⛵ Nino 🚲 @nino

Salut les Mastonautes sous Windows. Vous faites comment pour chiffrer tout votre système ?

· Web · 3 · 0

@angristan @nino

BitLocker est une farce.

La première chose que fait BitLocker quand vous chiffrez votre disque, c'est envoyer les clés de chiffrement à Microsoft.

@sebsauvage @angristan
Ça dépend de ton modèle de menace, de toute façon quand tu veux te protéger de Microsoft ou d'un gouvernement tu n'utilise pas Windows.
(mais je suis interessé par une source de ce que tu avance ceci dit)

@sebsauvage @nino je suis pas connecté à un compte Microsoft et j'ai rechiffré le disque en choisissant de noter la clé de chiffrement, donc ça s'applique pas dans ce cas

@angristan @sebsauvage En fait c'est pour une recommandation. Je pense que je vais proposer BitLocker tout en précisant tout ça (et en évoquant une éventuelle backdoor, Snowden PRISM toussa toussa)

@nino @sebsauvage en tout cas ouais ça couvre 99% des modèles de menace, ça s'active avec un clic droit et c'est transparent avec les puces TPM :dunno:

@nino @angristan @sebsauvage Heu, on se calme la. Bitlocker c'est un logiciel proprio de chez M$. Donc même si il y a moyen de ne pas envoyé la clé sur leur serveur ça reste moins bien qu'une solution open source.

Veracrypt est donc la solution libre et reconnue pour le chiffrement sous Windows.

@roddhjav @sebsauvage @angristan @nino C'est clair! Ça sert à rien chiffrer avec un outil pas auditable, qui prévoit un mécanisme de'nvoi des clés à une personne tierce, et dévelopée par une entreprise très active dans le flicage depuis de nombreuses années (Hint: C'érait même avant l'affaire PRISM)

@devnull Alors si le modèle de menace c'est la perte ou la malveillance d'un proche : ça ne sert pas à rien.

(social.treyssatvincent.fr/web/)

@nino Tu pars du principe que la malveillance vient d'une personne qui ne pourra pas exploiter les éventuelles faiblesses des outils de crypto defective by design de M$ pour atteindre son objectif. La vérité c'est que tu en sais rien et que tu choisis arbitrairement de croire que le gus qui volera le PC ne pourra pas exploiter lesdites faiblesses…

Un outil de « sécurité » mal conçu (en crypto, privateur = poubelle, surtout quand c'est fait des boites comme M$…) est dangereux, point final!

@nino Et mettre en place un mécanisme pour récupérer les clés privées des users, en plus de faire de la crypto privatrice, c'est 2 fois mal conçu.

VeraCrypt fait très bien le boulot… Il y a aucun intérêt à vouloit défendre un logiciel de « crypto » privateur fait par une boite qui fait parti du problème.

@devnull Sauf que ma mère n'installera jamais VeraCrypt d'elle même, bitlocker si. En cas de perte/vol/malveillance c'est mieux qu'elle est installé bitlocker que rien du tout.

(Bon en vrai ma mère elle est pas sous Windows, et elle a chiffré son dossier /home avec l'installeur d'Ubuntu)

@nino C'est pas rendre service au gens que de leurs dire qu'ils peuvent se contebter des backdoors de M$… Peut-être qu'ils n'installaront pas pas logiciel X et Y mais quelqu'un d'autre de confiance pourrait le faire… (Oui, ça demande un.peu plus dneffort de faire confiance à M$ en décrétant que couvre « la majorité des cas »…)

@devnull Alors j'ai prévu de parler de tout ça dans ma recommandation de chiffrer son disque sous Windows. Je ne sais pas encore comment je vais le tourner, mais je suis bien le genre à ne pas faire confiance soft de crosoft.

D'ailleurs c'est pour un projet ouvert aux collaboration, je reviendrai vers toi si tu veux.

@nino @roddhjav @sebsauvage vous m'appelez quand 1. Veracrypt ne m'empêche pas de maj windows 2. Des failles sont trouvées dans bitlocker (j'ai rein trouvé) perso

@nino @roddhjav @sebsauvage oui c'est nul, en attendant je préfère avoir un PC à jour...

@angristan

C'est vrai, VeraCrypt bloque les mises à jour Windows ? 😮

@nino @roddhjav

@roddhjav @nino @sebsauvage par contre Veracrypt est bien intégré au boot windows sur mes XPS, sur mon ancien PC je devais aller dans le boot à chaque fois booter sur le .efi u_u

@sebsauvage Oui, et les mises à jours ne demandent pas le mot de passe quand on utilise BitLocker ^^ Ce qui est légèrement inquiétant @angristan @roddhjav

@roddhjav @sebsauvage @nino en.wikipedia.org/wiki/Trusted_ très pratique puisque tu n'as pas de mdp à rentrer au boot et permet une auth complète de données en plus de secure boot

@nino @sebsauvage @roddhjav c'est pour ça que je dis que c'est totalement transparent

@angristan D'accord, merci pour les informations. Je suis un peu à la ramasse sur l'environnement Windows. (J'en lance un, une fois par mois pour la suite Adode)

@angristan @sebsauvage @nino Je connais pas très bien les TPM, mais si il n'y a pas de mdp au boot, pour un attaquant qui vole ton ordi (et pas seulement ton disque), c'est comme si il n'y avait pas de protection?

@roddhjav @sebsauvage @nino si j'ai bien compris, tout repose ensuite sur l'écran de connexion à ton utilisateur (que tu ne peux pas bypass avec les techniques connues puisque le disque est chiffré)

@angristan @sebsauvage @nino Le disque peut bien être chiffré, mais si la clé est dans le TPM est qu'il est lui même en libre accès, c'est théoriquement tout a fait possible de récupérer la clé, pour déchiffrer le disque et ensuite c'est finit, tu as tous les accès que tu veux.

@angristan @sebsauvage @nino Ben tu boot sur un live USB, sur ton USB, tu as un logiciel qui utilise une lib pour communiquer avec le TPM comme github.com/tpm2-software et en 10s tu dois pouvoir récupérer la clé.

@nino @sebsauvage @angristan Je sais pas si ça existe déjà, mais c'est théoriquement possible (et assez facile je pense)

@angristan @sebsauvage @nino Normalement, tout comme pour les smart card, un TPM n'est vraiment utile que si il est protégé par un PIN.

@sebsauvage @roddhjav @nino mon modèle de menace c'est pas la police ni un gouvernement, dans tous les cas si je donne pas ma clé je vais en prison. Mon modèle de menace c'est que si je me fait voler mon PC mes données sont pas en clair dans la nature

@sebsauvage @nino non c'est une option, et si ton modèle de menace c'est Microsoft, faut pas utiliser WIndows de base

@nino @sebsauvage sinon, y'a Veracrypt, mais ça empêche les maj sur mon PC 🤗

@angristan @nino @sebsauvage J'avais VeraCrypt, mais quand une grosse mise à jour Windows est passée par là impossible de me login ou d'utiliser un point de restauration. Du coup au revoir Windows :p

@nanocryk @nino @sebsauvage moi ça m'a juste empêché de passer en 1709, donc ça m'a soulé :(

@sebsauvage @nino @nanocryk sur mon ancien PC j'ai utilisé VC pendant 2 ans sous W10, np

@sebsauvage
Ca se désactive. Mais ça nécessite de lire les messages qui s'affichent à l'écran.
@angristan @nino

@Oupsman

La dernière fois que je m'étais informé dessus, ce n'était pas désactivable, et Microsoft avait rétorqué: « Mais il suffit de nous demander d'effacer la clé de nos serveurs. »
(Ce qui représente quand même un second foutage de gueule, quand même ^^)

@angristan @nino

@sebsauvage Oui, ça évolue, c'est triste. Ca nécessite de se tenir informé en permanence. Voir même de tester soi même.

@angristan @nino

@Oupsman @sebsauvage @angristan Ou d'être sur un OS développé pour ses utilisateurs :awesome_rotate:

@nino L'un n'empêche pas l'autre. Le support HW sous Linux est souvent une calamité. Donc un test sur un matériel particulier et une distribution particulière est obsolète 6 mois après. Voir plus rapidement encore.

@sebsauvage @angristan

@Oupsman @sebsauvage @angristan Alors y'a des distributions qui ne bouge pas tant que ça :debian: .

Quand au hardware dire que c'est une calamité c'est très exagéré.

Sinon en effet, il faut rester informé et tester soi même dans tout les cas. Mais il y a peu de chances que LUKS implémente un jour l'envoi des clefs de chiffrement sur leurs serveurs.

@nino Ouais, Les distributions Linux sont moins neuneuproof que Windows. Qui dit chiffrement dit sauvegarde de la clé quelque part pour éviter de l'oublier ...

Evidement, sauvegarder dans le cloud est une connerie. Mais ne pas sauvegarder en est aussi une.

@sebsauvage @angristan

@sebsauvage @angristan @nino Contre-argument des fanboys MS : au moment de générer les clefs, il te demande s'il peut les envoyer ou non à Microsoft. Sauf que ça veut pas dire qu'il le fait pas quand même.

@BrunoSpy @DINSIC Un lien vers un document qui en parle ?
Tout ce que j'ai trouvé c'est que VeraCrypt fait parti du SILL mais est marqué en observation.

references.modernisation.gouv.