Je suis loin d’être un expert en sécurité, je ne fais que répéter ce que j'ai entendu lors de conférence de sensibilisation à la sécurité.
AES est considéré comme inviolable" oui mais jusqu'à quand?
au mieux, pour cracker AES il faut 2^126.1 opérations. Sur un super-processeur 100 core à 1 Thz, (en supposant que le décodage AES est Multi thread able et que 1 opération = 1 cycle) il faut ... je sais même pas l’écrire... (2^126)/((100*1e12)*360*24*365) = ...des milliards d’années. Donc, par force brute c'est increvable...je pense que tu est a l’abri pour un bout de temps.
La NSA a validé AES pour les fichiers top secret de l’état américain.
http://fr.wikipedia.org/wiki/Advanced_E ... n_Standard morceaux choisis :
L'AES n'a pour l'instant pas été cassé et la recherche exhaustive (« force brute ») demeure la seule solution. Rijndael a été conçu de manière à rendre des méthodes classiques comme la cryptanalyse linéaire ou différentielle très difficiles.
En 2011, des chercheurs de Microsoft publient une attaque sur la version complète d'AES2. Cette attaque permet de trouver la clef d'AES-128 en seulement 2^{126,1} opérations (contre 2^{128} pour une attaque par force brute). La même attaque s'applique à une version simplifiée (à 8 tours) d'AES-128, réduisant la complexité de l'attaque à 2^{124,9}. Cependant, cette attaque se basant sur une amélioration de l'attaque par rencontre au milieu est encore impraticable.
Anecdote marrante :
http://fr.wikipedia.org/wiki/Chiffrement
L'usage de PGP (Pretty Good Privacy), un des premiers logiciels de chiffrement disponibles sur l'Internet, a longtemps été interdit en France, car considéré jusqu'en 1996 comme une arme de guerre de deuxième catégorie. La législation française s'est ensuite assouplie, et le chiffrement symétrique avec des clés aussi grandes que 128 bits a été autorisé. Certains logiciels, comme GNU Privacy Guard, peuvent être utilisés avec n'importe quelle taille de clé symétrique. Enfin, la Loi pour la confiance dans l'économie numérique du 21 juin 2004 a totalement libéré l’utilisation des moyens de cryptologie, en revanche leur importation ou exportation est soumise à déclaration ou autorisation1.
Ce sont les mêmes info et chiffre que nous ont donné quelque expert.
mais surtout, si c'est en ligne, c'est que ça fonctionne par un système de serveur non?
Non tout est crypter et reste sur ton ordi. Dans la version payante, les données cryptées sont envoyées au serveur, ce qui permet d'avoir ses MDP sur n'importe quelle machine (en installant l'appli). De toute façon, même si tes données sont dérobées, elles sont inutilisables. Évidemment, la version gratuite n'est utilisable que si tu bosses que sur une machine, ou que tu as des activités très différentes sur plusieurs machines.
l existe des techniques tout aussi surs et pourtant relativement simples pour retenir des mots de passe complexes et différents pour chaque utilisation.
il suffit par exemple de faire de la substitution... ton mot de passe est constitué, du nom du site + un tronc commun avec chiffres et lettres spéciales + encore autre chose si tu veux.
C’est justement un très mauvais mot de passe ! et la principale raison pour laquelle ce service existe !
sans avoir à les fournir à un tiers ou à faire confiance à la dispo d'un service.
Tu ne fournis tes mots de passe a personne avec ce système (c'est le seul point ou ils sont s'engage dans leurs chartes), et la dispo au Server n'est pas un problème puisqu'il sert uniquement de synchro entre plusieurs machines.
Et rien ne vous oblige en rentrée vos numéros de CB...
Je souligne quand même que bon nombre de "virus" sont capables d'intercepter ce que vous tapez au clavier...qu'ont peu capté à 10m à travers un mur le signal d'un clavier filaire ps2...
Je suis cependant surpris de la grande méfiance que vous manifesté envers ce service, alors qu'on utilisé tous (excusez-moi de généralisé) , des produits bien moins sécurisés constamment...
Les mails sont la plupart du temps envoyés en clair.
Les conversations téléphoniques sont en clair ou décryptable "en live"
Les tickets SNCF contiennent votre numéro de CB (et c'est stocker en clair) (on m'avait sorti plusieurs aberrations de ce type que j'ai oublié...)
Les autocompletion de nos navigateurs sont en clair ou très faiblement cryptés
Vos mots de passe sont insuffisamment sécurisé on utilisé massivement google, Facebook ext... allez voir les stats de compte piraté pour rire.
On achète tous sur internet. et SSL est bien moins solide que AES.
On utilise des cartes bleus... c'est juste TROP facile de récupérer les numéros de carte bleus quand on bosse au guichet d'un macdo par exemple...
Attention, que les choses soit claire, je me fous royalement que vous utilisiez ou non ce service (ou ses concurrents), j'essaie juste de faire partagé un peu ce que des "experts" nous on raconté, et de vous sensibilisé un peu a la sécurité, et de balayé certaine idée reçue.
Ceci dit, bien sûr que chacun fait ce qu'il veut
