Petit pense-bête sécu. Grosso-modo on peut classer les vulnérabilités en catégories :
- les trucs intrinsèquement sûrs, généralement inimplémentable correctement : one time pad
- les trucs connus pour être possibles en théorie mais impossible physiquement : bruteforcer une clef
AES de 256 bits
- les trucs pétés sur le papier mais sans implem efficaces connues : factoriser une clef RSA
- les trucs pétés avec une implem connue mais pas exploité massivement dans la nature : poodle
- les trucs pétés et exploités : samba
Beaucoup ne s’occupent que de la dernière catégorie. Éventuellement de l’avant-dernière. Vous faites erreur.
La vraie catégorie à prendre en compte dans votre conception est l’ante-pénultième : les vulnés possibles sur le papier mais en pratique pas observées.
C’est en effet celle qui risque de passer exploitée dans la nature à la prochaine itération. Vous ne connaissez pas non plus l’état réelle des capacités des attaquants ou d’un État.
Vous devez donc déjà avoir une porte de sortie quand ça va exploser. Peut-être demain.

• • •

Missing some Tweet in this thread? You can try to force a refresh
 

Keep Current with aeris 🏳️‍🌈

aeris 🏳️‍🌈 Profile picture

Stay in touch and get notified when new unrolls are available from this author!

Read all threads

This Thread may be Removed Anytime!

PDF

Twitter may remove this content at anytime! Save it as PDF for later use!

Try unrolling a thread yourself!

how to unroll video
  1. Follow @ThreadReaderApp to mention us!

  2. From a Twitter thread mention us with a keyword "unroll"
@threadreaderapp unroll

Practice here first or read more on our help page!

More from @aeris22

14 Apr
Petite anecdote marrante mais pas tant que ça. Qui montre aussi le problème UI/UX versus former les utilisateurs versus le back versus trop de choses. […]
On a une contrainte au niveau bdd dans une base sur un champ, qui est de ne pouvoir contenir que des valeurs correspondants à /^[a-z][a-z0-9]{0,29}$/

Niveau back, l’ORM fait donc sa vérif normalement avec cet regex.

SLUG_FORMAT =
/\A[a-z][a-z0-9]{0,29}\z/.freeze
validates_format_of :slug, with: SLUG_FORMAT

C’est tout niquel. Parfait. […]
Read 21 tweets
16 Oct 20
Coucou @CNIL !
Peut-être serait-il intéressant d’expliquer/expliciter les modes de fonctionnement du traitement des plaintes reçues, parce que ça déprime quand même un peu ce type de réponse 😭
Là, j’ai plus l’impression de pisser dans un violon à faire des demandes d’accès et des plaintes. On n’arrive juste à rien, j’ai 0 ou presque dossier complet après 2 ans de démarches.
Je comprend d’autant moins que le RGPD ne suppose pas l’établissement de lignes directrices de votre part pour être applicable. C’est DÉJÀ un règlement contraignant et applicable.
Read 5 tweets
15 Oct 20
Bon, petit appel à la @CNIL pour connaître l’état d’avancement de mes plaintes 🤣
« En raison d’un trop grand nombre d’appels nous ne pouvons donner suite à votre demande » 😑
C’est à partir de combien de plaintes qu’on a le droit au statut VIP déjà ? 🤣
Read 17 tweets
29 Jun 20
@JeromeColombain Oui, parce que le vote suppose la résistance à la coercition, qui n’est pas réalisable en version dématéralisée. Tous les exemples que vous citez ne la nécessite pas.
@JeromeColombain Le vote à l’isoloir permet de s’assurer que le vote est fait sans contrainte aucune, passée, actuelle et future. La personne peut voter en toute sécurité, même menacée par exemple par son employeur.
@JeromeColombain Le vote à l’isoloir permet aussi *à n’importe qui* de s’assurer de la licéité du scrutin. Et de s’assurer que son vote personnel est parfaitement pris en compte dans toute la chaîne de vérification.
Read 14 tweets
31 Mar 20
Vu que j’ai beaucoup tapé sur Raoult à cause de sa méthodo, soyons aussi honnête et parlons de l’étude positive sur HCQ :
medrxiv.org/content/10.110…
Ici la méthodo est bonne et correspond tout pile à ce que j’avais décris auparavant.
2 groupes constitués en aléatoire, l’un en traitement conventionnel, l’autre en conventionnel et CHQ.
Ni les médecins ni les patients ne savaient s’ils étaient sous CHQ ou non.
C’est donc du bon double aveugle randomisé comme il se doit. Fait en 6 jours. Rep à ça Raoult… 😑
Read 12 tweets

Did Thread Reader help you today?

Support us! We are indie developers!


This site is made by just two indie developers on a laptop doing marketing, support and development! Read more about the story.

Become a Premium Member ($3/month or $30/year) and get exclusive features!

Become Premium

Too expensive? Make a small donation by buying us coffee ($5) or help with server cost ($10)

Donate via Paypal Become our Patreon

Thank you for your support!

Follow Us on Twitter!