C’est clair que la première fois que j’ai lu la page wikipedia je suis partit en courant 
Par chance j’ai travaillé avec une personne qui m’a montré le principe et j’ai trouvé ça très abordable. J’ai aussi compris que ça allait beaucoup me faciliter la vie parce que je n’aurais pas à me protéger d’adversaires hypothétiques. Par exemple je ne veux pas que la NSA archive mes données donc je chiffre mes échanges, c’est pas du fantasme, on a des preuves 
Mais je ne vais pas me protéger contre une attaque ciblée de la NSA qui cherche a rentrer sur mon système parce que bon, faut quand même voir les choses en face, les chances qu’ils s’intéressent à moi spécialement… ce serait flatteur je dis pas mais j’ai des doutes.
Pour être plus concret, à l’échelle d’un CHATONS il peut être suffisant de faire une liste des menaces avec une grille du genre (je m’inspire de SecureDrop en traduisant). A la fin ça donne un tableur et on peut prendre les menaces les plus prioritaires et y travailler. Soit en installant des logiciels, soit en changeant les méthodes, souvent un mix des deux.
Modèle de menace
Il s’agit de faire méthodiquement la liste des risques. Pour commencer on peut mettre tout ce qui nous passe par la tête, sans trier. Et ensuite on prend chaque risque l’un après l’autre et on se demande s’il nous concerne vraiment et ce qu’on pourrait faire pour s’en prémunir.
Comme ça prend très longtemps d’être exhaustif et qu’il faut mettre ce modèle à jour régulièrement, ça vaut le coup de trier les risques les plus importants et de s’en occuper en premier. Même si on arrive pas au bout du modèle de menace, on est au moins rassuré sur le fait qu’on s’est occupé du plus pressé au lieu de se disperser dans toutes les directions.
Définir a quoi s’applique le modèle de menace
Il n’est pas possible de faire un modèle de menace abstrait, c’est un exercice pratique qui s’applique à un cas concret.
Par exemple, on peut imaginer faire un modèle de menace pour un CHATONS qui fournit un service Wekan ouvert au public. La menace pourrait porter sur l’extraction des données des utilisateurs qui sont sur ce service. Mais on pourrait, aussi à titre d’exemple, ne pas s’intéresser à ce qui pourrait rendre le service indisponible.
Evaluer la menace
Chaque menace a deux notes. Une note de base qui est calculé sans prendre en compte les parades mises en place. La not ajustée prend en compte les parades, qu’elles soient dans l’infrastructure ou dans le logiciel. On s’interesse en priorité aux menaces qui ont la note ajustée la plus forte.
Description de l’attaque
On décrit l’attaque sous la forme d’une action réalisée par un adversaire. Par exemple: Un code malicieux exposant les données des utilisateurs est injecté sur le service Wekan en exploitant une vulnérabilité de Wekan..
Impact
Quel est l’impact pour la confidentialité des données lorsque l’attaque est réussie ? La valeur peut être: faible, moyen, fort. Par exemple: Fort car un code malicieux peut extraire toutes les données.
Probabilité de réalisation
Quel est l’effort et la sophistication nécessaire pour que l’adversaire exploite avec succès cette attaque ? La valeur peut être: faible, moyenne, forte. Par exemple: Faible car Wekan est peu connu et un adversaire devrait non seulement chercher la vulnérabilité mais aussi trouver le moyen de l’exploiter. Il n’y a pas de CVE pour Wekan ni de mises à jour de sécurité sur une version stable, ce qui augmente la probabilité de réalisation mais peut etre pas tant que ça.
Note de base
Une note entre 1 et 5 que l’on attribue en comparant les menaces et en reflechissant à leur impact et leur probabilité de réalisation. Plus l’impact et important et plus la probabilité de réalisation est forte, plus la note est élevée. On peut élargir l’intervalle si besoin mais quand on a une liste de moins de cent menaces, c’est probablement suffisant. Par exemple: 4 parce que l’impact est vraiment important, même si la probabilité de réalisation est faible.
Les acteurs
C’est une liste des adversaires qui sont susceptibles de réaliser l’attaque et des personnes ou organisations qui pourraient contribuer à la réalisation d’une attaque. On distingue l’adversaire qui a la volonté de nuire d’une personne ou organisation qui réaliserait le risque par accident. Par exemple: Cracker par jeu, forces de l’ordre dans le cadre d’une enquête parce que le CHATONS n’a pas répondu à la demande de communiquer les données. Pour illustrer le cas ou une personne réalise une menace de fuite des données qui sont sous Wekan on peut aussi citer le fait de rendre public par accident un tableau wekan qui n’aurait pas du l’être.
Parades
Quelles parades sont mises en oeuvre pour réduire l’impact ou la probabilité de réalisation de l’attaque ? Par exemple: Wekan est mis à jour a chaque nouvelle version publiée par l’auteur. Il y a un risque de regression a faire cela mais cela rend le travail d’analyse d’un adversaire un peu plus compliqué. L’auteur de Wekan est incité a développer une politique de sécurité.
Il peut aussi être décidé de ne pas s’occuper de ce risque et de ne rien mettre en oeuvre. Pour reprendre l’exemple de l’utilisateur qui révèle involontairement un tableau au public, il y a bien réalisation d’un risque de fuite de données mais il n’est pas possible pour le CHATONS de déterminer s’il s’agit d’un accident ou non, on peut donc choisir de ne pas mettre en oeuvre une parade.
Parades possibles
Ce sont les parades auquelles on refléchit mais qui n’ont pas encore été mises en oeuvre.
Note ajustée
Une note entre 1 et 5 que l’on attribue en estimant l’efficacité des parades pour réduire la note de base. Par exemple: Les mises à jour régulières aident un peu mais pas tant que ça alors on passe de 4 à 3.
J’y vois une difficulté supplémentaire… qui est peut-être aussi paradoxalement un moyen de simplifier le problème. Tu ne vas pas sécuriser tous les services en ligne de la même façon. Ca dépend des risques auquels tu veux faire face. Dans le domaine qui m’intéresse, pour donner un exemple concret, c’est cohérent d’installer 
