hash)
* hash / Empreinte / Condensat * Hash / Empreinte / Condensat
* taille fixe (quelques octets) * Taille fixe (quelques octets)
* chaque **clair** a un hash unique * Chaque **clair** a un hash unique
* collision = cassé * collision = cassé
* pas d’opération inverse * Pas d’opération inverse
* on parle de hashage * On parle de hashage
## Hacher (to hash) ## Hacher (to hash)
...@@ -50,9 +50,9 @@ ...@@ -50,9 +50,9 @@
## Hash / attaques ## Hash / attaques
* [force brute](https://fr.wikipedia.org/wiki/Attaque_par_force_brute) * [Force brute](https://fr.wikipedia.org/wiki/Attaque_par_force_brute)
* testé toutes les possibilités (online / offline) * testé toutes les possibilités (online / offline)
* [par dictionnaire](https://fr.wikipedia.org/wiki/Attaque_par_dictionnaire) * [Par dictionnaire](https://fr.wikipedia.org/wiki/Attaque_par_dictionnaire)
* testé des combinaisons de possibilités probables (online / offline) * testé des combinaisons de possibilités probables (online / offline)
<!-- * [https://github.com/danielmiessler/SecLists/tree/master/Passwords](https://github.com/danielmiessler/SecLists/tree/master/Passwords) --> <!-- * [https://github.com/danielmiessler/SecLists/tree/master/Passwords](https://github.com/danielmiessler/SecLists/tree/master/Passwords) -->
* [Tables arc-en-ciel](https://fr.wikipedia.org/wiki/Rainbow_table) * [Tables arc-en-ciel](https://fr.wikipedia.org/wiki/Rainbow_table)
...@@ -64,48 +64,48 @@ ...@@ -64,48 +64,48 @@
## Saler (to salt) ## Saler (to salt)
* hasher en concaténant la donnée en claire avec une chaîne de caractères pseudo-aléatoires * Hasher en concaténant la donnée en claire avec une chaîne de caractères pseudo-aléatoires
* stocker le sel au niveau de l'enregistrement de l'utilisateur * Stocker le sel au niveau de l'enregistrement de l'utilisateur
* évite les attaques par tables arc-en-ciel * évite les attaques par tables arc-en-ciel
* n'évite pas la force brute / ni les attaques par dictionnaire * n'évite pas la force brute / ni les attaques par dictionnaire
* on parle de salaison * On parle de salaison
## Saler (to salt) ## Saler (to salt)
<pre><code class="hljs bash" style="font-size: 14px">sha256("hello"."bv5PehSMfV11Cd") = d1d3ec2e6f20fd420d50e2642992841d8338a314b8ea157c9e18477aaef226ab</code></pre> <pre><code class="hljs bash" style="font-size: 14px">sha256("hello"."bv5PehSMfV11Cd") = d1d3ec2e6f20fd420d50e2642992841d8338a314b8ea157c9e18477aaef226ab</code></pre>
* utilisé notamment pour le stockage des mots de passe en base de données * Utilisé notamment pour le stockage des mots de passe en base de données
* [Salted Password Hashing - Doing it Right](https://crackstation.net/hashing-security.htm) * [Salted Password Hashing - Doing it Right](https://crackstation.net/hashing-security.htm)
## Coder (to encode) ## Coder (to encode)
* changer la manière de stocker la donnée en clair * Changer la manière de stocker la donnée en clair
* n'est pas réellement une opération cryptographique * n'est pas réellement une opération cryptographique
* pas de secret * pas de secret
* la donnée n'est pas protégée * la donnée n'est pas protégée
* on parle de codage * on parle de codage
<pre><code class="hljs bash" style="font-size: 25px">base64_encode("all in clear") = YWxsIGluIGNsZWFy</code></pre> <pre><code class="hljs bash" style="font-size: 25px">base64_encode("all in clear") = YWxsIGluIGNsZWFy</code></pre>
* opération inverse décoder (to decode) * opération inverse décoder (to decode)
<pre><code class="hljs bash" style="font-size: 25px">base64_decode("YWxsIGluIGNsZWFy") = all in clear</code></pre> <pre><code class="hljs bash" style="font-size: 25px">base64_decode("YWxsIGluIGNsZWFy") = all in clear</code></pre>
## Chiffrer (to encrypt) ## Chiffrer (to encrypt)
* rendre la compréhension de la donnée en claire impossible à quiconque ne possède pas le secret (la **clé** pour la lire) * Rendre la compréhension de la donnée en claire impossible à quiconque ne possède pas le secret (la **clé** pour la lire)
* on parle de chiffrement * on parle de chiffrement
<pre><code class="hljs bash" style="font-size: 16px">openssl_encrypt("all in clear","aes128","secret") = d2xhqzZbLFzoCP6vNfdVOg==</code></pre> <pre><code class="hljs bash" style="font-size: 16px">openssl_encrypt("all in clear","aes128","secret") = d2xhqzZbLFzoCP6vNfdVOg==</code></pre>
* opération inverse déchiffrer (to decrypt) * opération inverse déchiffrer (to decrypt)
<pre><code class="hljs bash" style="font-size: 16px">openssl_decrypt("d2xhqzZbLFzoCP6vNfdVOg==","aes128","secret") = all in clear</code></pre> <pre><code class="hljs bash" style="font-size: 16px">openssl_decrypt("d2xhqzZbLFzoCP6vNfdVOg==","aes128","secret") = all in clear</code></pre>
* Deux options : symétrique ou asymétrique * Deux options : symétrique ou asymétrique
...@@ -153,7 +153,7 @@ ...@@ -153,7 +153,7 @@
## Chiffrement symétrique ## Chiffrement symétrique
### communications 2 à 2 pour n ### communications 2 à 2 pour n
* une clé par destinataire * Une clé par destinataire
* pour n destiantaires * pour n destiantaires
* n * (n-1) / 2 clés * n * (n-1) / 2 clés
* démultiplication des clés * démultiplication des clés
...@@ -161,10 +161,10 @@ ...@@ -161,10 +161,10 @@
## Vecteur d'intialisation ## Vecteur d'intialisation
* avoir la garantie que les chiffrés sont uniques * Avoir la garantie que les chiffrés sont uniques
* se stocke en clair * Se stocke en clair
* n'est utilisable qu'avec le secret * n'est utilisable qu'avec le secret
* deux messages identiques chiffrés avec de **vi** différents auront des chiffrés différents * Deux messages identiques chiffrés avec de **vi** différents auront des chiffrés différents
``` ```
$crypt = openssl_encrypt("all in clear", "aes128", "secret"); $crypt = openssl_encrypt("all in clear", "aes128", "secret");
...@@ -192,20 +192,20 @@ note: ...@@ -192,20 +192,20 @@ note:
* une clé privée * une clé privée
* une clé publique * une clé publique
* un message chiffré avec une clé publique sera déchiffrable avec la clé privée associée * Un message chiffré avec une clé publique sera déchiffrable avec la clé privée associée
* un message chiffré avec une clé privé sera déchiffrable avec la clé publique associée * Un message chiffré avec une clé privé sera déchiffrable avec la clé publique associée
## Chiffrement asymétrique ## Chiffrement asymétrique
* la clé publique doit être connue de l'expéditeur * La clé publique doit être connue de l'expéditeur
* plus complexe d'un simple secret à transmettre * plus complexe d'un simple secret à transmettre
* demande plus de ressources * Demande plus de ressources
* <i class="fa fa-thumbs-o-down"></i> gourmand en calcul * <i class="fa fa-thumbs-o-down"></i> Gourmand en calcul
* <i class="fa fa-thumbs-up"></i> le plus connu * <i class="fa fa-thumbs-up"></i> Le plus connu
* [RSA](https://fr.wikipedia.org/wiki/Chiffrement_RSA) since 1977 * [RSA](https://fr.wikipedia.org/wiki/Chiffrement_RSA) since 1977
* Algo à courbes elliptiques * Algo à courbes elliptiques
...@@ -215,18 +215,18 @@ note: ...@@ -215,18 +215,18 @@ note:
* la **clé publique** est diffusable n'importe où * la **clé publique** est diffusable n'importe où
* sur un serveur de clés * sur un serveur de clés
* sur une page web * sur une page web
* via une carte de visite (QrCode) * via une carte de visite
* via une pièce jointe * via une pièce jointe
* via un chat * via un chat
* la **clé privée** est à protéger à tout prix * la **clé privée** est à protéger à tout prix
* quiconque la possède peut se l'utiliser en se faisant passer pour vous * quiconque la possède peut l'utiliser en se faisant passer pour son propriétaire légitime
#### En pratique #### En pratique
* Alice et Bob se ont chacun généré un couple **clé publique** / **clé privée** * Alice et Bob se ont chacun généré un couple **clé publique** / **clé privée**
* ils se sont **échangés** leur **clé publique** respective * Ils se sont **échangés** leur **clé publique** respective
* Alice a en sa possession * Alice a en sa possession
* sa **clé publique**, sa **clé privée** et la **clé publique** de Bob * sa **clé publique**, sa **clé privée** et la **clé publique** de Bob
...@@ -280,44 +280,46 @@ note: ...@@ -280,44 +280,46 @@ note:
* Bob envoie le texte chiffré * Bob envoie le texte chiffré
* Alice déchiffre le message grâce à sa clé privée. * Alice déchiffre le message grâce à sa clé privée.
* garanti la **confidentialité** * Garantie de la **confidentialité**
## Enjeu de la clé privée ## Enjeu de la clé privée
* Eve a récupéré la **clé privée** de Bob (mal protégée) * Eve a récupéré la **clé privée** de Bob (mal protégée)
* elle peut envoyer des messages chiffrés à Alice, et à toutte sa toile de confiance * elle peut envoyer des messages chiffrés à Alice, et à tout ceux qui font confiance à la clé publique de Bob
* en se faisant passer pour Bob * en se faisant passer pour Bob
* elle peut lire tous les messages chiffrés avec la **clé publique** de Bob * elle peut lire tous les messages chiffrés avec la **clé publique** de Bob (à destination de Bob)
## Bonne pratique ## Bonne pratique
* toujours signer et chiffrer ses messages * Toujours signer et chiffrer ses messages
* toujours être certain de l'identité du possesseur de la clé * Toujours être certain de l'identité du possesseur de la clé
* échange de clé IRL * échange de clé IRL
* bien protéger sa clé privée * Bien protéger sa clé privée
* stockée en sécurité * stockée en sécurité
* dans un keepass?
* sure papier?
* protégée par un mot de passe fort * protégée par un mot de passe fort
## Certificat ## Certificat
* clé publique * Clé publique
* attributs * Attributs
* nom * nom
* mail * mail
* date d'expiration * date d'expiration
* algorithmes * algorithmes
* ... * ...
* au moins une signature * Au moins une signature
## Trousseau ## Trousseau
* ensemble de clés * Ensemble de clés
* couples clé publique / clé privée * couples clé publique / clé privée
* fonctions * différentes fonctions
* signature * signature
* chiffrement * chiffrement
* création de certificat * création de certificat
......
content/slides/privacy/md/jnarac/agir.md deleted 100644 → 0
+ 0
− 172
View file @ 69a38fce
## Agir
![Agir](/_/jnarac/images/jnarac/agir/agir.jpg)<!-- .element width="50%" -->
## (néo)luddisme
![luddisme](/_/jnarac/images/jnarac/agir/luddisme.jpg)
### déconnexion
## Fact-checking
* identifier les __sources__
* sites de la [facho sphère](https://fr.wikipedia.org/wiki/Extr%C3%AAme_droite_sur_Internet_et_Usenet)
* sites [complotistes](http://rue89.nouvelobs.com/2016/01/01/charlie-hebdo-sont-sites-parlent-complot-257284)
* sites de désinformation étranger [RT en français](https://francais.rt.com/) (c.f. [<i class="fa fa-wikipedia-w" aria-hidden="true"></i> RT](https://fr.wikipedia.org/wiki/RT_(cha%C3%AEne_de_t%C3%A9l%C3%A9vision))
* consolider l'info
* [hoaxbuster](http://www.hoaxbuster.com/)
* [les décodeurs](http://www.lemonde.fr/les-decodeurs/)
* [Décodex](http://www.lemonde.fr/verification/)
* [ontemanipule.fr](http://www.gouvernement.fr/on-te-manipule)
* [Comment mieux repérer de fausses photos et vidéos](http://www.liberation.fr/desintox/2016/03/22/comment-mieux-reperer-de-fausses-photos-et-videos_1441248)
* un exemple
* [<i class="fa fa-newspaper-o" aria-hidden="true"></i> RAS-LE-BOL ! MICHEL SARDOU à HOLLANDE : « L’ISLAM est peut-être SUPER…Mais ON N’EN VEUT PAS !…»](http://lemondealenversblog.com/2015/07/26/ras-le-bol-michel-sardou-a-hollande-lislam-est-peut-etre-super-mais-on-nen-veut-pas/)
* [<i class="fa fa-newspaper-o" aria-hidden="true"></i> Fausse lettre xénophobe : Michel Sardou est "abasourdi, effondré, sur le cul"](http://www.franceinfo.fr/emission/le-vrai-du-faux-numerique/2014-2015/michel-sardou-se-dit-impuissant-face-une-fausse-lettre-xenophobe-06-01-2015-17-52)
* [<i class="fa fa-newspaper-o" aria-hidden="true"></i> PROUESSE ! BELGIQUE : elle se fait GREFFER UNE NOUVELLE OREILLE… cultivée dans son BRAS](http://lemondealenversblog.com/2015/06/19/prouesse-belgique-elle-se-fait-greffer-une-nouvelle-oreille-cultivee-dans-son-bras/#more-10347)
* date de janvier 2015
Note:
- centraliser la validation de la vérité sur 8 médictatures
- est ce crédible?
- tapoter sept fois sur la coque de son smartphone avant de partager
- à la portée de tous
- viralité = émotion + instantanéité
## Choisir ses mots de passes
![preservatif](/_/jnarac/images/jnarac/agir/preservatif-darvador.jpg)<!-- .element align="right" width="30%" -->
### une question d'hygiène ...
1. ça ne se prête pas
2. ça ne se laisse pas traîner à la vue de tous
3. ça ne s'utilise qu'une fois
4. si ça casse on remplace immédiatement
5. un peu d'originalité ne nuit pas
6. la taille compte
7. il y a un date de péromption
<br /><br />
### [<i class="fa fa-newspaper-o" aria-hidden="true"></i> Se protéger avec de bons mots de passe](https://webtv.u-clermont1.fr/media-MEDIA150410174414391)
### [<i class="fa fa-video-camera" aria-hidden="true"></i> Se protéger avec de bons mots de passe](http://doc.m4z3.me/_/bpu/se_proteger_avec_de_bons_mots_de_passe.htm)
## Gérer ses mots de passe
![Keepass](/_/jnarac/images/jnarac/keepass.png "Keepass")<!-- .element: width="75%" -->
### <s>https://passwords.google.com/</s>
## Utiliser des logiciels libres
* 4 libertés fondamentales
* la liberté d'utiliser le logiciel
* la liberté de copier le logiciel
* la liberté d'étudier le logiciel
* la liberté de modifier le logiciel et de redistribuer les versions modifiées
* Approche philosophique
* l'utilisateur doit mâitriser à 100% l'outil qu'il utilise
* si ce n'est pas le cas c'est l'outil qui utilise celui qui s'en sert
<br />
### OpenSource
* Approche pragmatique
* développement collaboratif
## Les Logiciels libres en pratique
* Linux > macosx & windows
* Firefox > chrome & edge (ex internet exploreur)
* F-Droid > GooglePlay > AppStore
* VLC / Clementine / Amarok > Windows Media player > iTunes
* ...
* [Framastart](https://framastart.org/)
* [Framalibre](https://framasoft.org/rubrique2.html)
* [Framakey](https://framakey.org/Main/Index)
* [Framapack](https://framapack.org/)
* [AlternativeTo](http://alternativeto.net/)
* [Github](https://github.com/)
## [Dégoogliser](https://degooglisons-internet.org/)
[![Dégooglisons Internet](/_/jnarac/images/jnarac/agir/degooglisons-internet.png)](https://degooglisons-internet.org/)
## [Dégoogliser](https://degooglisons-internet.org/)
* https://framadrive.org/ [service-public.fr](https://www.service-public.fr/assistance-et-contact/aide/compte#Comment%20stocker%20vos%20documents%20) > https://drive.google.com / https://www.dropbox.com / https://onedrive.live.com
* https://framagenda.org > https://calendar.google.com
* https://framapad.org/ > https://docs.google.com
* https://framacalc.org/ > https://www.google.com/sheets
* https://protonmail.com/ > https://mail.google.com/
* https://www.qwant.com/ > https://www.google.fr
## Auto-hébergement
[![raspberry](/_/jnarac/images/jnarac/agir/raspberry.png)<!-- .element width="50%" -->](https://www.raspberrypi.org/)
* matériel open source
* connexion personnelle
* logiciels libres
* [yunohost ](https://yunohost.org/#/)
* [ispconfig](https://www.ispconfig.org/)
* [La brique Internet](https://labriqueinter.net/)
<br />
### Décentralisation
## Chiffrer
![Dock USB](/_/bpu/images/pourquoi_chiffrer/dock_usb.jpg "Dock USB")<!-- .element: width="35%" -->
![Laptop USB](/_/bpu/images/pourquoi_chiffrer/laptop_usb.jpg "Laptop USB")<!-- .element: width="35%" -->
![Win Login](/_/bpu/images/pourquoi_chiffrer/win_login.png "Win login")<!-- .element: width="45%" -->
## Chiffrer ses transmissions
* utiliser des services chiffrés
* de bout en bout
* mais êtes vous le seul à posséder la clé?
<br />
### Pretty Good Privacy PGP
"If privacy is outlawed, only outlaws will have privacy" (Phil Zimmermann)
![GnuPG](/_/jnarac/images/jnarac/agir/gnupg.png)
### VPN, Tor, bitcoin
## A faire
* mettre tous les logiciels à jour
* [Maîtrisez les réglages « vie privée » de votre smartphone](https://www.cnil.fr/fr/maitrisez-les-reglages-vie-privee-de-votre-smartphone)
* utiliser un bloqueur de javascript: [NoScript](https://addons.mozilla.org/fr/firefox/addon/noscript/)
* comprendre e mode "navigation privée" des navigateurs ne sert qu'à préserver son historique de navigation
* comprendre la sécurité induite par https
<br />
### A tester
* https://maidsafe.net/
* https://indieweb.org/Getting_Started
## &Ecirc;tre prosélytiste
![ignicus](/_/jnarac/images/jnarac/agir/ignicus.jpg)<!-- .element: width="85%" -->
content/slides/privacy/md/jnarac/books.md
+ 3
− 3
View file @ 47eb7d31
...@@ -77,7 +77,7 @@ Note: ...@@ -77,7 +77,7 @@ Note:
- déporter le risque - déporter le risque
- supprimer le risque (ne pas le prendre) - supprimer le risque (ne pas le prendre)
## Liens utiles
* ["Pourquoi le respect de la vie privée est important." par _Alessandro Acquisti_](http://www.ted.com/talks/alessandro_acquisti_why_privacy_matters?language=fr) ## Le cimetière de pragmatique
* [Liste de publications scientifiques sur l'anonymat en ligne depuis 1977](https://www.freehaven.net/anonbib)
[Le cimetière de Prague](images/jnarac/books/le-cimetiere-de-prague.jpg)
content/slides/privacy/md/jnarac/gafa.md
+ 13
− 8
View file @ 47eb7d31
## Les GAFAM / BATX ## GAFAM / BATX
![GAFAM/BATX](images/jnarac/gafa/gafam_batx.png)<!-- .element style="width: 80%" --> ![GAFAM/BATX](images/jnarac/gafa/gafam_batx.png)<!-- .element style="width: 80%" -->
## Les GAFAM / BATX ## GAFAM / BATX
* GAFAM * GAFAM
* Google + Apple + Facebook + Amazon + Microsoft * Google + Apple + Facebook + Amazon + Microsoft
* BATX * BATX
* Baidu + Alibaba + Tencent + Xiaomi * Baidu + Alibaba + Tencent + Xiaomi
Différents modèles économiques ... ### Différents modèles économiques
pour un seul mantra ... #### pour un seul mantra
## Make the world a better place ... ## Make the world a better place ...
...@@ -107,7 +107,7 @@ Note: ...@@ -107,7 +107,7 @@ Note:
* Comprendre les tracking cookie * Comprendre les tracking cookie
* [<i class="fa fa-github" aria-hidden="true"></i> willdurand-edu/cookie-playground](https://github.com/willdurand-edu/cookie-playground) * [<i class="fa fa-github" aria-hidden="true"></i> willdurand-edu/cookie-playground](https://github.com/willdurand-edu/cookie-playground)
* Eviter les tracking cookie * Eviter les tracking cookie
* [<i class="fa fa-firefox" aria-hidden="true"></i> NoScript](https://noscript.net/) * [<i class="fa fa-firefox" aria-hidden="true"></i> Ghostery](https://www.ghostery.com/fr/)
* [<i class="fa fa-firefox" aria-hidden="true"></i> NoScript](https://noscript.net/) * [<i class="fa fa-firefox" aria-hidden="true"></i> NoScript](https://noscript.net/)
* Utiliser Tor * Utiliser Tor
...@@ -146,7 +146,9 @@ Note: ...@@ -146,7 +146,9 @@ Note:
* [Deep Face - reconnaissance faciale](https://research.facebook.com/publications/480567225376225/deepface-closing-the-gap-to-human-level-performance-in-face-verification/) * [Deep Face - reconnaissance faciale](https://research.facebook.com/publications/480567225376225/deepface-closing-the-gap-to-human-level-performance-in-face-verification/)
* [Picasa](http://www.google.com/intl/fr/picasa/) et la reconnaissance automatique notamment des gens dans le temps * [Picasa](http://www.google.com/intl/fr/picasa/) et la reconnaissance automatique notamment des gens dans le temps
* [Êtes-vous déprimés ? Demandez à Google](https://www.sciencesetavenir.fr/sante/etes-vous-deprimes-demandez-a-google_115784) * [Êtes-vous déprimés ? Demandez à Google](https://www.sciencesetavenir.fr/sante/etes-vous-deprimes-demandez-a-google_115784)
* [Facebook et la lutte des classes](https://www.newzilla.net/2018/02/05/facebook-et-la-lutte-des-classes/) * [Facebook détecte notre classe sociale. Et déclenche la lutte (algorithmique) finale](http://affordance.typepad.com/mon_weblog/2018/02/cest-la-lutte-algorithmique-finale-.html)
* [Patent "Socioeconomic group classification based on user features"](http://pdfaiw.uspto.gov/.aiw?PageNum=0&docid=20180032883&IDKey=175CD64C2991&HomeUrl=http%3A%2F%2Fappft.uspto.gov%2Fnetacgi%2Fnph-Parser%3FSect1%3DPTO1%2526Sect2%3DHITOFF%2526d%3DPG01%2526p%3D1%2526u%3D%25252Fnetahtml%25252FPTO%25252Fsrchnum.html%2526r%3D1%2526f%3DG%2526l%3D50%2526s1%3D%25252220180032883%252522.PGNR.%2526OS%3DDN%2F20180032883%2526RS%3DDN%2F20180032883)
* [Shot de dopamine : ce que Facebook fait au cerveau de mon amie Emilie](https://www.nouvelobs.com/rue89/notre-epoque/20171222.OBS9715/shot-de-dopamine-ce-que-facebook-fait-au-cerveau-de-mon-amie-emilie.html)
## société post vérité ## société post vérité
...@@ -193,6 +195,8 @@ Note: ...@@ -193,6 +195,8 @@ Note:
* [ontemanipule.fr](http://www.gouvernement.fr/on-te-manipule) * [ontemanipule.fr](http://www.gouvernement.fr/on-te-manipule)
* [Comment mieux repérer de fausses photos et vidéos](http://www.liberation.fr/desintox/2016/03/22/comment-mieux-reperer-de-fausses-photos-et-videos_1441248) * [Comment mieux repérer de fausses photos et vidéos](http://www.liberation.fr/desintox/2016/03/22/comment-mieux-reperer-de-fausses-photos-et-videos_1441248)
* [<i class="fa fa-exclamation-triangle" aria-hidden="true"></i> Les fake news n'existent pas (et c'est vrai)](http://www.bortzmeyer.org/fake-news.html)
## <i class="fa fa-ambulance" aria-hidden="true"></i> Fakenews ## <i class="fa fa-ambulance" aria-hidden="true"></i> Fakenews
...@@ -225,6 +229,7 @@ tapoter sept fois sur la coque de son smartphone avant de partager ...@@ -225,6 +229,7 @@ tapoter sept fois sur la coque de son smartphone avant de partager
* Biotechnologies * Biotechnologies
* Informatique * Informatique
* Sciences cognitives * Sciences cognitives
* [Libertarianisme](https://fr.wikipedia.org/wiki/Libertarianisme) * [Libertarianisme](https://fr.wikipedia.org/wiki/Libertarianisme)
* [Seasteading Institue](https://www.seasteading.org/) * [Seasteading Institue](https://www.seasteading.org/)
* [<i class="fa fa-wikipedia-w" aria-hidden="true"></i> Raymond Kurzweil](https://fr.wikipedia.org/wiki/Raymond_Kurzweil)
* directeur de l'ingénierie chez Google depuis 2012
content/slides/privacy/md/jnarac/ie.md
+ 29
− 31
View file @ 47eb7d31
...@@ -26,6 +26,24 @@ ...@@ -26,6 +26,24 @@
![password facebook](images/jnarac/ie/passwordfacebook.png "password facebook")<!-- .element: width="80%" --> ![password facebook](images/jnarac/ie/passwordfacebook.png "password facebook")<!-- .element: width="80%" -->
## le web est piégeable
![Phishing](images/jnarac/www/phishing.png "Phishing")<!-- .element style="width: 70%" -->
* https://www.amazon.fr@bg.box.sk/artcile.htm
* ne pointe pas vers un article sur amazon.fr
## <i class="fa fa-ambulance" aria-hidden="true"></i> le web est piégeable
* Vérifier l'url dans son navigateur
* Le cadenas vert (https) ne suffit pas
* obtenir des certificats pour une url malveillante est simple
* [Let's encrypt](https://letsencrypt.org/)
* Idéalement regarder les informations du certificat SSL
## Google Fu ## Google Fu
![Google Fu](images/jnarac/ie/googlefu.jpg "Google Fu")<!-- .element: width="45%" --> ![Google Fu](images/jnarac/ie/googlefu.jpg "Google Fu")<!-- .element: width="45%" -->
...@@ -62,6 +80,8 @@ ...@@ -62,6 +80,8 @@
* son système * son système
* ses logiciels * ses logiciels
* Limiter les informations en ligne * Limiter les informations en ligne
* Sécuriser les systèmes d'information
* Sensibiliser les acteurs des systèmes d'information
### Problématique nationale ### Problématique nationale
...@@ -137,13 +157,12 @@ Chaque maillon est reponsable ...@@ -137,13 +157,12 @@ Chaque maillon est reponsable
## l'ANSSI ## l'ANSSI
* force d'intervention & de prévention * force d'intervention (CERT-FR) & de prévention
* créée en 2009 (100 personnels) effectif actuel: 500 personnels
* contribue à l'élaboration de la stratégie nationale et européenne SSI * contribue à l'élaboration de la stratégie nationale et européenne SSI
* [EBIOS Expression des Besoins et Identification des Objectifs de Sécurité](https://www.ssi.gouv.fr/guide/ebios-2010-expression-des-besoins-et-identification-des-objectifs-de-securite/)
* [Livre blanc sur la sécurité et la défense nationale](http://www.livreblancdefenseetsecurite.gouv.fr/) * [Livre blanc sur la sécurité et la défense nationale](http://www.livreblancdefenseetsecurite.gouv.fr/)
* renforcé par la LPM * renforcé par la LPM
* protège 218 [OIV (Opérateurs d'Importance Vitale)](http://fr.wikipedia.org/wiki/Op%C3%A9rateur_d'importance_vitale) en France * protège 218 [OIV (Opérateurs d'Importance Vitale)](http://fr.wikipedia.org/wiki/Op%C3%A9rateur_d'importance_vitale) en France
* CERT-FR force de réaction rapide
#### ... d'importance Vitale #### ... d'importance Vitale
...@@ -156,20 +175,13 @@ Chaque maillon est reponsable ...@@ -156,20 +175,13 @@ Chaque maillon est reponsable
* La liste exhaustives est secret défense * La liste exhaustives est secret défense
## [Les plans gouvernementaux](http://www.ssi.gouv.fr/fr/defense-des-si/les-plans-gouvernementaux/) ## Tour du monde SSI
* l'Allemagne ont le [BSI](http://www.bsi.bund.de)
* [Plan Vigipirate](http://www.ssi.gouv.fr/IMG/pdf/VIGIPIRATE-10_points_cles.pdf) * les Pays-Bas ont la NLNCSA
* [Objectifs de cybersécurité](http://www.ssi.gouv.fr/IMG/pdf/20140310_Objectifs_de_cybersecurite_document_public.pdf) * l'Union Européenne a l’[ENISA](http://www.enisa.europa.eu)
* Destiné aux collectivités territoriales et aux opérateurs non-OIV * le Royaume-Uni a le [GCHQ](http://www.gchq.gov.uk) et le [CESG](http://www.cesg.gov.uk)
* Piloter la gouvernance de la cybersécurité * les États-Unis ont la [NSA](http://www.nsa.gov/ia/) et son programme PRISM et le [DHS](http://www.dhs.gov/cyber)
* Maîtriser les risques * [Five Eyes](https://fr.wikipedia.org/wiki/Five_Eyes)
* Maîtriser ses systèmes d'information
* Protéger les systèmes
* Gérer les incidents de cyberscurité
* Évaluer le niveau de sécurité
* Gérer les relations avec les autorités
* Plan Piranet
* Consacré à l’intervention de l’État en cas de crise majeure d’origine informatique (ANSSI SGDSN)</li>
## Tour du monde SSI ## Tour du monde SSI
...@@ -177,18 +189,4 @@ Chaque maillon est reponsable ...@@ -177,18 +189,4 @@ Chaque maillon est reponsable
* Israël a l'[Unité 8200](http://fr.wikipedia.org/wiki/Unit%C3%A9_8200) et un programme de [cyber bouclier](http://tsahal.fr/2012/04/29/tsahal-en-2012-cest-aussi-la-guerre-cybernetique/) * Israël a l'[Unité 8200](http://fr.wikipedia.org/wiki/Unit%C3%A9_8200) et un programme de [cyber bouclier](http://tsahal.fr/2012/04/29/tsahal-en-2012-cest-aussi-la-guerre-cybernetique/)
* la Chine a l'[unité 61 398](http://www.liberation.fr/monde/2013/02/20/unite-61-398-l-armee-des-hackers-chinois_883298) * la Chine a l'[unité 61 398](http://www.liberation.fr/monde/2013/02/20/unite-61-398-l-armee-des-hackers-chinois_883298)
* la Russie a [le programme SORM et le FSB](http://themoscownews.com/russia/20130617/191621273.html) * la Russie a [le programme SORM et le FSB](http://themoscownews.com/russia/20130617/191621273.html)
* les États-Unis ont la [NSA](http://www.nsa.gov/ia/) et son programme PRISM et le [DHS](http://www.dhs.gov/cyber)
* le Royaume-Uni a le [GCHQ](http://www.gchq.gov.uk) et le [CESG](http://www.cesg.gov.uk)
* l'Allemagne ont le [BSI](http://www.bsi.bund.de)
* les Pays-Bas ont la NLNCSA
* l'Union Européenne a l’[ENISA ](http://www.enisa.europa.eu)
* la Corée du nord aurait une [armée de 200 trolls & 3000 cyberguerriers](http://french.ruvr.ru/news/2013_08_13/La-Coree-du-Nord-a-forme-une-armee-de-hackers-et-de-trolls-7236/) * la Corée du nord aurait une [armée de 200 trolls & 3000 cyberguerriers](http://french.ruvr.ru/news/2013_08_13/La-Coree-du-Nord-a-forme-une-armee-de-hackers-et-de-trolls-7236/)
<br />
### à voire
* [netwars project](http://future.arte.tv/fr/netwars)
* [Les nouveaux maîtres du monde](http://www.arte.tv/fr/hackers-les-nouveaux-ma-tres-du-monde/3914790.html)
<!-- http://obsession.nouvelobs.com/high-tech/hacker-ouvert/ -->
<!-- http://www.lemonde.fr/technologies/ -->
<!-- http://french.ruvr.ru/tag_43550405/ -->
content/slides/privacy/md/jnarac/law.md
+ 51
− 63
View file @ 47eb7d31
...@@ -5,7 +5,7 @@ Règlement général sur la protection des données [UE] ...@@ -5,7 +5,7 @@ Règlement général sur la protection des données [UE]
* [Comprendre le règlement européen](https://www.cnil.fr/fr/comprendre-le-reglement-europeen) * [Comprendre le règlement européen](https://www.cnil.fr/fr/comprendre-le-reglement-europeen)
* [Règlement européen sur la protection des données : ce qui change pour les professionnels](https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels) * [Règlement européen sur la protection des données : ce qui change pour les professionnels](https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels)
* [**07 octobre 2015** - Invalidation du « safe harbor » par la CJUE : une décision clé pour la protection des données](https://www.cnil.fr/fr/invalidation-du-safe-harbor-par-la-cour-de-justice-de-lunion-europeenne-une-decision-cle-pour-la-0) * [**07 octobre 2015** - Invalidation du « safe harbor » par la CJUE : une décision clé pour la protection des données](https://www.cnil.fr/fr/invalidation-du-safe-harbor-par-la-cour-de-justice-de-lunion-europeenne-une-decision-cle-pour-la-0)
* En France la CNIL devient autorité de contrôle
## Périmètre ## Périmètre
...@@ -20,7 +20,7 @@ Règlement général sur la protection des données [UE] ...@@ -20,7 +20,7 @@ Règlement général sur la protection des données [UE]
## Périmètre ## Périmètre
* Tout services ou sous traitant (y compris hors UE) traitant des données de résidents de l'UE * Tout service ou sous traitant (y compris hors UE) traitant des données de résidents de l'UE
* Entreprises * Entreprises
* Associations * Associations
* Organismes publics * Organismes publics
...@@ -38,10 +38,10 @@ Règlement général sur la protection des données [UE] ...@@ -38,10 +38,10 @@ Règlement général sur la protection des données [UE]
## Objectifs ## Objectifs
* Faciliter l'exercice des droits * Faciliter l'exercice des droits
* droit de rectification * droit à la rectification
* droit à la portabilité * droit à la portabilité
* autorise la consultation * récupération
* autorise la communication à un autre traitement * communication à un autre traitement
## Objectifs ## Objectifs
...@@ -69,7 +69,7 @@ Règlement général sur la protection des données [UE] ...@@ -69,7 +69,7 @@ Règlement général sur la protection des données [UE]
* Responsabiliser les acteurs traitant des données * Responsabiliser les acteurs traitant des données
* Obligation d'information en cas de violation de données à caractère personnel * Obligation d'information en cas de violation de données à caractère personnel
* autorité de contrôle (CNIL en France) * autorité de contrôle
* La personne concernée * La personne concernée
...@@ -134,7 +134,6 @@ Règlement général sur la protection des données [UE] ...@@ -134,7 +134,6 @@ Règlement général sur la protection des données [UE]
* les obligations légales * les obligations légales
* Réviser ses mentions d’information * Réviser ses mentions d’information
* Transparence * Transparence
* Information
* Transitivité * Transitivité
...@@ -161,7 +160,7 @@ Règlement général sur la protection des données [UE] ...@@ -161,7 +160,7 @@ Règlement général sur la protection des données [UE]
* infraction ou de condamnation pénale * infraction ou de condamnation pénale
* sur les mineurs * sur les mineurs
Soumises à autorisation la CNIL Soumises à autorisation de la CNIL
## 3.Transfert des données hors UE ## 3.Transfert des données hors UE
...@@ -173,74 +172,63 @@ Soumises à autorisation la CNIL ...@@ -173,74 +172,63 @@ Soumises à autorisation la CNIL
## 4.Gérer les risques ## 4.Gérer les risques
* Privacy Impact Assessment (PIA) * Privacy Impact Assessment (PIA)
* Principes et droits fondamentaux, non négociables, de la loi * Analyse de risques sur les données personnelles
* Gestion des risques sur la vie privée des personnes concernées, pour déterminer les mesures techniques et d’organisation pour protéger les données personnelles. * détermine les mesures techniques et organisationnelles de protection
## 4.Gérer les risques
## 4.PIA 1. description du traitement étudié et de ses finalités
2. évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités
3. évaluation des risques pour les droits et libertés des personnes
4. mesures envisagées pour faire face aux risques
* Un PIA contient
* Une description du traitement étudié et de ses finalités.
* Une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités
* Une évaluation des risques pour les droits et libertés des personnes, les mesures envisagées pour faire face aux risques.
## 4.Qui participe au PIA? ## 4.Qui participe au PIA?
* Le responsable de traitement : valide et applique le PIA. * Le responsable de traitement
* Le délégué la protection des données : élabore le plan d'action et se charge de vérifier son exécutionI * valide et applique le PIA.
* Le(s) sous-traitant(s) : fournit les informations nécessaires à l’élaboration du PIA * Le délégué la protection des données (DPO)
* Les métiers (RSSI, matrise douvrage, matrise d'oeuvre) : aident à la réalisation du PIA en fournissant les éléments adéquats * élabore le plan d'action
I * vérifie son exécution
Les personnes concernées : donnent leurs avis sur le traitement.
## 4.PIA obligatoire Art. 35
Pour tout traitement susceptible d’engendrer des risques élevés
pour les droits et libertés des personnes concernées.
1. Evaluation ou notation;
2. Décision automatisée avec effet juridique significatif;
3. Surveillance systématique ;
4. Données sensibles ou données à caractre hautement
5. Données personnelles traitées à grande échelle ;
6. Croisement d’ensembles de données ;
7. Données concernant des personnes vulnérables ;
8. Usage innovant ou application de nouvelles solutions
technologiques ou organisationnelles ;
9. Exclusion du bénéfice dun droit, d’un service ou contrat.
Si au moins 2 de ces critères, alors faire un PIA.
## 5.Organiser
I
* Protection des données personnelles ds la conception
* Sensibiliser et d’organiser la remontée dinformationI
* Traiter les réclamations et les demandes des personnes concernées quand à l’exercice de leurs droits
* Anticiper les violations de données, dans les 72 heures aux autorités et personnes concernées
## 6.Documenter ## 4.Qui participe au PIA?
* Prouver la conformité = Avoir la documentation nécessaire * Le(s) sous-traitant(s)
I * fournissent les informations nécessaires à l’élaboration du PIA (conformité)
* Traitements * Les métiers (RSSI, maîtrise d'ouvrage, maîtrise d'oeuvre)
* Information des personnes * aident à la réalisation du PIA
* Contrat pour les acteurs
## 6.Documenter les traitements ## 5.Organiser
I
* Le registre des traitements (pour les responsables de traitements) ou des catégories dactivités de traitements (pour les sous-traitants) * Protection des données personnelles dés la conception
* PIA pour les traitements à risque * Organiser la remontée d'information
* L’encadrement des transferts de données hors de l’Union européenne. * Traiter les réclamations et les demandes
* exercice des droits des utilisateurs
* Anticiper les violations de données
* information dans les 72 heures aux autorités et personnes concernées
## 6.Documenter
### Prouver la conformité = Avoir la documentation nécessaire
## 6.Documenter l’information * Pour les responsables de traitements
* Les mentions dinformation * registre des traitements
* Les modèles de recueil du consentement des personnes concernées, * Pour les sous-traitants
* Les procédures mises en place pour l’exercice des droits * catégories d'activités de traitements
* Pour les traitements à risque
* PIA
* Encadrement des transferts de données hors UE
## 6.Documenter les contrats ## 6.Documenter
* Les contrats avec les sous-traitants * Mentions d'information / légales
* Les procédures internes en cas de violations de données * [Modèles de mentions légales CNIL](https://www.cnil.fr/fr/modeles/mention)
* Les preuves que les personnes concernées ont donné leur consentement lorsque le traitement de leurs données repose sur cette base. * Procédures pour l’exercice des droits
* Contrats avec les sous-traitants
* Procédures internes en cas de violations de données
* Preuves du consentement
content/slides/privacy/md/jnarac/www.md
+ 6
− 27
View file @ 47eb7d31
## Une contre histoire de l'Internet ## Internet
![Hippies](images/jnarac/www/hippies-60s.jpg)<!-- .element width="60%" --> ![Hippies](images/jnarac/www/hippies-60s.jpg)<!-- .element width="60%" -->
## Une contre histoire de l'Internet ## l'histoire des Internets
* [chronologie du réseau Internet](http://www.tiki-toki.com/timeline/embed/137139/6372410394/#vars!date=1954-07-27_20:20:56!) * [chronologie du réseau Internet](http://www.tiki-toki.com/timeline/embed/137139/6372410394/#vars!date=1954-07-27_20:20:56!)
* [Internet History](images/internet_history.jpg) * [Internet History](images/internet_history.jpg)
...@@ -11,7 +11,7 @@ ...@@ -11,7 +11,7 @@
* [une histoire d'Internet](http://www.chemla.org/textes/hinternet.html) par [_Laurent Chemla_](https://fr.wikipedia.org/wiki/Laurent_Chemla) * [une histoire d'Internet](http://www.chemla.org/textes/hinternet.html) par [_Laurent Chemla_](https://fr.wikipedia.org/wiki/Laurent_Chemla)
* [Déclaration d’indépendance du Cyberespace](http://editions-hache.com/essais/barlow/barlow2.html) par [John P. Barlow](https://fr.wikipedia.org/wiki/John_Perry_Barlow) * [Déclaration d’indépendance du Cyberespace](http://editions-hache.com/essais/barlow/barlow2.html) par [John P. Barlow](https://fr.wikipedia.org/wiki/John_Perry_Barlow)
* [Une nouvelle déclaration d’indépendance du cyberespace](http://www.liberation.fr/amphtml/debats/2018/02/09/une-nouvelle-declaration-d-independance-du-cyberespace_1628377) * [Une nouvelle déclaration d’indépendance du cyberespace](http://www.liberation.fr/amphtml/debats/2018/02/09/une-nouvelle-declaration-d-independance-du-cyberespace_1628377)
* <i class="fa fa-hand-o-right" aria-hidden="true"></i> Internet n'est pas le web * <i class="fa fa-hand-o-right" aria-hidden="true"></i> Internet est un projet politique plus qu'un moyen de communnication
Note: Note:
- "Internet a été inventé par l'armée américaine pour résister à une attaque atomique" - "Internet a été inventé par l'armée américaine pour résister à une attaque atomique"
...@@ -38,9 +38,6 @@ Note: ...@@ -38,9 +38,6 @@ Note:
* __transmission par paquet__: via le protocol TCP / IP * __transmission par paquet__: via le protocol TCP / IP
## Internet est un projet politique plus qu'un moyen de communnication
## le web ## le web
* n'est pas Internet, mais fonctionne grâce à l'Internet * n'est pas Internet, mais fonctionne grâce à l'Internet
...@@ -85,10 +82,10 @@ Note: ...@@ -85,10 +82,10 @@ Note:
* Réfléchir avant de mettre quoique ce soit en ligne * Réfléchir avant de mettre quoique ce soit en ligne
* photos * photos
* partage d'information * partages d'information
* Se protéger et protéger les autres * Se protéger et protéger les autres
* Enfants, famille, ami * Enfants, famille, amis, collègue, employeurs
## le web est résiliant ## le web est résiliant
...@@ -106,25 +103,7 @@ Note: ...@@ -106,25 +103,7 @@ Note:
## <i class="fa fa-ambulance" aria-hidden="true"></i> le web est résiliant ## <i class="fa fa-ambulance" aria-hidden="true"></i> le web est résiliant
* Faire valoir [son droit au déréférencement](https://www.cnil.fr/fr/le-droit-au-dereferencement) * Faire valoir [son droit au déréférencement](https://www.cnil.fr/fr/le-droit-au-dereferencement)
* supprime des résultats des moteurs de recherche * suppression des résultats des moteurs de recherche
* ne supprime pas l'information du web * ne supprime pas l'information du web
* [Google Serach Console (ex webmaster tools)](https://www.google.com/webmasters/tools/home?hl=fr&pli=1) * [Google Serach Console (ex webmaster tools)](https://www.google.com/webmasters/tools/home?hl=fr&pli=1)
* si vous avez "la main sur la page" * si vous avez "la main sur la page"
## le web est piégeable
![Phishing](images/jnarac/www/phishing.png "Phishing")<!-- .element style="width: 70%" -->
* https://www.amazon.fr@bg.box.sk/artcile.htm
* ne pointe pas vers un article sur amazon.fr
## <i class="fa fa-ambulance" aria-hidden="true"></i> le web est piégeable
* Vérifier l'url dans son navigateur
* Le cadenas vert (https) ne suffit pas
* obtenir des certificats pour une url malveillante est simple
* [Let's encrypt](https://letsencrypt.org/)
* Idéalement regarder les informations du certificat SSL
content/slides/privacy/md/passwords.md
+ 2
− 13
View file @ 47eb7d31
...@@ -174,7 +174,6 @@ ...@@ -174,7 +174,6 @@
![android.10.clavier.selectionne](images/passwords/android.10.clavier.selectionne.png)<!-- .element width="30%" --> ![android.10.clavier.selectionne](images/passwords/android.10.clavier.selectionne.png)<!-- .element width="30%" -->
## KeePass2Android / config ## KeePass2Android / config
![android.11.accessibilite](images/passwords/android.11.accessibilite.png)<!-- .element width="30%" --> ![android.11.accessibilite](images/passwords/android.11.accessibilite.png)<!-- .element width="30%" -->
...@@ -200,19 +199,9 @@ ...@@ -200,19 +199,9 @@
* [http://keepass.info/download.html](http://keepass.info/download.html) * [http://keepass.info/download.html](http://keepass.info/download.html)
## [Vault by HashCorp](https://www.vaultproject.io/) ## [Vault by HashiCorp](https://www.vaultproject.io/)
## Solution Hardware ## Solution Hardware
* https://www.themooltipass.com/ [![mooltipass](images/passwords/mooltipass.jpg)](https://www.themooltipass.com/)
## Conclusion
* Les produits opensource de crypto ont une vie chaotique
* TrueCrypt
* Openssh
* gpg / gpg2
* complexe à évaluer en terme de sécurité même en open source
content/slides/privacy/md/sovereignty.md
+ 30
− 0
View file @ 47eb7d31
...@@ -56,6 +56,18 @@ Il est contrôlé par ses outils ...@@ -56,6 +56,18 @@ Il est contrôlé par ses outils
* Android: [F-DROID](https://f-droid.org/fr/), [<i class="fa fa-reddit" aria-hidden="true"></i> best android ROM for privacy](https://www.reddit.com/r/privacy/comments/6d3a33/best_android_rom_for_privacy/) * Android: [F-DROID](https://f-droid.org/fr/), [<i class="fa fa-reddit" aria-hidden="true"></i> best android ROM for privacy](https://www.reddit.com/r/privacy/comments/6d3a33/best_android_rom_for_privacy/)
## logicels libres & opensources
* [Framastart](https://framastart.org/)
* [Framalibre](https://framasoft.org/rubrique2.html)
* [Framakey](https://framakey.org/Main/Index)
* [LiberKey](https://www.liberkey.com/fr.html)
* [Framapack](https://framapack.org/)
* [AlternativeTo](http://alternativeto.net/)
* [Github](https://github.com/)
* <strike>https://sourceforge.net/</strike>
## Services ## Services
[Degooglisons Internet](https://degooglisons-internet.org/) [Degooglisons Internet](https://degooglisons-internet.org/)
...@@ -64,3 +76,21 @@ Il est contrôlé par ses outils ...@@ -64,3 +76,21 @@ Il est contrôlé par ses outils
* sur des machines accessibles physiquement si possible * sur des machines accessibles physiquement si possible
* enjeux des connexions personnelles * enjeux des connexions personnelles
* Utiliser des services décentralisés * Utiliser des services décentralisés
* [OwnCloud](https://owncloud.org/) > [framadrive](https://framadrive.org/) ou [service-public.fr](https://www.service-public.fr/assistance-et-contact/aide/compte#Comment%20stocker%20vos%20documents%20) > [Google Drive](https://drive.google.com) / [Dropbox](https://www.dropbox.com) / [One Drive](https://onedrive.live.com)
* [OwnCloud](https://owncloud.org/) > [framagenda](https://framagenda.org) > [Google calendar](https://calendar.google.com)
* [Etherpad](http://etherpad.org/) > [Framapad](https://framapad.org/) > [Google Docs](https://docs.google.com)
* [Postfix](http://www.postfix.org/) > [Proton mail](https://protonmail.com/) > [GMail](https://mail.google.com/)
* [Qwant](https://www.qwant.com/) > [DuckDuckGo](https://duckduckgo.com/) > [Google](https://www.google.fr)
* g!
## Auto-hébergement
[![raspberry](images/sovereignty/raspberry.png)<!-- .element width="45%" -->](https://www.raspberrypi.org/)
* matériel open source + connexion personnelle + logiciels libres = **<3**
* [yunohost ](https://yunohost.org/#/)
* [ispconfig](https://www.ispconfig.org/)
* [La brique Internet](https://labriqueinter.net/)
content/slides/privacy/md/tails.md
+ 5
− 8
View file @ 47eb7d31
...@@ -8,7 +8,7 @@ ...@@ -8,7 +8,7 @@
* Un OS contient * Un OS contient
* tous vos fichiers personnels * tous vos fichiers personnels
* toutes les archives vos communications, mail, chat, etc ... * toutes les archives vos communications, mail, chat, etc ...
* certains fichiers temporaires ou cachés dont vous ignorés l'existence * certains fichiers temporaires ou cachés dont vous ignorez l'existence
* tous vos mots de passe enregistrés * tous vos mots de passe enregistrés
...@@ -18,7 +18,7 @@ ...@@ -18,7 +18,7 @@
* est lisible avec les permissions d'administrateur * est lisible avec les permissions d'administrateur
* Une solution est de chiffrer (chiffrement symétique) son système * Une solution est de chiffrer (chiffrement symétique) son système
* Booter à partir d'un autre système l'attaquant devra connaître le mot de passe pour lire le disque en clair * Pour booter à partir d'un autre système l'attaquant devra connaître le mot de passe pour lire le disque en clair
## Enjeu de l'OS ## Enjeu de l'OS
...@@ -46,7 +46,7 @@ Solution de chiffrement par OS ...@@ -46,7 +46,7 @@ Solution de chiffrement par OS
## Enjeu de l'OS ## Enjeu de l'OS
* Il est très compliqué de savoir les opérations qu'effectue un système * Il est très compliqué de savoir les opérations qu'effectue un système
* surtout le code source de l'OS n'est pas analysable * surtout si le code source de l'OS n'est pas analysable
* Une solution est d'utiliser un système d'exploitation open source * Une solution est d'utiliser un système d'exploitation open source
* mieux un système open source réputé préoccupé par la vie privée et la sécurité * mieux un système open source réputé préoccupé par la vie privée et la sécurité
...@@ -56,11 +56,11 @@ Solution de chiffrement par OS ...@@ -56,11 +56,11 @@ Solution de chiffrement par OS
* OS **live** basé sur **Debian** * OS **live** basé sur **Debian**
* 64 bits uniquement depuis 2017 * 64 bits uniquement depuis 2017
* Pbjectifs * Objectifs
* préserver la vie privée * préserver la vie privée
* préserver l'anonymat * préserver l'anonymat
* Moyen * Moyen
* réduire ses traces sur la machines * réduire ses traces sur la machine hôte
* réduire / chiffrer les traces laissées sur le réseau * réduire / chiffrer les traces laissées sur le réseau
* résout le problème de l'amnésie d'un OS live * résout le problème de l'amnésie d'un OS live
...@@ -92,9 +92,6 @@ Solution de chiffrement par OS ...@@ -92,9 +92,6 @@ Solution de chiffrement par OS
![VM Tails](images/tails/vm-tails.png) ![VM Tails](images/tails/vm-tails.png)
![VM Tails](images/tails/vm-tails.png)
![VM Tails](images/tails/vm-tails-2.png) ![VM Tails](images/tails/vm-tails-2.png)
......
content/slides/privacy/md/tls.md
+ 49
− 46
View file @ 47eb7d31
...@@ -12,6 +12,7 @@ ...@@ -12,6 +12,7 @@
* commande en ligne * commande en ligne
* Supporte SSL 2.0, SSL 3.0 et TLS 1.0 * Supporte SSL 2.0, SSL 3.0 et TLS 1.0
* Actuellement TLS 1.2 * Actuellement TLS 1.2
* [ANSSI : privilégier TLS1.2 et tolérer TLS1.1 et TLS1.0](https://www.ssi.gouv.fr/uploads/2016/09/guide_tls_v1.1.pdf)
* Distribué sous une licence de type Apache * Distribué sous une licence de type Apache
...@@ -39,23 +40,23 @@ ...@@ -39,23 +40,23 @@
## [X.509](https://fr.wikipedia.org/wiki/X.509) ## [X.509](https://fr.wikipedia.org/wiki/X.509)
* Système hiérarchique d'autorités de certification * Système hiérarchique d'autorités de certification
* *certification authority - **CA*** * *certification authority* - ***CA***
* une CA attribue un certificat liant * une ***CA*** attribue un certificat liant
* une clé publique * une clé publique
* un nom distinctif * un nom distinctif
* *Distinguished Name - **DN*** * *Distinguished Name* - ***DN***
## [X.509](https://fr.wikipedia.org/wiki/X.509) DN ## [X.509](https://fr.wikipedia.org/wiki/X.509) DN
* C: Country * *C*: Country
* L: Locality * *L*: Locality
* ST: State * *ST*: State
* O: Organisation * *O*: Organisation
* SO: Organizational Unit * *SO*: Organizational Unit
* CN: Common Name * *CN*: Common Name
* Street: Adress * *Street*: Adress
* E: Mail * *E*: Mail
#### Anatomie #### Anatomie
...@@ -63,14 +64,14 @@ ...@@ -63,14 +64,14 @@
* **Version de la norme** * **Version de la norme**
* **Serial** * **Serial**
* Algorithme de signature du certificat * Algorithme de signature du certificat
* **Issuer** le signataire (DN de la CA) * **Issuer** le signataire (***DN*** de la ***CA***)
* **Validty** début fin de validité * **Validty** début fin de validité
* **Subject name** DN identifié par le certificat * **Subject name** **DN** identifié par le certificat
* **Subject Public Key** * **Subject Public Key**
* Extensions (ajouté en v3) * Extensions (ajouté en v3)
* paires clé / valeur * paires clé / valeur
Le tout signé par la CA Le tout signé par la **CA**
#### Extensions #### Extensions
...@@ -92,7 +93,7 @@ $ openssl genrsa -out ca.key 4096 ...@@ -92,7 +93,7 @@ $ openssl genrsa -out ca.key 4096
``` ```
* 4096 représente la taille de la clé * 4096 représente la taille de la clé
* ```ca.key``` contient la clé privée ET la clé publique * ca.key contient la clé privée ET la clé publique
```bash ```bash
$ openssl rsa -in ca.key -pubout $ openssl rsa -in ca.key -pubout
...@@ -165,19 +166,19 @@ $ openssl x509 -purpose -in ca.crt -inform PEM ...@@ -165,19 +166,19 @@ $ openssl x509 -purpose -in ca.crt -inform PEM
* Tiers de confiance * Tiers de confiance
* Recueille les demandes de certifications * Recueille les demandes de certifications
* Vérifie la validité de la demande * vérifie la validité de la demande
* Vérifie l'identité * vérifie l'identité
* Preuve par contrôle des domaines * preuve par contrôle des domaines
* Signe les certificats * Signe les certificats
* Gère les révocations * Gère les révocations
## Autorité de certificaiton (CA) ## Autorité de certificaiton (CA)
* CA de confiance * ***CA*** de confiance
* importées par défaut dans le navigateur * importées par défaut dans le navigateur
* Tout supprimer? * Tout supprimer?
* Etre importée dans les navigateurs * être importée dans les navigateurs
* payer (le navigateur) * payer (le navigateur)
...@@ -190,21 +191,23 @@ $ openssl x509 -purpose -in ca.crt -inform PEM ...@@ -190,21 +191,23 @@ $ openssl x509 -purpose -in ca.crt -inform PEM
Certificat racine Certificat racine
* clés publiques non signées, ou auto-signées * Clés publiques non signées, ou auto-signées
* le sommet de la pyramide de confiance * le sommet de la pyramide de confiance
* Un certificat est rarement signé par une CA racine * un certificat est rarement signé par une ***CA*** racine
* La CA racine créée plusieurs CA intermédiaires * la ***CA*** racine créée plusieurs ***CA*** intermédiaires
* sous scellés / déconnectés / sortis (autre CA) * sous scellés / déconnectés / sortis (autre ***CA***)
* auto signé * auto signé
[DigiCert Trusted Root Authority Certificates](https://www.digicert.com/digicert-root-certificates.htm)
## Chain of trust ## Chain of trust
Chaînes de certification Chaînes de certification
* Les CA intermédiaires signent * Les ***CA*** intermédiaires signent
* les certificats des clients * les certificats des clients
* d'autres CA intermédiaires * d'autres ***CA*** intermédiaires
* il faut alors fournir la chaîne de certification * il faut alors fournir la chaîne de certification
* au cas où l'intermédiaire ne soit pas dans le navigateur * au cas où l'intermédiaire ne soit pas dans le navigateur
...@@ -237,7 +240,7 @@ Chaînes de certification ...@@ -237,7 +240,7 @@ Chaînes de certification
* wildcard * wildcard
* https://amendes.gouv.fr * https://amendes.gouv.fr
* Certificats expirés * Certificats expirés
* Autorité de certification non importée * ***CA*** non importée
* ... * ...
...@@ -251,19 +254,19 @@ $ openssl req -new -newkey rsa:2048 -sha256 \ ...@@ -251,19 +254,19 @@ $ openssl req -new -newkey rsa:2048 -sha256 \
``` ```
* Générer un requête de certification * Générer un requête de certification
* Un CSR est auto-signé (pour vérifier l'intégrité) * Un ***CSR*** est auto-signé (pour vérifier l'intégrité)
```bash ```bash
$ openssl req -in user.csr -text -noout $ openssl req -in user.csr -text -noout
``` ```
* Lire le CSR * Lire le ***CSR***
```bash ```bash
$ openssl req -text -noout -verify -in user.csr $ openssl req -text -noout -verify -in user.csr
``` ```
* Vérifier le CSR * Vérifier le ***CSR***
### Création d'un certificat à partir d'un CSR ### Création d'un certificat à partir d'un CSR
...@@ -275,11 +278,11 @@ $ openssl x509 -req -days 365 \ ...@@ -275,11 +278,11 @@ $ openssl x509 -req -days 365 \
-in user.csr -out user.crt \ -in user.csr -out user.crt \
``` ```
* Génèrer un certificat à partir d'un CSR * Génèrer un certificat à partir d'un ***CSR***
* la CA vérifie qu'elle gère le domaine * la ***CA*** vérifie qu'elle gère le domaine
* la CA ajoute quelques informations * la ***CA*** ajoute quelques informations
* la CA signe avec sa clé privée * la ***CA*** signe avec sa clé privée
* la CA protège sa clé privée * la ***CA*** protège sa clé privée
note: note:
- https://www.digitalocean.com/community/tutorials/openssl-essentials-working-with-ssl-certificates-private-keys-and-csrs - https://www.digitalocean.com/community/tutorials/openssl-essentials-working-with-ssl-certificates-private-keys-and-csrs
...@@ -321,18 +324,18 @@ Révocation de certificats ...@@ -321,18 +324,18 @@ Révocation de certificats
* Contient une liste de certificats valides à révoquer * Contient une liste de certificats valides à révoquer
* utile en cas de compromission / décommissionnement * utile en cas de compromission / décommissionnement
* informer la CA * informer la ***CA***
* la CA ajoute le certificat à sa liste de certificats révoqués * la ***CA*** ajoute le certificat à sa liste de certificats révoqués
* cette liste est signée par la CA * cette liste est signée par la ***CA***
* Souvent la clé qui signe les certificats signe les CRL * Souvent la clé qui signe les certificats signe les ***CRL***
* Quand que le navigateur interroge-t-il les CRL ? * Quand que le navigateur interroge-t-il les ***CRL*** ?
#### Certificate Revocation List (CRL) #### Certificate Revocation List (CRL)
* Serial * Serial
* Algorithme de signature de la CRL * Algorithme de signature de la ***CRL***
* **Issuer** le signataire (DN de la CA) * **Issuer** le signataire (***DN*** de la ***CA***)
* **Update date ** * **Update date **
* **Next Update date** * **Next Update date**
* **CRL** * **CRL**
...@@ -366,13 +369,13 @@ Protocole d’interrogation de validité pour un certificat ...@@ -366,13 +369,13 @@ Protocole d’interrogation de validité pour un certificat
![OCSP](images/ssl/OCSP.png) ![OCSP](images/ssl/OCSP.png)
* si l'OCSP n'est pas disponible pour le certificat firefox accepte le certificat * si l'***OCSP*** n'est pas disponible pour le certificat firefox accepte le certificat
* s'il est valide * s'il est valide
#### Online Certificate Status Protocol (OCSP) #### Online Certificate Status Protocol (OCSP)
* peu déployé * Peu déployé
* [Approche par log publique de création révocation](http://confiance-numerique.clermont-universite.fr/Slides/R-Sasse.pdf) [<i class="fa fa-video-camera"></i>](http://webtv.u-clermont1.fr/media-MEDIA150907102804168) * [Approche par log publique de création révocation](http://confiance-numerique.clermont-universite.fr/Slides/R-Sasse.pdf) [<i class="fa fa-video-camera"></i>](http://webtv.u-clermont1.fr/media-MEDIA150907102804168)
* [Google's Certificate Transparency project](http://www.certificate-transparency.org/) * [Google's Certificate Transparency project](http://www.certificate-transparency.org/)
...@@ -381,7 +384,7 @@ Protocole d’interrogation de validité pour un certificat ...@@ -381,7 +384,7 @@ Protocole d’interrogation de validité pour un certificat
* Crée un canal de communication **authentifié**, protégé en **confidentialité** et en **intégrité** * Crée un canal de communication **authentifié**, protégé en **confidentialité** et en **intégrité**
* Utilise des certificats X.509 * Utilise des certificats X.509
* délivrés par des CA * délivrés par des ***CA***
* Utilise un système de chiffrement asymétrique * Utilise un système de chiffrement asymétrique
* pour échanger une clé pour le chiffrement symétrique * pour échanger une clé pour le chiffrement symétrique
* Protocole initialement pensé pour sécurisé HTTP * Protocole initialement pensé pour sécurisé HTTP
...@@ -686,7 +689,7 @@ Note: ...@@ -686,7 +689,7 @@ Note:
* pas imap, pop3 et smtp, mais imaps, pop3s et smtps * pas imap, pop3 et smtp, mais imaps, pop3s et smtps
* Seules les implémentations conformes à TLSv1 et supérieures doivent être employées * Seules les implémentations conformes à TLSv1 et supérieures doivent être employées
* Les cyphersuites offrant la PFS doivent être favorisées * Les cyphersuites offrant la PFS doivent être favorisées
* [Anssi - SSL/TLS: état des lieux et recommandations](www.ssi.gouv.fr/.../SSL_TLS_etat_des_lieux_et_recommandations.pdf) * [Anssi - SSL/TLS: état des lieux et recommandations](https://www.ssi.gouv.fr/uploads/2012/06/ssl_tls_etat_des_lieux_et_recommandations.pdf)
## <i class="fa fa-medkit"></i> Se protéger / Apache ## <i class="fa fa-medkit"></i> Se protéger / Apache
......
content/slides/privacy/md/tracking.md
+ 2
− 0
View file @ 47eb7d31
...@@ -73,6 +73,7 @@ atom . ...@@ -73,6 +73,7 @@ atom .
* cross domain * cross domain
* accès à l'historique des sites visités utilisant flash * accès à l'historique des sites visités utilisant flash
## Space cookies ## Space cookies
* [Zombie cookie](https://en.wikipedia.org/wiki/Zombie_cookie) * [Zombie cookie](https://en.wikipedia.org/wiki/Zombie_cookie)
...@@ -83,3 +84,4 @@ atom . ...@@ -83,3 +84,4 @@ atom .
* [<i class="fa fa-github"></i> samyk/evercookie](https://github.com/samyk/evercookie/) * [<i class="fa fa-github"></i> samyk/evercookie](https://github.com/samyk/evercookie/)
* [Cookie de tracking / assiste.com](http://assiste.com/Cookie_de_Tracking.html) * [Cookie de tracking / assiste.com](http://assiste.com/Cookie_de_Tracking.html)
* [Using HTML5 Local Storage vs Cookies For User Tracking ...](http://johnsteinmetz.net/blog/using-html5-local-storage-vs-cookies-for-user-tracking/)
0% or .
You are about to add 0 people to the discussion. Proceed with caution.
Finish editing this message first!
Please register or to comment