Bonjour, Bon, c'est vendredi mais on va peut être gentiment pouvoir arrêter le troll parce qu'on s'éloigne à vitesse grand V du sujet initial et on se rapproche pas mal du point Godwin.
On fait le tour des poncifs de notre métier : oui, un point de sécu tout seul ne sert à rien (aka TLS si le mec se connecte à partir d'un poste tout vérolé), oui, il faut assurer une compatibilité raisonnable avec d'anciennes versions et ne pas tordre le bras aux clients chaque fois que la nouvelle-techno-à-la-mode-avec-un-joli-buzzword sort. Après, chacun voit midi à sa porte concernant ces choix : est-ce la compatibilité doit être assurée pendant 3 jours, 3 mois, 3 ans ? Maintenant, qu'on me balance sur une liste qu'il faut encore supporte IE6 sous XP ou qu'on contraire, il faut bannir tout avant IE10 win8, ben en fait, vous pissez dans un violon les mecs. C'est pas votre problème puisque vous ne connaissez pas mon environnement de boulot. Maintenant, les vérités : * En 2018, TOUT service doit être dispo en chiffré (forcé ou non, c'est votre choix). * Les gens qui traînent des vieilles versions DOIVENT savoir qu'elles prennent un risque non négligeable. * C'est AUSSI notre boulot de faire passer la bonne parole. Anecdote : hier, on était à une formation RIPE sur DNSSEC. Le grand argument, c'est qu'actuellement, c'est que l'ensemble de la chaîne de confiance est basée sur UN seul groupe de personnes (7 sous l'égide de l'ICANN dont Vinton Cerf 'le trouble') au lieu des quelques 700 autorités de certifications reconnues actuellement. OK, mais ça me gêne un peu : à aucun moment n'a été évoqué la raison pour laquelle je devrais faire confiance à ces mecs. La réponse ne tiendrait pas ici et chacun doit se faire son avis. Ce n'est pas parce que la communauté fait un truc qu'on est forcément tous d'accord. C'est d'ailleurs le principe des RFCs et comme ça qu'on a bâti l'informatique et le net en général. Pareil pour let's encrypt d'ailleurs : chouette projet très utile, mais ne vous faites pas d'illusion, ça va merder techniquement ou politiquement un jour ou l'autre. Allé, bon trollday à toutes et à tous (je ne perds pas espoir que notre métier se féminise davantage), Julien Le 08/12/2017 à 09:14, fr...@jack.fr.eu.org a écrit : > Spa parce que TLS n'est pas suffisant pour sécuriser qu'il n'a aucun rapport > avec le sujet; > > Je ne sais pas si ton protocol est secure, mais clairement, si un simple > tcpdump > / ethercap / truc me permet de voir l'intégralité de ta communication, il y a > un > petit problème > > Nécessaire != suffisant > > On 08/12/2017 04:58, Jean Théry wrote: >> >> Le 07.12.2017 à 22:11, Raphael Mazelier a écrit : >>> Le 07/12/2017 à 19:51, fr...@jack.fr.eu.org a écrit : >>> >>>> Autoriser le trafic en clair, c'est punir le bon avec le mauvais, en >>>> fragilisant l'ensemble de ton système, pour tous (et pas que pour le >>>> gueux avec son fax) >>>> >>>> Si ce type veut supporter son système antédiluvien, c'est son choix, >>>> mais qu'il l'assume seul. >>>> >>>> Vive le TLS obligatoire; >>>> >>> >>> En quoi TLS/SSL assure une meilleure sécurité ? certes cela ne coute >>> pas bien cher de nos jours et c'est pas pire. >>> Mais bon clairement si l'on recherche à échanger des informations >>> confidentielles ce n'est certainement pas le mail qu'il faut utiliser. >>> (à la limite avec du GPG/PGP et encore). >>> J'ai un peu de mal avec les discours du type : on est secure parce >>> qu'on a activé du 's' partout ; surtout quand il est dogmatique; aka >>> les mecs qui ne font pas sont des idiots. C'est bien plus compliqué >>> que cela. La sécurité c'est aussi/souvent d'abord une analyse de >>> risque, et des procédures adaptés en conséquences. >>> >>> >>> -- >>> Raphael Mazelier >>> _______________________________________________ >>> Liste de diffusion du FRsAG >>> http://www.frsag.org/ >> +1 >> _______________________________________________ >> Liste de diffusion du FRsAG >> http://www.frsag.org/ >> > _______________________________________________ > Liste de diffusion du FRsAG > http://www.frsag.org/ _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
