Royaume-Uni

[Alexis]

Il y a 1 heure, johnsteed a dit :

Si on veut vraiment parler d'autonomie ou de souveraineté, il devient nécessaire de cibler les points névralgiques sur notre territoire et d'y être présent, de développer nos équipements. Pour cela il est crucial de développer notre économie, notre industrie car dans tous les cas, c'est elle qui finance. A nous d'être présent dans tous les domaines.

Oui.

Dans le triptyque cité par le président de la République comme nouveaux objectifs écologie / indépendance / solidarité, le deuxième terme doit s'entendre avant tout comme indépendance technologique. Et le premier sujet en termes d'indépendance technologique me semble bien être les réseaux, notamment la 5G.

Est-ce un sujet que la France seule pourrait traiter, si elle choisissait de s'en donner les moyens ? Probablement.

Serait-ce plus facile en s'y prenant à plusieurs pays européens ? Certainement.

Je m'attends à ce qu'Emmanuel Macron agisse dans ce sens. Reste à voir avec quel degré de détermination - je suis d'un naturel optimiste, mais il reste à voir sur pièces.

[jean-françois]

Le problème de créer des domaines stratégiques est de maintenir la politique dans le temps.

Un exemple simple : la fabrication de masque médicaux. C'est bien de faire créer des usines en France, mais si les hopitaux / médecins / etcc vont s'approvisionner ailleurs parce que c'est moins cher, tes belles usines vont tenir 4-5 ans max. Sauf à forcer la main légalement, la viabilité est nulle ( je ne compte même pas sur le fait que l'Europe peut venir foutre la merde au nom de la sacro-sainte concurence )

Ajout : je ne compte même pas la possibilité d'homme politique "sensible" à des intérêts étrangers qui pourraient fermer / tuer ces filières

Modifié le 15 juillet 2020 par jean-françois

[johnsteed]

il y a 4 minutes, jean-françois a dit :

Le problème de créer des domaines stratégiques est de maintenir la politique dans le temps.

Pour se maintenir dans le temps, il faut financer. Et le meilleur financement c'est quand on arrive à vendre  le ou les produits et/ou services de ce travail. Pour cela il faut être bon, c'est à dire sérieux, rigoureux et organisés. C'est une affaire de mentalité.

Pour mémoire, Apple finance la recherche sur la voiture électrique à hauteur de 12M$ par an, ce qui représente plus de 10% de la totalité du secteur. Ce sont les clients qui financent la mainmise d'acteurs d'une industrie. Quand on achète un produit, on vote. On vote pour le système économique qui héberge le produit que l'on a choisit.

[Wallaby]

  

Il y a 21 heures, Wallaby a dit :

https://www.nytimes.com/2020/07/14/business/huawei-uk-5g.html

L'interdiction de l'utilisation des équipements du géant technologique chinois dans les infrastructures sans fil à haut débit est un revirement majeur du Premier ministre Boris Johnson - et une grande victoire pour l'administration Trump.

La volte-face de la Grande-Bretagne est le signe d'une nouvelle volonté des pays occidentaux d'affronter la Chine, une détermination qui s'est renforcée depuis que Pékin a adopté le mois dernier une nouvelle loi de grande envergure pour resserrer son emprise sur Hong Kong, la ville semi-autonome qui était une colonie britannique jusqu'en 1997. Mardi, Robert O'Brien, conseiller du président Trump pour la sécurité nationale, était à Paris pour des réunions sur la Chine avec des homologues de Grande-Bretagne, de France, d'Allemagne et d'Italie.

Le gouvernement [britannique] a déclaré mardi qu'il interdirait l'achat de nouveaux équipements Huawei pour les réseaux 5G après décembre, et que les équipements existants déjà installés devraient être retirés des réseaux d'ici 2027.

Toutefois, la dernière évaluation de la sécurité britannique a conclu qu'il n'était pas nécessaire d'éliminer le rôle de Huawei dans les anciens réseaux 2G, 3G et 4G, et le gouvernement ne cherche pas à décourager les consommateurs d'utiliser les produits Huawei.

"L'Occident démocratique s'est réveillé tardivement de sa dépendance excessive à l'égard d'un pays dont les valeurs lui sont diamétralement opposées", a déclaré Robert Hannigan, l'ancien directeur de l'agence de surveillance britannique GCHQ, qui est maintenant cadre de la société de cybersécurité BlueVoyant.

Un tournant s'est produit en mai, lorsque l'administration Trump a annoncé une règle qui interdirait à Huawei et à ses fournisseurs d'utiliser des technologies et des logiciels américains. Cette décision, qui devrait entrer en vigueur en septembre, pourrait plonger la chaîne d'approvisionnement de Huawei dans le chaos.

"Les sanctions américaines n'ont laissé que peu de choix au Royaume-Uni", a déclaré Priya Guha, une ancienne diplomate britannique qui a représenté les intérêts du pays dans la Silicon Valley. "Il y a eu un peu d'échec et mat par les États-Unis.

La décision de la Grande-Bretagne d'interdire Huawei mettra la pression sur les autres pays européens. En Allemagne, la chancelière Angela Merkel est pressée de maintenir l'entreprise hors du nouveau réseau 5G, mais elle pèse les retombées économiques pour les constructeurs automobiles allemands, pour lesquels la Chine est un marché essentiel. L'Australie a émis une interdiction, et le Canada envisage d'en faire autant.

M. Inkster, un ancien membre du service de renseignement britannique, a averti que l'Occident risque de provoquer la Chine si elle se sent plus isolé économiquement. "Il est sérieusement nécessaire de réfléchir intensément et profondément à la question de savoir s'il est réaliste de se désengager totalement de la Chine dans ces domaines", a-t-il déclaré.

 

[jean-françois]

Il y a une grosse différence entre Apple et une usine de fabrication de masques médicaux.

La 2e ne sera jamais rentable sur le marché international alors que sa production est stratégique en cas de pandémie.

Comment la maintenir dans le temps, sauf à la subventionner directement, soit en faussant le marché ?

[johnsteed]

L'entreprise qui fabrique des masques n'est pas obligée de ne fabriquer que cela, d'où l'utilité d'une industrie développée. Elle peut aussi être un acteur de l'industrie du textile par exemple, comme travailler dans la mode (haute couture), une de nos spécialités.

A une époque j'avais entendu dire que les gants des pilotes de Rafale avaient bénéficié du savoir faire de ce secteur pour fabriquer des modèles sans couture pour préserver le toucher des doigts. D'une certaine manière, on peut dire que la fashion-week de Paris contribue au Rafale. C'est pas évident au départ.... Comme quoi même des secteurs perçu comme futiles peuvent contribuer au savoir faire tout en se maintenant à flot grâce aux débouchés commerciaux.

Je cite cet exemple mais il doit y avoir d'autres secteurs simultanément positionnés sur un domaine commercial viable et susceptible de faire des maques.

Bref à mon avis, il faut monter des boites et se diversifier.

[Teenytoon]

Quand un matériel est stratégique et pas rentable pour une entreprise privée, on monte un atelier d'état pour le fabriquer dans les pays qui s'inquiètent vraiment de leur indépendance.

Et vu que la demande mondiale n'est pas prête de baisser, l'état pourra même exporter...

[jean-françois]

mais pour cela, il faut une volonté politique sur la durée et passer outre Bruxelle.

On a réussi à la faire avec Dassault, mais est-ce qu'il y a une volontaire de faire la même chose pour d'autres industries moins techniques même si stratégique, je n'en suis pas certain.

[Nemo123]

Il y a 5 heures, jean-françois a dit :

C'est dans cette situation qu'on ne petu que regretter le massacre d'Alactel qui était au top mondial sur ce type de sujet.

Un gachi scandaleux pour une vision à court terme de remplir les poches de quelques hauts responsables de cette entreprise.

C'est plus compliqué que ça. Trop facile de rediriger la faute sur ces enfoirés de capitalistes / patronat qui s'en mettent plein les fouilles et qui se moquent de la plèbe / du prolétariat / des sans-dent (rayez les mentions inutiles).

 

En fait, je me risquerai même à comparer l'affaire à celle d'Alstom, et je sais que ça va en faire bondir certains qui pensent eux-aussi bien connaitre le sujet (mais chacun ses sources / chacun son avis) :

Tout le monde hurle au sacrifice d'un actif stratégique, mais :

• L'actif en question ne valait plus rien (problèmes divers dont trop d'innovations de rupture pour laquelle on n'avait pas pris le bon virage),
• On a réussi à vendre un actif déprécié à un prix assez élevé (compte tenu de sa dépréciation),

Après, c'est sûr qu'en vendant ces (ex-)champions à l'étranger, on a définitivement hypothéqué nos chances de les réssuciter et ça engendre des problèmes de souveraineté (problèmes qu'on aurait eu dans tous les cas même sans vendre nos boites, alors autant se faire de la tune avec). C'est juste qu' "on" a jugé (peut-être à tord, mais je ne crois pas) la marche trop haute pour rendre de nouveau ces (ex-)champions compétitifs.

 

Cisco avait une avance de malade au début des années 2000/2010. Alcatel ne faisait que survivre parce que les pays qui avaient des parts dedans se forçaient à acheter leurs produits (plus quelques autres pays qu'on a "contraint"). Une avance non rattrapable. No offense envers les ingés R&D d'Alcatel, ils ont fait au mieux avec les moyens qu'on leur donnait.

Et les raisons pour laquelle Huawei a réussi à sortir la tête de l'eau, c'est :

• Qu'ils se sont attaqués à des "nouveaux marchés", c'est à dire des technos émergentes des réseaux, sur lesquels Cisco n'avait pas une énorme avance,
• Qu'ils étaient massivement sponsorisés par l'Etat (c'est un doux euphémisme),
• Qu'ils ont une politique tarifaire imbattable (bien qu'étant foncièrement moins performant que Cisco), c'est complètement du dumping.

Tout ça pour dire qu'avec seuls Alcatel Nokia Ericsson comme champion européen Telcom crédible, avec nos moyens financiers (coucou austérité post-covid / capacité à mener un projet industriel européen) et notre retard technique, ça fait déjà 20 ans qu'on sait qu'on a perdu notre souverainté sans retour possible dans les télécoms.

 

Si on était à une époque où on pétait dans le fric, je suppose qu'on aurait pu essayer de faire émerger un champion, mais pour la dizaine d'année à venir, on est plutôt orienté austérité. Donc on peut oublier. Mais ne soyons pas tristes, en France, on reste quand même un des pays au top dans le domaine cyber (et sans éditeur et équipementier leader de marché, ce n'est pas facile, on a du mérite).

 

Après, la position des anglais est différente (la phrase juste placée pour ne pas être complètement HS ) : s'ils veulent conserver le bénéfice des fiveeyes (et encore, c'est même pas aussi simple), ils n'ont pas le choix que d'essayer de dégager Huawei. Et ils pourront toujours faire des caprices auprès des US du genre "ok, on veut bien dégager Huawei, mais faudra nous aider à payer vos machins Cisco qui coûtent la peau du cul". Parce que du point de vue anglais, c'est avant tout un dilemme de budget, faut pas chercher midi à 14h.

Alors qu'en France, utiliser Huawei pour notre 5G ne serait pas techniquement une régression. C'est juste que les nouveaux services qui migreront dessus / apparaitront seront exposés à de la compromission. Donc bon, au point où on en est... autant économiser de la tune et rester sur Huawei. Faut choisir ses combats (mais ça n'est que mon avis).

[Hirondelle]

il y a 16 minutes, Nemo123 a dit :

Faut choisir ses combats (mais ça n'est que mon avis).

Alors, si le retard n’est pas rattrapable à un coût acceptable, où pourrait-on déplacer le «combat » ? Next gen, technologies de cryptage..?

Révélation

Désolé si ma question est trop conne, je n’y connais toujours rien en telecoms depuis tout à l’heure 

Et d’ailleurs, c’est la technologie qui est compliquée à acquérir, ou la fabrication à bas coûts ?

 

[Nemo123]

"Next gen" c'est du marketing, c'est comme l'IA, tout le monde en parle mais personne ne sait vraiment ce que c'est, tout simplement parce qu'on ne tient pas encore vraiment la techno de rupture (du moins, les peintures ne sont pas fraiches). Savoir traiter du déterminisme à grande échelle n'est pas faire de l'IA (réseau de neurones en auto-apprentissage en auto-libertée quant au choix de ses sources - et je sais que des gens ne vont pas être d'accord, ça pourrait faire l'objet d'un débat). Mais on a plein d'universitaires brillants qui bossent dessus.

Le cryptage n'existe pas, le chiffrement, oui  (même si ça fait moins stylé) #troll

 

Le problème du chiffrement, c'est pas l'algo (les trucs qui existent aujourd'hui sont assez solides), mais plutôt sa mise en application (l'exemple le plus facile est l'utilisation des nombres aléatoires, qui sont compliqués à créer pour une machine, en fait c'est généralement plutôt des trucs tordus qui tendent vers de l'aléatoire et qu'on doit essayer de retrouver). Après, on peut toujours imaginer que la NSA et alterégaux ont réussi à mathématiquement casser ces algos, mais là, c'est à un niveau tellement au dessus du débat que c'est un autre sujet.

Le coeur du problème, c'est qu'aujourd'hui, on a très peu de visibilité sur ce que les autres services de renseignements sont capables de "casser" d'un point de vue protocolaire (on dit qu'on a trouvé telle info, mais on ne dit pas comment). Il y a beaucoup de bluff et pas beaucoup de preuves. Donc pour répondre à ta question : on pourrait effectivement déplacer le combat, mais il faut que ce soit sur un terrain sur lequel on se sait vulnérable, afin d'être efficace. Donc pour économiser du gaz, on reste sur des axes (très) simple : on fait de l'éducation aux utilisateurs, on se procure un timide arsenal juridique (GDPR), mais sans savoir sur quoi on peut compter, c'est compliqué de cibler un domaine sur lequel faire un effort.

On parle régulièrement de faire naitre un fournisseur de Cloud équivalent aux américains AWS / GCP / Azure, mais ils sont tellement en avance... Et puis on a OVH (d'ailleurs si quelqu'un peut m'expliquer la raison pour laquelle on ne fait pas une méga levée de fond pour cette boite... OVH en hardware + Nextcloud en soft, ça pourrait peut-être rebattre un peu les cartes)

 

Par exemple, Snowden (oui, c'est facile de parler de lui) nous a révélé que la NSA enregistrait sur une échelle "de masse" du trafic essentiellement non chiffré, mais qu'en 2013 ils avaient encore beaucoup de mal à traiter le contenu chiffré (d'ailleurs, une simple recommandation de quelques années après demeurait de privilégier un simple https au lieu de http, ce qui est élémentaire). Alors depuis, on sait que leur arsenal s'est largement renforcé, notamment à travers des backdoors et tout un tas d'autres outils / procédés, mais ça n'est pas magique : capturer du trafic chiffré ne sert à rien si on ne sait pas le déchiffrer. Or, aujourd'hui, on a globalement aucune idée de qui sait "casser" quoi et donc comment se protéger (en fait, on en sait un peu, mais pas assez pour se savoir sûreté de bout en bout, y a toujours un maillon de la chaine qui est en doute).

 

Notre stratégie actuellement, c'est de rationnaliser nos efforts, et d'aller au plus efficace au meilleur coût.

Autre chose à savoir : un bon attaquant n'est pas forcément un bon défenseur. Il n'y a qu'à voir le nombre d'outils d'intrusion qui ont régulièrement fuité de la part des différents acteurs, qui est un excellent indicateur pour savoir où en est la concurrence. On s'aperçoit que c'est globalement à base de vulnérabilités 0 day qui "semblent" involontaires (fini le compte superadmin caché codé en dur) et qu'on combat sur le même ordre de grandeur.

Modifié le 15 juillet 2020 par Nemo123

[Nemo123]

il y a 14 minutes, Pierre_F a dit :

Mettre des barrières et du chiffrage, c’est bien mais aujourd’hui insuffisant ... et l’histoire de notre ligne Maginot devrait nous le rappeler sans cesse. En plus ces barrières gênent tout le monde au quotidien. Donc au lieu d’empiler des murs, barbelés et champs de mines, on pense la sécurité autrement. 

Un bon firewall bien restrictif en source et destination, et un chiffrement robuste de bout en bout, y a quand même rien de plus solide  (en théorie, on est d'accord).

Après, c'est sûr que la sécu, c'est (comme toujours, pas qu'en informatique) une histoire de juste milieu entre ceinture-bretelle et limiter la contrainte utilisateur. Si un utilisateur est trop emerdé, il cherchera à bypasser les mesures de sécu imposée, ce qui mettra en périle l'ensemble. Et c'est d'ailleurs statistiquement la porte d'entrée principale des intrusions.

 

il y a 14 minutes, Pierre_F a dit :

Aujourd’hui les nouveaux modèles se conçoivent comme des systèmes immunitaires. On développe des anticorps avant que les attaques provoquent dégâts importants. Pour cela il faut beaucoup d’IA ...

Disons que concrêtement, on essaie d'aggréger de la connaissance collective autour de "patterns" d'attaque (je vous laisse chercher "mitre att&ck" sur google) et qu'on développe en conséquence à travers des outils qualifiés de SOC / SOAR des systèmes de blocages automatiques quand on arrive à détecter les-dits patterns d'attaque (je mets les mots-clefs comme ça, ceux qui veulent explorer les concepts peuvent demander à Google).

L'IA n'a rien à voir avec ça. Tout comme les technos quantique, n'en déplaise à ceux qui fantasment dessus.

 

 

Modifié le 15 juillet 2020 par Nemo123

[Shorr kan]

Puis un con arrive avec sa clé USB rempli de contenu porno vérolé de toutes sortes ver informatique, le branche sur son poste de travail histoire de se faire du bien et "plouf !"la sécurité informatique...

[Wallaby]

https://www.lemonde.fr/economie/article/2020/07/14/en-excluant-huawei-de-ses-reseaux-5g-londres-enterre-l-age-d-or-des-relations-avec-pekin_6046171_3234.html

Mais, en mai, Washington a interdit à la firme de Shenzhen de se procurer des microprocesseurs d’origine américaine, et « cela a changé la donne », explique t-on à Londres. L’agence nationale de cybersécurité (un département des services britanniques de renseignement) s’est immédiatement mise au travail et ses experts ont conclu que Huawei devrait se fournir auprès de fournisseurs jugés moins fiables et qu’en conséquence, « il n’est plus possible de garantir la sécurité des futurs équipements Huawei ».

[Hirondelle]

@Nemo123

@Pierre_F

Merci, je crois avoir petitement compris le principal, mais un chouïa décalé des télécommunications (5G et suivant) à l’Internet. Est ce strictement comparable ? Initialement on discutait de contourner le matériel Huawei pour la 5G.

Sinon (tant qu’à être HS), le passage sur OVH &Co a attiré mon attention : fournisseurs de Cloud ou hébergeurs, quelle différence, et si ça craint, pourquoi on ne réinstalle pas des serveurs et des gros disques dans nos sous-sols?(sous-sous, certes, mais technologiquement ?)

 

@Shorr kan

Cela faisait longtemps que je ne t’avais pas salué : j’en profite pour rendre hommage à ta sentence « no porn in job », qui est effectivement un truc auquel je n’aurais pas pensé seul 

[Nemo123]

Il y a 11 heures, Hirondelle a dit :

Merci, je crois avoir petitement compris le principal, mais un chouïa décalé des télécommunications (5G et suivant) à l’Internet. Est ce strictement comparable ? Initialement on discutait de contourner le matériel Huawei pour la 5G.

Je ne suis pas un pro de la téléphonie mobile, mais si je ne dis pas de bêtise, les réseaux (mobiles et internet) étaient séparés (d'un point de vue protoclaire) avant le LTE, alors que depuis le LTE, le réseau mobile (qui, en plus, propose un large service "data / web") s'appuie complètement sur de l'IP, donc comme son nom l'indique, le protocole standard des réseaux internet. Ca n'est pas les mêmes réseaux au sens backbone / réseau interne opérateur, mais le fonctionnement est globalement le même, et les raisonnements de sécurité peuvent être transposés de l'un à l'autre.

 

Si quelqu'un peut confirmer ?

 

Il y a 11 heures, Hirondelle a dit :

Sinon (tant qu’à être HS), le passage sur OVH &Co a attiré mon attention : fournisseurs de Cloud ou hébergeurs, quelle différence, et si ça craint, pourquoi on ne réinstalle pas des serveurs et des gros disques dans nos sous-sols?(sous-sous, certes, mais technologiquement ?)

Premier argument : pour une question de pognon.

Déjà, il faut savoir que quand on parle de cloud, c'est ambigüe : il y a :

• Le cloud public (AWS / Azure / GCP / OVH, ...) où ça coûte moins cher si tu héberges en masse, et où tu ne te fais pas chier à entretenir tes bousins, donc pas besoin d'avoir des compétences techniques,
• Le cloud privé (tes serveurs dans des datacenters à toi), coûte cher et nécessite de l'expertise pour maintenir le service, mais fonctionnellement tu es censé bénéficier des mêmes avantages qu'avec un cloud public,
• Le cloud cave (ton serveur est en local dans ta cave), ce qui se faisait historiquement à l'aube de l'informatique et qui n'existe plus, car pas de redondance aux pannes, pas de haute disponibilité, etc... C'est ton NAS.

Vision très simplifiée, ça n'est pas aussi simple.

Quand le cloud est arrivé à maturité, toutes les grosses boites de France et de Navarre ont commencé à migrer leurs infras / données / serveurs / services non critiques (c'est à dire n'étant pas soumis à des problèmes de souverainetés) dans le cloud public pour économiser des sous. Mais ces mêmes boites continuent d'héberger leurs ressources critiques dans leurs propres datacenters (ou des DC loués, mais sur lesquels ils ont beaucoup plus la main que chez un Azure / AWS (Google n'est pas vraiment dans la course). Donc pour les données critiques, théoriquement, on sait les garder chez nous.

Et le second argument, c'est que la définition de "services / données critiques" n'est pas la même pour tout le monde, et que tu te retrouves à héberger des trucs secret chez les ricains sans forcément savoir si c'est critique ou non. Exemple vulgarisé : si 1% des emails sont secrets, est-ce que ça justifie de migrer tout le service email de la société vers un cloud privé ?

Sans parler du fait que ces cloud publics coutent un pognon monstre, qu'on donne à l'outre-Atlantique. Illustration simpliste : la vache à lait de l'homme le plus riche du monde, c'est sa section hébergement web (AWS) et pas sa section librairie (business de départ) ou marketplace ou Blue Origine.

[Clairon]

Il y a 2 heures, Nemo123 a dit :

Je ne suis pas un pro de la téléphonie mobile, mais si je ne dis pas de bêtise, les réseaux (mobiles et internet) étaient séparés (d'un point de vue protoclaire) avant le LTE, alors que depuis le LTE, le réseau mobile (qui, en plus, propose un large service "data / web") s'appuie complètement sur de l'IP, donc comme son nom l'indique, le protocole standard des réseaux internet. Ca n'est pas les mêmes réseaux au sens backbone / réseau interne opérateur, mais le fonctionnement est globalement le même, et les raisonnements de sécurité peuvent être transposés de l'un à l'autre.

En effet, on "upgrade" pas les réseaux, donc le 3G n'est pas passé en 4G (LTE), on a simplement rajouté une couche supplémentaire, comme on va le faire avec la 5G. Actuellement beaucoup de monde téléphone encore en "3G" (la plupart du temps sans le savoir) et surfe en "4G", selon l'opérateur réseau et l'age de votre smartphone vous pouvez faire du "voice over LTE" (donc téléphoner sur le réseau 4G), voir même aussi faire du "Voice over Wifi" (pratique dans des endroits ou le signal 4G et/ou 3G ne passe pas) ...

Dans quelques années on aura encore 4 réseaux à maintenir (ce qui est un problème pour les opérateurs) : 2G, 3G, 4G et 5G avec 4 backbones différents, même si une partie de l'infra physique (mats, fibres, ...) est partagée.

Clairon 

[jean-françois]

Concernant les cloud public, une chose à savoir avec ceux américains : ils sont tous tenus par le patriote act à laisser un accès à tout ce qui est hébergé aux service secrets américains.

Donc ma boite, qui est concerné par la loi de programmation militaire a interdiction d'utiliser ce genre de service. Notre cloud est donc privé.

[ftami]

il y a 27 minutes, jean-françois a dit :

Concernant les cloud public, une chose à savoir avec ceux américains : ils sont tous tenus par le patriote act à laisser un accès à tout ce qui est hébergé aux service secrets américains.

Donc ma boite, qui est concerné par la loi de programmation militaire a interdiction d'utiliser ce genre de service. Notre cloud est donc privé.

Le « Cloud Act », pour être précis, de 2018 je crois. Mais dans l’idée c’est ça, oui..

[Nemo123]

Il y a 2 heures, ftami a dit :

Le « Cloud Act », pour être précis, de 2018 je crois. Mais dans l’idée c’est ça, oui..

En fait, vous êtes tous les deux dans le juste : les deux (cloud act et patriot act) sont des outils législatifs qui permettent aux SR US, sous couvert de lutte contre le terrorisme (donc un juge doit emettre un mandat pour autoriser l'extrait de données) de pomper des données européennes stockées dans un cloud de propriété US.

L'un complète l'autre.

J'étais tombé sur les chiffres de 2019, et de mémoire, il y avait officiellement moins d'une centaine de mandat (à la dimension à préciser) qui avaient été émis.

Donc pour les OIV soumis à la LPM, seuls les services non critiques peuvent aller dans un cloud public US (sachant que concrêtement, il est rare d'avoir un service complètement non confidentiel, ça limite la liste). Si service critique il y a, ça ne doit être que pour du stockage, mais en aucun cas pour du traitement (où la donnée est temporairement non chiffrée, et peut donc être interceptée).

[Clairon]

Le problème est que même avec un Cloud privé localisé en Europe, vous n'êtes pas sûrs de la sécurité à 100 % de bon nombre d'équipements HW US ... On pousse des cris d'orfraie devant les "chevaux de Troie" des composants réseau 5G d'Huawei, mais Intel, Cisco, HPE, Dell-EMC, IBM, Palo Alto, Juniper, ... sont aussi des boites US qui ont dû avec parfois un flingue sur la tempe signer des accès "particuliers" à certains de leurs composants pour les services secrets US ... et je ne vous parle pas de Microsoft, Oracle, Google ou VMWare .... Or sans un de ces noms cités, je vous défie de bâtir un cloud privé à un coût normal et avec une efficacité "normale" ... Mais bon, on trouve relativement normal en Europe de se faire écouter par les USA ("Yes we scan", comme disait ce grand Démocrate de Barack Obama après avoir écouté les confidences d'Angela ...) plutôt que par les Chinois ...

Et je ne vous parle même pas des "plugs" sur les hubs sous-marins des cables de liaisons Telco intercontinentaux ...

Clairon

[Nemo123]

Il y a 3 heures, Clairon a dit :

Le problème est que même avec un Cloud privé localisé en Europe, vous n'êtes pas sûrs de la sécurité à 100 % de bon nombre d'équipements HW US ... On pousse des cris d'orfraie devant les "chevaux de Troie" des composants réseau 5G d'Huawei, mais Intel, Cisco, HPE, Dell-EMC, IBM, Palo Alto, Juniper, ... sont aussi des boites US qui ont dû avec parfois un flingue sur la tempe signer des accès "particuliers" à certains de leurs composants pour les services secrets US ... et je ne vous parle pas de Microsoft, Oracle, Google ou VMWare .... Or sans un de ces noms cités, je vous défie de bâtir un cloud privé à un coût normal et avec une efficacité "normale" ... Mais bon, on trouve relativement normal en Europe de se faire écouter par les USA ("Yes we scan", comme disait ce grand Démocrate de Barack Obama après avoir écouté les confidences d'Angela ...) plutôt que par les Chinois ...

Maintenant que tu en parles, ça commence à faire trèèèès longtemps qu'on n'a pas trouvé de backdoor sur un produit ayant pignon sur rue (B2C comme B2B). D'ailleurs, je me demande bien à quand remonte la dernière sérieuse qu'on a trouvé (par sérieuse, j'entends assurément volontaire et avec complicité avérée de l'éditeur). J'y vois 3 explications :

• (0) Elles sont tellement bien cachées qu'on ne les trouvera jamais. Mouais, peu crédible.
• 1- Quand bien même "pistolet sur la tempe", si elle est découverte, c'est un possible suicide économique pour la boite. Et quand tu as un champion dans un secteur d'activité, tu n'as pas envie de le mettre en péril et risquer de le perdre,
• 2- Ca n'est plus vraiment nécessaire, quand tu vois le nombre de 0 day qui sortent tous les ans permettant des élévations de privilège sans authentification, principalement dû à la complexification des systèmes. C'est donc à celui qui a les meilleurs chercheurs que reviennent ces "backdoors naturelles".
• 3- Les éditeurs sont de plus en plus réticents à piéger leurs clients. Chacun est libre de croire que c'est du bluff ou non, mais on ne compte plus les éditeurs américains à avoir engagé des bras de fer avec les autorités pour repousser des atteintes au contenu de leurs clients. Après, je ne sais pas trop le degré de liberté qu'ont les boites chinoises, mais aux US l'opposition me semble sincère et réelle.

 

Il y a 3 heures, Clairon a dit :

Et je ne vous parle même pas des "plugs" sur les hubs sous-marins des cables de liaisons Telco intercontinentaux ...

Osef de se faire écouter si le trafic est (bien) chiffré.

[Clairon]

Mouais, c'est quand même étonnant que la DGSE refuse de s'équiper de logiciels Microsoft ... Quand au suicide économique ... quand tu sais que Microsoft achetait plus de serveurs à HPE que les marchés Français et Allemands réunis pour bâtir son infra Cloud Azure ... Tu te dis que la réaction outrée dans Paris-ici-Dimanche d'un Ministre des Affaires étrangères ne risque pas d'entrainer grand chose comme possible tentative de suicide d'un fournisseur qui sait combien le Pentagone lui amène ... Je vous parle même pas des subventions de la NSA à EMC pour pouvoir avoir la capacité de stocker toutes les conversations mobiles du monde ... (Ca pourrait servir un jour) .... alors, le risque de perdre le marché Benelux ou la Suède, ils s'en foutent, sachant que les autres pays continueront à fermer les yeux ...

Clairon

[g4lly]

4 hours ago, Nemo123 said:

Maintenant que tu en parles, ça commence à faire trèèèès longtemps qu'on n'a pas trouvé de backdoor sur un produit ayant pignon sur rue (B2C comme B2B). D'ailleurs, je me demande bien à quand remonte la dernière sérieuse qu'on a trouvé (par sérieuse, j'entends assurément volontaire et avec complicité avérée de l'éditeur). J'y vois 3 explications :

Pas besoin de backdoor ...

[Nemo123]

Il y a 10 heures, Clairon a dit :

Mouais, c'est quand même étonnant que la DGSE refuse de s'équiper de logiciels Microsoft ...

Tu rigoles ?

C'est l'outil de bureautique principal ! Et la raison est simple : si tu retires windows, la majorité des utilisateurs seraient perdus, il y aurait un trop gros risque de turnover et de perte de compétences avec. C'est exactement pour la même raison que les smartphones ne sont pas interdits dans l'enceinte (ce qui est scandaleux sur le plan de la sécurité) : ça coûterait trop en terme de qualité de vie aux employés. Faut bien comprendre que les SR ont, d'une manière générale, des grosses difficultés de recrutement (s'ils veulent conserver une certaine qualité), alors ils essaient de ne pas se tirer une balle dans le pied.

 

Quant au suicide économique, je n'ai pas de boule de cristal donc je ne vais pas spéculer sur des conséquences, mais si un jour on officialise une backdoor d'un SR US dans un produit pour lequel il y a des alternatifs, ça risque de devenir compliqué pour l'éditeur du-dit produit. Après, s'il n'y a pas (ou peu) d'alternatif, ça mitige le risque.

Modifié le 17 juillet 2020 par Nemo123