Le Cloud, plus sécurisé que le local ?

Bonsoir !

Depuis quelques temps, je suis assez intéressé par les Chromebooks, et j’aimerais bien en adopter un.

Je sais que sur ces machines, l’espace de stockage est assez limité (le plus grand que j’ai vu est de 32Gso) car l’idée de Google est de tout stocker dans le Cloud (Google Drive).

Cependant, je me pose pas mal de questions quant à la sécurité.

Je vais prendre un exemple très simple : Les relevés de compte bancaire (je vous rassure, je ne mettrais jamais ce genre de document sur le net ).

Imaginons que j’ai mon relevé sur mon disque dur. Et maintenant, imaginons que je l’ai mit sur le Cloud de Google. Lequel est le plus en sécurité ?

Je me dit que sur mon PC, n’importe quels pirate informatique peut accéder à ma connexion internet, et donc à mon PC pour récupéré ce fameux fichier.

Alors que sur le Cloud, il faudrait que ce pirate puisse accéder aux serveurs de Google, et ça, c’est moins facile que de se rendre sur mon PC.

Du coup, en suivant cette réflexion, on pourrais se dire que mon relevé de compte est mieux sur le Cloud que sur mon disque dur.

Cependant, mon Chromebook sera lui aussi connecté à mon réseau et donc, le pirate aura deux solutions pour accéder à ce fichier : Pirater mon PC ou pirater les serveurs de Google. Donc maintenant, ce fichier serait mieux sur mon PC, et non sur Google Drive.

Ensuite, je me dit que je ne suis pas à l’abris que Google deviens fous, et publie tout les fichiers qui se trouverais sur leurs serveurs. Bon, là je part un peu dans le délire, mais c’est tout de même une option à prendre en compte.

Donc d’après vous, si je devais mettre mon relevé de compte quelques pars (soit sur mon disque dur, soit sur Google Drive), où devrais-je le mettre ? Lequel est le plus sécurisé ?

Que peut-on mettre sur le Cloud ?

Si on ne peut rien mettre, sauf les photos de notre gentil chat Gaspare, pourquoi les Chromebooks fonctionnent ainsi (même si je me doute que c’est fait comme ceci surtout pour Google, et pas pour nous ) ?

Merci !

• De plus si tu as ton ordi qui a accès aux données sur le cloud (ce qui est le but), le hacker peut accéder de deux manière à tes données : soit en te piratant soit en piratant google.

C’est en effet ce que je me suis dit (je l’ai aussi mentionné dans mon premier post).

J’utilise pas mal les services de stockage en ligne. J’y met des photos (pas que j’ai prises. Simplement des trucs marrant que j’ai trouvé sur le net et que j’aime bien garder), divers documents (non important pour les autres, comme mes cours d’espagnol, des CV, etc…) et quelques vidéos.

Mais du coup, je vois mal l’intérêt des Chromebooks pour le Cloud.

Ce que je veux dire, c’est que sur un Chromebook, plus besoin de se soucier de "Mon PC à grillé, et je n’ai pas fait de sauvegarde de mes fichiers" puisque on met quasiment tout sur Google Drive qui est intégré par défaut.

Mais du coup, si je ne met pas de documents importants, ils ne seront pas automatiquement sauvegardés si mon PC rend l’âme.

Perso, je m’en fiche de devoir faire régulièrement des copies de mes documents sur un DD externe. Tant que mes données sont en sécurité, c’est le plus important. Mais du coup, le Chromebook perd un peu de son intérêt à ce niveau là (ils n’ont pas que ça de bien, mais c’est une des choses importantes pour moi ).

Je tiens à nuancer ce fait. En effet, tu pars du principe que l’OP serra à jour et qu’il ne ferra pas d’erreur. Les deux sont certainement relativement faux. Tous les mois des 0days sont publiées sur internet (et je parle pas de que ces derniers temps où c’est toutes les semaines …). Il est très difficile de se tenir à jour.

De plus, ne pas faire d’erreur est une notion vague. Dernièrement ce sont les NDD homographes qui ont fait du bruit (entre autre). Dire que c’est la faute de l’utilisateur c’est assez compliqué dans ce cas là.

Les hackers ne vont pas gaspiller une 0day contre toi vu sa valeur et ce qu’il vont en retirer en te piratant. Quand elles sont utilisées ce sont contre des cibles très précises pour atteindre un gros butin, les pirates vont plutôt l’utiliser contre google pour récupérer plusieurs millions, milliards ? de comptes ou un pdg d’entreprise Source:d3m0t3p

Tout dépends de l’importance que tu as. Si tu es responsable/employé RH dans une grande entreprise ou responsable/employé d’une banque, d’une SSII, d’une association (¯\(ツ)/¯"), d’un parc informatique tu peux déjà commencer à subir des attaques ciblées. Tout dépend du but du hacker.

Après, si t’es étudiant forcément, t’as peu de risque.

Ceci étant clarifié; si tu fait attention sur internet, si tu n’est pas naïf et si tu as un ordi à jour tu as très peu de chance de te faire pirater tes données Source:d3m0t3p

Je ne peux qu’être en désaccord avec cette phrase du coup.

Solution Cloud + Chiffrement des données.

Le coup des NDD homographes, c’est principalement du FUD : l’immense majorité des internautes ne regarde jamais le NDD du site.

A mon avis, tu as trois problémes de sécurité différents en une question et les séparer permmetra d’y voir plus clair :

• Risque 1 : la sécurité vis à vis des organismes "légitimes" de de renseignement, c’est à dire des organismes des différents états comme la NSA et autres. Tu peux vouloir pour des raisons pratique et plus souvent philosophique éviter de donner un accès potentiel à tes données. Utiliser un service cloud expose théoriquement tes données à la NSA et compagnies, même si en pratique (1) le risque qu’elles lisent tes données est proche de 0 et (2) si elle veulent lire tes données, ces organisations pourront sans doute trouver un autre moyen de le faire sans soucis. D’un point de vue pratique, je doute que tu puisses facilement avoir une influence véritable sur ce point, sauf a mettre en place un protocole de protection lourd. Est-ce que tu as vraiment envie de faire ça ?
• Risque 2 : Le fait de protéger tes données de la revente et de l’utilisation à des fins publicitaires par une grande entreprise. Ce que font tous les fournisseurs de services comme microsoft, google, amazon etc. La meilleure solution dans ce cas est sans doute de passer par un stockage sur ta machine/disque externe ou via un cloud privé (nas).
• Risque 3 : La protection de tes données contre un piratage par une organisation non officielle, non légitime et mal intentionnée. Le risque me semble faible : a moins que tu ne sois facilement identifiable comme ayant beaucoup d’argent ou manipulant des données sensibles intéressantes, tu n’a que très peu de chances d’être la cible d’un piratage non conventionnel autre que le fishing ou un virus que tu aurait téléchargé. Le risque le plus important est pour moi celui de te faire voler ton ordinateur ou de passer par un réseau wifi publique.

A partir de cette précision des types de risques, on peut plus facilement réfléchir à comment t’en protéger. Un cloud type OneDrive avec un mdp a entrer à chaque utilisation me semble la meilleure solution pour éviter le 3éme risque et la plus facile à mettre en place, mais en t’exposant aux risques 1 et 2. A l’inverse, un cloud privé serait plus efficace contre les trois types de risques mais est plus couteux à mettre en place.

Pour ce qui est du stockage sur ton pc, cela protège des risques 1 et 2 mais t’exposes au risque 3. Cela a l’avantage par contre de ne pas demander de connexion internet pour accéder à tes données, ce qui me semble être un paramètre important à prendre en compte.

Voilà, j’espère qu’en posant les contraintes ainsi (types de risque, budget et connexion internet) cela t’aidera à voir plus clair dans ton besoin et à trouver une solution adaptée.

Ce que je ferais à ta place si tu veux vraiment un chromebook :

• Installer Linux pour pas dépendre de Google ;
• Faire un système de sauvegarde résilient ;
• Acheter un disque dur externe pour pallier aux défaillances des ChromeBook (ou le changer, carrément, si c’est possible).
• Pour le cloud, ce n’est qu’un ordinateur de quelqu’un d’autre. Pourquoi pas monter le tien, ou rejoindre un CHATONS ? Si tu chiffres tes données avant d’envoyer, ça devrait le faire ;

• Installer Linux pour pas dépendre de Google ;

Quel intérêt ?

• Acheter un disque dur externe pour pallier aux défaillances des ChromeBook (ou le changer, carrément, si c’est possible).

Du coup, c’est bien ce que je comptais faire. En fait, j’ai un Raspberry Pi, du coup je pourrais m’en servir pour faire mon propre Cloud.

• Pour le cloud, ce n’est qu’un ordinateur de quelqu’un d’autre. Pourquoi pas monter le tien, ou rejoindre un CHATONS ? Si tu chiffres tes données avant d’envoyer, ça devrait le faire ;

Cf. plus haut.

Et pour les documents confidentiels, si vraiment tu as peur qu’un pirate s’introduise sur ton système et les dérobe, tu peux faire en sorte de ne pas les stocker sur des machines connectées au réseau.

Quel intérêt ?

Tu sais pas forcément si Google synchronise en arrière plan, et donc ça permet d’éviter d’envoyer dans le nuage des trucs que tu veux pas forcément.

C’est comme si je disais : Je vais m’acheter un Mac, mais je vais installer Windows pour pas dépendre d’Apple.

Pourquoi acheter un Chromebook si c’est pour y installer Linux ?

Et pour les documents confidentiels, si vraiment tu as peur qu’un pirate s’introduise sur ton système et les dérobe, tu peux faire en sorte de ne pas les stocker sur des machines connectées au réseau.

En fait, je n’ai pas peur qu’un pirate accède à mon PC. De toute façon, je n’ai rien de confidentiel dessus, hormis quelques factures de différents PC, Consoles et autres.

Le lien que tu donnes @qwerty n’explique que comment lancer Linux "à l’intérieur" de Chrome OS. Avec crouton, faut lancer Chrome OS puis depuis celui-ci lancer le desktop XFCE ou je sais pas quoi. Autant virer Chrome OS et installer une distro. C’est une manip assez compliqué mais ça vaut le coup je trouve. Ça s’est très bien passé pour le mien, j’ai juste pas de son mais j’ai pas cherché à résoudre ce problème.

Le prix. Mon Toshiba Chromebook 2 avec un écran 13" IPS FHD et une autonomie correcte n’a pas d’équivalent Windows aussi peu cher. Franchement, pour quelqu’un un minimum techie, Chrome OS n’a pas beaucoup d’intêret.

Il parait que c’est très chiant d’installer un autre OS sur Chromebook.

D’après ce que j’ai pu lire, on ne peut pas installer quoi que ce soit sans bidouiller le PC (ce qui fait sauter la garantie ou un truc comme ça).

si elle veulent lire tes données, ces organisations pourront sans doute trouver un autre moyen de le faire sans soucis.

La NSA peut très facilement lire les documents chez Google du monde entier, espionner spécifiquement un français c’est plus délicat pour eux (même si possible). La DGI est par contre plus apte à le faire sans Google.

Après le coût pour eux de le faire sans Google est élevé, ils le font rarement au hasard. Par contre une requête chez Google ne leur coût pas grand chose et peuvent ainsi le faire avec moins de justifications.

Si on ne peut rien mettre, sauf les photos de notre gentil chat Gaspare, pourquoi les Chromebooks fonctionnent ainsi (même si je me doute que c’est fait comme ceci surtout pour Google, et pas pour nous ) ?

Le but de Google est de vendre des appareils (téléphones, tablettes, ordinateurs) pour pas chers et orientés pour utiliser à fond ses services dont Google Drive. Pour certains les Chromebook sont très adaptés à leur usage donc ce n’est pas un soucis. Si le manque de place est un frein, achète un autre produit c’est tout.

Question sécurité des stockages, je pense que la question de l’endroit n’importe pas réellement. Ce qui est important c’est que les documents sensibles soient chiffrés. C’est la meilleure solution. Et un document chiffré chez Google Drive n’est pas forcément un grand risque. Si du moins tu chiffres convenablement.

C’est bien se qu’il me semblait.

Après, est-ce vraiment si gênant que cela d’être "dépendant" d’un service ?

Personnellement, je fait pratiquement tout avec les services Apple (Contacts, Navigateur, iCloud, Mails, …), et je ne me sent pas plus mal pour autant.

Le plus important n’est pas de s’y plaire ?

Après, est-ce vraiment si gênant que cela d’être "dépendant" d’un service ?

Ça dépend, l’important est je pense d’avoir conscience de ce que l’on fait pour comprendre les enjeux et anticiper des situations.

Typiquement, si demain Google a un soucis quelconque (cela est déjà arrivée que son moteur de recherche soit inaccessible quelques heures), que ta connexion Internet est en rade (cas assez courant) ou si Google ferme son service (Google a déjà fermé plein de services dans son histoire, et si Google Drive suivait un jour ?) ou impose un tarif d’utilisation (ou l’augmente), bah tu es coincé.

Après on peut se poser la question si c’est confortable qu’une entreprise ait accès à toute ta vie. Même les détails les plus intimes. Des fuites de données cela arrive, de l’espionnage aussi.

D’autant plus que pour l’instant migrer d’un service à un autre reste délicat pour l’instant. Après si pour toi la balance bénéfice / risque est favorable à l’usage de ces services, c’est toi que cela regarde, et dans ce cas, fais-le.

L’authentification en deux étapes ne permet-elle pas de réglé ce problème de sécurité ?

En effet, imaginons que j’ai mit la même adresse emai/mot de passe sur Zeste de Savoir que mon compte Google. Si une personne arrive à récupérer cet email et ce mot de passe (en admettons qu’il ne soit pas crypter), il faudrait alors que le pirate ai accès à mon téléphone portable afin de s’y connecter (puisqu’un SMS m’est envoyé).

Et si je me fait voler mon téléphone, je n’ai aucun risque, puisqu’il est protégé par un mot de passe.

Après, il y à certainement quand même un moyen pour une personne de se connecter à mon compte même après toutes ces sécurités. D’ailleurs, j’aimerais bien les connaître ces moyens, afin que je puisse m’en protéger.

L’authentification en deux étapes ne permet-elle pas de réglé ce problème de sécurité ?

En effet, imaginons que j’ai mit la même adresse emai/mot de passe sur Zeste de Savoir que mon compte Google. Si une personne arrive à récupérer cet email et ce mot de passe (en admettons qu’il ne soit pas crypter), il faudrait alors que le pirate ai accès à mon téléphone portable afin de s’y connecter (puisqu’un SMS m’est envoyé).

À chaque fois que tu te connecte sur n’importe-quel service web (Gmail, GDrive, ZdS, …), on t’envoie un texto ?

Quelques bonnes pratiques :

• à chaque fois que tu utilises un ordinateur public, tu actives le mode navigation privée du navigateur (ctrl-maj-p sur Firefox) ;
• tu te déconnecte systématiquement de ta session à chaque fois que tu t’absente de ton pc ;
• tu n’utilises jamais le même mot de passe pour les différents sites que tu utilises ;
• tu ne consulte pas tes mails ou autres actions sensibles sur des réseaux wifi ouverts ;
• si tu reçois un mail provenant d’un service que tu utilise te demandant de faire telle ou telle action sur ton compte, ne clique pas sur les liens du mail mais rends-toi directement sur le site en question.

À chaque fois que tu te connecte sur n’importe-quel service web (Gmail, GDrive, ZdS, …), on t’envoie un texto ?

C’est possible uniquement sur les services qui le proposent, moi je l’ai sur les suivants par exemple: Google, Github, Gitlab, Facebook, etc.

Et soit il tenvoies un sms, soit tu as des applications comme Google authenticator.

En effet, quand je me connecte sur mon compte Google (ou même Microsoft) pour la première fois sur une machine qui n’est pas habituelle, ça m’envois un SMS avec un code que je dois rentrer, sinon je ne peux tout simplement pas me connecter à mon compte.

Et c’est même pire sur Mac. Sur mon Mac Mini, je suis connecté à mon compte iCloud. Mais des fois (et c’est assez souvent), lorsque je veux me rendre dans mes emails, il faut que je rentre un code. Et ce code, il m’est envoyé sur mon Mac ou sur mon iPhone.

Je dois donc cliquer sur "Autoriser" sur mon Mac/iPhone, et je dois ensuite entrer le code qui m’est donné.

C’est très chiant, mais au moins, c’est un peu plus sécurisé.