Cloud et sécurité - Blog de dada
mardi 2 septembre 2014 à 07:33Sebsauvage, le 02/09/2014 à 07:33
mmm... oui, c'est un des petits plus d'ownCloud (malgré les reproches que j'ai à lui faire): Il possède un chiffrement intégré (désactivé par défaut).
Donc même si vous merdez temporairement vos .htaccess ou que quelqu'un parvient à récupérer tous vos fichiers (par ftp ou ssh), ils ne pourront pas les lire.
Non seulement les fichiers sont chez vous, mais même si votre hébergeur se faire pirater et que le pirate récupère vos fichiers, il ne pourra pas les déchiffrer. C'est autre chose que les iCloud à deux balles avec leur pseudo-chiffrement.
(Bien sûr la sécurité d'ownCloud dépend aussi de votre mot de passe, du chiffrement des communications (HTTPS) et de la sécurité générale du logiciel.)
(Permalink)
Mitsu, le 02/09/2014 à 13:22
Et il va sans dire que le Owncloud de Kitsu.eu a le chiffrement activé (je confirme, les fichiers que j'ai uploadé sont inexploitables ^^), ne fonctionne qu'en HTTPS (TLS version 1 au pire, pas de SSL) avec PFS au cas où la NSA enregistre tous les flux en vue de déchiffrer en masse plus tard (je pars du principe qu'ils le font), mise à jour réactive et couche de chiffrement dmcrypt si OVH se prenait l'envie de farfouiller le disque dur.
L'éventuel point faible: quand je crée un utilisateur, je dois lui définir et envoyer un mot de passe initial. Dans l'idéal il faudrait que cet envoi se fasse uniquement par mail chiffré OpenPGP. Se pose alors un nouveau problème: la vérification de clé publique PGP. En effet comment valider l'authenticité de la clé tout en préservant au maximum le pseudonymat de la personne ? La solution c'est un WoT (web of trust) en "structure étoile" autour de "leaders de confiance" publiquement connus comme Sebsauvage ou Timo le Hollandais Volant. Bref :)
(Permalink)
mmm... oui, c'est un des petits plus d'ownCloud (malgré les reproches que j'ai à lui faire): Il possède un chiffrement intégré (désactivé par défaut).
Donc même si vous merdez temporairement vos .htaccess ou que quelqu'un parvient à récupérer tous vos fichiers (par ftp ou ssh), ils ne pourront pas les lire.
Non seulement les fichiers sont chez vous, mais même si votre hébergeur se faire pirater et que le pirate récupère vos fichiers, il ne pourra pas les déchiffrer. C'est autre chose que les iCloud à deux balles avec leur pseudo-chiffrement.
(Bien sûr la sécurité d'ownCloud dépend aussi de votre mot de passe, du chiffrement des communications (HTTPS) et de la sécurité générale du logiciel.)
(Permalink)
Mitsu, le 02/09/2014 à 13:22
Et il va sans dire que le Owncloud de Kitsu.eu a le chiffrement activé (je confirme, les fichiers que j'ai uploadé sont inexploitables ^^), ne fonctionne qu'en HTTPS (TLS version 1 au pire, pas de SSL) avec PFS au cas où la NSA enregistre tous les flux en vue de déchiffrer en masse plus tard (je pars du principe qu'ils le font), mise à jour réactive et couche de chiffrement dmcrypt si OVH se prenait l'envie de farfouiller le disque dur.
L'éventuel point faible: quand je crée un utilisateur, je dois lui définir et envoyer un mot de passe initial. Dans l'idéal il faudrait que cet envoi se fasse uniquement par mail chiffré OpenPGP. Se pose alors un nouveau problème: la vérification de clé publique PGP. En effet comment valider l'authenticité de la clé tout en préservant au maximum le pseudonymat de la personne ? La solution c'est un WoT (web of trust) en "structure étoile" autour de "leaders de confiance" publiquement connus comme Sebsauvage ou Timo le Hollandais Volant. Bref :)
(Permalink)