Voila qu'on nous annonce l'apparition d'un virus capable d'infecter aussi bien Windows que Linux.

Je suis très sceptique sur la chose, car je ne vois pas bien quels sont les points communs, d'un point de vue script ou éxecution de binaires, bref, quels points communs il y a entre une station Linux et une station Windows.

Alors, à part avoir installé Perl ou Java sur les deux machines, comment est-ce possible ? Ou bien sont ce deux instances différentes de virus, qui ont le même nom ? Ou bien est-ce du pipeau ?

Bref, est ce possible ?

En passant, outre responsabiliser un utilisateur à faire gaffe à son installation, aux droits d'accès, aux ports ouverts, existe t-il un projet de "surveillance" d'un poste (une sorte d'antivirus/firewall avec des fonctions de base, histoire de faciliter la vie aux utilisateurs lambda) ?

Une nouvelle sur Slashdot avec une amusante pointe d'ironie, alors je me permets de la traduire directement.
"SSH communication Security Corp a annoncé hier sur Bugtraq que leur version commerciale de SSH 3.0.0 a un trou de sécurité. Techniquement ce n'est pas un accès root direct, mais pouvoir avoir un accès "adm", "daemon", ou "sys" n'est pas très bon quand même.
Etrangement, pas d'annonce sur leur site web. Si vous utilisez la version à $99 ou à $475, mettez à jour en version 3.0.1 maintenant car le trou est très simple à utiliser (...)
Si vous utilisez OpenSSH ou d'autres programmes pour lesquels vous n'avez pas payé, aucune inquietude à avoir."

L'algorithme PRNG (qui génère des nombres aléatoires) est vulnérable suite à une erreur de design, cela concerne TOUTES les versions d'openSSL. La dernière version 0.9.6b corrige le problème ...

Pour les serveurs de production, un patch est disponible couvrant les versions 0.9.5 et 0.9.6a

Il est en avance d'un mois et demi :)
Le hors-série sur la sécurité de LinuxMag est dans les kiosques.

Le sommaire :
Introduction :
- Introduction à la cryptographie
- Sécuriser un réseau hétérogène avec des outils libres

Sécurité des données :
- Virus : nous sommes concernés !
- Root-kit et intégrité
- Sécuriser ses connexions avec ssh

Sécurité des serveurs :
- Les attaques externes
- Le filtrage de paquets sous Linux
- Tests d'intrusion
- Détection et tolérance d'intrusions

Fiches techniques
- postfix
- bind
- proFTPD
- Apache

N'hésitez pas à nous envoyer vos commentaires, tant sur la forme que le fond.

En gros, le projet PROTOS permet de tester les différentes implémentations de service d'annuaire de type LDAP vis à vis de différents types de paquets mal formés ou contenant des données non attendues. Ce type de vulnérabilité peut permettre des accès non autorisés ou bien des attaques de type DoS.

On a entre autre comme système affecté : OpenLDAP, 1.x avant la version 1.2.12 et 2.x avant la version 2.0.8

Bien sûr les implémentations commerciales sont aussi affectées.

Pour plus d'infos allez voir le lien

Il semblerait que les publications des communautés de sécurité informatique ne fassent pas l'unanimité :
Anti Security s'oppose à la publication des failles systeme et plus particulierement à la diffusion d'exploits comme la fameuse liste Bugtraq en pronant l'anti-disclosure.

Morceaux choisis :
[Ces listes de diffusion] ont fait plus de mal a l'underground et au Net qu'ils n'ont fait pour les aider. Car ils mettent a la porte de gamins des outils devastateurs.
...
Comme des munitions, allant de la cryptographie, des armes a feu, aux missiles, les exploits ne doivent pas etre diffuses publiquements
...
A chaque publication d'exploit sur bugtraq, un holocauste digital peut etre cree, et beaucoup de gamins utilisent ces informations pour attaquer des systemes non prepares.

On croit réver...
Le principal intérêt de ces listes réside JUSTEMENT dans la découverte de ces failles et du danger qu'elles représentent pour mieux en parrer toute éventuelle attaque.

Comment pourrait-on améliorer un systeme sans connaitre, diffuser et corriger les bugs qui l'affaiblissent et leur(s) exploitation(s) possible(s) ?

L'existance d'attaques sur un "systeme non préparé" (comme ils disent) démontre, à mon avis, plus le manque de suivi du développement et/ou un grave probleme dans l'administration du systeme, plutot qu'un risque d'holocaust digital (pff)....

Les 2 projets de détection d'intrusion, Prelude et Trithème, viennent à l'occasion du Libre Software Meeting, de décider de fusionner leurs projets respectifs afin d'optimiser les compétences de développement et les capacités du logiciel qui résultera de cette coopération (qui conservera le nom Prelude). L'équipe de Trithème apportera ses connaissances en matière d'architecture distribuée, de corrélation à long terme et non linéaire, de fonctions host-based -- notamment dans un premier temps le logging centralisé à partir de capteurs distribués, de contre-mesures et de processus de réponse automatisés, et enfin participera au développement d'une console admin tout cela profitant de l'architecture fortement modulaire de Prelude afin de l'étendre de manière distribuée vers des capacités hybrides et d'aide à la décision. Les deux équipes de développement se rejoindront sous peu en conservant un fonctionnement coopératif et libre.
Toutes ces améliorations se feront donc de manière totalement transparentes pour les utilisateurs et seront intégrées au cours des futures versions de Prelude.

Pour rappel, Prelude est un système de détection d'intrusion écrit à partir de zéro en C et développé depuis 3 ans. Prelude est distribué sous la licence GPL.
La prochaine version de Prelude (0.4) incluera un moteur de signature capable de lire l'ensemble des règles Snort.

De plus, des tests d'utilisation CPU ont été effectué avec un traffic "normal" sur le réseau de l'UAB. Celui-ci avait un débit oscillant entre 300KBits/s et 9MBits/s. Alors que l'utilisation CPU était quasiment identique pour les deux produits pour des débits faibles, Snort utilisait plus de 33% CPU de plus que Prelude lorsque le débit approchait le MegaBits/s et jusqu'à plus de 300% pour des débits maximaux de 9MBits/s avec le même "ruleset".

Un article paru sur libé résume les résultats d'une étude anglaise sur le choix des mots de passe, étude faite sur un panel de 1200 personnes. Il en ressort 4 grandes familles d'utilisateur: les familiaux (47%) choisissent les noms de leurs proches ('ingrid', 'médor','jeankevinleboulet',...), les fans de stars (32%, 'homersimpsons', 'fabien',...), les obsessionnels (11%) utilisent des mots de passe qui reflètent leur orientation sexuelle ('prendsmoisurlegravier','nutella',...), et enfin les crypteurs (9%) qui utilisent de vrais mots de passe.
Là où ça dérape un peu, c'est quand [libé nous dit que] les crypteurs s'échinent à mettre au point des formules incassables, mais en pure perte selon les experts.

C'est officiel la nouvelle version de Bastille Linux (ensemble de scripts permettants de renforcer la sécurité de systèmes à base de Linux) vient de sortir.

Le but est de simplifier et d'automatiser l'administration de systèmes Linux.

L'équipe de MandrakeSoft a travaillé sur la réalisation de l'interface graphique.

Voici les nouvelles fonctionnalitées de Bastille Linux :
- La distribution Red Hat est maintenant supporté pour les versions 6.0 à 7.1, ainsi que la Mandrake pour les versions 6.0 à 8.0
- Pour les nouveaux utilisateurs, une interface graphique a été ajoutée
- Cette nouvelle mouture supporte à présent iptables (inclus dans les noyaux 2.4) pour la gestion des règles de Firewalling

Sur le site de la CIA l'on trouve une analyse très intéressante des dangers auxquels les réseaux informatiques des USA et par extension une bonne partie des pays développés vont devoir faire face dans les années à venir. Parmis les entités hostiles l'on trouve non seulement les Hackers, les Hacktivistes mais aussi le crime organisé et les espions industriels sans compter les terroristes et certains gouvernements.

Un trou de sécurité important qui permet à un utilisateur mal intentionné d'obtenir un accès root sur la machine cible a été découvert.
Toutes les versions de Samba sont concernées.

L'erreur est présente dans la directive 'log file' du fichier de configuration smb.conf à cause d'une erreur d'interprétation d'une macro (%m).

Votre machine est vulnérable si vous avez une option log file du type suivant:
log file = /var/log/samba/%m.log
log file = /var/log/samba/%m

Votre machine n'est pas vulnérable si vous avez ceci:
log file = /var/log/samba/log.%m

Il est recommandé aux personnes concernées d'éditer le fichier smb.conf en attendant la sortie imminente d'une nouvelle version de Samba qui corrigera cette faille.

UPDATE: 23 Juin, Samba 2.2.0a et Samba 2.0.10 sont disponibles, et corrigent cette alerte.

Dès l'instant ou vous avez un système qui utilise SNMP, vous pouvez le surveiller et avec mtrg générer des rapports accessibles par le Web. C'est ce que l'on vous propose de réaliser chez OReilly. Bonne lecture.

L'Union Européenne réfléchit actuellement à un texte permettant l'écoute de tous les réseaux (téléphonique RTC, GMS, UTMS, de données, etc). Pour le moment le texte semble plutôt liberticide.
Libération a publié deux articles sur le sujet.

La société française MatraNet vient de sortir M>Manager 2.0 !
Ce proxy tendrait à restreindre l'acces à internet.

Big Brother is Watching you :( PS : perso je ne pensais pas que MatraNet écrivait encore des Logiciels !

Entre humour et sécurité :

Voici un article sur cnet qui parle d'un nouveau "worm" pour Linux.
Ce vers a une particularité unique : il guérit (du moins, il essaye de guérir) votre système si ce dernier est vulnérable aux autres vers et/ou à certains 'rootshell'.
L'intention est louable.. (à mon avis)
Comme dirait le gars qui a posté l'info sur slashdot : "qu'est-ce qu'ils attendent pour faire un vers qui désactive vbs sous outlook ?" =]

Apparement, il y avait une importance breche de sécurité sur SourceForge qui a obligé les admins à fermer les accès pour "maintenance imprévue". Extrait de l'email recu par les utilisateurs:

"[...] The SourceForge team takes security very seriously. This week, one of our systems was compromised. We have promptly taken the necessary steps to correct this situation.

You have been contacted, because according to our log files, you have used SourceForge during the past week and may have used the system that was compromised. In order to complete the security fix, we are asking all users who used the system to change their password immediately. We've reset your password to a randomly generated string."

Lu sur Bugtraq: on peut "écouter" à distance la souris et le clavier sans fil Logitech. Ce qui met à la portée de tout le monde l'espionnage! Car la version "haute-technologie", qui marche avec tous les PC, est TEMPEST, via l'écoute des émanations des moniteurs, demande un peu plus de materiel.

Après Cheese Worm, le virus qui patche votre machine, voici le virus qui a pour but de saturer Echelon...
Avant échelon, ce sont nos MX qui vont encore faire la gueule.

Si l'on en croit cet article de libération, nos chers modems Alcatel ADSL ont une backdoor. Le découvreur de cette "fonctionalité" n'est pas exactement un plaisantin puisqu'il a largement contribué à l'arrestation d'un certain Kevin M.

En complément de l'article du 15 mai, un autre script de configuration pour la partie firewall (netfilter) du noyau 2.4.

Ce script, très complet, suppose une connexion PPP, un réseau local et une DMZ. Cependant, une adaptation à ses propres besoins est relativement aisée.

Amanda est un système très sophistiqué qui organise les backups même ceux de Windows, en somme toute le rêve pour un admin.

Malheureusement la doc laisse à désirer, et la configuration d'Amanda est un véritable cauchemar.

Linuxsecurity.com présente un lien vers un très bon article sur Amanda.

Un article sur iptables avec un script de configuration "dynamique"

Vu sur linuxsecurity.com

Note du modérateur : script clair et détaillé, qui peut en inspirer plus d'un pour s'écrire ses propres scripts...

Le ministère des finances commence à mettre en oeuvre des procédures de déclaration et paiement en ligne de certaines taxes & impots, comme teletva pour la TVA.

Pour y participer, il faut bien sur une clef publique, à la norme X509 mais surtout reconnue officiellement : en créer une c'est facile et gratuit par openssl mais il faut pour s'en servir pour les impots qu'elle soit absoluement passée par une autorité de certification... elle payante.

Joli business plan : "./openssl x509 ...."

Ne serait-il pas plus simple et plus facile de créer son certificat et d'en donner une copie au ministère ? Avec pgp ou gpg on met sa clef sur un site public et tout est si simple.... Pourquoi ne pas faire sinon une asso 1901 de certification ? Ou pourquoi ne pas tout simplement se servir d'une structure existante comme les mairies, qui font déjà cette certification pour la demande de carte d'identité ?

Lorsque un acte gratuit comme la création de certificats devient un business de l'aveu même du ministère ("faisant appel à des autorités de certification du marché, dans un esprit d?ouverture favorisant la concurrence.") qui privatise une mission de service public, ce n'est pas dans le plus grand intérêt des contribuables...

Lu sur infoguerre.com :
"Selon transfert.net, un groupe de hackers " the cult of the death cow " a annoncé le lancement lors du prochain Defcon de juillet 2001, d'un navigateur qui permettrait de surfer anonymement: Peekabooty. (...)". La suite de l'article sur infoguerre.

Un "web agency" vient de sortir un rapport plutôt intéressant que pas mal de personnes qui affirment que "Internet est sûr" devraient lire. Ce n'est pas technique et tout le monde devrait comprendre (même le directeur marketing ;-)
Voici les points testés :
1. Utilisation de SSL
2. Niveau de cryptographie : taille de la clé
3. Date des certificats
4. Informations sur le cryptage
5. Début du cryptage
6. Vérification de la cryptographie

Je cite un extrait de la conclusion :
« Ces résultats permettent de souligner que la majorité des sites de e-commerce, de banque et de bourse français n'intègrent pas la confiance dans leur stratégie Internet. Ils négligent les attentes des internautes en matière de sécurité et de protection de leur vie privée.
Cette négligence s'exprime :
- dans des choix techniques laxistes en matière de sécurité (cryptographie à 40 bits plutôt qu'à 128, cryptage des informations de carte bancaire au détriment des autres informations personnelles) ;
- dans l'absence de pédagogie qu'ils mettent en place pour compenser l'inquiétude des internautes liées à Internet, ;
- dans un design qui déroute l'internaute et l'empêche de vérifier facilement la sécurité du site.

Les sites des banques, qui pourtant devraient montrer l'exemple dans ce domaine, font preuve d'un laxisme paradoxal.»

A lire avant de faire des achats en ligne ...