reponses a une intrusion

Cedric Blancher wrote:

Dans sa prose, LaDDL nous ecrivait :

J'attends de voir la sortie du projet pour juger. Mais je m'interroge
quand même, en particulier sur la question cruciale du "qui contrôle
tout ça".
Plusieurs tiers que l'on peut rapidement organiser ainsi :

- tiers de confiance
- autorités de certification
- opérateurs d'infrastructures de confiance

OK, donc des sociétés commerciales...
Non pas seulement.

Les acteurs sont nombreux quand on parle de "l'internet de confiance".
Tu trouveras d'abord les acteurs "classique" de la confiance : avocats,
greffiers, huissiers, notaires, la Poste, la BdF, les banquiers, la CDC,
l'INPI par exemple.
Et les "nouveaux" dans l'organisation de "l'internet de confiance" sont
des entreprises privées ou publiques, des établissements, des
organismes.
C'est un "marché" en pleine mutation et la mise en oeuvre de service de
confiance est complexe, couteuse et longue. D'autant plus que nous
sommes dans un environnement mondial.

Dans sa prose, LaDDL nous ecrivait :

OK, donc des sociétés commerciales...
Non pas seulement.

Les acteurs sont nombreux quand on parle de "l'internet de confiance". Tu
trouveras d'abord les acteurs "classique" de la confiance : avocats,
greffiers, huissiers, notaires, la Poste, la BdF, les banquiers, la CDC,
l'INPI par exemple.
Et les "nouveaux" dans l'organisation de "l'internet de confiance" sont
des entreprises privées ou publiques, des établissements, des
organismes.

Excuse moi, je ne savais pas que ces gens là proposaient des services de
certification/notarisation/signature qui pourraient être utilisés pour
mettre en place un service comme celui que tu nous décris.

C'est un "marché" en pleine mutation et la mise en oeuvre de service de
confiance est complexe, couteuse et longue. D'autant plus que nous
sommes dans un environnement mondial.

Ton truc n'est pas sensé être accessible gratuitement ? C'est pas un peu
contradictoire avec le côté coûteux de la chose ?

--
Comment peut-on créer un forum ? Je ne vois aucune option de
création que ce soit dans Outlook express ou netscape...
Si vous pouvez me répondre par Mail, merci d'avance.
-+- DP in Guide du neuneu Usenet - Juste fais le -+-

Cedric Blancher wrote:

Excuse moi, je ne savais pas que ces gens là proposaient des services de
certification/notarisation/signature qui pourraient être utilisés pour
mettre en place un service comme celui que tu nous décris.
Nous sommes uniquement dans le cadre de notre projet un

équimentier/éditeur de logiciel ou encore un opérateur d'infrastructures
mais en aucun cas on se positionne comme un tiers de confiance, une
autorité de certification. A chacun ses responsabilités et son rôle dans
l'organisation.

Ton truc n'est pas sensé être accessible gratuitement ?
Notre projet est opensource dans sa philosophie.

Nous ne sommes pas encore à l'exploitation ou phase de béta test de la
solution.
Donc gratuit ou payant, ce n'est pas la question maintenant.

C'est pas un peu
contradictoire avec le côté coûteux de la chose ?
Je ne vois pas en quoi c'est paradoxal.

Dans sa prose, LaDDL nous ecrivait :

Nous sommes uniquement dans le cadre de notre projet un
équimentier/éditeur de logiciel ou encore un opérateur
d'infrastructures mais en aucun cas on se positionne comme un tiers de
confiance, une autorité de certification. A chacun ses responsabilités
et son rôle dans l'organisation.

Ah mais excuse moi là. Si je viens sur ton site pour télécharger du
code, j'attends un minimu de choses de ta part, en particulier le fait que
je puisse te faire confiance sur la provenance du code, ce qui n'est pas
très loin du "tiers de confiance", et même de l'"autorité de
certification".

Ton truc n'est pas sensé être accessible gratuitement ?
Notre projet est opensource dans sa philosophie. Nous ne sommes pas

encore à l'exploitation ou phase de béta test de la solution. Donc
gratuit ou payant, ce n'est pas la question maintenant.

Si. La question a été assez centrale dans la discussion parce qu'elle
conditionne l'accès à l'information que tu distribues. Hors, tu nous a
dit ici même qu'on pourrait se la procurer gratuitement chez toi.

C'est pas un peu contradictoire avec le côté coûteux de la chose ?
Je ne vois pas en quoi c'est paradoxal.

Ah... Retour sur investissement... On ne fournit pas gratuitement un
service qui coûte cher à fournir. Ça me semble plutôt évident.

--
MG : Tu es le bienvenu, Jean-Luc pour nous rédiger des CU de fr.comp.divers.
JLC: Pour rédiger des CU pour un forum fr.comp.*... Il faudrait d'abord que
je reçoive quelques UCE (Useful Cabale's Explanations) !
-+- in: Guide du Cabaliste Usenet - Du rédigeationnage des Bons Conseils -+-

Cedric Blancher wrote:

Ah mais excuse moi là. Si je viens sur ton site pour télécharger du
code, j'attends un minimu de choses de ta part, en particulier le fait que
je puisse te faire confiance sur la provenance du code,
Je te comprends j'ai les mêmes attentes, par exemple :

- l'espace doit offrir toute la confiance attendue à toute la communauté
des users
- fournir la preuve de l'authenticité du code
- etc.

ce qui n'est pas
très loin du "tiers de confiance", et même de l'"autorité de
certification".
Je te le rappelle nous ne nous situons pas à ces deux niveaux là car

nous considérons que l'organisation de la confiance doit être répartie
entre plusieurs acteurs. Même si nous n'excluons pas l'idée de rester
propriétaire de notre infrastructure donc d'être un tiers de confiance
et pourquoi pas tiers certificateur afin de gérer toutes les procédures.

Si.
Non j'insiste même si nous avons déjà réfléchi à ce sujet. Nous en

reparlerons en temps voulu.
Je te dirai simplement que le coût de l'infrastructure est très elevé.

La question a été assez centrale dans la discussion parce qu'elle
conditionne l'accès à l'information que tu distribues.
Un système libre ou payant n'est pas IMHO la question cruciale quand on

parle d'un espace de confiance/échange qui offre la possibilité
d'accèder/partager : des codes, exploits, malwares, hacks tools, etc.

Car nous le distinguons du partage de l'information en SI/SSI soit la
publication des avis, alertes, vulnérabilités, etc qui doit rester
accessible à tous donc rester libre.

Hors, tu nous a
dit ici même qu'on pourrait se la procurer gratuitement chez toi.
Oui dans l'idéal. Mais il y a de nombreux freins dont celui du

financement du l'infrastructure.

Ah... Retour sur investissement... On ne fournit pas gratuitement un
service qui coûte cher à fournir. Ça me semble plutôt évident.
Nous sommes d'accord et je suis très concerné par ces questions de ROI.

Mais plusieurs approches sont envisagées avec des modèles viables.

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f6949bf$0$20605$79c14f64@nan-newsreader-03.noos.net...

Cedric Blancher wrote:

Hors, tu nous a
dit ici même qu'on pourrait se la procurer gratuitement chez toi.
Oui dans l'idéal. Mais il y a de nombreux freins dont celui du

financement du l'infrastructure.

Je serais presque tenté par ton fameux "no comment" tellement c'est gros.
Enfin je suis heureux quand même que tu reconnaisse que les "grandes idées"
doivent se confronter à la réalité du terrain.
Pour te paraphraser, en sécurité il y a aussi de nombreux freins, dont ceux
des décideurs (politiques au sens large) qui croient savoir ce qui est bon,
sans connaissances réelles.

Voici comment en partant d'un partage d'information complètement gratuite et
accessible dans un cadre (soit disant) de confiance on commence à évoquer
les gros sous!

Tu ne bosserais pas comme consultant pour verisign toi? :))

--
Eric.

Dans sa prose, LaDDL nous ecrivait :

ce qui n'est pas
très loin du "tiers de confiance", et même de l'"autorité de
certification".
Je te le rappelle nous ne nous situons pas à ces deux niveaux là car

nous considérons que l'organisation de la confiance doit être répartie
entre plusieurs acteurs. Même si nous n'excluons pas l'idée de rester
propriétaire de notre infrastructure donc d'être un tiers de confiance
et pourquoi pas tiers certificateur afin de gérer toutes les procédures.

Donc vous avez besoin d'une autorité de certification externe (répartie
ou non)...

Non j'insiste même si nous avons déjà réfléchi à ce sujet. Nous en
reparlerons en temps voulu.

C'est pour ça que je jette l'éponge, parce que j'en ai marre des "oui
bon mais non" et des "on verra plus tard".

Un système libre ou payant n'est pas IMHO la question cruciale quand on
parle d'un espace de confiance/échange qui offre la possibilité
d'accèder/partager : des codes, exploits, malwares, hacks tools, etc.

Ah mais si c'est crucial. Parce que dès lors que tu offres un service
payant, tu le fermes de fait à une partie de la population qui n'a pas
les moyens de se l'offrir. Et en sécurité informatique, ça veut dire
réserver l'analyse aux gens qui ont de l'argent. Hors l'expérience
montre que ce n'est pas comme ça que ça marche à l'heure actuelle.

Car nous le distinguons du partage de l'information en SI/SSI soit la
publication des avis, alertes, vulnérabilités, etc qui doit rester
accessible à tous donc rester libre.

Donc d'un côté, on fait payer les informations utiles, et de l'autre, on
publie du "y'a une faille, mais je peux pas vous dire ce que c'est"...

C'est bon, j'ai ce que je voulais savoir. Game over.

--
Je cherche un organisme fournisseur d'oeufs embryonnés autre que le
centre d'élevage d'Artenay qui vient de fermer, pour la réalisation de
TP de culture de cardiomyocytes
-+- DZ in : Guide du Neuneu Usenet - Pas de neuneux félés chez fbci -+-

Eric Razny wrote:

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f6949bf$0$20605$79c14f64@nan-newsreader-03.noos.net...

Cedric Blancher wrote:

Hors, tu nous a
dit ici même qu'on pourrait se la procurer gratuitement chez toi.
Oui dans l'idéal. Mais il y a de nombreux freins dont celui du

financement du l'infrastructure.

Je serais presque tenté par ton fameux "no comment" tellement c'est gros.
Si tu veux. Mais je ne vois pas pourquoi étant donné que les freins sont

là et bien réels !
Par exemple : pas ou très peu de services/usages proposés ;
l'infrastructure est couteuse et lourde ; la dématérialisation des
échanges est une démarche pragmatique de réorganisation des activités de
l'entreprise fondée sur l'identification et l'analyse des processus
ayant un impact sur les objectifs stratégiques à atteindre ; les
changements radicaux dans les habitudes de travail, changements qu'il
convient d'accompagner, notamment par la formation continue ; etc.

Notes aussi qu'Internet est avant tout un outil de travail en réseau.
Donc toute implémentation de procédures implique une remise en cause des
compétences, des modes de travail, de la culture d'organisation.

Enfin je suis heureux quand même que tu reconnaisse que les "grandes idées"
doivent se confronter à la réalité du terrain.
Merci de le souligner mais je ne vois pas où dans nos échanges et mes

propos j'aurais dit le contraire. Tu sais cela fait maintenant presque
7ans que je travaille sur ce sujet en R&D et sur le terrain.

Pour te paraphraser, en sécurité il y a aussi de nombreux freins, dont ceux
des décideurs (politiques au sens large) qui croient savoir ce qui est bon,
sans connaissances réelles.
Il y a des cons partout...

Mais dans le domaine de la confiance le cadre légal de la preuve
électronique est clair à présent. Si tu veux les articles du code s'y
rapportant je peux te les communiquer.

Voici comment en partant d'un partage d'information complètement gratuite et
accessible dans un cadre (soit disant) de confiance on commence à évoquer
les gros sous!
Je ne sais pas ce que tu exerces comme profession dans l'informatique ou

bien quelles sont tes responsabilités mais tu sembles oublier
qu'Internet est devenu public : c'est un monde électronique, une zone de
challandise et un lieu de vie.
Je te rappelle aussi que développer des produits/services engendrent des
coûts donc il faut trouver un modèle économique viable pour offrir ces
produits/services gratuits ou payants.
Le partage de l'information en SI/SSI concernant les avis, alertes,
vulnérabilités doit rester gratuits & accessible à tous mais les acteurs
qui offrent cette information doivent bien vivre non ?! Donc ils ont
besoin d'un modèle économique viable.
Le partage de codes, exploits, malwares, hacks tools doit être encadré
et ne concerner que la communauté des acteurs concernés soit : les
professionnels de la SI/SSI et en aucun cas le grand public. Donc
aujourd'hui un espace de confiance peut être la solution. Et bien
entendu le modèle économique reste à définir.

Tu ne bosserais pas comme consultant pour verisign toi? :))
lol

Heureusement que tu as mis un smiley car je l'aurais sinon très mal
pris.
Jettes un oeil dans mes derniers posts, j'ai posté un thread où j'ai
communiqué un lien concernant une pétition à l'attention de l'ICANN
suite aux agissements de Verisign.

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f6a12fa$0$8093$79c14f64@nan-newsreader-01.noos.net...

Eric Razny wrote:

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f6949bf$0$20605$79c14f64@nan-newsreader-03.noos.net...

Cedric Blancher wrote:

Hors, tu nous a
dit ici même qu'on pourrait se la procurer gratuitement chez toi.
Oui dans l'idéal. Mais il y a de nombreux freins dont celui du

financement du l'infrastructure.

Je serais presque tenté par ton fameux "no comment" tellement c'est
gros.

Si tu veux. Mais je ne vois pas pourquoi étant donné que les freins sont
là et bien réels !
Par exemple : pas ou très peu de services/usages proposés ;
l'infrastructure est couteuse et lourde ; la dématérialisation des
échanges est une démarche pragmatique de réorganisation des activités de
l'entreprise fondée sur l'identification et l'analyse des processus
ayant un impact sur les objectifs stratégiques à atteindre ; les
changements radicaux dans les habitudes de travail, changements qu'il
convient d'accompagner, notamment par la formation continue ; etc.

Toutes mes excuses, ce n'est ni discours de marketeux, ni de technico mais
de poète. On dirait un inventaire à la Prévert :(
Bref un charabia fourre tout.
Il suffit de reprendre quelque posts précédent pour remarquer qu'en début de
thread tu annonce A pour conclure en fin du même thread qu'il est évident
que non-A! (en le présentant comme une évidence en plus!).

C'est le genre de discours qui montre, amha, plus une envie de
reconnaissance qu'une maitrise du sujet abordé. En sécu c'est un peu gênant
quand même!

Notes aussi qu'Internet est avant tout un outil de travail en réseau.

Non, internet est un réseau de réseaux (explication simpliste). Il existe
un nombre considérable de façon de l'utiliser. Et ce n'est pas "avant tout
un outil de travail en réseau."
Je t'ais déjà dit que les "notes que", "il est évident que" etc. ne
marchent pas avec moi. C'est le genre d'astuce éculée qui malheureusement
passe très bien chez les gens sans formation ou sens critique. On démontre
ou on argumente que... On ne déclare pas que c'est évident. Surtout pour
dire des trucs pareils.

Donc toute implémentation de procédures implique une remise en cause des
compétences, des modes de travail, de la culture d'organisation.

Et c'est repartit, les grands discours creux, bien générique et sans rien de
concret. C'est de la politique qu'il te faut faire [1]

Enfin je suis heureux quand même que tu reconnaisse que les "grandes
idées"

doivent se confronter à la réalité du terrain.
Merci de le souligner mais je ne vois pas où dans nos échanges et mes

propos j'aurais dit le contraire. Tu sais cela fait maintenant presque
7ans que je travaille sur ce sujet en R&D et sur le terrain.

Sur la planète terre et dans le même espace temps que le mien?
Le début de ton thread (espace de confiance, bien sur c'est gratuit) et sa
fin montre justement le contraire.
Le propos d'un discours cohérent est de ne pas montrer de contradictions
internes. Ce n'est pas le cas ici!
(la conversation se tiens de facto dans plusieurs thread)

Pour te paraphraser, en sécurité il y a aussi de nombreux freins, dont
ceux

des décideurs (politiques au sens large) qui croient savoir ce qui est
bon,

sans connaissances réelles.
Il y a des cons partout...

Mais dans le domaine de la confiance le cadre légal de la preuve
électronique est clair à présent. Si tu veux les articles du code s'y
rapportant je peux te les communiquer.

Tu le fais exprès? Ou tu crois être le seul abonné au JO?
*tous*, amha, les experts en sécurité savent qu'un bon élément peut être une
faille colossale s'il est mal implémenté. C'est flagrant en crypto, va faire
une tour sur les groupes concernés.

Il y a la loi (qui parfois est débile) et les décrets d'application, qui
modifient parfois substentiellement la portée et les effets de la loi.
Je m'inquiétais à la fois des nouvelles lois à venir et de leurs
conséquences effectives, avec des arguments *concrets*. Ca doit être une
déformation sécuritaire, je suis naturellement plus méfiant dans ce domaine
qu'optimiste béat. Et c'est malheureusement a posteriori, après quelques
conneries effectives, que j'adopte ce comportement.

Voici comment en partant d'un partage d'information complètement
gratuite et

accessible dans un cadre (soit disant) de confiance on commence à
évoquer

les gros sous!
Je ne sais pas ce que tu exerces comme profession dans l'informatique ou

bien quelles sont tes responsabilités mais tu sembles oublier
qu'Internet est devenu public : c'est un monde électronique, une zone de
challandise et un lieu de vie.

La n'est pas le problème. Le problème est que tu annonce A puis non-A. Un
minimum de cohérence ne serait même pas un plus, mais un critère normal, à
mon sens.

Je te rappelle aussi que développer des produits/services engendrent des
coûts donc il faut trouver un modèle économique viable pour offrir ces
produits/services gratuits ou payants.
Le partage de l'information en SI/SSI concernant les avis, alertes,
vulnérabilités doit rester gratuits & accessible à tous mais les acteurs
qui offrent cette information doivent bien vivre non ?! Donc ils ont
besoin d'un modèle économique viable.

Ca veut dire quoi? On annonce au peuple : vous êtes vulnérables! Je vous
l'annonce gratuitement. Maintenant si vous voulez savoir ce que c'est ou
comment le tester veuillez continuer votre chemin, vous passerez par la
boutique (très anglo-saxon, ça, la boutique souvenir en fin de parcours!).

Le partage de codes, exploits, malwares, hacks tools doit être encadré
et ne concerner que la communauté des acteurs concernés soit : les
professionnels de la SI/SSI et en aucun cas le grand public. Donc

Reprends les posts précédents ou tu as admis qu'on ne peut exercer un vrai
contrôle sur la diffusion de malware.

aujourd'hui un espace de confiance peut être la solution. Et bien
entendu le modèle économique reste à définir.

Bien entendu. TOUT reste à définir, comme d'habitude avec toi :(

Tu ne bosserais pas comme consultant pour verisign toi? :))
lol

Heureusement que tu as mis un smiley car je l'aurais sinon très mal
pris.

Ta réponse prouve que même avec un smiley tu l'as mal pris! :)

Jettes un oeil dans mes derniers posts, j'ai posté un thread où j'ai
communiqué un lien concernant une pétition à l'attention de l'ICANN
suite aux agissements de Verisign.

Je lis le groupe, merci.

Eric.

[1] je précise que j'admire le sens du devoir et de l'abnégation de certains
politiques qui, eux, n'ont pas la langue de bois. Je ne les mets pas tous
dans le même sac.

Cedric Blancher wrote:

Dans sa prose, LaDDL nous ecrivait :

ce qui n'est pas
très loin du "tiers de confiance", et même de l'"autorité de
certification".
Je te le rappelle nous ne nous situons pas à ces deux niveaux là car

nous considérons que l'organisation de la confiance doit être répartie
entre plusieurs acteurs. Même si nous n'excluons pas l'idée de rester
propriétaire de notre infrastructure donc d'être un tiers de confiance
et pourquoi pas tiers certificateur afin de gérer toutes les procédures.

Donc vous avez besoin d'une autorité de certification externe (répartie
ou non)...
J'ai répondu ci-dessus. J'en profite pour te répèter que selon

l'organisation choisie on peut s'appuyer sur différents modèles.

Non j'insiste même si nous avons déjà réfléchi à ce sujet. Nous en
reparlerons en temps voulu.

C'est pour ça que je jette l'éponge, parce que j'en ai marre des "oui
bon mais non" et des "on verra plus tard".
Tu es vraiment incroyable j'ai répondu à toutes tes questions et je t'ai

communiqué de nombreuses informations. Maintenant je pense que notre
échange sur ce sujet touche à sa fin.

Un système libre ou payant n'est pas IMHO la question cruciale quand on
parle d'un espace de confiance/échange qui offre la possibilité
d'accèder/partager : des codes, exploits, malwares, hacks tools, etc.

Ah mais si c'est crucial.
Non certainement pas actuellement.

Et encore une fois les deux modèles sont étudiés.

Parce que dès lors que tu offres un service
payant, tu le fermes de fait à une partie de la population
Oui.

On considère que le grand public n'a pas à avoir accès à ce type
d'information (codes, exploits, malwares, hacks tools, etc).

qui n'a pas
les moyens de se l'offrir.
Ah bon ?! Tiens donc !

Et en sécurité informatique, ça veut dire
réserver l'analyse aux gens qui ont de l'argent.
Faux.

Si tu as bien compris tout ce que je t'ai expliqué tu ne dirai pas cela.

Hors l'expérience
montre que ce n'est pas comme ça que ça marche à l'heure actuelle.
En tant que confrère ta remarque me surprend.

Rien que l'actualité présente et récente nous montre les failles de
notre système de partage & publication de l'information en SI/SSI en ce
qui concerne les codes, exploits, malwares, hacks tools, etc.

Car nous le distinguons du partage de l'information en SI/SSI soit la
publication des avis, alertes, vulnérabilités, etc qui doit rester
accessible à tous donc rester libre.

Donc d'un côté, on fait payer les informations utiles, et de l'autre, on
publie du "y'a une faille, mais je peux pas vous dire ce que c'est"...
Ce n'est pas du tout ce que j'ai dit !

C'est bon, j'ai ce que je voulais savoir.
Moi aussi.

Game over.
Pourquoi pas. Mais ici je ne joue pas.