Ubuntu-fr

Badmax

Protection des données pour les hébergements mutualisés

Bonjour,

Je reviens sur ce forum après plusieurs années d'absence. (Je me souviens de l'époque où les discussions polémiques enflammaient le Café.)

Ma question ne concerne pas spécialement Ubuntu mais Linux en général et la manière dont l'OS est installé chez les hébergeurs de type OVH, Infomaniak etc.

Quand vous optez pour une solution serveur mutualisé, on vous affecte un répertoire du style /home/clients/e48b5269d4512aa65/ dans lequel vous trouvez les dossiers qui vous sont utiles : /web, /tmp etc. Je voudrais savoir si cette arborescence (dossiers et fichiers) est chiffrée sur le serveur afin que vous seul y ayez accès.

En effet, je suis en train de tester la solution libre NextCloud et j'ai remarqué que les fichiers que l'on place dans le cloud sont enregistrés dans le dossier :
/web/nextcloud/data/Utilisateur/Files
Je ne voudrais pas que les techniciens et administrateurs de mon hébergeur puissent parcourir librement le contenu de ce dossier. Mon cloud perso n'aurait alors plus grand intérêt. Autant rester chez les GAFA.

Je vous remercie d'avance de vos réponses.

bruno

Re : Protection des données pour les hébergements mutualisés

Bonjour,

Cette question est a poser à l"hébergeur.
Je ne crois pas que les hébergement mutualisés proposent des dossiers utilisateurs chiffrés.

Nextcloud propose sa propre solutions de chiffrement pour les données (voir la doc de Nextcloud)

krodelabestiole

Re : Protection des données pour les hébergements mutualisés

Je voudrais savoir si cette arborescence (dossiers et fichiers) est chiffrée sur le serveur afin que vous seul y ayez accès.

la plupart du temps, non.

mais la question est en effet à poser à ton hébergeur.

et ceci dit, a priori tu ne peux quand même pas comparer un service fournit par un hébergeur payant avec un service fournit par un gafam.
Les gafam scannent systématiquement l'ensemble des fichiers auxquels ils ont accès afin de dresser nos profils consommateur, tandis qu'un hébergeur pro joue sa réputation sur la confidentialité des données de ses utilisateurs.

J'ai bossé chez Infomaniak, donc je peux t'en parler en exemple : les données ne sont pas chiffrées, mais ni les développeurs, ni le support n'y ont techniquement accès sans autorisation express de l'utilisateur.
Seuls les administrateurs systèmes ont techniquement accès à ces données, mais ils ont autre chose à faire que d'y satisfaire leur curiosité, et leurs interventions sont loggées.

Nextcloud propose sa propre solutions de chiffrement pour les données (voir la doc de Nextcloud)

et elle est toute fraîche ici : https://doc.ubuntu-fr.org/nextcloud

---

nouveau forum ubuntu-fr on en parle là : refonte du site / nouveau design
profil - sujets récurrents - sources du site

Badmax

Re : Protection des données pour les hébergements mutualisés

Merci pour vos réponses. Voilà qui est clair : je ne peux pas considérer l'espace sur un hébergement mutualisé comme étant privatif, sauf à mettre en place moi-même une solution de chiffrement. Je vais donc regarder de plus près les possibilités offertes par nextcloud.

Pour prolonger le débat philosophique, je pense aussi que la plupart des administrateurs ont autre chose à faire que de parcourir les fichiers personnels. Cependant, la nature humaine étant ce qu'elle est, on ne peut pas en être sûr. Mon observation est que les gens répondent certes à des règles morales et déontologiques, mais ils sont souvent capables de faire des exceptions. Par exemple, tout le monde défend la liberté d'expression, sauf quand les autres disent des choses qui dérangent. Pour le respect de la vie privée, c'est pareil. La preuve : de nombreuses vidéos sont balancées sur le net dans l'intention de nuire à d'autres personnes. Les gens oublient facilement l'impératif de Kant : Ne fais pas à autrui ce que tu n'aimerais pas qu'on te fît.

En ce qui concerne les GAFA, ils respectent aussi des règles de confidentialité, tout comme les hébergeurs payants. Il en va de leur crédibilité. Il y a aussi les nouvelles réglementations qu'ils sont bien obligés de respecter. Certes, ils scannent vos mails et autres documents. Mais ce sont des processus automatiques dont le but n'est pas d'extraire des informations personnelles, mais au contraire impersonnelles comme un profil publicitaire.

bruno

Re : Protection des données pour les hébergements mutualisés

Comme tu le dit les administrateurs systèmes ont des obligations déontologiques. Ne pas les respecter serait considéré comme une faute professionnelle. Je crois qu'il n'y a vraiment pas de crainte à avoir de ce côté là.

Par contre tu te trompes sur les GAFAM, il font bien du traitement de données personnelles. Que ce soit automatique ou non cela ne change rien. Il s'arrogent généralement le droit de faire ce qu'ils veulent des données de leurs utilisateurs via des conditions d'utilisation léonines (que malheureusement presque personne ne lit).

krodelabestiole

Re : Protection des données pour les hébergements mutualisés

si tu mets toujours la privauté chez un gafam et chez un hébergeur pro au même niveau, c'est soit que tu n'a rien compris à mon message, soit que tes impératifs en terme de privacité sont sans commune mesure avec celui du commun des mortels.

mais dans ce cas tu as un problème de taille, c'est que même le chiffrement des données ne tient pas face à la curiosité de la NSA. On a abordé le sujet récemment dans ce fil si ça t'intéresse : https://forum.ubuntu-fr.org/viewtopic.p … #p21916740
avec des explications plus détaillées dans le #16

Si tu as besoin d'une privacité absolue je pense que la seule solution consiste à t'autohéberger et à bloquer l'accès à internet de ton serveur.

Dernière modification par krodelabestiole (Le 18/05/2018, à 18:25)

---

nouveau forum ubuntu-fr on en parle là : refonte du site / nouveau design
profil - sujets récurrents - sources du site

bruno

Re : Protection des données pour les hébergements mutualisés

même le chiffrement des données ne tient pas face à la curiosité de la NSA..

Si cela tient très bien avec les algo moderne et des clé solides. Et c'est bien ce qui les emm***

krodelabestiole

Re : Protection des données pour les hébergements mutualisés

je veux bien plus d'infos sur le sujet, si tu en as.

le truc c'est que si la NSA glisse des backdoors sur les algorithmes qui génèrent les nombres aléatoires (ce qui est déjà arrivé), la solidité de la clé ou l'implémentation du protocole par la suite ne va pas augmenter le niveau de sécurité en ce qui les concerne.
https://www.numerama.com/magazine/32001 … ithme.html

"Le NIST a également reconnu que la NSA participe régulièrement à l'élaboration de nouveaux algorithmes et qu'il n'y a pas de raison d'écarter l'agence au regard de son expertise en la matière. De toute façon, l'institut n'a guère le choix : ses statuts lui imposent de consulter l'agence."
https://www.numerama.com/magazine/26979 … hique.html

à partir de là (vu la proximité de la NSA avec les organismes qui établissent les normes cryptographiques), je pense qu'il y a surtout à s'inquiéter des choses qu'on ignore, et je vois mal comment on peut affirmer quoi que ce soit concernant la fiabilité des méthodes actuelles de chiffrement à leur égard...

---

nouveau forum ubuntu-fr on en parle là : refonte du site / nouveau design
profil - sujets récurrents - sources du site

bruno

Re : Protection des données pour les hébergements mutualisés

Le cas évoqué par Numerama est bien connu et il est justement fortement déconseillé d'utiliser cet algorithme (DES) depuis plusieurs années. La presse généraliste fait malheureusement souvent des articles assez alarmistes sur ce genre de sujet.

Il y a aussi eu la cas de la faille Logjam exploitée par la NSA qui permettait de modifier les échanges de clé pour en abaisser la sécurité (https://thehackernews.com/2015/10/nsa-c … ption.html). Cela a fat suffisamment de bruit en 2015 pour que cette faille soit corrigée et que les administrateur système avertis ajustent leurs configurations.

Il me semble que Snowden lui-même avait parlé des méthodes de chiffrement qui mettent en échec la NSA et autres services gouvernementaux. (je ne retrouve pas les sources exactes mais on en parle ici par exemple : https://www.theverge.com/2014/12/28/745 … r-snowden)
II est généralement reconnu que même la NSA n'a pas les moyens de casser les chiffrements forts par « force brute ».

Encore une fois, je crois que les méthodes de chiffrement actuelles sont sûres et résistantes pour peu que l'on suive les dernières recommandations en la matière : exclusion des algorithmes ayant été « cassés » et utilisation de clef d'une taille suffisante. Mais il ne faut jamais oublier que ce qui est incassable aujourd'hui sera peut-être une faille de sécurité demain (https://www.rsaconference.com/blogs/tod … y-weakness)

…, plusieurs experts supposent que la NSA exploite principalement des failles identifiées dans l'implémentation des logiciels de chiffrement (Microsoft CryptoAPI, OpenSSL) plutôt que dans les algorithmes

Il est beaucoup plus simple de trouver une faiblesse dans la conception d'un coffre-fort pour le percer que d’essayer de trouver sa combinaison.
Il est encore plus simple d'obtenir la combinaison directement de celui qui la connaît.

Il faut donc plutôt s'inquiéter des failles de sécurité dans les logiciels implémentant les protocoles de chiffrement et donc faire régulièrement ses mises à jour et ajuster ses configuration en fonction de l"état de l'art (veille technologique).

Il faut aussi s'inquiéter des portes dérobées placées volontairement dans le matériel avec parfois la complicité des fabricants (voir Cisco, Dell, etc.) et aussi des système d'exploitations présent au cœur même des processeurs (ring 0, cf https://www.networkworld.com/article/32 … ntel.html)

Quelques liens intéressants sur la cryptographie et la sécurité :

https://bettercrypto.org/ (malheureusement inactif depuis 2015)
Configuration d'OpenSSH (juin 2017) : https://linuxfr.org/news/openssh-config … ptographie
Le générateur de configuration TLS pour Apache de Mozilla : https://mozilla.github.io/server-side-t … generator/
How to Deploy HTTPS Correctly (en anglais mis à jour début 2017)
Pour le chiffrement des données pas de liens mais il suffit de chercher ecryptfs, encfs, cryfs, openGPG, etc.

Pour revenir au sujet initial : https://linuxfr.org/wiki/tuto-chiffrer- … -nextcloud

Dernière modification par bruno (Le 19/05/2018, à 08:10)

krodelabestiole

Re : Protection des données pour les hébergements mutualisés

eh ben !
merci bruno pour toutes ces infos !

et effectivement les backdoors implémentées directement sur le firmware des constructeurs me semblent être le moyen le plus évident et retors d'outrepasser n'importe quelle sécurité. et un serveur web caché sur tous les cpu intel ça ressemble furieusement à une backdoor béante, l'article de lunduke est assez édifiant...
c'est pour ça qu'à mon avis pour "mettre en échec la nsa" il faut se lever bien tôt le matin et choisir avec soin l'intégralité des composants de sa machine, en commençant par espérer qu'au moins un constructeur de CPU grand public ne travaille pas directement avec eux...

---

nouveau forum ubuntu-fr on en parle là : refonte du site / nouveau design
profil - sujets récurrents - sources du site