bunkerized-nginx - Sécurisez facilement et sans tracas vos services web

Posté par Florian Pitance . Édité par Julien Jorge, Ysabeau 🧶, palm123 et devnewton 🍺. Modéré par claudex. Licence CC By‑SA.
41
29
avr.
2021
Sécurité

C’est quoi bunkerized-nginx ?

C’est un outil qui va vous éviter de devoir suivre les bonnes pratiques de sécurité à chaque fois que vous avez besoin d’un serveur web ou d’un reverse proxy en frontal de vos services web. Bunkerized-nginx se présente sous la forme d’une image Docker et va s’occuper des paramètres et configurations pour vous. Le but final est d’atteindre une sécurité « par défaut » sans (trop) d’action de votre part.

bunkerized-nginx

Du tracteur logiciel non réparable au risque pour la sécurité alimentaire américaine ?

63
27
avr.
2021
Sécurité

Le blogueur, journaliste et auteur de science-fiction canado-britannique Cory Doctorow revient sur le cas du fabricant états-unien de matériel agricole John Deere qui interdit depuis au moins 2015 aux fermiers de réparer leurs propres tracteurs, via la législation sur le copyright (le tracteur est considéré comme un logiciel, loué, avec des parties matérielles, et le DMCA s’appliquerait).

Cette histoire avait été évoquée dans un journal de 2017 sur les « fermiers américains sont obligés de pirater leurs propres tracteurs pour pouvoir les réparer » et dans une dépêche de 2019 sur « L’enjeu de la bataille du Libre : la réappropriation des savoir‐faire », film documentaire qui aborde aussi le sujet.

Dan Kaminsky (1979-2021)

Posté par  (site web personnel) . Édité par Ysabeau 🧶 et volts. Modéré par Julien Jorge. Licence CC By‑SA.
Étiquettes :
76
27
avr.
2021
Sécurité

Dan Kaminsky était un chercheur en sécurité informatique, qui a travaillé pour Avaya, Cisco et IOActive (sa biographie sur son blog). Il est décédé le 23 avril 2021.

Wikipédia rappelle ses travaux comme le snooping du cache DNS, qui lui a permis de démontrer que le Sony Rootkit avait infecté au moins 568 200 ordinateurs (…) Il a participé à l’élaboration du standard du W3C, Do Not Track. Des contenus précédents sur LinuxFr.org évoquent ses travaux sur la corruption/pollution de cache DNS. Et pour celles et ceux qui auraient oublié / découvriraient le Sony BMG Rootkit voir 1, 2, 3, 4 ou 5.

Dan Kaminsky - par Dave Bullock & Emdee, CC By 2.0
(source par Dave Bullock & Emdee, CC By 2.0)

Ses travaux sur les DNS ont permis d’améliorer les logiciels libres gérant le DNS (à noter que le sujet de l’empoisonnement DNS est revenu en novembre 2020 sur la table). Il a aussi permis d’ajouter une détection du ver Conficker dans le logiciel Nmap. Il a présenté le logiciel libre n00ter (voir son article de blog de 2011 pour la présentation du logiciel, ou la vidéo de sa présentation à BruCon2011) pour détecter des atteintes à la neutralité du net.

Une nouvelle image de la cybersécurité ?

Posté par  (site web personnel) . Édité par Xavier Teyssier et Julien Jorge. Modéré par Julien Jorge. Licence CC By‑SA.
10
27
avr.
2021
Sécurité

En 2019, désœuvré dans un train (c’était une autre époque où l’on pouvait se déplacer de plus de dix kilomètres), j’avais écrit une dépêche sur un concours visant à montrer que la cybersécurité n’était pas un monde parallèle, peuplé de cybermagiciens tapant avec des gants ou des moufles, dans le noir, avec un sweat‐shirt à capuche baissée jusqu’aux yeux, ayant parfois un masque de Guy Fawkes ou des lunettes de soleil, et tapant au mieux des 0 et des 1, au pire du texte vert tendance Matrix. Et pour une raison qui sera évoquée plus loin, je me suis rappelé de cette dépêche et je me suis dit qu’un suivi des résultats deux ans plus tard pourrait être intéressant.

La société OpenIDEO et la Hewlett Foundation avaient lancé un concours des images (potentiellement sous licence libre). Deux ans après, la page du concours existe encore, celle de la sélection chez eux n’existe plus (mais archive.org s’en rappelle), ainsi que du PDF de présentation des résultats. De son côté la Hewlett Foundation a toujours en ligne son challenge et l'annonce des résultats. On peut aussi citer cet article techspot qui couvre les résultats. Et surtout au final les résultats sont publiés sur cybervisuals.org/, sous licence CC By 4.0.

Et la raison qui m’a rappelé cette dépêche : le concours #DoWeLookLikeHackers vu sur certains réseaux, et la vidéo montrant toutes les photos envoyées et agrégées en une vidéo. Cf Twitter et Youtube, ou Nitter et Invidious pour admirer le résultat (vidéo par Rhiz Guendouz d’Aresaphrodite pour NorthSec et GoSecure pour le concours #DoWeLookLikeHackers​). Ni la vidéo ni la musique ne semblent sous une licence libre (il aurait fallu les autorisations d’un paquet de gens).

GnuPG 2.3.0 est sorti

Posté par  . Édité par Yves Bourguignon, Xavier Teyssier, Maderios, Benoît Sibaud, claudex et palm123. Modéré par Xavier Teyssier. Licence CC By‑SA.
Étiquettes :
58
13
avr.
2021
Sécurité

Le 7 avril 2021, le projet GnuPG a publié la première version officielle de sa nouvelle branche de développement, GnuPG 2.3.0. Les nouveautés de cette version sont nombreuses, cette dépêche va passer en revue les plus significatives.

Contrat vaccinal Commission européenne / AstraZeneca, comment (ne pas) masquer les infos d'un PDF

Posté par  (site web personnel) . Édité par Ysabeau 🧶 et Pierre Jarillon. Modéré par Ysabeau 🧶. Licence CC By‑SA.
31
31
jan.
2021
Sécurité

En 2012, j’avais écrit cette dépêche Rapport PDF de l’Hadopi, ou comment (ne pas) masquer une adresse IP qui montrait une erreur de caviardage d’information d’un document au format PDF par l’HADOPI, et qui discutait ensuite des deux mythes autour des fichiers PDF : une prétendue inaltérabilité et le caviardage à la truelle.

L’actualité récente nous permet de revenir une nouvelle fois sur le sujet.

  • cela pourrait être à propos de cette discussion surréaliste sur un réseau social bien connu (« (question) vous pensez qu’on peut lire sous le bloc noir de ce document administratif ? (réponse) des fois le caviardage est mal fait (riposte) arrêtez d’aider les administrations ») ;
  • mais je pense surtout à la Commission européenne qui a publié une version caviardée du contrat vaccinal avec AstraZeneca, version qui est plus bavarde que prévu. L’info serait accessible « en utilisant simplement la fonction signets d’Acrobat Reader », comme évoqué ou plus largement dans la presse 1, 2, 3, 4, 5, 6, ou 7), et si le document en ligne a été remplacé, une copie de la première version est toujours en ligne.

Profitons-en pour rappeler que depuis sa version 6.3, LibreOffice offre une fonction de caviardage (voir les annonces dans ce journal et cette dépêche).

OpenWifiPass, l'accès Wifi facile et des bâtons dans la pomme

Posté par  . Édité par Benoît Sibaud. Modéré par Benoît Sibaud. Licence CC By‑SA.
Étiquettes :
18
30
jan.
2021
Sécurité

Dans un journal au menu d’à côté, on parlait des imprimantes sans pilotes (driverless) qui se répandent doucement. Il y a aussi les scanners sans pilotes qui doivent suivre. Mais chez la marque à la pomme, ils sont encore plus science-fiction : ils ont l’accès WiFi « codeless ». Si, si, sur iOS pas besoin d’ânonner le code super-cali-solidistique qui verrouille l’accès WiFi : en un clic de communication Bluetooth, vous donnez l’accès aux ami(e)s. Agréable, pratique et reposant.

Eh bien malgré les verrous d’Apple, Jannik Lorenz a eu la bonne idée de consacrer sa thèse préparée au SEEMO Lab (Secure Mobile Networking Lab) à faire de l’ingénierie inverse sur le protocole. Résultat, ça marche partout maintenant ! L’outil s'appelle OpenWifiPass, il est codé en Python et tourne sous Linux (GPLv3). Attention c’est une preuve de concept, ne pas l’utiliser en vrai (ou alors par goût du risque).

     
  logo du projet OWL  

Mais d’où ça sort ? Là-bas à Darmstadt les chercheurs de l'Open Wireless Link ont eu l’idée de déconstruire l’Apple Wireless Direct Link (AWDL) pour faire bénéficier toutes les plateformes de cet écosystème bien imaginé. OpenWifiPass est l'une des réussites.

Mise à niveau de EvalSMSI

17
11
jan.
2021
Sécurité

En novembre 2009 j’annonçais, sur LinuxFr.org, la publication de l’application EvalSMSI.

Initialement EvalSMSI était une application Web, sous licence GPLv3, développée en PHP/MySQL, permettant de réaliser l’évaluation d’un Système de Management de la Sécurité de l’Information (SMSI) selon la famile des normes ISO2700x.

Ces dix dernières années EvalSMSI a continué à évoluer pour devenir un logiciel open source d’autoévaluation et d’audit multi-référentiels. Il permet à une entité de mettre en place et de suivre son SMSI à partir de sa propre politique de sécurité du système d’information (PSSI) ou d’un autre référentiel de son choix.

Enquête sur la sécurité des logiciels Open Source

Posté par  . Édité par Ysabeau 🧶 et Nils Ratusznik. Modéré par Ysabeau 🧶. Licence CC By‑SA.
17
20
déc.
2020
Sécurité

Les Hubs Cyber & Security et Open Source du Pôle Systematic mènent une enquête sur les pratiques et besoins relatifs à la sécurité des logiciels Open Source.

L’Open Source apporte d'importants avantages pour la sécurité des applications, pouvant même être un avantage concurrentiel pour les industriels proposant des solutions de haut niveau de sécurité. De plus, certains processus de développement qui contribuent à la sécurité sont largement diffusés dans l’Open Source, et de nombreux outils Open Source sont disponibles pour la détection de vulnérabilités et les évaluations de sécurité. Enfin, l’Open Source est un élément indispensable de la confiance pour toutes les applications/infrastructures avec un fort risque pour la société en cas de détournement.

Sortie de CrowdSec 1.0 : tutoriel d’utilisation

21
15
déc.
2020
Sécurité

Le mois dernier, nous vous présentions CrowdSec, un logiciel de sécurité gratuit et open source déployable sur votre serveur, qui permet de détecter et bloquer les adresses IP malveillantes et de les partager avec toute la communauté d’utilisateurs.

Alors que la release de la v.1.0 est désormais disponible, et en attendant le paquet Debian qui arrivera très bientôt, nous vous invitons à découvrir les nouvelles fonctionnalités de la solution.

KeePass, ou apprendre à gérer correctement ses mots de passe

Posté par  . Édité par Ysabeau 🧶, Benoît Sibaud, Davy Defaud, Xavier Teyssier, Pierre Jarillon et audionuma. Modéré par patrick_g. Licence CC By‑SA.
65
26
nov.
2020
Sécurité

J’ai découvert KeePass par l’entremise du « store » de mon entreprise, et surtout d’un collègue qui me l’a chaudement conseillé.

Logo de KeyPass

Alors que les entreprises complexifient régulièrement la composition des mots de passe, elles mettent peu en avant la possibilité de les gérer sereinement. D’aucuns s’en sortent par des astuces mnémotechniques, d’autres avec des post‑it, des fichiers, etc. Bref, artisanalement. C’est alors que KeePass peut intervenir…

CrowdSec : la cybersécurité collaborative, open source et gratuite pour Linux

35
10
nov.
2020
Sécurité

CrowdSec est un nouveau projet de sécurité conçu pour protéger les serveurs, services, conteneurs ou machines virtuelles exposés sur Internet. Par certains aspects, c’est un descendant de Fail2Ban, projet né il y a seize ans. Cependant, il propose une approche plus moderne, collaborative et ses propres fondamentaux techniques afin de répondre aux contextes modernes. L’outil est open source (sous licence MIT) et gratuit, disponible pour GNU/Linux (macOS et Windows figurent sur la feuille de route) car notre but est de rendre la sécurité accessible au plus grand nombre.

CrowdSec, écrit en Golang, est un moteur d’automatisation de la sécurité, qui repose à la fois sur le comportement et sur la réputation des adresses IP. Le logiciel détecte localement les comportements, gère les menaces et collabore également au niveau mondial avec son réseau d’utilisateurs en partageant les adresses IP détectées. Ceci permet alors à chacun de les bloquer de manière préventive. L’objectif est de bâtir une immense base de données de réputation IP et d’en garantir un usage gratuit à ceux participant à son enrichissement.

Documentation complète du projet ici.

Authentification et identité numérique en France

36
23
août
2020
Sécurité

L’identité numérique est un sujet qui a récemment été mis dans les priorités principales de la France par un groupe d’expert dans une tribune de presse. Quel défi l’État français devra relever pour pouvoir numériser les services publics ?

À un poste frontière, on présente un passeport au douanier. Celui‑ci a plusieurs moyens pour vérifier que le passeport est authentique (créé par l’État français), il vérifie ensuite notre visage. Avec ces informations, il en déduit que l’identité écrite dans le passeport est la vôtre.

L’identité numérique permet de faire toutes les démarches légales en ligne sans devoir se déplacer et de le faire de façon sécurisée.
On peut résumer les défis ainsi : ne pas pouvoir lier un compte Internet Tartempion, en se faisant passer pour M. Macron, pour voir ses fiches de paie, de préférence sans intervention humaine et sans ficher tout le monde.

On identifie une personne avec son nom. Mais il existe des homonymes, on utilise donc le nom complet (tous les prénoms en France), sa date et son lieu de naissance. On identifie ainsi une personne de façon unique. On voit parfois l’ajout de l’adresse actuelle, mais cette information a le mauvais goût de pouvoir changer. Le numéro français INSEE (numéro de Sécurité Sociale) est une donnée unique mais est pourtant peu utilisée directement [N. D. M. : historiquement, la polémique autour de SAFARI sur la généralisation de ce numéro a conduit à la création de la Commission nationale de l’informatique et des libertés (CNIL)].

Cela se complique, quand il faut prouver son identité, « s’authentifier » : auprès de sa banque ou des impôts par exemple.

Il existe trois façons de base de le faire : posséder quelque chose, être quelque chose, ou connaître quelque chose.

À la découverte de l’écosystème Mooltipass

40
2
août
2020
Sécurité

Le projet open source Mooltipass a été lancé il y a maintenant sept ans, avec pour but d’offrir une solution hors ligne de stockage de noms d’utilisateur et mots de passe, de petits fichiers et de clefs SSH. Au contraire des solutions similaires existantes sur ordinateurs et téléphones, le Mooltipass est un élément dédié qui effectue seulement les opérations de sécurité. Composé d’extensions navigateur (Chrome, Firefox et Opera), d’un logiciel de gestion de bases de données multi‑plate‑forme et d’un appareil dédié branché en USB ou Bluetooth, nous vous faisons découvrir le fruit de sept ans de travail de contributeurs non rémunérés.

Mooltipass Mini BLE

SELKS 6 : mise à jour de la distribution basée sur Suricata

25
24
juin
2020
Sécurité

SELKS 6 a été publié par Stamus Networks. Cette nouvelle version de la distribution mettant Suricata au cœur de l’analyse réseau orientée sécurité arrive un peu moins d’un an après la version 5.0. Au programme de la version 6, une mise à jour des logiciels intégrés, avec Suricata en version 6.0-git et Elasticsearch en version 7 et une interface Web mise à jour.

Scirius

SELKS est une distribution autonome (live) et installable qui fournit une solution clef en main pour analyser le trafic réseau et détecter les menaces. Le mode de fonctionnement principal est en passif (détection d’intrusion), mais il est également possible de modifier la configuration pour en faire un système de prévention d’intrusion (IPS).

Le code source de SELKS est disponible sous licence GPL v3.

Utilisation d’un TPM pour l’authentification SSH

Posté par  . Édité par Davy Defaud, Benoît Sibaud et Ysabeau 🧶. Modéré par Ysabeau 🧶. Licence CC By‑SA.
35
25
mai
2020
Sécurité

Après son « Bien démarrer avec GnuPG », gouttegd nous livre un nouveau journal sur l’utilisation du Trusted Platform Module (TPM) pour s’authentifier auprès d’un serveur SSH. Ce journal a été converti en dépêche et enrichi des premiers commentaires.

Bien démarrer avec GnuPG

Posté par  . Édité par Davy Defaud, Benoît Sibaud, patrick_g et Ysabeau 🧶. Modéré par Ysabeau 🧶. Licence CC By‑SA.
59
23
mai
2020
Sécurité

N. D. M. : la dépêche est tirée du journal personnel de l’auteur, complétée des premiers commentaires suscités.

Suite à une diatribe de ma part à l’encontre de la mauvaise qualité de beaucoup de tutoriels consacrés à GnuPG, on m’a suggéré de créer le mien. Alors, without further ado, le voici.

SHA-mbles : une collision à préfixes choisis sur SHA-1

Posté par  . Édité par Benoît Sibaud, Davy Defaud, claudex et theojouedubanjo. Modéré par Benoît Sibaud. Licence CC By‑SA.
72
23
avr.
2020
Sécurité

Au début de l’année 2020, alors que l’on commençait à entendre parler de quelques cas de pneumonie atypique dans la ville chinoise de Wuhan, deux chercheurs français, Gaëtan Leurent (Inria) et Thomas Peyrin (Nanyang Technological University, Singapour), publiaient la première collision à préfixes choisis sur l’algorithme de condensation cryptographique SHA-1, et démontraient la faisabilité d’une attaque contre la toile de confiance OpenPGP.

L’attaque, dénommée SHA-mbles (« chaos », « désordre »), est de toute beauté et son étude fournit une excellente occasion, en cette période de confinement, de se pencher sur diverses notions comme le format des certifications OpenPGP ou le fonctionnement des algorithmes de condensation.

LDAP Tool Box : création du projet Service Desk

Posté par  (site web personnel, Mastodon) . Édité par Davy Defaud. Modéré par Ysabeau 🧶. Licence CC By‑SA.
Étiquettes :
34
2
avr.
2020
Sécurité

Le projet LDAP Tool Box regroupe de nombreux outils pour l’installation, l’administration et l’utilisation des annuaires LDAP, et en particulier OpenLDAP.

Après Self Service Password, interface de changement de mot de passe, White Pages, permettant de rechercher et afficher les utilisateurs et groupes, voici le dernier né de la famille : Service Desk.

Capture d’écran de Service Desk

Service Desk est une interface Web pour vérifier, débloquer et modifier les mots de passe des comptes d’un annuaire LDAP. Il est publié sous licence GPL v3.

Les mots de passe des premiers développeurs‐utilisateurs d’UNIX, notamment celui de Ken Thompson

38
14
oct.
2019
Sécurité

En 2014, une ingénieure, Leah Neukirchen, trouve un fichier /etc/passwd archivé avec du vieux code source BSD et décide de déchiffrer les mots de passe des premiers développeurs‐utilisateurs d’UNIX.

Assez facilement, les mots de passe sont trouvés les uns après les autres. Je ne sais quels étaient vos premiers mots de passe, mais, personnellement, j’utilisais le même sur beaucoup de mes comptes et c’était soit des mots de la langue française faciles à taper, soit le nom de ma copine.

Ces tout premiers développeurs‐utilisateurs d’UNIX étaient‐ils plus inventifs ? À vous d’en juger, les voici en deuxième partie.

CryptPad version 3.3 — nouvelle fonctionnalité « teams »

Posté par  . Édité par Ysabeau 🧶, ZeroHeure, Benoît Sibaud, Davy Defaud et Pierre Jarillon. Modéré par claudex. Licence CC By‑SA.
Étiquettes :
49
12
oct.
2019
Sécurité

CryptPad, le logiciel libre de collaboration chiffré vient de sortir en version 3.3 avec une nouveauté importante permettant de créer des « équipes » et de partager un drive (partage de fichiers) et un chat chiffré avec un groupe d’utilisateurs. Cette fonctionnalité a été financée par le fonds PET (Privacy and Trust Enhancing Technologies) de NLNet pour la Communauté européenne.
Logo de CryptPad

Le logiciel CryptPad, permet d’éditer en temps réel et de partager des documents chiffrés de bout en bout, les administrateurs du serveur ne pouvant pas lire les contenus partagés.

Sortie de Keycloak 7.0

32
27
août
2019
Sécurité

Keycloak est sorti le 24 août dans la version 7.0.

Keycloak est un fournisseur d’identités (Identity Provider ou IdP) moderne, écrit en Java et compatible par défaut avec les protocoles de fédération d’identités SAML v2 et OpenID Connect (OIDC)/OAuth2. Il est sous licence Apache et est porté par Red Hat.

Un concours pour donner une nouvelle image de la cybersécurité ?

Posté par  (site web personnel) . Édité par Davy Defaud et Ysabeau 🧶. Modéré par Nils Ratusznik. Licence CC By‑SA.
18
7
août
2019
Sécurité

La cybersécurité est un monde parallèle, peuplé de cybermagiciens tapant avec des gants ou des moufles, dans le noir, avec un sweat‐shirt à capuche baissée jusqu’aux yeux, ayant parfois un masque de Guy Fawkes ou des lunettes de soleil, et tapant au mieux des 0 et des 1, au pire du texte vert tendance Matrix. C’est du moins l’imaginaire vendu en général par la presse, spécialisée ou non, mais aussi par les banques d’images.

La société OpenIDEO (en partenariat avec la Hewlett Foundation) a lancé un concours (du 25 juillet au 16 août) pour réinventer ces visuels illustratifs d’articles de presse, pour qu’ils soient moins irréalistes (j’aurais bien dit plus réalistes, mais vu le niveau de fumette…).

Le concours est ouvert à dix‐sept pays : Afrique du Sud, Allemagne, Argentine, Australie, Brésil, Canada (hors Québec), Chine, Colombie, Espagne, États‐Unis d’Amérique, France, Inde, Japon, Mexique, Pays‐Bas, Pérou et Royaume‐Uni.

Les photos sont publiées sous CC By 4.0 (si et seulement si la case est cochée dans le formulaire de participation, en fait). Vingt‐cinq personnes recevront un mentorat par un expert en sécurité informatique, et 500 US$. Jusqu’à cinq gagnants recevront 7 000 US$ chacun. Les documents de participation sont disponibles (notamment) en français.


Note : je ne suis pas lié à OpenIDEO ni payé par eux ni rien ; j’ai juste du temps à tuer dans un train, alors je rédige une dépêche ayant un rapport avec le Libre.

PacketFence version 9 est disponible

Posté par  (site web personnel) . Édité par bubar🦥, Davy Defaud, BAud et ZeroHeure. Modéré par Pierre Jarillon. Licence CC By‑SA.
30
26
mai
2019
Sécurité

PacketFence est une solution de conformité réseau (NAC) et de contrôle d’accès aux réseaux, supportée et reconnue. Le logiciel est publié sous licence GPL v2. PacketFence procure une liste impressionnante de fonctionnalités et de gestion d’équipements réseau. PacketFence peut être utilisé pour sécuriser efficacement aussi bien des réseaux de petite taille que de très grands réseaux hétérogènes.

Logo de PacketFence

Inverse a annoncé le 15 mai 2019 la sortie de la version 9 de PacketFence, puis de sa première mise à jour, v9.0.1 vendredi dernier. Cette dépêche propose de passer en revue la liste des nouveautés de cette version majeure.

Le Printemps de l’Innovation Open Source revient pour une cinquième édition

Posté par  . Édité par Florent Zara, Davy Defaud, Nÿco, Ysabeau 🧶 et ZeroHeure. Modéré par Nÿco. Licence CC By‑SA.
13
21
mai
2019
Sécurité

Le Printemps de l’Innovation Open Source, dit OSIS, intègre plusieurs rendez‐vous en région parisienne pour mettre en valeur l’excellence scientifique et technologique du Libre. Il a vocation à montrer le travail des équipes de chercheurs, mais aussi la R & D des PME en logiciel libre. C’est fait en présentant des innovations sur les thèmes porteurs actuels (Internet des objets, informatique en nuage, qualité), dont le succès et la visibilité se veulent mondiaux.

Bannière OSIS 2019

Le Hub Open Source du Pôle Systematic (anciennement GTLL) et l’Irill, à l’initiative de cette série de conférences thématiques, vous donnent trois rendez‐vous détaillés ci‐dessous, en plus de l’OW2con’19 qui s’intègre naturellement à ce printemps de l’innovation.