Tout est dans le titre.
Il faut tout de même précisé qu'il existe des correctifs que les administrateurs réseaux connaissent sûrement...

Note du modérateur: Encore un article pour l'internaute moyen qui va lui faire prendre peur :)

PGP, le logiciel de cryptage bien connu, a été racheté en 1997 par Network Associates (ex- McAfee Associates), et depuis ce temps il semble que le programme antique sous MS-DOS Unix s'est transformé peu à peu en une grosse windozerie. Des utilisateurs français qui n'ont pas digéré les derniers bugs (2 bugs en 3 mois, faut dire, dont un dans la version 5.0 Linux) en ont eu marre et tapent du poing sur la table. Ils déconseillent la nouvelle version 7.0 et conseillent GnuPG (GnuPG 1.0.3 vient de sortir avec l'algo RSA dont le brevet tombait ce mois-ci dans le domaine public).

Bon, je sais que l'info est sur /. mais comme tout le monde ne le lit pas forcément et que le sujet intéresse nombre d'entre nous: RootPrompt a fait une série d'articles intéressants sur la manière de sécuriser Linux pour le connecter à un réseau hostile (genre Internet) sans craindre les script kiddies. Et pour les amateurs de Debian (il y en a pas mal aussi par ici je crois ;-), une section spéciale qui vous explique comment "cacher" votre ordinateur favori pour éviter les scans.
Très bien fait, en partculier pour celui qui n'est pas un expert en sécurité, mais en anglais malheureusement.

Il existe depuis peu un concurrent français aux géants Verisign, Thawte et Baltimore. Le petit nouveau s'appelle Certinomis, et propose, comme ses concurrents, des certificats X509 pour sécuriser les échanges de données via HTTP, mais aussi pour identifier les personnes qui se connectent à un site Web.
C'est d'autant plus intéressant que contrairement à ces derniers, Certinomis n'offre pas un outil simplement "technique", mais aussi une assurance juridique (puisque la signature électronique a maintenant une valeur juridique en France). Certinomis propose de télécharger gratuitement un certificat personnel de test, d'une validité de 3 mois.
Note du modérateur : Certinomis est une filiale commune de La Poste et de la Sagem

L'essentiel est dans le titre.
Ce patch permet :
- de rendre la pile non exécutable
- de limiter l'accés à /proc
- restrictions des liens et des FIFO dans /tmp
- ...

Je ne saurais trop conseiller la lecture de l'oeuvre intégrale de Neal Stephenson.
Son style, ses références, son érudition scientifique, et son humour "sont fait pour nous les geeks" :-) :

* Zodiac, un eco-thriller qui est devenu le bouquin de chevet de nombreux eco-activistes Américains.

* SnowCrash (Le samouraï Virtuel) : remet au gout du jour le cyberpunk avec un bonne dose d'humour. Il contient au moins une idée originale par page.

* Diamond Age (L'age du Diamant) : pour moi le premier bouquin à donner une vision complète des futures technologies Nanotechs et crytographiques.

* Cryptonomicon : un pavé de 900 pages se déroulant sur trois générations, entre la 2ème guerre mondiale et la création d'un dat-heaven de nos jours. Le tout tournant bien entendu autour de la cryptographie (on y parle aussi de Finux...). Attention c'est le premier tome d'une trilogie.

Un journaliste de RootPrompt (Noel) s'intéresse à la logique de
sécurité OpenBSD et la compare aux distributions Linux.

NdM. : cette dépêche a été initialement publiée le 31/08/2000 à 12h20, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Une interview sympa de V Venema ( auteur de Postfix, tcpwrapper, SATAN
….)
Ca cause de sécurité, IPV6 et de l'avenir de Postfix.
C'est du mois d'avril mais c'est sympa.

NdM. : cette dépêche a été initialement publiée le 31/08/2000 à 11h27, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

La Debian 2.2 (i.e. Potato) a été testée sur Security Portal. Il en ressort qu'elle n'est pas si mal mais que de (trop) nombreux problèmes de sécurité persistent (des options d'installation par défaut aux versions de démons trouées). Du boulot en perspective pour ceux qui maintiennent les paquets. NdM. : cette dépêche a été initialement publiée le 30/08/2000 à 13h41, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Sur la redhat-announce-list, le message suivant a été envoyé, à propos
des nouveaux RPMs de SSH version 1.2.30:

Je cite Jan Kasprzak, le packager:
"BEWARE! All packages are GPG-signed with my key kas@fi.muni.cz. Be sure
to check the signature. Few months ago there has been ssh-1.2.27-8i RPMs
floating around the Net, which had my name both in the Vendor and Packager
fields, but which was NOT built by me. Curiously enough these packages
contained a remote-root security hole. Thanks to people who pointed me at
this, namely Alex de Joode."

Traduction par le modérateur:
"Attention ! Tous les packages sont signés avec ma clef GPG. Soyez sur
d'avoir vérifié ma signature. Il y a quelques mois un package RPM
ssh-1.2.27-8i était disponible sur le Net, il avait mon nom dans le champs
Vendeur et Packager mais n'avait pas été fait par moi. Curieusement ces
packages contenaient un trou de sécurité qui permettait d'etre root à
distance […]"

Qui vérifie systématiquement l'authenticité de ses RPMs ? (ou .deb etc.. )

NdM. : cette dépêche a été initialement publiée le 08/08/2000 à 09h26, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Comment transformer Netscape-le-browser-web en Netscape-le-serveur-web
? Grâce à la magie de Java…et BOHTTPD, alias Brown-Orifice - dont le nom
charmant témoigne du goût exquis de l'auteur.
Un coup d'oeil à la page BOHTTPD_spy nous montre que les victimes
potentielles ne sont pas seulement celles qui utilisent des produits
MicroSoft (oui je ne crois pas qu'il y ait de répertoires /var/log ou /usr
sous Windows…).
Vous pouvez meme ouvrir le trou de sécurité chez vous… [déconseillé ;) ]
* Merci /. *

NdM. : cette dépêche a été initialement publiée le 06/08/2000 à 12h41, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Bull annonce CDSA sous Linux en Open Source sans préciser la licence
utilisée. Le produit sera disponible le 24 août. Pour information CDSA est
"une infrastructure de sécurité […]permettant le développement
d’applications sécurisées dans un environnement Internet". Ce produit
a été réalisé avec Intel "pour créer une offre en Open Source à partir de
ce standard de sécurité".

NdM. : cette dépêche a été initialement publiée le 03/08/2000 à 09h50, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Voici un article paru sur slashdot, nature et d'autres.
Il est question de la vulnérabilité des réseaux , des architectures
partagées, et d'internet.
Saviez vous que 4% seulement des serveurs sont cruciaux, au point ou les
détruire transformerait internet en des îlots de réseaux isolés ?
Intéressant, surtout lorsqu'on parle du contrôle par les gouvernements, de
réaliser la fragilité du réseau.
Suffit de casser les serveurs de noms, certains backbones transatlantiques,
et hop.

Effrayant non ?

NdM. : cette dépêche a été initialement publiée le 28/07/2000 à 17h10, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Netscape, jusqu'à la version 4.73, est très sensible au champ "Comment"
des images JPEG.

Dans le meilleur des cas, il plante, dans le pire il est possible
d'executer du code "maison".

Le navigateur, le mail et les news sont touchés. Il est donc possible de
faire un mail-virus sous linux grace à Netscape…

Solution : upgrader à la version 4.74, ou passer à MozillaM16 qui ne sont
pas vulnérables.

NdM. : cette dépêche a été initialement publiée le 26/07/2000 à 11h58, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Dans Libération ce matin nous avons droit à 2 articles concernant les
libertés et le Net : le premier sur le système Carnivore et le second sur
"Big browser". Bref, bonne lecture.

NdM. : cette dépêche a été initialement publiée le 22/07/2000 à 04h47, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Une vulnérabilité grave a été publiée sur Microsoft outlook et
Microsoft Outlook Express.
La vulnérabilité permet d'exécuter un programme sur le poste de travail
d'un utilisateur de l'un de ces produits Microsoft… simplement en lui
envoyant un mail.
Le code se déclenche en "prévisualisant" le mail, c'est à dire sans même
avoir à l'ouvrir, ni exécuter quoi que ce soit.

En résumé, le bug est du à une erreur de programmation dans la manière de
lire l'heure dans l'en-tete du mail (sic !)

Le risque est Majeur compte tenu du grand nombre d'utilisateurs de ces
logiciels. Bien évidemment, tous les utilisateurs de Linux et/ou d'un
client de messagerie en Logiciel Libre sont à l'abri.
Le risque est d'autant plus grand que pour lutter contre les "hoaxes" c'est
à dire les fausses alertes au virus (genre "si vous recevez un mail qui dit
blah blah, ne l'ouvrez pas c'est dangereux…") la plupart des
administrateurs réseaux ont expliqué longuement à qui voulait bien les
entendre qu'il ne pouvait jamais y avoir le moindre risque à lire un mail.
C'est inexact et ce bug permet de concevoir une attaque majeure contre
l'ensemble des machines Windows+Outlook.

L'ensemble des organismes de référence en sécurité sonnent l'alerte maximum
et implorent les administrateurs de corriger le bug avant de partir en
week-end.

C'est l'occasion de faire un peu de Pub :
Avec Linux, profitez gratuitement de vos week-end, avec Microsoft, payez
pour installer les patches le vendredi soir sur tous les postes !

Mais je vous accorde que ca n'a rien de drôle.

Pour bloquer les tentatives d'attaque de ce type, des filtres existent pour
Postfix, Sendmail etc. (bloquer les mails sur détection du regexp:
/^{Date:.{60,}$/} )
pour les config précises, suivre le lien "credits" sur le site de Bugtraq
(securityfocus.com)

Bon week-end quand même !

NdM. : cette dépêche a été initialement publiée le 22/07/2000 à 01h58, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Un ENORME trou de sécu a été découvert dans Outlook, permettant à un
méchant virus de s'éxecuter dès que outlook place le mail dans Inbox.

L'utilisateur n'a même plus besoin de lire le mail pour être affecté, ça
laisse présager le pire…

Microsoft devrait mettre à disposition un patch aujourd'hui.

NdM. : cette dépêche a été initialement publiée le 19/07/2000 à 18h36, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Un bug permetant à n'importe quel utilisateur de faire planter votre
BitchX depuis IRC en utilisant la commande INVITE a été découvert, un patch
est disponible depuis quelques jours. Après m'être fait planter le mien
quelques fois je dois dire que je l'ai apprecié :)

NdM. : cette dépêche a été initialement publiée le 07/07/2000 à 10h23, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Le Laboratoire de sécurité et de cryptographie de l'EPFL (Ecole
Polytechnique fédérale de Lausanne) a découvert une faille de sécurité dans
le protocole SSL (utilisé pour sécuriser les transactions électroniques sur
Internet).
Selon l'EPFL, cette faille existerait aussi dans le protocole de cryptage
des mails (S/MIME).

NdM. : cette dépêche a été initialement publiée le 05/07/2000 à 15h58, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Vandyke Technologies viennent d'annoncer que la dernière version de SecureCRT, un logiciel de connexion ssh pour Windows, marche avec OpenSSH v1 et v2. Il existe aussi des logiciels de ce type en libre, mais celui-çi est souvent utilisé et bien pratique tout de meme. NdM. : cette dépêche a été initialement publiée le 05/07/2000 à 13h02, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

P3P est un protocole destiné à garantir le respect des données
personnelles des internautes…
La maison blanche se félicite d'être parmis les premiers sites à supporter
ce protocole.
Microsoft annonce le support de P3P pour Windows et IE (Mouarf).

Et bien sur comme tout ne va pas pour le mieux dans le meilleur des mondes
l'association EPIC publie un rapport très critique sur l'efficacité
pratique de P3P en reprenant et complétant certaines conclusions de l'Union
Européenne…

Le gouvernement américain pousserait-il ce protocole en avant,
conjointement avec Microsoft, et en laissant quelques Backdoor ?

NdM. : cette dépêche a été initialement publiée le 23/06/2000 à 14h06, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

C'est avec beaucoup de plaisir que je vous annonce le passage du proxy
authentifiant Solsoft NSM en Open Source.
Pour résumer ses fonctionnalités, NSM permet de gérer/authentifier des
utilisateurs sur un firewall et offre des capacités de filtrage de
protocoles applicatifs très fines.
Couplé à des systêmes de filtrage IP comme IPChains et IP Filter, il permet
la création d'un garde-barrière complet et 100% Open Source.
Ce logiciel a été choisi par de nombreux grands comptes, et devient
maintenant accessible à tous, notamment aux universités et aux PME.

NdM. : cette dépêche a été initialement publiée le 23/06/2000 à 13h36, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Les versions de wu-ftpd fournis avec Debian 2.1 (slink), potato et
woody sont vulnérables à une "remote root attack".
La configuration de base sur debian empeche la vulnerabilité d'etre
exploitable lors des connexions anonymes.
Il est fortement recommandé de procéder aux mise à jour de vos paquets.
Un ptit coup d'apt-get à faire d'urgence!

Rq: le problème n'est pas spécifique à debian.

NdM. : cette dépêche a été initialement publiée le 23/06/2000 à 13h27, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Onetelnet, le fameux fai illimité connait des failles de sécurité dans ses routeurs. Plus d'infos dans le lien NdM. : cette dépêche a été initialement publiée le 14/06/2000 à 07h37, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

La version 1.3 de 'Security & Optimizing' est sortie. Allez vite faire
un tour sur le lien.

Note du modérateur: 'Security and Optimizing' est un livre sur Linux aux
éditions Red Hat. Apparemment il est très complet et couvre comme son nom
l'indique la sécurité sous Linux ainsi que les optimisations possibles.

NdM. : cette dépêche a été initialement publiée le 13/06/2000 à 19h19, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).