Clément Thersiquel

Work: #security @doctolib

[Clément Thersiquel @cthersiquel]

@GoldenThibald @eKoloKante @EnglandRugby Ça compte pas comme une sélection parce que c’est France A. Donc vraiment que pour les sous 😉

[Clément Thersiquel @cthersiquel]

@actu_stade Graou doit pas être très loin dans le classement non plus !

[Clément Thersiquel @cthersiquel]

@actu_stade 🤷‍♂️incompréhensible, la trajectoire de course est pas naturelle

[Maxime Labonne @maximelabonne]

💾 LLM Datasets v2.0

Massive update to the repo that inspired Phi-4 (;)) with new datasets, categories, and tools. I also reworked the text to make explanations clearer and more up-to-date.

Check it out for your next run: https://t.co/hmV8CnflCN

[Clément Thersiquel @cthersiquel]

Idiocracy

[Clément Thersiquel @cthersiquel]

@victormustar Prince of Persia right ?

[Clément Thersiquel @cthersiquel]

@loicknuchel En sécurité on est jamais fan de la centralisation de secrets. C’est plus tentant pour un attaquant que d’aller peter tous les postes de tes utilisateurs.
Après comme je disais ça dépend de ton modèle de menace et de l’analyse de risques qui en découle

[Clément Thersiquel @cthersiquel]

@loicknuchel Mais du coup tu fais une authentification systématique quand la SPA est fermée ?

[Clément Thersiquel @cthersiquel]

@loicknuchel Sinon tu peux aussi utiliser un algo pour dériver une clé à partir du mot de passe de l'utilisateur et d'un seed par user coté serveur. https://t.co/5K7cCVLgvL

[Clément Thersiquel @cthersiquel]

@loicknuchel Ca doit exister... Mais du coup ca veut dire que ton serveur ne doit accepter de sortir la clé si l'utilisateur ne vient pas de s'authentifier non ? Parce que si t'as une authent par cookie, t'as le même pb non ?

[Clément Thersiquel @cthersiquel]

@loicknuchel Je vois pas de scénario où tu peux récupérer le dump mais pas avoir accès au serveur.

[Clément Thersiquel @cthersiquel]

@loicknuchel Dans les deux cas, si t'injectes du code dans la page avec les données déchiffrées tu peux les récupérer...

[Clément Thersiquel @cthersiquel]

@loicknuchel Mais globalement dans les risques que tu me décris quoi qu'il arrive les menaces peuvent faire ce qu'elles veulent

[Clément Thersiquel @cthersiquel]

@loicknuchel Ca dépend quel est ton modèle de menace (contre quoi tu te protèges). Plutôt un malware sur le poste ? Plutôt du code JS ?

[Clément Thersiquel @cthersiquel]

@loicknuchel Si y'a que le client qui a besoin de lire/écrire, tu peux faire du symétrique, si le serveur doit pouvoir écrire mais pas lire, tu peux faire de l'asymétrique

[Clément Thersiquel @cthersiquel]

@loicknuchel T'as 2 choix:
- Chiffrement symétrique : tu stockes ta clé AES dans le navigateur.
- Chiffrement asymétrique : tu stockes la clé RSA privée dans le navigateur et la clé publique coté serveur

[Clément Thersiquel @cthersiquel]

@Blaklis_ @MaladeMedecin @DocTotoscope @DrJohnFa @DocRirie @doctolib Le pompier pyromane serait un scénario très compliqué chez Doctolib. Les modifications dans le code du logiciel sont revues par 2 personnes minimum et 3 quand c’est particulièrement sensible avant de partir en production. Et si il y’a encore des bugs le bug bounty est la

[Clément Thersiquel @cthersiquel]

@DocTotoscope @DrJohnFa @MaladeMedecin @DocRirie @doctolib https://t.co/WTx3p8SZQh