Dans le principe, je comprend l’idée. En pratique, ça ne vaut rien niveau sécurité. Ca ralenti les personnes qui souhaiteraient tricher, mais rien de plus.
Le fait que GPSdump puisse signer une trace par exemple, ça ne vaut rien, car je peux injecter n’importe quelle trace à GPSdump, qui me la signera sans broncher (il utilise une connexion série, y’a rien de plus simple pour bidouiller).
Ensuite, si GPSdump signe une trace, il y a de forte chance que la clé de chiffrement et l’algo soient fournis avec le logiciel :mrgreen: Donc un peu de temps pour regarder comment ça se passe dedans et on peut extraire ces infos, qui permettront de signer n’importe quoi.
Enfin, dernier niveau, la vérification par la FAI. En fait, la FAI ne se soucis pas du “comment” chaque fournisseur signe. Chaque fournisseur fournit à la FAI un programme qui à partir d’une trace va répondre “oui” ou “non”: aucun prérequis sur le comment. Si un fournisseur (gpsdump ou autre) implante son truc avec les pieds, ça va rendre la tâche simple aux tricheurs.
Tom Payne (encore lui!) en a déjà parlé sur pgf et il a fait un proto qui est basé sur la crypto à clé publique (http://www.paraglidingforum.com/viewtopic.php?p=195555 https://github.com/twpayne/g-record ). Mais comme il le dit, il y a un moment où il faut donner la clé de chiffrement avec le programme qui va signer les traces: niveau sécurité, c’est 0. Quelqu’un d’un poil motivé trouvera très rapidement le moyen d’abuser la chose.
Pour faire un parallèle, c’est la même chose que souhaitent les majors du cinéma/musique: assurer que si quelqu’un achète un DVD/Blueray/CD, il ne pourra pas le copier. Pour ça, il faut construire un chemin complètement sécurisé depuis le matériel jusqu’au logiciel. A partir du moment où tu (utilisateurs) peut regarder ce qu’il se passe, c’est perdu (pour eux). L’histoire récente a plein d’exemple d’échec (DeCSS, Blueray, DRM, …). Et vu comment ça dépote sur les sites de téléchargement de films et musiques, je crois qu’ils ont pas encore trouvé de solution qui fonctionne :clown:
A part en imposant une config matérielle et logicielle, ça va être difficile de garder cette méthode (genre le GPS de la marque X, connecté à un ordi avec Windows 7 via un port machin chose, en utilisant le logiciel truc, le tout sur une machine qui possède la matériel nécessaire (rare: http://en.wikipedia.org/wiki/Trusted_Platform_Module )).
J’avais même penser proposer ça en stage pour des étudiants, car très bon exercice (rétro-ingénierie de logiciel, extraction d’info “cachée”, etc). Pas eu le temps pour l’instant, mais cet été peut être.