du 03 décembre 2018
Date

Choisir une autre édition

Signal cache des métadonnées dans sa nouvelle version pour Android et iOS

Fin octobre, Signal testait une nouvelle fonction en bêta : Expéditeur scellé. Objectif, masquer autant que possible les métadonnées des utilisateurs.

Les communications ont en effet beau être chiffrés de bout en bout, les informations périphériques restaient accessibles. Il est donc possible de savoir qui a appelé qui, quand et pendant combien de temps.

Ce qui au départ était une fonction optionnelle est désormais une évolution du protocole, activée par défaut dans les dernières versions de l’application pour Android et iOS.

L’approche se fait via deux angles. D’abord, chaque paquet contient son propre certificat qui fournit les éléments essentiels : la clé publique de chiffrement, le numéro de téléphone et l’horodatage d’expiration. Ce certificat résidant dans un paquet émis par Signal, il est donc lui-même chiffré.

Ensuite, des jetons de livraison dérivés de la clé publique de l’expéditeur. Par défaut, ce jeton ne peut être lu que par des personnes faisant partie des contacts de l’expéditeur.

Ce comportement est modifiable dans les options, car s’il permet de bloquer le spam et globalement tout numéro « étranger », il peut empêcher d’importantes communications attendues. Par exemple, un journaliste de recevoir des informations de personnes avec qui il n’avait jamais échangé auparavant.

Notez que la fonction Expéditeur scellé est active par défaut mais ne peut fonctionner qu’entre applications compatibles. Signal cherche donc toujours à s’en servir, mais le coupe automatiquement si une version récente communique avec une plus ancienne.

Les développeurs recommandent évidemment de mettre à jour le plus rapidement possible afin que cette couche supplémentaire de sécurité puisse fonctionner pour tous. À noter que la version Desktop ne synchronisera plus les messages tant qu’elle n’aura pas été mise à jour également (elle le propose automatiquement).

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

Le nouveau service fait exactement ce que son nom suggère : il crée des endpoints privés pour des services partagés. Ces derniers deviennent alors accessibles via une adresse IP locale depuis Azure ou un réseau sur site, via un VPN ou Azure ExpressRoute.

Azure Private Link fonctionne sur la base d’Azure Virtual Network (VNet), mais en fournissant une adresse IP privée. Après quoi un endpoint peut être paramétré pour un service comme Storage ou SQL Database.

Une adresse IP lui est alors assignée et deviendra accessible depuis VNet ou les installations sur site. Les éditeurs tiers peuvent également proposer des services via des Private Links.

Microsoft rappelle qu’il est déjà possible de créer des endpoints pour VNet. Les Private Links reprennent l’avantage principale de ces derniers – les derniers ne sortent pas d’Azure ou du réseau de l’entreprise – mais permettent en plus de manipuler des IP privées (publiques dans le cas de VNet).

Pour l’instant, le service n’est disponible qu’en préversion et ne fonctionne qu’avec Storage et SQL Database. La version finale prendra en charge une liste nettement plus importante, dont Cosmos DB, MySQL, PostgreSQL, MariaDB, Azure Application Service, Key Vault et Snowflake.

Le tarif est de 0,005 dollar par heure, auquel s’additionne 0,005 dollar par Go transféré dans un sens ou dans l’autre. Attention, la préversion ne possède pas de SLA (service level agreement) et n’est donc pas recommandée en environnement de production.

Copié dans le presse-papier !

Depuis le 16 septembre, tout nouvel appareil enregistré dans une organisation cliente de la G Suite reçoit un nouveau composant baptisé Android Device Policy, remplaçant l’ancien Google Apps Device Policy. Ce client est relié à l’Android Management API, neuve elle aussi.

L’éditeur précise que les fonctionnalités sont globalement les mêmes, mais que le processus gagne en souplesse, avec moins d’étapes de configuration côté utilisateur et moins d’applications à gérer pour les administrateurs. Google évoque pour sa part des mises à jour plus simples à déployer.

Les entreprises concernées seront prévenues environ trois semaines avant que le changement ne touche leurs domaines.

Copié dans le presse-papier !

L'opérateur explique que « PEACE, pour "Pakistan and East Africa Connecting Europe", est un système de câble sous-marin ouvert et neutre financé par HENGTONG Optic-electric (HKT) ».

Il mesurera 12 000 km et reliera en 2021 « la France au Pakistan, à travers un unique point d’atterrissage dans la ville de Marseille, en passant par la route Europe-Asie, et la ville de Mombasa au Kenya, via un tracé court vers l’Océan Indien [...]. Il s’étendra par la suite jusqu’en Afrique du Sud, sur une longueur totale de 15 000 km ».

De son côté, Orange sera en charge de fournir et d'opérer la station d’atterrissage du câble dans le cité phocéenne. La société en profite pour acheter « 500 Gb/s de capacité sur le câble entre Marseille et le Kenya » afin de soutenir ses activités.

Copié dans le presse-papier !

Greenbone, société allemande spécialisée dans la cybersécurité, tire la sonnette d'alarme : des données médicales seraient librement et facilement « accessibles en raison de négligence au niveau de la configuration de ces systèmes. Beaucoup n'ont aucune protection, comme un mot de passe ou du chiffrement ».

Les serveurs censés être sécurisés laisseraient en fait fuiter des informations hautement confidentielles : « noms, les dates de naissance, dates et détails des examens, médecins traitants, cliniques et analyses médicales consultables et, dans certains cas, téléchargeables ». Aux États-Unis, des numéros de sécurité sociale sont également de la partie.

Au total, « plus de 24 millions d'enregistrements, combinés avec plus de 700 millions d'images » seraient accessible selon Greenbone. Tout le monde est concerné (ou presque) puisque les serveurs se trouvent dans 52 pays à travers le monde. 

Un rapport détaillé a été mis en ligne. On y découvre que la France ne serait pas épargnée avec des dossiers de 47 500 patients, pour 2,67 millions d'images accessibles. 

Copié dans le presse-papier !

Le géant du Net revoit son offre, avec une baisse de 10 dollars à la clé. Cela fait maintenant plus de quatre ans que Projet Fi (qui est ensuite devenu Google Fi) a été lancé. 

Début 2018, un forfait « illimité » à 80 dollars par mois est arrivé. Il s'agissait surtout d'une limite de facturation, via un « fair use » (débit réduit au-delà d'une certaine limite).

Le nouveau « Unlimited » est désormais à 70 dollars par mois (hors taxes, comme toujours chez Google), avec 22 Go de data (débit réduit ensuite) y compris en roaming. Les appels et SMS sont toujours illimités vers de nombreux pays.

Ce n'est pas tout : 100 go de stockage sur Google One sont compris dans le prix (normalement facturés 1,99 euro par mois). 

L'offre de base à 20 dollars par mois est toujours disponible, avec 10 dollars par Go consommé, dans la limite de 80 dollars par mois.