Activer l'encryption de ownCloud

[root]

bonjour,

tout à fait d'accord avec FloFlr : si on active le crypt on perd les sauvegardes, on perd la possibilité de débloquer les comptes suite à un pb de synchro entre plusieurs clients sur le meme compte (ça arrive rarement mais on a 1 demande par mois en ce sens quand meme)

donc effectivement la solution c'est un service cloud indépendant du 1er , qui serait accessible dans "mon profil" sur un 2nd onglet : on aurait "cloud" et "cloud crypt" par exemple , avec des adresses de serveurs indépendantes etc . Réservé aux adhérents uniquement avec un tarif à voir, pour 10 euros au lieu de 10 Go vous auriez peut etre 5 Go , je ne sais pas . Et donc pas de sauvegarde, pas de possibilité de récupérer vos data en cas de mauvaise manip de votre part ou de perte de mot de passe ...

on peut envisager de regarder ça quand on va upgrader le cloud actuel vers la v9 , ça prendra pas beaucoup de temps de mettre un autre owncloud à coté à l'essai , oui

je rappelle au passage pour les plus paranoiaques qu'on propose déjà en ce sens un service cloud mini dédié à 200 euros /an , certes c'est plus cher et plus complet mais pour des groupes de personnes c'est franchement plus souple , et là vous faites ce que vous voulez , y compris activier l'app crypt

MAIS pour répondre aussi à waz sur sa peur des attaques sur les serveurs de l'association et sur ses données cloud : en toute sincérité et objectivité, et on l'a déjà dit sur ce forum et ailleurs, aujourd'hui si je regarde notre infrastructure qu'on a travaillé et amélioré tous ces années avec un sysadmin certifié Redhat depuis 10 ans, le risque que je vois d'abord pour la sécurité de vos données sur le service cloud et les autres services, il n'est pas chez nous , il est chez vous

je ne dis pas qu'on est en risque zero chez nous , bien sur, mais ma crainte si je devais parler sécurité de vos données, c'est que vous tapiez votre mot de passe pour accéder au service cloud sur un pc infecté par un virus, chez vous ou ailleurs, virus qui va récupérer votre mot de passe ... tout simplement , statistiquement c'est tres possible ... ou bien que votre boite mail perso chez free ou autre soit piratée parceque mot de passe trop simpliste, ou virus, idem ... et avoir la main sur votre boite mail c'est avoir la main sur la plupart de vos services internet, que ce soit chez zaclys ou ailleurs ... cf les soit-disant piratage de photos persos de stars qui déferlent l'actu de temps en temps , dans 90% des cas c'est juste ça le problème ...

mais dans tous les cas c'est bien qu'on discute de tout ça ensembles , chacun à des besoins et des idées différents, et quand çà peut apporter un service à toute le monde on est partant, l'association est faite pour ça

amicalement

[Floflr]

Bonjour,

donc effectivement la solution c'est un service cloud indépendant du 1er , qui serait accessible dans "mon profil" sur un 2nd onglet : on aurait "cloud" et "cloud crypt" par exemple , avec des adresses de serveurs indépendantes etc . Réservé aux adhérents uniquement avec un tarif à voir, pour 10 euros au lieu de 10 Go vous auriez peut être 5 Go , je ne sais pas . Et donc pas de sauvegarde, pas de possibilité de récupérer vos data en cas de mauvaise manip de votre part ou de perte de mot de passe ...

Pourquoi un fois chiffrée les données ne peuvent plus être sauvegardé?

je rappelle au passage pour les plus paranoïaques qu'on propose déjà en ce sens un service cloud mini dédié à 200 euros /an , certes c'est plus cher et plus complet mais pour des groupes de personnes c'est franchement plus souple , et là vous faites ce que vous voulez , y compris activer l'app crypt

Oui un mini dédié est intéressant mais trop cher pour une personne voir même une utilisation familiale.
J'attends impatiemment la migration vers Owncloud 9 pour voir comment vous allez implémenter la fonction.

bon weekend,

[waz]

ACTU Mai 2016 :

Merci pour vos retours !

On a plusieurs soucis pour passer le service cloud classique de OC8 vers OC9 , aussi après plusieurs semaines de tests et discussions voici ce qui a été décidé :

Nous allons mettre en place 2 nouveaux serveurs owncloud 9 : un serveur normal comme celui actuel et un serveur avec l'app crypt activée (cf discussions sur le forum). Le serveur owncloud 8 actuel reste en place.

Quand vous irez sur le site principal sur "mon profil" / "onglet cloud", vous pourrez au choix activer et utiliser l'un ou l'autre des 2 serveurs OC9.

Et pour les utilisateurs actuels de owncloud 8 : vous pourrez conserver votre espace owncloud 8 et rester dessus tout en testant l'un ou l'autre des serveurs oc9 , charge à vous d'exporter/importer vos données. Bien sur il y aura des restrictions pour ne pas permettre d'utiliser indéfiniment oc8 ET oc9 , mais on vous laissera le temps de choisir et de migrer définitivement vers oc9 quand vous jugerez qu'il répond à vos attentes ...

Voila pour les dernières nouvelles ! On espère livrer ça avant la fin du mois.

Je viens de voir l'annonce. Tout simplement MERCI !!!

[BR26X]

Je rajoute mon grain de sel presque deux mois plus tard. Je viens d'arriver, je viens de découvrir Zaclys et plus je découvre, plus j'adhère à l'association. Je trouve les messages du staff rassurants autant sur le plan technique que sur la question du droit à la vie numérique privée.

Parallèlement je teste une solution home-made sur un Raspberry, et n'étant pas adminsys certifié redhat depuis 10 ans, je ne pense pas arriver à verrouiller le tout aussi bien que chez Zaclys, mais au moins ça a le mérite de me cultiver. Et là je réfléchis à comment crypter les données pour que même l'adminsys n'ait pas accès.

Et d'après ce que j'ai lu sur le net, l'app Encryption de Owncloud ne sert absolument pas à crypter les données Owncloud, mais des données externes rattachées à Owncloud (google drive, dropbox etc.). De plus, la clé privée permettant le décryptage est stockée sur le serveur Owncloud.
Voici quelques sources : https://forum.owncloud.org/viewtopic.php?t=31099 et la doc officielle de la v9 https://doc.owncloud.org/server/9.0/adm ... ation.html

On y voit bien marqué en rouge que l'app ne protège pas les données d'un piratage du serveur, ou d'un adminsys trop curieux. On y voit aussi la liste des données non cryptées ici https://doc.owncloud.org/server/9.0/adm ... -encrypted

Bref en gros, dans l'absolue cette app ne sert à quasi rien pour protéger les données Owncloud. Quasi, car si je comprends bien les données sont quand même cryptées avec une clé facile à trouver et stockée en clair certes, mais nécessitant le mot de passe du compte pour être utilisée. J'ai pas trop creusé de ce côté mais sans le mot de passe (qui doit pas être compliqué à trouver car inscrit dans la clé, ou potentiellement en clair dans la bdd) la clé est d'après ce que je comprends inutilisable.

De ce que j'ai lu/compris également, un gros cryptage des données directement sur le serveur/disque (hors Owncloud et tout autre service) ne sert à rien non plus, car d'une si le serveur/disque est utilisé les données sont décryptées (sinon rien ne fonctionne) et de deux certains services sont inutilisables (comme le webui owncloud).

Enfin, pour avoir une vraie protection, il est préconisé de faire du cryptage côté client.

Tout ça m'amène à deux questions :
• que pensez-vous de tout ça ?
• y'a t-il une doc (pas forcément technique) quelque part qui explique comment vous faites pour assurer la sécu des données ? J'ai lu ici et là que vous anonymisez un maximum de choses par exemple mais la partie Technologie et sécurité des mentions légales est un peu maigre.

[root]

bonjour

1/ non , vous nous avez fait peur car effectivement la page de doc "app crypt" de oc9 que vous montrez en lien est plus ambigue que celle de oc8 sur laquelle nous avions travaillé ... mais l'app crypt permet bien de crypter les data des storages externes ET internes au serveur , simplement sur oc9 il est possible de crypter uniquement le storage externe (et ils disent que c'est le 1er usage) mais il est toujours possible de crypter également le storage local :
ownCloud server-side encryption encrypts files stored on the ownCloud server, and files on remote storage


2/ ensuite l'encart rouge présent sur la page de doc de l'app crypt de oc8 comme oc9 :

- il rappelle que le sysadmin peut avoir accès aux données meme cryptées , oui et non, plus loin ils disent bien :
The ownCloud admin and the storage admin will see only encrypted files when browsing backend storage

En fait les fichiers sont cryptés, la seule façon de les voir en clair pour le sysadim c'est de désactiver le cryptage du compte utilisateur concerné, et ça c'est (sauf erreur) possible uniquement si le sysadmin a activé la fonction "Enabling Users File Recovery Key" du serveur : à cette condition le sysadmin a une "master clef" du module de crypt , qui ne permet pas d'accèder aux données sauf à désactiver le cryptage du dossier, lancer un decrypt , ce qui coupe l'accès, mais c'est une procédure de "recovery", pas d'accès direct, et cette fonction permet aux users de faire eux aussi un recovery s'ils ont perdu leur propre clef. A ce stade, on n'a pas encore ni décidé ni testé si on activera ou pas cette fonction de "recovery" (perso je penche pour le non), ni testé si le sysadmin peut se passer de la "master clef" et s'il peut arrêter le crypt et lancer un decrypt du storage sans cette option ... la doc n'est pas claire sur ce point. Clairement (cf bloc actu de la page cloud) on peut proposer un service cloud classique (mutu) comme celui actuel ET un service cloud crypt au choix pour les + paranoiaques.

Pour rappel on propose aussi des serveurs cloud dédiés sur lesquels vous pouvez depuis longtemps jouer vous même avec l'app crypt ...

- Ensuite le serveur est corrompu , il faut que le pirate arrive à ce stade d'accès (connection au site, grant des privileges, accès a la clef , accès au storage qui n'est pas sur le meme serveur, etc etc ) , un accès juste au storage ou aux sauvegardes est insuffisant.
Sur ces points comme déjà dit je ne listerai pas ici les contres mesures et défenses en place , car c'est déjà un donné un coup de main aux attaquants , mais même si le risque zero n'existe pas, on a des belles choses dans les règles de l'art que ce soit sur les containers et nos firewalls et quelques trucs exotiques à notre sauce


- Dans cet encart rouge ils rappellent aussi le risque ssl (cf l'affaire "google - NSA" ) qui permet un accès en clair aux flux web de vos datas en cas de crypteur ssl externes : on n'a aucun crypteur ssl externe sur nos serveurs ! on l'avait testé à une époque , mais on n'était pas satisfait car on arrivait pas à atteindre le A+ sur les tests qualys SSL ... on a tous nos crypteurs ssl intégrés sur les serveurs et les containers avec un niveau A+

- Pour finir vous parler de crypt local en amont sur votre machine : oui en niveau très élevé de sécurité (ou de paranoia ? ) le mieux cest de faire du crypt en amont (à l'install avec dm-crypt ou après coup cf https://zaclys.com/linux-partition-cryp ... t,p122,454) , mais ça ne sert à rien si c'est mal utilisé. ça permet juste quand vous éteignez l'ordi d'être tranquille si on vous le vole.
Mais quand le pc tourne, l'accès est en clair et si vous vous faites piratez l'ordi (virus, troyen, firewall défaillant, faille systeme faute de mise à jour, accès physique au clavier, etc , autant de risque qu'on évite plus facilement sur nos serveurs).

Ensuite si vous faites tournez un client owncloud dans ces conditions, les fichiers envoyés ne sont pas cryptés effectivement .

Si vous voulez mettre uniquement des fichiers cryptés sur le serveur cloud , il faut à mon avis utiliser l'espace cloud comme un espace de sauvegarde uniquement et utiliser un outil de sauvegarde qui va crypter vos fichiers avant de les déposer sur notre espace de cloud , sur linux par exemple l'outil "deja-dup" permet de faire ça facilement , on l'a testé ici :
https://wiki.zaclys.com/index.php/Sauve ... sous_Linux

[BR26X]

Merci d'avoir pris le temps d'une réponse détaillée

Je fais une parenthèse pour soulever un point au passage : ce n'est pas une question de paranoïa ou de souhait envers et contre tout d'avoir un haut niveau de sécurité. C'est une question de confiance et surtout de principe. Une donnée personnelle, doit être par définition... personnelle. Même si ce n'est que la photo de mon chien. Le cryptage, et autre techniques, sont des moyens. Et ce n'est par paranoïa ou parce qu'on a des choses à cacher qu'on veut forcément se protéger, mais tout simplement par principe. Dans la vie physique, on ne fait pas rentrer n'importe qui chez soi, parce que c'est un lieu privé et personnel. Dans la vie numérique, je pense que les gens ont le droit au même principe.

Pour l'app crypt, je n'ai pas dû bien comprendre comment était stockée la clé de décryptage. Dans la doc il est pourtant marqué que les clés sont stockées dans "data/<user>/files_encryption" ? Ces clés ne sont donc pas accessibles/utilisables si facilement ?


Pas bête pour le système de sauvegarde crypté. Ou l'utilisation d'un outil tiers qui va crypté le dossier en local puis le synchro crypté via l'app desktop (style google drive), si toutefois une app desktop existe (je pense que c'est le cas pour Owncloud ?). Car faire du backup, si le résultat est encapsulé dans un zip par exemple, en l'état les données ne sont pas accessibles directement.

Autre point, savez-vous si l'app crypt ne va crypter que les fichiers du cloud, ou crypte aussi l'agenda et les contacts ?

Quoi qu'il en soit, on n'est pas à mon avis sur une solution 100% verrouillée (en plus de cette liste https://doc.owncloud.org/server/9.0/adm ... -encrypted il reste encore les noms de fichier et dossier à crypter, ainsi que les contacts, agendas, tâches et app aditionnelles ?).

En tout cas, je salue le fait que vous ayez pris le temps de regarder tout ça. Le principe du droit à la vie privée est fondamentale, mais il va de paire avec la confiance que l'on a en l'entité qui héberge nos données. En ce sens, et loin de moi l'idée de dire que cette mission n'est pas remplie ici, mais je pense que vous pourriez enfoncer plus le clou, et rassurez plus quant à vos valeurs et vos principes. En gros tout ce qui fait référence au respect de la vie privée des utilisateurs sont les CGU, et dans ces CGU il y a finalement assez peu de chose sur le sujet. De plus, je ne trouve pas que les CGU soient forcément l'endroit le plus rassurant pour ce sujet (souvent les CGU c'est là où il y a les petites phrases qu'on nous ressort en cas de litige...).

Avoir du 100% crypté me paraît de toute façon compliqué, et c'est le rôle d'acteurs des libertés comme vous d'apporter un service tiers de confiance nécessaire. En cela je dis bravo

[Paulau]

Bonjour,
Je suis un utilisateur 'Or' et j'ai lu ce fil consacré à l'encryption OwnCloud. Ce que je n'ai pas compris, c'est : avec le statut 'Or', est-il finalement possible d'avoir le choix entre un serveur OC chiffré ou non chiffré quand on va sous l'onglet Mon Profil > Cloud ? (parce que chez moi, je ne vois aucun choix).
D'avance merci pour votre réponse !

[Bill]

Bonjour Paulau
Pour l'instant, cette fonctionnalité n'est accessible que sur nos serveurs cloud dédiés.

[cortobxlFrm]

j'ai un peu testé des programmes qui chiffrent les documents au vol (ex BOXCRYPTOR )
le fichier sur le Cloud est chiffré et inutilisable par des tiers
Mais je suis très méfiant devant ces programmes "gratuits". En cas de souci il n'y aura aucune aide a espérer, ceci pourrait se produire après une mise à jour du programme ou de son PC, ou une perte du code....

Je serais nettement plus confiant si la mère Zaclys s'en occupe elle-même

PS je découvre la réponse évoquant un chiffrement local qui aurait été testé
par root » jeu. 7 juil. 2016 11:21