Refuser sélectivement certains algos de hashage et de signature non sûrs ?

Flemme ! Pas envie de se faire chier :
On dézingue juste tout ce qui a plus de 13 mois.

Think different la sécuritay.

Ohhh... Cryptsetup supporte maintenant les disques chiffrés Windows (BitLocker) (!).

C'est bien expliqué !
Et ce n'est pas applicable qu'au stockage des mots de passe: Le système de clé maître est utilisé aussi pour le chiffrement disque (VeraCrypt, etc.)

#Telegram: « Regardez on a de super stickers animés maintenant ! »
Utilisateurs:  « Et le chiffrement de bout en bout activé par défaut ? »
#Telegram: « REGARDEZ NOS STICKERS ANIMÉS ILS SONT MAGNIFIQUES !!! »

Intéressant, mais pour le coup, est-ce que cela ne pourrait pas avoir un impact sur l'attaque d'algos comme le RSA ?
(vue que ce dernier est basé sur la multiplication de nombres)

Un de ces quatres, il faudra que je prenne le temps de tester cette messagerie (en complément de Wire et Telegram). Elle a l'air vraiment bien pensée.

Je cite: « Ils montraient que la pratique, très répandue en entreprise, de l'interception (en fait, le détournement) des sessions HTTPS des utilisateurs, outre son côté immoral, a de graves conséquences pour la sécurité. »

La notification qui me fait grincer des dents à chaque fois que je redémarre mon ordiphone.
Et d'ailleurs, si la carte SD est déjà chiffée, pourquoi il a besoin de re-chiffrer au redémarrage ???

Le gag du jour: La technologie de chiffrement de bout en bout de Signal va être intégrée à Skype.
Est-ce que ça ne serait pas juste une bonne grosse opération de «cryptowashing» de la part de Microsoft, surtout quand ce dernier a passé son temps à centraliser à mort Skype, à déposer des brevets sur des technologies d'«écoute légale» et à attaquer tous les développeurs qui essaient de faire du reverse-engineering sur le protocole Skype ?

Je ne peux pas m'empêcher de grincer des dents quand je vois une entreprise recommandée par Snowden (OpenWhisperSystems(Signal)) commencer à "vendre" sa technologie aux entreprise qui collaborent depuis le début avec la NSA (cf. PRISM): Facebook (WhatsApp) et Microsoft (Skype).

Ah ! Enfin une application desktop pour Signal.
(ça me faisait un peu mal au cul que ça ne soit dispo que sous forme d'extension pour Chrome. Beuark.)
à tester...

L'avis du Conseil National du Numérique (CCNum) sur l'affaiblissement du chiffrement:
« Répétons-le : il n’existe pas de technique d’affaiblissement systémique du chiffrement qui ne permettrait de viser que les activités criminelles. Limiter le chiffrement pour le grand public reviendrait alors à en accorder le monopole aux organisations qui sauront en abuser. »
(via https://mastodon.xyz/users/numendil/statuses/8257318)

Bon voilà, j'ai à peu près complété mon profil KeyBase.
Qu'est-ce que KeyBase ? C'est une manière de distribuer ses clés publiques PGP et de prouver son identité sur différents réseaux.
(Accessoirement, ils ont aussi une application de chat chiffrée.)
C'est infiniment plus moderne et pratique que les vieux serveurs de clés PGP (qui répondent quand ils veulent).
À quand une preuve d'identité pour Mastodon ? (EDIT: ah ben ça a déjà été proposé: https://github.com/keybase/client/issues/6859 )

Accessoirement, le site web permet de chiffrer très simplement un message à destination de quelqu'un: https://keybase.io/encrypt
- Dans "Recipient", tapez "sebsauvage"
- Tapez votre message.
- Cliquez sur "Encrypt".
- Et voilà un message que moi seul pourrai déchiffrer. Vous pouvez le coller n'importe où: dans un mail, dans un chat, etc.

On peut aussi vérifier l'authenticité d'un message.

Alors c'est tout con, mais ça peut rendre service:
Montez normalement votre partition VeraCrypt (mot de passe, etc.), puis:
sudo umount /media/veracrypt1
sudo fsck /dev/mapper/veracrypt1

Voilà de rien ^ ^

Je ne l'ai pas essayé, mais de ce que j'en comprend le téléphone et l'ordinateur sur lequel tourne SignalDesktop doivent être sur le même LAN.
Ce qui me laisse penser que la version desktop se contente d'envoyer les messages à l'application Signal android qui se chargera du chiffrement et de l'envoi (vu que elle seule possède la clé).

Oh... c'est super. L'IETF a reconnu officiellement les domaines en ".onion" (utilisés par TOR).

BlackBerry ? Le même BlackBerry qui a menti sur la sécurité de ses terminaux en utilisant une clé de chiffrement unique pour tout le monde ? (http://sebsauvage.net/links/?uvZrfw). Le BlackBerry qui a secrètement collaboré pendant des années avec les forces de l'ordre en déchiffrant les messages qu'il disait indéchiffrables ? (http://sebsauvage.net/links/?NoCktw)
Alors merci, mais non merci.
Certes ils essaient de faire mieux, mais en ce qui me concerne il va falloir faire bien plus que ça pour regagner ma confiance.

VeraCrypt est un des outils dont nous avons besoin pour protéger notre vie privée, au même titre qu'OpenSSL ou OpenPGP.
Je note juste le mot de l'auteur: « Pour écrire de zéro un logiciel avec la même stabilité, je pense qu'il faut au moins deux millions d'euros ».

La clé racine des DNS va être changée. C'est pas le moment de se merder.
(J'imagine l'horrible pression sur les gars qui participent à la cérémonie de signature des clés.)

Après TrueCrypt, c'est au tour de son successeur (VeraCrypt) d'être enfin audité pour sa sécurité. C'est une bonne chose.

Riffle, un successeur de TOR et I2P ?  à suivre...
(source: http://news.mit.edu/2016/stay-anonymous-online-0711)

SilentCircle qui supprime son warrant-canary... et qui dit que c'est "juste une décision business".  Très mauvaise décision quand votre business repose sur la confiance.

What the fucking fuck ?  
Il semblerait que les chipsets Intel récents embarquent un processeur 32 bits qui tourne à côté de votre processeur principal x86 et qui peut EN PRENDRE LE CONTROLE TOTAL.
Le but d'Intel est de fournir des plateformes de gestion matérielle.
Ce processeur peut accéder à l'intégralité de la mémoire gérée par le x86. Et il n' a pas l'air trop documenté.
Certes ce processeur est protégé par une clé RSA 2048 bits, mais que se passera-t-il le jour où elle fuite ?
Imaginez un rootkit là dedans, totalement indétectable, et totalement hors de portée de tous les antivirus qui pourraient tourner dans le processeur principal x86.
Cela rappelle les logiciels de bande de base des smartphones, inaccessibles de l'OS lui-même (Android) et dont les plus récents sont capables de se mettre à jour automatiquement par internet.
Stallman avait raison: Il devient de plus en plus difficile de faire confiance à son propre matériel.

Le FBI s'en prend aux développeurs de TOR.  Ça pue >:-(((

« Tous les messages échangés entre particuliers utilisent une même clé globale, intégrée aux téléphones Blackberry, et cette clé n’est pas secrète pour tout le monde. »
*FACEPALM*
Alors là, les gogos qui prône les Blackberry depuis le début pour leur soit-disant "sécurité", c'est juste un énorme fail.
Je n'arrive même pas à croire que BlackBerry a osé commercialiser un tel système avec toutes les prétentions sécurité qui ont accompagné leur communication. Lamentable, totalement lamentable.

Euh... Donc l'auteur original de TrueCrypt serait devenu un criminel.
(je n'ai pas encore lu l'article en entier.)
EDIT: Ah et il semble bien que ce soit également Le Roux (auteur de TrueCrypt) qui était aussi l'auteur de E4M (un logiciel similaire qui existait avant TrueCrypt). La similarité entre les deux me l'avais toujours laissé penser.