hébergeur pour college

laurent <rolfan2003_yui@yahoo.fr> :

Je ne parle pas de hackers professionnels là ! mais de gamins de 13
ans...

Ils ont (peuvent avoir) des grands frères et grandes soeurs, ceux-là.

Sinon, je peut te proposer un truc interessant, mais si tu ne me donne pas
d'adresse valide, je ne peux pas en parler avec toi... C'est hors charte
d'en parler ici, et j'en ai même déjà trop dit... le mienne est valide...

--
Miroir de logiciels libres http://www.etud-orleans.fr
Développement de logiciels libres http://aspo.rktmb.org/activites/developpement
Infogerance de serveur dédié http://aspo.rktmb.org/activites/infogerance
(En louant les services de l'ASPO vous luttez contre la fracture numerique)

Bonjour

Nous cherchons un hébergeur pour notre college
pour installer GEPI un logiciel de notes et bulletins accessible du
net.

Juste pour reagir a tous les posts des "paranos" ..

Oui, la sécurité informatique a son importance
Non, elle n'en a aucune ici (du moins pas plus qu'un site institutionnel
de societé ou une page perso) :
- Chaque prof a ses notes, donc les données peuvent etre perdues sans
craintes (hormis le boulot de saisie a refaire)
- Le niveau des eleves est connu, un eleve qui arrive soudain a +10
points, ca se voit tres vite
- Il est plus simple, pour un eleve determiné, d'aller faire du social
engeenering avec la secretaire du CPE pour bidonner ses notes que de se
risquer a hacker un systeme informatisé
- Un regroupement de plusieurs coleges/lycée sur un seul et meme
serveur, meme tres bien administré, engendrera probablement une
verification complete (de tous les etablissements) a effectuer sur les
données en cas de hack, alors qu'un site isolé sur un mutualisé lambda
d'un hebergeur quelconque non.

il nous faut PHP4 + mysql .
pouvoir héberger une base SQL de 15 Mo environ

que me conseillez vous?

Pour un budget de 60 Euro, OVH, Sivit, Infomaniak ou autres suffiront
amplement.

les collégiens eux même
Vous êtes complètement paranos tous ici...

Oui, il y a beaucoup de pro des réseaux. Quand on sait comment

fonctionnent les protocoles internet, les OS, quand on sait ce qu'est
l'informatique, on en peut être que parano quand il s'agit de données
sensibles : un fichier de nom avec des données CONFIDENTIELLES.

Je ne gère pas des fichiers d'impots ni médicaux mais une petite base
de notes... C'est sur , si c'était un lycée, je ne dis pas, il
faudrait sans doute sécuriser davantage
Faux. C'est dévaloriser votre propre travail et celui de vos élèves

que de penser ça.

mais aucun collegien n'a les compétences pour pirater le logiciel,
Ah. Pourtant ce n'est pas compliqué lorsque le site est déjà éventré.

de plus, ils ne connaissent pas
l'existence meme du logiciel , ni l'URL... comment feraient ils ???
Installation de sniffer, Google, bouche-à-oreille, réflexion, etc.

Comment Gauss a imaginé l'addition des nombres entier de 1 à 100 en
quelques minutes, sans connaître la formule sur les série arythmétiques ?

au pire, ils retapent une série de note, c'est pas la mer à boire !!!
on a utilisé GEPI toute l'année sur free sans aucun soucis ... Je ne
vois pas pourquoi, ça ne durerait pas ...
Jusque là ça va ? Il faudra attendre le drame pour vosu rendre compte

qu'il faut faire appel à des professionnels pour gérer votre système
informatique ?

En cas de pépin, il y a des
sauvegardes toutes les semaines , j'estime que c'est suffisant .
Totalement insuffisant.

Pour se connecter à l'appli, il faut un identifiant.
C'est faux. Ce n'st pas la condition sine qua non. Il suffit qu'un

gamin capte le mot de passe que vous aurez estimé suffisant (bambi, le
prénom de votre fille/femme/chien ou date de naissance), pour se
connecter sur la base MySQL. Et là, si vous ne regardez pas les logs SQL
(s'il y en a), ce sera rigolos.

On peut savoir qui s'est connecté d'ou et à quelle heure.

Si quelqu'un s'emparait
d'un identifiant et du passe, ce qui s'avère tout de meme assez
difficile,
Keylogger, ingénieurie sociale, webcam, etc.

au pire il ne modifierait que les notes du prof en question
, ce qui se verrait fatalement et il serait pisté par les logs donc
attaquable en justice, non?
Non. On peut se faire passer pour quelqu'un d'autre très facilement

sur l'Internet. IP n'a pas été conçu dans un soucis de sécurité.

Je ne parle pas de hackers professionnels là ! mais de gamins de 13
ans...
Des amateurs, les pires. Des gamins qui s'amusent à faire ça, et qui

n'ont pas d'impératifs de résultat (sic).

Je ne vois pas ce qu'il y a de drole, lors du conseil de classe, on
vérifie tous les moyennes donc une flambée des notes ne passerait pas.
Ce sera drôle de dire devant votre supérieur qu'un gamin plus futé que

la moyenne vous a épaté en pénétrant votre système suffisament sécurisé.

non mais c'est lui qui endosse la responsabilité en connaissance de
cause, pas moi...Je l'ai prévenu qu'il y avait un léger risque
potentiel au niveau de la sécurité
Léger ?

je veux le moins de maintenance possible.
C'est plutôt un tarif à partir de 300/400 €HT / mois qu'il faut

prévoir comme budget.

Lequel me conseillez vous?
Ce que je peux me permettre comme conseil, c'est de rechercher un

prestataire pour gérer le site, et non simplement l'héberger. Mais bien
sûr, ça a un coût.

Il ne faut pas prendre la sécurité à la légère, surtout quand il
s'agit de données nominatives. Vous votre responsabilité, ou du moins,
celle de votre proviseur
<http://www.legifrance.gouv.fr/texteconsolide/PPEAU.htm> et
<http://www.legifrance.gouv.fr/WAspad/VisuNav?cidNavs71&indiceNav=1&tableNav=CONSOLIDE&ligneDebNav=1>.
Les données personnelles c'est sacré.

En espérant avoir été utile :)

--
Mickaël Wolff aka Lupus Michaelis
http://lupusmic.org
** Spécialiste Logiciels Libres **

Juste pour reagir a tous les posts des "paranos" ..

Oui, la sécurité informatique a son importance
Non, elle n'en a aucune ici (du moins pas plus qu'un site institutionnel
de societé ou une page perso) :
Ce sont des données personnelles confidentielles nommées. C'st donc

critique.

- Un regroupement de plusieurs coleges/lycée sur un seul et meme
serveur, meme tres bien administré, engendrera probablement une
verification complete (de tous les etablissements) a effectuer sur les
données en cas de hack, alors qu'un site isolé sur un mutualisé lambda
d'un hebergeur quelconque non.
Un site (Internet, pas web) commun aux établissements permettrait

d'engager un admin sys compétent pour monitorer le système et prévenir
les pertes de données ainsi que les intrusions.

Il y a plein de chômeurs en informatique, autant les embaucher pour ce
travail.

--
Mickaël Wolff aka Lupus Michaelis
http://lupusmic.org
** Spécialiste Logiciels Libres **

Nous cherchons un hébergeur pour notre college pour installer GEPI un
logiciel de notes et bulletins accessible du net.

Juste pour reagir a tous les posts des "paranos" ..

La question, ici et bien souvent, n'est pas de savoir s'il faut être
parano ou pas. La bonne question c'est de savoir si on l'est assez.

Oui, la sécurité informatique a son importance Non, elle n'en a aucune
ici

J'ai un peu du mal à comprendre, mais passons.

- Chaque prof a ses notes, donc les données peuvent etre perdues sans
craintes (hormis le boulot de saisie a refaire)

Pas forcément. Il peut y avoir saisie dans l'application et seulement
dans l'application. Sans aucune trace papier donc. Quand les devoirs
seront aussi électroniques (le dernier tryuc hype c'est le tableau
blanc/noir remplacé par une projection vidéo, avec partage de messages,
etc...), cela me parait inévitable.

- Le niveau des eleves
est connu, un eleve qui arrive soudain a +10 points, ca se voit tres
vite

Sauf que, plus subtilement, il peut changer que de quelques points ou
changer les notes des autres. Et ce sur la durée, si l'intrusion n'est
pas vue.

- Il est plus simple, pour un eleve determiné, d'aller faire du social
engeenering avec la secretaire du CPE pour bidonner ses notes que de se
risquer a hacker un systeme informatisé

Bof. Faire du social engineering pour récupérer les mots de passe de
l'application, très certainement...

Après, si une application est mal faite, on pourra très facilement faire
un script qui testera plein de combinaisons automatiquement pour forcer
l'autenthification. Il sera bien plus difficile d'automatiser cela en
passant inaperçu face à un humain.

- Un regroupement de plusieurs
coleges/lycée sur un seul et meme serveur, meme tres bien administré,
engendrera probablement une verification complete (de tous les
etablissements) a effectuer sur les données en cas de hack,

Tout dépend comment l'application est construite (les données peuvent
être chiffrées avec des clefs différentes par
établissement/professeur/élève). Je ne vois pas, en toute généralité,
pourquoi mutualiser augmente nécessairement le risque/les problèmes.

--
Patrick Mevzek . . . . . . Dot and Co (Paris, France)
<http://www.dotandco.net/> <http://www.dotandco.com/>
Dépêches sur le nommage <news://news.dotandco.net/dotandco.info.news>

On 2005-06-14, Patrick Mevzek <pm-N200506@nospam.dotandco.com> wrote:

Nous cherchons un hébergeur pour notre college pour installer GEPI un
logiciel de notes et bulletins accessible du net.

Juste pour reagir a tous les posts des "paranos" ..

La question, ici et bien souvent, n'est pas de savoir s'il faut être
parano ou pas. La bonne question c'est de savoir si on l'est assez.

Ou si on l'est trop.

--
gpg fp: 8a7e 9719 b38d 97c6 6af0 d345 12a0 3708 2c8c 3c11
http://boklm.mars-attacks.org/

La question, ici et bien souvent, n'est pas de savoir s'il faut être
parano ou pas. La bonne question c'est de savoir si on l'est assez.

Ou si on l'est trop.

Non, mieux vaut trop que pas assez.

Cf Strange Days d'où je tire ma citation à peine déguisée :-)

--
Patrick Mevzek . . . . . . Dot and Co (Paris, France)
<http://www.dotandco.net/> <http://www.dotandco.com/>
Dépêches sur le nommage <news://news.dotandco.net/dotandco.info.news>

On 2005-06-14, Patrick Mevzek <pm-N200506@nospam.dotandco.com> wrote:

La question, ici et bien souvent, n'est pas de savoir s'il faut être
parano ou pas. La bonne question c'est de savoir si on l'est assez.

Ou si on l'est trop.

Non, mieux vaut trop que pas assez.

Sauf que ca peut etre contraignant et couter tres cher. Ca ne vaut pas
toujours le cout. Parfois les consequences d'un piratage sont bien moins
importantes que l'argent et le temps qui aurait etes depense pour
l'empecher.

--
gpg fp: 8a7e 9719 b38d 97c6 6af0 d345 12a0 3708 2c8c 3c11
http://boklm.mars-attacks.org/

Sauf que ca peut etre contraignant et couter tres cher. Ca ne vaut pas
toujours le cout. Parfois les consequences d'un piratage sont bien moins
importantes que l'argent et le temps qui aurait etes depense pour
l'empecher.

C'est un compromis économique, qui ne prend pas forcément en compte les
aspects image de marque, ou les aspects légaux (ex: attaque par rebond)
par exemple.

On voit plus souvent pas assez de sécurité que trop de sécurité (je mets
de côté les tentatives de sécurité mais qui foirent dans les objectifs
réellement atteints).

--
Patrick Mevzek . . . . . . Dot and Co (Paris, France)
<http://www.dotandco.net/> <http://www.dotandco.com/>
Dépêches sur le nommage <news://news.dotandco.net/dotandco.info.news>

Je ne parle pas de hackers professionnels là ! mais de gamins de 13
ans...

Ce sont justement souvent les pires car ils n'ont pas d'impératifs de
rentabilité, et en plus leurs notions de droit sont encore très floues ou
vagues. Même si vous trouverez facilement la trace de leurs exploits au
conseil de classe (un cancre connu comme tel par ses profs; avec des super
notes), cela risque fort de gripper la machine.

En plus, ils peuvent, terriblement handicaper les performances d'un système
en tentant de le compromettre en jouant la longueur ou la force brute (on
est à l'époque d'ADSL très haut débit et de la connection permanente).

Question compétances, justement, fais très attention, moi à 13 ans je
déplombais les logiciels Apple II en 20 minutes chrono, maintenant, à 13
ans dieu seul sait de quoi ils peuvent être capables.

Mais bon, je ne comprends toujours pas pourquoi tu ne peux pas passer par
l'académie. ça n'est pas logique. Ils doivent te fournir un espace. Sinon,
tentes la mairie de la commune du collège, ou la région.

Parce que sinon, je connais peu d'académies qui accepteraient de passer par
un prestataire non référencé, il y a des règles budgétaires à ne pas
enfreindre.

Mais de toute manière, ne cherche pas, tu vas devoir mettre les mains dans
le cambouis de toute les façons, académie, hebergeur, connection ADSL,
sinon, le service sera mal rendu, et tout le monde t'en voudra a mort et tu
passeras pour une poire.

Ah au fait, 60 euros par an, pour ça, tu ne veux pas une petite p.... en
plus ? non, je suis méchant.