Un journaliste de RootPrompt (Noel) s'intéresse à la logique de
sécurité OpenBSD et la compare aux distributions Linux.

NdM. : cette dépêche a été initialement publiée le 31/08/2000 à 12h20, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Le laboratoire LACO (Laboratoire d'Arithmétique, de Calcul Formel et d'Optimisation), dans le cadre de ses formations Cryptis (masters en cryptologie et sécurité de l'information de l'Université de Limoges), organise sa 6ème journée sur le thème de la sécurité de l'information.

Cette manifestation, organisée à Limoges le 25 novembre, aura lieu sur le campus de La Borie. Le colloque est d'accès libre mais sur inscription.

Authentic, sous licence GNU GPL, est un fournisseur d'identité Liberty Alliance. Il permet de créer un cercle de confiance au sein duquel les échanges sont facilités et sécurisés. Il fournit le Single Sign-On (SSO), le Single Logout (SLO), l'échange d'attribut et il se paramètre aisément.

Ses principales fonctionnalités :

• Support des protocoles ID-FF 1.2, ID-WSF et SAML 2.0
• Support de bases d'utilisateurs variées : LDAP V3, Postgresql, MySQL
• Proxy : Authentic peut se comporter comme un proxy, redirigeant les requêtes des fournisseurs de services vers d'autres fournisseurs d'identités.
• Partage d'attributs : il permet le partage d'attributs d'identité en utilisant ID-WSF.

Sa compatibilité Liberty Alliance repose sur Lasso, bibliothèque certifiée par le consortium en mai 2005. Authentic implémente toutes les fonctionnalités requises par la matrice de compatibilité de Liberty Alliance.

Damien Miller accorde une interview pour Security Focus et nous parle des nouveautés pour openSSH 4.3 à venir ainsi que de protocoles de cryptologie.

La grosse nouveauté de cette version est le support d'un protocole VPN.

Damien Miller donne aussi une illustration du problème posé par les brevets logiciels qui "protègent" les protocoles basés sur la théorie des courbes elliptiques.

Dans le cadre d'un dossier d'une dizaine de pages, vous trouverez un tutoriel sur la sécurité du protocole de communication sans-fil Bluetooth reprenant les attaques déjà connues (Helomoto, Bluebug, etc etc ...). Vous y trouverez également la première version diffusée par Secuobs d'un utilitaire (BSS - Bluetooth Stack Smasher) destiné à tester la sécurité de ce protocole.

D'après les tests effectués par l'équipe de ce site, plusieurs éléments mobiles sont faillibles aux opérations de fuzzing. Cet utilitaire développé par Pierre Betouin de la société Infratech a été placé sous licence GPL.

On notera parmi les résultats la présence d'un Déni de Service dans la version 1.29 de hcidump, mais également dans la pile Bluetooth de plusieurs téléphones portables des marques Sony/Ericsson, Samsung et Nokia. Les fonctions Bluetooth avaient été activées, ce qui n'est pas le cas par défaut sur ces appareils.

Une interview sympa de V Venema ( auteur de Postfix, tcpwrapper, SATAN
….)
Ca cause de sécurité, IPV6 et de l'avenir de Postfix.
C'est du mois d'avril mais c'est sympa.

NdM. : cette dépêche a été initialement publiée le 31/08/2000 à 11h27, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Une nouvelle version majeure de nmap est disponible depuis ce lundi 30 janvier. Securityfocus en a profité pour interviewer son principal auteur, Fyodor.

nmap [1] est un outil distribué sous licence GPL permettant d'explorer et d'auditer la sécurité d'un réseau.

La dernière version importante était la 3.50, et le nombre de modifications/ajouts/corrections apportés depuis donne une taille très impressionnante au changelog [2].

John The Ripper est un logiciel de “cassage” de mot de passe, permettant aux administrateurs de sensibiliser les utilisateurs au bon choix de leurs mots de passe, disponible pour de nombreux systèmes Unix, DOS, Windows, BeOS et OpenVMS. Son principal objectif est de repérer les mauvais mots de passe.

Après plusieurs années de développement pendant lesquelles seules des “snapshots” ont été publiés, la version 1.7 vient d’être livrée [1].

John the Ripper permet aussi bien les attaques en force brute (recherche d’un mot de passe par le test de l’ensemble des combinaisons possibles) que les attaques par dictionnaire (test des différents mots présents dans une liste). Il est aussi possible de réaliser une attaque par dictionnaire étendue : utilisation des mots d’un dictionnaire et de variantes de ces mots fabriquées par des règles simples (passage majuscule/minuscule, insertion de chiffres, etc.).

Dans l'optique du "cassage" d'un mot de passe, une solution encore plus rapide peut être l’utilisation des “Rainbowtables”. Ces tables, bien que non exhaustives, contiennent un grand nombre de hashs précalculés, ce qui facilite grandement la recherche. C’est bien entendu très gourmand en espace mémoire, mais le gain en temps de recherche est considérable. Plus de détails sur les compromis temps/mémoire sont accessibles ici : [4]. Bien entendu, chacune de ces tables n’est valable que pour une longueur maximale et un jeu de caractère donné. De plus, certains systèmes (typiquement, les OS Unix/Linux) utilisent un “grain de sel”, c’est à dire une fonction simple choisie aléatoirement avec laquelle est traitée le hash du mot de passe. L’utilisation des Rainbowtables devient inefficace sur ces systèmes et le recours à John the Ripper ou un logiciel similaire est alors la seule solution.

On peut en profiter pour citer APG [3], un générateur de “bon” mot de passe, qui donne aussi un moyen mnémotechnique pour les retenir.

Utilitaire pour l'exploration des réseaux, AutoScan est une application GTK+2 affichant la liste des équipements connectés au réseau.

Les principales fonctionnalités sont :

• La détection du système d'exploitation
  
• La découverte automatique du réseau
  
• Un scanneur de ports
  
• Un client Nessus
  
• Possibilité d'enregistrer et de restaurer l'état du réseau
  
• Navigateur de partages Samba

Des paquets existent pour Ubuntu, Mandriva, Debian et Fedora. Une version pour le nokia 770 existe aussi.

La branche 1.0 de Nuface, l'interface web de gestion de pare-feu, est à présent disponible.
Nuface utilise une modélisation XML de haut niveau pour représenter les objets réseaux, les utilisateurs, les protocoles... et permet d'agglomérer ces objets en ACLs.
Cette modélisation permet à Nuface d'être extensible au delà de Netfilter ou NuFW (pare-feu qui "voit" les utilisateurs).
Les nouveautés de la branche 1.0 sur 0.9 sont :

• Support du NAT ajouté
  
• Nuface gère à présent les règles concernant le pare-feu lui-même, pas seulement pour les paquets qui traversent le pare-feu.
  
• Amélioration de l'ergonomie de l'interface
  
• Anti-spoofing intégré

Philip Zimmermann, le créateur de PGP vient de créer Zfone, un projet de protocole et de logiciel visant à sécuriser les communications VoIP basées sur le protocole standard ouvert SIP. La première version beta fonctionne uniquement sous Linux et Mac OS X.

Basé sur un système de clés, Zfone détecte quand la communication est initialisée et génère une paire de clés entre les deux parties. Le chiffrement et le déchiffrement de la communication sont effectués à la volée. De plus, une petite interface graphique ayant pour but d'informer l'utilisateur sur la sécurité de la communication a été créée.

Zfone devrait fonctionner avec la plupart des clients VoIP compatibles SIP tels que Ekiga, WengoPhone ou Gizmo. Le protocole Zfone devrait apparaître peu à peu en standard dans certains clients VoIP pour autant que la licence le permette. En effet, si les sources sont disponibles pour Linux (il faut fournir une adresse email pour pouvoir télécharger), la licence n'est pas encore déterminée. Certaines parties de code sont soumises à un copyright détenu par Phil Zimmermann & Associates LLC.

Note : La version Windows est annoncée pour mi-avril.

NdM : Merci à jcs d'avoir proposé une dépêche complémentaire.

Le « Challenge-SecuriTech » est un concours de sécurité informatique en ligne, gratuit et ouvert à tous, organisé par le mastère « Sécurité de l'information et des systèmes » de l'ESIEA. Sa quatrième édition commencera le samedi 29 avril 2006.

À partir du samedi 29 avril 2006 à 00h00, plus de 15 épreuves de sécurité vous seront proposées. Vous aurez alors trois semaines pour les résoudre. Elles couvriront de nombreux aspects de la sécurité tels que les failles web et applicatives, l'analyse réseau, la rétro-ingénierie, la cryptanalyse, la stéganographie, l'analyse forensique, etc... Chaque épreuve résolue vous apportera un certain nombre de points, permettant d'effectuer un classement. De nombreux lots récompenseront les meilleurs.

Cette édition sera marquée par plusieurs nouveautés : un site web entièrement refait pour mieux répondre à vos attentes, des challenges plus variés et un concept différent. Vous pourrez trouver plus d'informations sur le site du challenge.

Les inscriptions sont d'ores et déjà ouvertes sur le site du challenge. Venez tester, améliorer et comparer vos connaissances en sécurité avec plusieurs milliers d'autres participants !

Lasso est la première implémentation sous licence GNU GPL permettant d'intégrer le Single Sign On (SSO voir seconde partie) et les spécifications Liberty Alliance dans une application.
Elle permet notamment de :

• Sécuriser les accès aux applications sur tous les réseaux, publics et privés
  
• Simplifier l'accès aux applications par l'utilisation des technologies Single Sign On
  
• Garantir le respect de la vie privée des utilisateurs grâce à Liberty Alliance.

Contrairement aux autres implémentations de Liberty Alliance, Lasso n'est pas une plate-forme Java / J2EE. Le travail d'intégration s'en trouve facilité. Un site existant peut l'intégrer en quelques jours de développement, sans remettre en cause son architecture.
Lasso est une bibliothèque écrite en C. Elle fonctionne sur GNU/Linux (et fait partie en particulier de la distribution Debian), Windows et UNIX. Elle s'interface avec les langages C, C++, ColdFusion, Java, PHP, Perl et Python. Elle repose sur des bibliothèques XML performantes (libxml2, XMLSec) ce qui lui permet de supporter des montées en charge importantes.

La version 0.6.5 apporte son lot de nouveautés. La compatibilité avec les versions précédentes a été assurée aussi bien pour l'API que pour l'ABI, tous les utilisateurs sont donc encouragés à passer à cette nouvelle version.
Elle comprend un support des fonctionnalités ID-WSF essentielles (Interaction service, signature des messages) et implémente 70 % du protocole SAML 2.0 (Web SSO et Single Logout). La version 0.6.5 affine également la détection des erreurs, supporte SWIG 1.3.28 et améliore plus généralement la qualité des bindings et la gestion de quelques cas particuliers.

À propos : Entr'ouvert est spécialisée dans les solutions libres de E-administration et d'identification numérique. Elle fait partie du réseau Libre-entreprise, réseau de sociétés de service en logiciel libre, dans lequel les entreprises fonctionnent de manière démocratique.

NuFW 2.0 est officiellement disponible depuis peu. Cette nouvelle version du pare-feu authentifiant est le résultat de près d'un an de développement.

Les améliorations par rapport à la précédente branche stable (1.0) sont donc nombreuses :

• Gestion de vraies règles d'accès horaires
  
• Plus d'interactivité avec l'utilisateur final (rejet ICMP par exemple)
  
• Module PAM pour une transparence complète sous GNU/Linux
  
• Utilisation des toutes dernières fonctionnalités de Netfilter

Les lecteurs de Linux Magazine pourront d'ailleurs trouver dans le numéro de Juin un article consacré à NuFW.

Depuis une dizaine d'années les législations française et internationale accumulent des lois mettant les internautes et les fournisseurs de services internet - accès, hébergement de sites, messagerie, etc. - dans une situation de surveillance et d'obligation de surveillance sans cesse croissantes.

Cette avalanche d'atteintes à notre vie privée et à notre liberté de communiquer sur Internet aboutit à une situation que peu toléreraient pour le reste de notre vie hors-ligne.

Cela fait penser à certains que ces lois sur le monde numérique ont plus été créées parce qu'"on peut le faire" que parce qu'"on doit le faire" et qu'elles sont pour beaucoup inutiles et dangereuses.

Tor est un logiciel libre d'anonymat pour internet reposant sur une technique de routage en oignon. Le trafic entrant et sortant de votre machine circule chiffré le long d'une route composée de relais Tor choisis aléatoirement parmi les 600 serveurs Tor bénévoles composant actuellement le réseau Tor. Ce fonctionnement permet d'obtenir un anonymat solide sur internet.

L'atelier Anonymat / Tor se compose de deux parties :

• Problématique de l'anonymat sur Internet et fonctionnement du réseau Tor.
• Atelier installation d'un client et configuration d'un serveur Tor.

Il aura lieu le 1er Juillet 2006 de 14h à 16h++, au hacklab pRiNT! de l'Espace autogéré des Tanneries, 17 bvd de Chicago à Dijon.

Si vous avez, comme moi, tendance à oublier les mots de passe (ou à perdre le post-it ;)) des sites que vous administrez ; si vous avez, comme moi, la flemme d'ouvrir PMS (ou autre) pour copier-coller l'adresse IP et le mot de passe d'un site ; enfin si votre entreprise a des contraintes et une politique de sécurité incompatibles avec un éventuel turn-over de ses employés, alors sshproxy est fait pour vous ou votre entreprise.

SSHproxy, c'est une passerelle pour se connecter simplement à des sites distants sans avoir besoin de connaître le mot de passe ou de jongler avec un millier de clefs.

C'est un proxy, écrit en python et connecté à une base MySQL, dans laquelle seront stockées toutes les informations d'authentification des site distants. La partie serveur du proxy accepte des connexions en ssh et, selon ce que l'utilisateur veut faire, établit des connexions avec les sites distants ou transfère des fichiers vers ceux-ci.

Vulture est un proxy inverse basé sur Apache permettant de protéger des applications web.

Les performances sont garanties par l'utilisation de mod_proxy alors que la flexibilité de mod_perl est utilisée uniquement lors des phases d'authentification. mod_security permet quant à lui de sélectionner des filtres prédéfinis.

En activant l'authentification sur Vulture cela permet de n'ouvrir les flux vers l'application qu'aux utilisateurs authentifiés. Si plusieurs applications utilisent la même authentification, l'utilisateur n'aura qu'à s'authentifier une seule fois (SSO). De plus Vulture permet de transférer des informations de login sur l'application en gérant un trousseau de profils applicatifs par utilisateur.

Les méthodes d'authentifications supportées sont LDAP, SQL, Radius ou authentification par certificat client.

Déjà empaqueté pour Gentoo et en RPM cette nouvelle version est maintenant disponible en .deb. Une interface d'administration est également disponible.

Si vous suivez un peu l'actualité de la sécurité informatique, vous vous souvenez probablement de SubVirt, un prototype de rootkit utilisant des machines virtuelles logicielles (permettant de faire tourner par-dessus plusieurs SE simultanément) pour prendre le contrôle de l'ordinateur. Sachez qu'on a réussi pire.

Une chercheuse en sécurité informatique, Joanna Rutkowska, étudie un autre prototype, le sien : Blue Pill (en référence à la pilule bleue dans Matrix qui permet de ne plus se souvenir de rien et d'être de nouveau dans la réalité factice quoique plus vraisemblable que la réalité). Ce prototype-là peut être installé à la volée. Du coup, pas de redémarrage nécessaire, partant, pas de changement à faire dans le bootloader ou autre partie du disque dur, cette activité pouvant toujours être surveillée par un logiciel spécialisé contre les malwares.

Blue Pill a été testé sur la technologie Pacifica de virtualisation matérielle d'AMD. Faute de temps aucun test n'a encore été effectué sur la technologie concurrente Intel VT. Mais Joanna pense que Blue Pill fonctionnera très probablement aussi avec cette technologie. Elle pense qu'il est possible de contrer des rootkits basés sur Blue Pill. Grâce à ses prochaines démonstrations sur SyScan et Black Hat. On y trouvera sûrement, on l'espère, la parade.

Joanna Rutkowska s'est notamment illustrée avec Red Pill ou klister, des logiciels de détection de rootkits plus classiques. Ses recherches sont actuellement financées par COSEINC Research…

Les liaisons WiFi sont fréquemment protégées par un algorithme de chiffrement, le WEP. Il utilise une technique de chiffrement faible, mais il apparaît aujourd'hui nettement insuffisant : une équipe de chercheurs a réussi à casser des clefs en quelques secondes (là où plusieurs minutes étaient nécessaires auparavant). L'algorithme est disponible, avec le code utilisé pour la démonstration.
En parcourant l'archive des sources (aircrack.c dans l'archive), il semblerait que cet exploit soit un dérivé d'aircrack utilisant une autre méthode attaque. Il s'appuie sur la fragmentation des paquets et l'utilisation des en-têtes LLC/SNAP.

L'exploit ne tourne pour le moment que sur une machine FreeBSD munie d'une carte atheros et d'une carte prism2, mais le code source étant disponible, ces limitations logicielles et matérielles risquent de sauter.

Le WEP est donc devenu définitivement inutile après près de 7 années de service, dont 3 alors qu'existait une alternative garantissant un meilleur chiffrement, le WPA.

Après de trop longs mois de mise au point, IPCop 1.4.11 est enfin sorti.

IPCop est une distribution Linux orientée sécurité et réseau. Cette distribution était à l'origine un "fork" de la propriétarisante Smoothwall. Administrable comme son aînée via une interface web, IPCop fait office de pare-feu et de routeur permettant de gérer plusieurs "zones" : un intranet (zone verte), l'accès internet (zone rouge), une DMZ (zone orange) et des accès Wifi (zone bleue). Elle propose un certain nombre de services, comme le support des VPN , des serveurs DHCP, DNS et mandataire (proxy), une QdS, etc. Le tout est disponible sous licence GPL.

Au menu de cette nouvelle version, des mises à jour de sécurité, des corrections, des mises à jour logicielles, une amélioration du mécanisme de sauvegarde et le support des périphériques USB pour le démarrage de l'installation, la sauvegarde et la restauration de la configuration.

La mise à jour peut se faire en ligne en récupérant le fichier adéquat. Pour plus de détails, voir le texte complet de l'annonce

Depuis quelques jours maintenant, le module de sécurité pour Apache (ModSecurity 2.0.1) est disponible au téléchargement. Pour être plus précis, la version 2.0.0 est disponible depuis le 16 octobre, mais de petites corrections ont été faite depuis, d'où la version 2.0.1 depuis le 17.

Ce module permet d'augmenter le niveau de sécurité d'un serveur web Apache ou d'autres serveurs si on l'utilise avec Apache en mode proxy. Modsecurity agit comme un parefeu applicatif embarqué dans Apache. Il permet ainsi de protéger des applications web contre des attaques classiques (injection SQL, Cross Site Scripting, ...)

La version 2.0 de ModSecurity est composée de trois projets :

- ModSecurity for Apache ;
- ModSecurity Core Rules ;
- ModSecurity Console.

Le premier est le moteur, c'est-à-dire le module Apache. Le second est un ensemble de règle de filtrage (un peu comme les règles pour Snort) et le troisième une console permettant de surveiller le filtrage effectué.

Décidément, OpenSSH devient de plus en plus indispensable. Pour ceux qui ne connaissent pas encore, OpenSSH implémente un système client-serveur permettant l'accès à distance à une machine, ceci de manière sécurisé et normalisé (protocole SSH). OpenSSH est une suite logicielle libre sous licence BSD.

La version 4.3 nous avait offert le support intégré d'un tunnel VPN (Virtual Private Network) à l'aide de la primitive "PermitTunnel" à mettre dans la configuration du serveur.

La nouvelle version 4.4 sortie le 27 septembre 2006 ajoute au serveur sshd une couche de configuration conditionnelle grâce à la primitive "Match". Un des avantages est que l'on peut maintenant faire des réglages, comme la redirection du flux X-Window, en fonction de l'utilisateur et de la machine cliente. Cette fonctionnalité permet finalement d'affiner les réglages possibles, donc de n'autoriser que ce qui est nécessaire aux utilisateurs et par la même, améliorer encore la sécurité du système d'information.

D'autres ajout, a priori moins important, ont été faits, notamment au niveau des sous-systèmes du serveur (SubSystem). Cette dernière amélioration devrait permettre d'avoir dans le futur des sous-systèmes comme sftp plus souple.

Vous pouvez soutenir le développement du projet OpenSSH en faisant un don ou en achetant des tshirts et des posters.

La compagnie NTT (Nippon Telegraph and Telephone Corporation) vient de faire une importante contribution aux logiciels libres en publiant l'algorithme de chiffrement Camellia sous plusieurs licences libres (BSD, GPL, MPL, OpenSSL License pour l'implémentation en C et BSD, GPL pour l'implémentation en Java).

Le projet européen NESSIE avait comme objectif d'établir de nouvelles primitives cryptographiques et avait sélectionné deux algorithmes pour le chiffrement symétrique par bloc de 128 bits : AES (Rijndael) et Camellia.

NTT permet ainsi d'ajouter l'algorithme Camellia à différents projets libres : OpenSSL, Kernel Linux, Ipsec, GnuPG.
Il faut noter que le patch à GnuPG n'a que peu de chances d'être inclus dans la branche officielle car Camellia n'est pas l'un des standards de communication de PGP. En revanche, l'équipe de NTT est en train de le porter dans libgcrypt.

Il est à souhaiter que les autres algorithmes sélectionnés par le projet NESSIE puissent être également portés dans différents projets libres et intégrés dans les versions stables.

Cet article a été écrit grâce au concours de Régis Couraud

pyctd est un serveur XML-RPC permettant l'interrogation et la modification du suivi de connexions de Netfilter.

Il permet d'exporter les fonctions de :

• liste des connexions (avec indication de débit)
  
• destruction de connexions
  
• modification de la marque ou du timeout d'une connexion

Une interface écrite en PHP est d'ors et déjà disponible. Elle permet un affichage et des modifications faciles. L'affichage peut de plus être enrichi avec les informations relatives à l'utilisateur si NuFW est installé sur le pare-feu.

L'ensemble de ces outils est distribué sous licence GPL par INL.

Le cryptologue allemand Jean-Pierre Seifert (universités d'Haïfa et d'Innsbruck) aurait rendu possible l'exécution d'attaques basées sur la menace de type '"analyse de prédiction de branche" (BPA).

Dans une note confidentielle, le chercheur met en avant qu'il a réussi à récupérer une clé de chiffrement de 512 bits en quelques millisecondes.

Il s'agit d'un véritable bouleversement dans le milieu de la cryptographie. En effet la parade habituelle consiste à allonger la longueur de la clé de chiffrement. La technique découverte par Jean-Pierre Seifert consiste à analyser le comportement du processeur lui-même afin de déduire statistiquement la clé de chiffrement.

La seule parade pour l'instant consisterait à désactiver le processus de prédiction du processeur mais selon le chercheur "Une telle mesure ralentirait par quatre le microprocesseur (...)".

Les résultats des travaux de Jean-Pierre Seifert sont attendus lors de la prochaine conférence RSA, début 2007

NdM : Cette attaque implique la présence d'un logiciel espion sur la machine effectuant les opérations cryptographiques et dans ce cas il existe souvent d'autres moyens pour obtenir la clé.
De plus, cette attaque ne marchera pas si les opérations cryptographiques sont effectuées sur un matériel distinct du processeur, par exemple un token cryptographique. L'impact est donc surtout pour le grand public et en particulier les échanges sur internet sécurisés par SSL.