Les services web Garmin sont en panne

gillesF78 écrit:

Mais non, tu ne crains rien.

Aie confiance...

Oui Gilles, avec ces messages et celui sur le sujet Impact Corona, j’ai bien compris que tu n’aimais pas le monde selon Garmin . J’espère que tu m’aimes un peu quand même, tout ballot que je suis d’utiliser les services Garmin et Strava.


J’ai quand même une question, toi le chantre louangeur de Golden Cheetah : pourquoi ce logiciel serait-il plus digne de confiance ? C’est un programme développé par on se sait qui, qui n’a pas « pignon sur rue », et que l’on télécharge sur son disque dur. Qui peut dire quel est le contenu exact, qu’il n’y a aucun invité indésirable parmi les octets téléchargés ? A moins qu’ensuite on ne débranche définitivement cet ordinateur de tout réseau internet, wifi et BT, qu’on y charge ses sorties en branchant le compteur à l’ordinateur au moyen d’un câble, que jamais dans ce PC on y a introduit son numéro de carte de crédit et qu’on ne l’utilise exclusivement pour l’analyse GC (Golden Cheetah, pas Garmin Connect ) ?

La confiance est un choix. J’ai choisi de faire confiance à Garmin et Strava pour mes données sportives. Ils n’ont de toute façon pas mon vrai nom, ma vraie date de naissance, ma vraie adresse, mon statut familial, mon numéro de carte de crédit. Comme contact, j’ai une adresse mail dédiée. Tout les téléchargements se font via mon téléphone, que jamais je n'ai utilisé pour le moindre payement avec carte de crédit, Pay pal, Samsung Pay ou autre. Par contre, un logiciel « gratuit » installé sur mon PC pourrait tout savoir. (A la réflexion, Strava connait ma carte de crédit chuis foutu )

Car Golden Cheetah est un logiciel « gratuit ». Selon moi, dans ce bas monde la gratuité n’existe pas (ou plus). J’ai un abo Strava et les services web de Garmin sont compris dans le prix d’achat de l’appareil. Comment est financé Golden Cheetah ?

A+
Cricri

GoldenCheetah est non seulement gratuit, mais surtout open-source et sans but lucratif (comme un Linux non packagé par une société tierce par exemple).
Partant de là vu qu'il se limite à une communauté de passionnés, restreinte et "bénévole" le risque est nettement plus faible... bien que non nul, évidemment.
Car à la base un hackeur (ou groupe de hackeurs) s'attaque à des boîtes représentant le capitalisme avec un grand C, et surtout celles qui peuvent les enrichir via rançon => quel intérêt de mettre un espion dans GoldenCheetah ? pour pirater nos CP20 ?

D'ailleurs, plus que gratuit et open-source, GoldenCheetah est un logiciel libre (licence GPL2), ce qui implique que :
- on est libre d'utiliser le logiciel comme bon nous semble
- on est libre de copier le logiciel et de le distribuer à qui on veut
- on est libre d'étudier le logiciel pour en comprendre son fonctionnement
- on est libre de modifier le logiciel et de redistribuer les versions modifiées à qui on veut

Gaffe à la traduction de l'anglais "free"

Salut Cricri

Les réponses d'Albator83 et de teamdindon sont tout à fait pertinentes et complètes par rapport à ta question sur les raisons d'avoir "confiance" dans Golden Cheetah.

Je n'ai pas grand chose à ajouter. Simplement, les principales fonctionnalités de Golden Cheetah tournent en "local". Les services "cloud" que l'on peut utiliser pour automatiser le partage d'activités, notamment sur strava, sont "open-source" comme tout le reste du logiciel. Les interfaces ANT+ avec les dongles USB également.

Les développeurs bénévoles de Golden Cheetah ont refusé d'incorporer les fonctions de bibliothèques ANT+ de sociétés commerciales dont le code source est fermé, et ont préféré recoder à la main la totalité des fonctions !
En analysant le code source, tu peux regarder comment ça fonctionne, et vérifier que les bonnes pratiques pour la sécurité informatique sont mises en oeuvre (ou pas).

jfd_ écrit:

Je me permets de compléter Cricri que compte tenu que le code du logiciel est intégralement accessible, il serait à tout le moins plus que surprenant qu'un truc caché ne soit pas trouvé dans ledit code par un utilisateur. C'est une forme d'autocontrôle de ce type de logiciels finalement bien plus serré que tout autre sorte de contrôle car il y a toujours dans la communauté d'utilisateurs des personnes qui savent ce c'est un code et l'interpréter (tout le monde ne le sait pas forcément à fond, moi le 1er)

Oui, c’est le coup de « c’est sûr, car on peut tout contrôler » et « il y a forcément quelqu’un qui contrôle » et que par conséquent personne ne contrôle rien, tout le monde se repose sur l’expertise supposée de tiers.

Ce phénomène de « suivisme » est très bien décrit dans cet excellent film :



Et contrairement à ce que semble penser Albator83 deux messages en dessus, quand on te pirate ton PC, ce n’est pas pour connaitre ton CP 20.

Pour moi, Golden Cheetah n’est pas plus sûr qu’un cloud, celui de Garmin ou autre.

A+
Cricri

Le cas de Garmin ici est pourtant le parfait exemple de la faiblesse de la "sécurité par l'obscurité" (fr.wikipedia.org/wiki/S%C3%A9curit%C3%A9_par_l%27obscurit%C3%A9) :
- 1 semaine après, on ne sait toujours pas de quoi il en retournait (Garmin n'a pas officialisé la rumeur de ransomware, officiellement, c'est toujours "une panne")
- on ne sait pas si le problème a été résolu, s'il peut se réitérer dans une mois
- on ne sait pas quelles données ont pu être perdues ou volées

teamdindon écrit:

Le cas de Garmin ici est pourtant le parfait exemple de la faiblesse de la "sécurité par l'obscurité" (fr.wikipedia.org/wiki/S%C3%A9curit%C3%A9_par_l%27obscurit%C3%A9) :
- 1 semaine après, on ne sait toujours pas de quoi il en retournait (Garmin n'a pas officialisé la rumeur de ransomware, officiellement, c'est toujours "une panne")
- on ne sait pas si le problème a été résolu, s'il peut se réitérer dans une mois
- on ne sait pas quelles données ont pu être perdues ou volées

Ce commentaire dans l'article wikipédia semble s'appliquer parfaitement au cas de Garmin :

Un procédé basé sur la sécurité par l'obscurité ment sur la réelle fiabilité de sa sécurité, au pire, ou du moins n'en affiche que les points forts, au mieux. C'est alors une simple relation de confiance établie entre les fournisseurs de l'objet, de la structure ou du procédé ainsi protégé et leurs utilisateurs qui fait référence dans la vision de la-dite sécurité. Qu'une faille sérieuse remette en cause le système devient une source de difficulté pour le fournisseur, car en plus des conséquences directes dues à la faiblesse exploitée, l'utilisateur peut se sentir abusé par le faux sentiment d'invulnérabilité dans lequel on l'a maintenu.

En ce qui concerne golden cheetah, la communauté de développeurs vérifie la sécurité tout au long des évolutions du logiciel :
- les modifications apportées par un développeur sont publiées et validées, éventuellement discutées, modifiées par l'équipe dans la version de développement.
- le système de gestion des bugs permet de proposer et effectuer des améliorations pour la sécurité du logiciel
- un groupe de discussion entre développeurs permet un partage des connaissances et des idées sur le code

Exemple de question sur la vulnérabilité liée à l'intégration de "R" dans golden cheetah :
groups.google.com/forum/m/#!topic/golden-cheetah-developers/WlwK8p-29uk

Oui, Jean-François, voilà l’illustration parfaite donnée par Gilles de ce que j’ai décrit plus haut.

Car les propos de Gilles sont du charabia pour moi, et il cite un autre charabia qui m’est encore plus obscur.

Je ne suis pas un professionnel de l’IT, ma langue maternelle ou de travail n’est pas le Globish, je ne sais pas qui est monsieur Ricky Pike, je ne sais pas ce qu’est le « R » ni le API. Je n’ai pas les compétences, et même si je les avais, je n’aurais ni le temps ni l’envie d’aller regarder dans le code source pour voir ce qu’il contient. Donc je devrais faire confiance à une personne que je ne connais que via un forum et dont l’expertise sur ce point ne peut être que supposée par moi (ceci dit sans vouloir te fâcher, ni toi ni Gilles).

Vu mon manque de confiance dans ce logiciel, qui comme je l’ai dit plus haut, est développé par je ne sais qui et qui contient je ne sais quoi, je ne suis pas prêt à le réinstaller sur le PC qui met sert à faire mes paiements bancaires et mes achats en ligne. Sans même évoquer le côté délire d’ingénieur IT et usine à gaz pas du tout ergonomique ou facile d’emploi et dans lequel il faut tout configurer au préalable pour n’avoir ne serait-ce que le FTP, mais ceci est un autre débat.

Et donc je me contente des services de Garmin (quand ils fonctionnent ), de Strava (pour le FTP=2 clics) et de mon tableau Excel.

Et surtout je ne traite pas les gens de Garmin, les développeurs bénévoles de Golden Cheetah ou d’autres de (je cite) « bande de branquignols » (une des rares choses que j’ai compris dans les propos de Gilles).

Et teamdindon : tu confonds la sécurité du cloud Garmin et la communication (ou plutôt l'absence) de Garmin.

A+
Cricri qui a eu une nuit pénible au boulot et qui est de mauvaise , désolé

Cricridamour écrit:

Et teamdindon : tu confonds la sécurité du cloud Garmin et la communication (ou plutôt l'absence) de Garmin.

C'est précisément le principe de la sécurité par l’obscurité.
Simples questions : à la date d'aujourd'hui, considères-tu que le cloud Garmin est sûr ? Est-il raisonnable d'y accéder avec le PC ou le téléphone qui te sert à faire tes paiements en ligne ?

teamdindon écrit:

Cricridamour écrit:

Et teamdindon : tu confonds la sécurité du cloud Garmin et la communication (ou plutôt l'absence) de Garmin.

C'est précisément le principe de la sécurité par l’obscurité.
Simples questions : à la date d'aujourd'hui, considères-tu que le cloud Garmin est sûr ? Est-il raisonnable d'y accéder avec le PC ou le téléphone qui te sert à faire tes paiements en ligne ?

De tout temps je n’ai jamais considéré comme sûr quoi que ce soit qui est relié au net ou qui vient du net.

Et cela date d’il y a longtemps : à mes débuts avec mon tout premier ordinateur, quand Gilles portait encore des couches culottes, j’avais été interpellé par le fait de recevoir un message me demandant de faire des mises à jour : ainsi donc quelqu’un quelque part sait quelle version de quel logiciel tourne sur ma machine et veut intervenir sur MON disque dur ? Mais tout le monde trouvait cela normal. Et tout le monde a suivi le mouvement. Alors j’ai fait comme tout le monde.

Donc pour moi rien qui soit relié de quelque façon que ce soit au web n’est sûr, même pour les équipements ou entreprises les plus sensibles, du genre des avions de combats pendant la première guerre du Golfe, des centrales nucléaires en Iran, laboratoire enquêtant sur les empoisonnements au polonium d’opposants russes, ou organisme étatique lié au commerce international de l’armement.

L’avenir, c’est le cloud parait-il. Mais où va-t-on ?

Depuis quelques temps, même mon entreprise, grosse boite d’importance systémique pour le pays je précise, loue des clouds extérieurs, et pire encore, des clouds dans des pays étrangers : AU SECOURS !

Mais quelques bonnes nouvelles quand même : le E-voting en Suisse a été mis en veilleuse, ad aeternam j’espère, suite à des tests de hacking réussis (ou ratés selon le point de vue).

En considérant cette évolution malheureusement inexorable, je ne vois pas pourquoi il faudrait stigmatiser en utilisant des termes comme « branquignols » les victimes de crapules. Car pour en revenir au cas Garmin, les fautifs ne sont pas chez Garmin, Garmin est une victime. Les vrais fautifs sont des malhonnêtes planqués dans l’ombre du net.

A+
Cricri

Pas besoin de oueb pour se faire arnaquer : pas plus tard qu'en juin, mon épouse s'est faite avoir par un vendeur d'une chaîne de magasins qu'elle pensait respectable, la F..C (les lettres manquantes sont un N et un A), elle a donné un RIB et signé un papier pour se faire rembourser 20€ pour l'achat de je-ne-sais-quel-gadget inutile. Sauf qu'elle a lu le papier ensuite et compris qu'elle avait signé une autorisation de prélèvement pour un contrat d'assurance multimédia ; elle a annulé le contrat dans les délais, ce qui n'a pas empêché les sociétés d'aller ponctionner nos comptes. 3 sociétés différentes, promues par les vendeurs de Darty et la FNAC (oups!, ça m'a échappé... ) depuis plus de 2 ans, et qui sévissent toujours en toute impunité.
www.quechoisir.org/action-ufc-que-choisir-assura...m-et-la-fnac-n58189/
www.quechoisir.org/enquete-assurances-multimedia...-tant-que-ca-n57629/
Bon, pour nous ça va, on a réagi en temps et en heure, ils ont commencé à recracher. Mais pour quelqu'un qui sait à peine lire ?
Renseignement pris, notre banque devrait nous prévenir à chaque nouvelle autorisation de prélèvement qui lui arrive et on devrait être avertis de chaque prélèvement. Donc notre banque est en tort et doit commencer par nous rembourser.
Ensuite on porte plainte ; à la gendarmerie on nous explique qu'elle ne peut pas être reçue, ils ne sont pas compétents pour les affaires commerciales. Mais nous on n'a rien acheté, et on porte plainte pour abus de confiance... ah m*rde, la gendarmerie va devoir nous recevoir...

Bref : je n'y connais rien en cloud, en failles de sécurité, en open source et tutti quanti : mais je fais instinctivement plus confiance en un groupe de citoyens qui me ressemblent et qui jouent cartes sur table (même si c'est un jeu de 56 256 cartes auquel je ne vois ni ne comprends rien) qu'en une firme dont le secret est une stratégie d'entreprise et qui se vante d'agir conformément aux lois. Je n'ai aucune garantie que le premier ne m'expose pas à des déboires, mais j'ai la certitude que la deuxième ne fera rien pour les éviter.

Vous aurez compris que j'utilise Golden Cheetah ...

Moi, j'utilise Garmin Connect et Golden Cheetah, comme ça pas de jaloux, je prends les failles de sécurité des deux côtés

stam écrit:

je fais instinctivement plus confiance en un groupe de citoyens qui me ressemblent et qui jouent cartes sur table (même si c'est un jeu de 56 256 cartes auquel je ne vois ni ne comprends rien) qu'en une firme dont le secret est une stratégie d'entreprise et qui se vante d'agir conformément aux lois. Je n'ai aucune garantie que le premier ne m'expose pas à des déboires, mais j'ai la certitude que la deuxième ne fera rien pour les éviter.

Oui, j’entends bien et je partage ton point de vue dans les grandes lignes. Moi aussi j’ai tendance à plus faire confiance à une petite entreprise locale qu’à une grande multinationale. C’est notre côté Robin des Bois, on veut tous instinctivement lutter contre les puissants, d’autant plus si les puissants sont une grande entreprise US. Ceci à tort ou à raison, la malhonnêteté n’étant pas une question de taille ni de nationalité.

Mais attention au choix des mots, attention au renversement des valeurs.

Garmin « se vante de respecter les lois » signifie-t-il pour toi qu’il (qu’elle) ne le fait pas ?

Le secret ? Eh bien oui, le secret des affaires est le propre… des affaires. Ce qui n’empêche pas de facto que les affaires soient honnêtes, ou pas. Une affaire confidentielle n’est pas forcément par définition une magouille.

Lorsque Gilles dans le tout premier message traite Garmin (= la victime) de « bande de branquignols » (ouais, je l’ai vraiment pas aimé celle-là ), je ne peux m’empêcher d’y voir une analogie avec la malheureuse victime d’un rapt suivi d’un viol à qui l’on dit qu’elle l’a bien cherché, qu’il ne fallait pas s’habiller de manière aussi provoquante ni de se promener dans cet endroit à cette heure. On rejette la faute sur la victime.

Et dans le cas présent, Garmin, toute grande entreprise multinationale honnête ou pas qu’elle soit, n’est pas le vilain méchant. Le vrai vilain méchant de l’histoire est le petit « groupe de citoyens » qui rançonnent une grande entreprise et prennent en otage des millions d’utilisateurs.

A+
Cricri

Garmin « se vante de respecter les lois » signifie-t-il pour toi qu’il (qu’elle) ne le fait pas ?

Si si, je suis convaincu qu'elle le fait, en tout cas de manière défendable devant un tribunal, comme tous ceux qui nous font accepter les cookies en proclamant "nous respectons votre vie privée" ; c'est-à-dire en flirtant en permanence avec les limites du droit. Les lois sont tellement poreuses que les respecter n'est en soi pas un motif de fierté, à mes yeux...
Dans l'article de nakan.ch mis en lien plus haut, je trouve bien écrit le fait que l'hébergement dans le cloud révèle à lui seul l'une des finalités : disposer de méga bases de données utilisables à des fins commerciales, médicales...

cyberguerre.numerama.com/6765-garmin-a-paye-ses-...cest-tres-grave.html

Si avéré c'est beaucoup plus inquiétant!

pym34 écrit:

cyberguerre.numerama.com/6765-garmin-a-paye-ses-...cest-tres-grave.html

Si avéré c'est beaucoup plus inquiétant!

Oui si avéré, c’est vraiment inquiétant pour la suite.
Après, j’imagine que c’est un vrai dilemme comme choix, même si je pense que pour ma part, payer est certainement une mauvaise idée.

C'est un calcul financier très simple : à partir de quel délai d'indisponibilité des services web Garmin le coût engendré est supérieur à la rançon demandée ?
Si c'est une semaine (par exemple) alors Garmin paie les hackers pour se sortir de l'ornière et arrêter les frais... c'est évidemment très discutable car ces derniers n'hésiteront pas à ré-attaquer (puisque c'est rentable pour eux), mais c'est logique.

Il n'y a pas que les services Web de Garmin qui sont en panne
Le SAV aussi, voilà une semaine que j'essaie de les avoir au téléphone, pas moyen ou alors ils t'annoncent 30 minutes d'attente.

Du coup, je me tourne vers vous les gars.
J'ai un Edge 520, mais je roule dans des coins où je perds souvent la réception satellite, du coup à l'arrivée ma distance, ma moyenne et mon parcours sont tronqués.
J'ai acheté un capteur Speed 2 à monter autour du moyeu avant.
J'ai couplé le tout sur mon téléphone en Bluetooth
Jusque là tout va bien, tout est détecté (cadenceur de pédalage et vitesse et téléphone)
Le transfert sitôt l'entrainement terminé se fait parfaitement sur la plateforme Garmin Connect
SAUF QUE sur le calendrier, j'ai deux sorties le même jour
Exemple, le matin avant le boulot je fais 45 à 50 km sur route
J'ai bien la sortie route dans son intégralité avec la carte, le tracé, les pulses, la cadence etc.etc. le truc complet
et j'ai aussi un rapport qui est celui du capteur de vitesse qui apparait
POURQUOI ???? pourquoi n'est-il pas avec le GPS ??? Du coup ça me rajoute des km et des heures à ma sortie du jour
Je suis obligé de supprimer ce rapport après chaque sortie.

suis-je assez clair ??

Stef