Cloud : le diable est dans les détails

CGU, sécurité, confidentialité, édition en ligne, stockage maximal

Cet article est le troisième d’une série de trois sur les solutions de Cloud. Les deux premiers :

• Mettre ses fichiers ou ceux d’un groupe dans le cloud : quelle application choisir ?
• Drive, GMail, etc. : les problèmes d’utilisabilité du cloud Google.

Pourquoi rappeler cette formule anglo-saxonne "Le diable est dans les détails" [1] à propos des solutions de cloud (stockage, partage et synchronisation de fichiers en ligne) ?

Parce que quasiment aucun des articles cités dans notre première partie ne mentionne certains points-clés.

Ces points sont pourtant incontournables : ils expliquent notre hésitation entre Google et Dropbox pour choisir la solution de cloud pour un groupe de travail d’une quinzaine de personnes [2].

Les voici.

Edition en ligne des documents

– Le tout récent partenariat Dropbox Microsoft [3] ne permettra pas de modifier directement en ligne ses fichiers hébergés sur Dropbox. En effet, seul l’iPad est concerné [4] pour le moment et de toute façon il n’est question que d’ouvrir les documents, pas de les "éditer".
Les solutions Microsoft et Google, permettent, elles, de modifier en ligne les documents.

Sécurité, confidentialité

– Les grands clouds "lisent" souvent vos documents :

• Microsoft et Apple vérifient que rien dans vos fichiers n’est illégal. C’est implicite dans leurs CGU (en anglais : TOS) [5]
• détaillons le cas de Google : les conditions générales d’utilisation de Google (un contrat qui vous engage donc ; "terms of service" ou TOS en anglais) lui donnent le droit de parcourir informatiquement/lire tout mail ou document présent sur ses services et de produire des produits dérivés de vos oeuvres/documents [6] — sans toutefois violer ses propres engagements de confidentialité.
  Rappelons également que Google a été condamné par la CNIL (en janvier 2014) et par ses consoeurs européennes pour « ne pas informer suffisamment ses utilisateurs des conditions et finalités de traitement de leurs données personnelles » [7].

– Attaques et failles de sécurité :

• Dropbox a été à plusieurs reprises confronté à des failles de sécurité massives [8]. Et la tendance de ses utilisateurs à partager leurs fichiers et dossiers entre eux "à la chaîne" entraîne immanquablement des risques pour vos fichiers à vous
• l’iCloud d’Apple aussi a été récemment attaqué.

– Peu de ces services gratuits cryptent vos données sur leurs serveurs de manière à les rendre illisibles en cas problème de sécurité ou de curiosité gouvernementale. Encore moins les cryptent côté client. Comme l’explique le site de l’éditeur Techniques de l’Ingénieur, « la plupart des services ont intégré le chiffrement des données dans leur technologie. Les données stockées sur Google Drive et OneDrive sont chiffrées lors de leur transfert vers les serveurs. Mais une fois dans le Cloud, ces données sont stockées en clair — sauf pour la version professionnelle de OneDrive. Dropbox, Box [et Mega] chiffrent les données stockées, mais détiennent les clés de chiffrement, ce qui leur permet d’accéder aux données des utilisateurs, même chiffrées. » [9]
Exceptions : Spideroak [10] qui crypte les données sans en stocker la clé chez lui [11]. Ce qu’on appelle du "zero-knowledge data storage" : personne d’autre que vous ne connaît le mot de passe, mais si vous le perdez, vous perdez vos données. Autres services encryptés de bout en bout : Tresorit et SecureSafe (voir notre article Mettre ses fichiers ou ceux d’un groupe dans le cloud : quelle application choisir ?).
Si le service que vous utilisez n’encrypte pas les données sur ses serveurs, vous pouvez le faire vous-mêmes si vous l’estimez nécessaire. Un ancien du service de messagerie cryptée Hushmail recommande [12] le logiciel TrueCrypt (il rend toutefois la synchronisation des fichiers quasi-impossible) et surtout le service allemand [13] (également disponible sur mobile) BoxCryptor (gratuit pour un usage personnel, donc sans partage de fichiers) pour le cloud et Hushmail pour le webmail ou PGP pour le mail (Pretty Good Privacy, voir GnuPG dit GPG et le module Enigmail pour Thunderbird [14] désormais, PGP étant désormais vendu par Symantec).
Un article de SiliconAngle [15] cite deux autres solutions gratuites de cryptage dans le cloud : Cloudfogger et Viivo (et deux solutions payantes).

Fichiers supprimés et anciennes versions

– La plupart de ces services gratuits ne gardent aucune version antérieure des documents modifiés ni ne permettent de récupérer un fichier supprimé.
Exceptions : Dropbox qui pendant 30 jours garde les versions anciennes et les fichiers supprimés, Google Drive qui garde 30 jours les anciennes versions seulement et Box qui garde juste les versions anciennes (mais ne permet pas de récupérer un fichier supprimé, sauf intervention par le support).

– OneDrive de Microsoft supprimera vos données après un an de non utilisation de votre compte [16].

Il faut relativiser cette limite : avec la plupart des clouds, la Corbeille Windows garde les anciens fichiers supprimés et permet de les récupérer.

Taille de stockage maximale des offres gratuites

– Dans les 15 Go offerts par Google, les photos de moins de 2048 x 2048 et vidéos de moins de 15 mn sont exclus du calcul, mais pas l’espace pris par vos mails et surtout les pièces jointes.

– Il est possible sans trop de difficultés d’augmenter le maximum officiel des offres gratuites de stockage, mais pas de travailler en groupe dessus si c’est par combinaison de solutions différentes :

• utiliser les Go supplémentaires offerts pour les parrainages de nouveaux utilisateurs, particulièrement chez Dropbox où on peut arriver au total à 22 Go gratuits
• utiliser plusieurs solutions de cloud séparément. Serge Paulus, par exemple, arrive ainsi à 75 Go gratuits [17]
• il existe aussi une solution gratuite pour gérer Dropbox, Box, OneDrive, Google Drive et d’autres depuis un seul service : MultCloud [18]
• in fine, surtout si on gère un groupe important (plus de 10 personnes) pour des besoins professionnels, il est recommandé de passer à une offre Pro payante. Non seulement pour partager sans problème mais aussi pour augmenter la sécurité (niveaux d’accès différenciés etc.).