Les gouvernements devraient-ils s'abstenir d'externaliser les développements ?

Posté par (page perso) . Modéré par patrick_g.
Tags : aucun
18
16
avr.
2010
Sécurité
Suite à une dépêche de pBpG sur la sécurité et le "Threat Modeling", j'ai eu une intéressante discussion avec ce dernier.
Je suis parti de l'idée que pour améliorer la sécurité, il fallait commencer par fournir des garanties aux utilisateurs de logiciel.

Aujourd'hui, je reçois Crypto-Gram, par Bruce Schneier. Le dernier article traite des assurances dans le domaine de la sécurité logiciel et émet l'avis qu'elles sont nécessaires pour faire réellement avancer la sécurité et que les nouvelles méthodes n'apporteront rien.

J'ai donc tenté l'exercice (fort difficile) de la traduction, Lord, have mercy...

Threat modeling - Savez vous quelles sont les menaces qui guettent votre application ?

Posté par . Modéré par Xavier Teyssier.
Tags :
17
11
avr.
2010
Sécurité
Dans le monde connecté d'aujourd'hui, beaucoup d'applications se retrouvent à communiquer à droite à gauche avec d'autres, et se mettent à stocker des informations privilégiées de valeur : numéros de carte de crédit, mots de passe, numéros de sécurité sociale, correspondance privée, etc. Sécuriser une application et s'assurer qu'elle est robuste est donc une étape importante du développement du logiciel. Cela passe notamment par ce que l'on appelle chez les mangeurs de hamburgers le threat modeling (modélisation de menaces pour les non-anglophones).

Le threat modeling s'est imposé chez Microsoft après une période que l'on peut qualifier de "noire" au début des années 2000 et a grandement aidé à améliorer la sécurité de ses logiciels depuis. Toutefois, elle n'est pas forcément des plus faciles à implémenter.

Quelles sont vos expériences sur le sujet ? Est-ce que ce processus est utilisé dans vos développements informatiques ? Si oui, quels sont vos retours d'expérience ? Si non, pourquoi ?

Rencontres des Solutions de Sécurité et d'Informatique Libre

Posté par . Modéré par Nÿco.
Tags :
11
8
avr.
2010
Sécurité
Pour la cinquième années, ACISSI organise le Salon Informatique de Maubeuge, qui grandit et change de nom, pour devenir les RSSIL, Rencontres des Solutions de Sécurité et d'Informatique Libre.
En 2009, les RSSIL ont eu l'immense plaisir d'accueillir pas moins de 2000 visiteurs, 36 exposants, 300 concurrents pour les challenges.
Alors, en 2010, la recette reste la même, mais les quantités augmentent, comme pour un gâteau que l'on veut partager avec plus de monde.
Au programme :
  • La partie exposition, avec cette année pas moins de 60 stands disponibles pour des présentations et des démonstration afférentes au Libre. Comme pour les éditions précédentes, des LUGs et des association vous présenterons, vous expliquerons et vous aiderons dans l'utilisation de nombreux logiciels Libres !
  • Les conférences sur divers sujets du Libre, de l'économie du Logiciel Libre aux lois liberticides, en passant par la présentation des outils par les développeurs eux-même !
  • Le challenge de sécurité Hacknowledge, avec la participation de membres de divers projets (dont BackTrack 4) pour la création des épreuves ;
  • Le challenge des IUT de France, et ses trois épreuves (Applicative - Web - Sécurité) ;
  • La nuit de Jeux en réseau (LAN) ;
  • Et tant d'autres animations ...

Le logiciel libre, la sécurité, les challengers, les visiteurs, les exposants et les conférenciers de haut vol... tous les ingrédients d'un rendez-vous à ne surtout pas manquer !

Où ça ?

À l'Espace Sculfort
Rue Jean-Jaurès / N39
59600 MAUBEUGE

Quelques dates :
  • Date limite de soumission : 10 Avril 2010 ;
  • Déroulement des conférences : 4 & 5 Juin 2010.

Pour plus d'infos, rendez-vous sur le site officiel rssil.org.

Qubes : environnement de travail Xen sécurisé

Posté par (page perso) . Modéré par Xavier Teyssier.
15
7
avr.
2010
Sécurité
InvisibleThings et plus précisément Joanna Rutkowska, chercheuse polonaise en sécurité, vient d'annoncer Qubes, un environnement Xen de travail sécurisé. J. Rutkowska a publié de nombreuses attaques (avec leur implémentation) sur Xen, la virtualisation matérielle ou plus récemment TrueCrypt.

L'objectif du projet est de fournir un environnement sécurisé par isolation (une VM pour le travail, une pour le surf, une pour le surf sécurisé etc) tout en fournissant les fonctionnalités nécessaires à sa réelle exploitation au quotidien.

Les distributions GNU/Linux sécurisées

Posté par (page perso) . Modéré par patrick_g.
Tags : aucun
33
2
avr.
2010
Sécurité
L'écosystème des distributions GNU/Linux est saturé. Le site Distrowatch en recense plus de 300 et ce chiffre est sans doute une sous-estimation.
On trouve bien entendu les "grandes" que tout le monde connaît (Red Hat/Fedora, Debian GNU/Linux, Ubuntu, Mandriva Linux, etc) mais il existe une multitude de petits projets spécialisés, de forks plus ou moins amicaux, d'expérimentations diverses et variées.
Certaines de ces distributions ont choisi de se spécialiser dans le secteur de la sécurité et il m'a semblé intéressant de regarder d'un peu plus près ce qu'elles avaient à proposer.

Il n'est pas question ici des live-CD spécialisés qui permettent de vérifier la sécurité d'un réseau ou d'un poste local (du type Network Security Toolkit ou bien HoneyWall). Ces distributions sont incontestablement intéressantes mais ce n'est pas le sujet de cette dépêche. Ce qui va être examiné ce sont les distributions installables qui veulent proposer une sécurité au dessus de la moyenne. Seront également examinés certains patchs ou paquets spéciaux pour des distributions préexistantes.
La niche écologique de ces distributions spéciales, ou de ces variantes, c'est la promesse d'une sécurité supérieure par le biais de diverses améliorations techniques.

Dans la suite de la dépêche nous examinerons donc :
  • OpenWall
  • EnGarde Secure Linux
  • Grsecurity/Pax
  • NetSecL
  • Bastille Unix
  • Hardened Gentoo/Hardened Debian

NuFirewall, le pare-feu libre sans prise de tête

Posté par (page perso) . Modéré par Christophe Guilloux.
29
18
mar.
2010
Sécurité
Décidément, ça bouge chez EdenWall Technologies (anciennement INL) ! Deux semaines après la sortie d'une nouvelle version majeure de NuFW, l'éditeur nous gratifie d'un pare-feu complet et modulaire, NuFirewall, géré via une interface graphique conviviale. Il est composé de différentes briques :
  • Administration système (réseau, DNS, annuaire d'utilisateurs...) ;
  • Création de règles de filtrage Netfilter et NuFW ;
  • Analyse graphique des logs ;
  • Parefeu identifiant ;
  • Gestion des certificats (PKI).

La seconde partie de la dépêche détaille les différentes briques.

OpenSSH v5.4 : Certificat et Révocation

Posté par (page perso) . Modéré par baud123.
Tags :
58
15
mar.
2010
Sécurité
Si je ne me trompe, la dernière annonce sur LinuxFr concernant OpenSSH date d'octobre 2006, c'était la version 4.4. Depuis, du boulot, des améliorations mais dans la continuité. Cependant, le 8 mars 2010 tombe dans les bacs la version 5.4 qui apporte des changements de grandes ampleurs qui sont passés en revue dans la seconde partie de la dépêche.

Petite présentation pour commencer: OpenSSH implémente un client et un serveur pour les différentes versions du protocole SSH ainsi que le support pour le SFTP (à ne pas confondre avec le FTPS qui est du FTP dans un tunnel SSL). OpenSSH est distribué sous licence libre BSD et c'est un peu le fer de lance des développeurs d'OpenBSD. Il permet de se connecter à distance sur une machine et intègre un nombre impressionnant d'opérations utiles : shell distant, transfert de fichier, redirection de ports, tunnel...

Nouvelle version majeure de NuFW

Posté par (page perso) . Modéré par patrick_g.
22
3
mar.
2010
Sécurité
La société EdenWall Technologies, anciennement INL, a annoncé ce 2 mars 2010 la sortie de NuFW 2.4.0 après deux ans de travail. Cette nouvelle version du pare-feu identifiant sous licence GPL apporte des gains conséquents en terme de performance et d'extensibilité.

On notera notamment un protocole extensible par des greffons coté client et serveur ainsi qu'une optimisation drastique des temps de réponse sur les réseaux à forte latence.

Enfin, le projet NuFW a un nouveau site web rassemblant les différents logiciels liés au pare-feu identifiant.

Script de test des mesures de protection pour Linux

Posté par (page perso) . Modéré par patrick_g.
Tags :
28
2
mar.
2010
Sécurité
Si vous vous intéressez un tant soit peu aux mécanismes de sécurisation d'un système GNU/Linux, il ne vous aura pas échappé qu'un nombre croissant de barrières contre les malveillances est maintenant proposé pour empêcher l'exécution de code dangereux.

De la méthode de protection NX (pour No eXecute), à l'ASLR (Address Space Layout Randomization) remplissant aléatoirement des zones mémoire ou variables liées aux processus, en passant par les "Stack canaries" destinés à empêcher les dépassement de tampon, nombre de protections standard existent.

Mais comment savoir si ces protections additionnelles, activées la plupart du temps sans l'aval de l'utilisateur final, sont réellement effectives ou si leur mise en œuvre est plutôt aléatoire au sein du système ?

C'est dans cet esprit que Tobias Klein (de TRAPKIT.de) a écrit le script checksec.sh, avoir en quelques commandes l'état de protection/d'activation sur processus et exécutables (ou processus en cours), librairies liées ou exécutables d'un dossier.

Les commandes disponibles
checksec.sh --proc
checksec.sh --proc-all
checksec.sh --proc-libs
checksec.sh --file
checksec.sh --dir

Le script checksec.sh est intéressant pour apprécier le niveau de solidité d'une distribution par défaut, peut-être raison pour laquelle la distribution Tin Hat l'a adopté récemment et intégré au système .

Nouvelle version de Self Service Password (projet LDAP Tool Box)

Posté par (page perso) . Modéré par baud123.
Tags :
22
21
fév.
2010
Sécurité
Self Service Password est une interface web très simple permettant à un utilisateur de changer son mot de passe dans un annuaire LDAP. Cet annuaire peut être Active Directory ou un annuaire LDAP conforme au standard.

La version 0.3 vient de sortir avec son lot de nouveautés :
  • Mode SAMBA ;
  • Traduction allemande ;
  • Politique locale de mot de passe ;
  • Nouvelle feuille de style.


Quelques informations complémentaires sur ces nouvelles fonctionnalités :
  • Mode SAMBA : lors du changement de mot de passe, le mot de passe SAMBA est également mis à jour ; le mot de passe SAMBA est en effet maintenu dans un attribut différent avec une empreinte particulière (MD4) ;
  • Politique locale de mot de passe : bien qu'il soit conseillé de laisser l'annuaire contrôler la solidité du mot de passe, il est possible d'activer une politique locale qui permet de jouer sur les contraintes suivantes :
    • Taille minimale ;
    • Taille maximale ;
    • Nombre minimal de minuscules ;
    • Nombre minimal de majuscules ;
    • Nombre minimal de chiffres.

Cette politique peut être présentée à l'utilisateur avant qu'il change son mot de passe.

Le projet LDAP Tool Box rassemble plusieurs outils destinés à faciliter la mise en place d'annuaires LDAP. Par exemple, des RPMs pour la dernière version stable d'OpenLDAP (2.4.21) ont été publiés très récemment. Il existe également un ensemble de greffons pour Nagios ou Cacti.

PPassKeeper, bibliothèque d'abstraction de stockage de données sensibles, passe en bêta 2

Posté par (page perso) . Modéré par Nÿco.
Tags :
9
4
fév.
2010
Sécurité
Après plus d'un an de développement, PPasskeeper arrive en bêta 2. PPassKeeper est une bibliothèque d'abstraction de stockage de mots de passe accessible en C/C++, ligne de commande et Python. Elle est basée sur un système de greffons et est sous licence LGPL v2.

Sa création part du constat que les applications multi plate-formes sauvegardent le plus souvent des données utilisateur sensibles dans des fichiers textes en clair. Cela peut s'expliquer simplement par le fait que ces applications ne peuvent pas se permettre de programmer la prise en charge de chaque système de stockage de mots de passe disponibles. Pour simplifier le travail des programmeurs multi plate-formes et pour augmenter la liberté des utilisateurs de choisir où stocker leurs données, PPassKeeper a vu le jour.

Des paquets sont disponibles pour Linux (ArchLinux, Fedora et Ubuntu) et pour Windows. Des contributions pour les améliorer ou ajouter la prise en charge de nouvelles distributions seraient les bienvenus.

Avec un temps de développement de bientôt 2 ans, PPassKeeper commence à atteindre une certaine maturité dans son développement. Cette version attend vos commentaires à la fois sur l'API, des idées de greffons, sur la façon dont les greffons peuvent être configurés ou sur toute autre chose qui vous intéresserait.

Davantage de spams en 2010 : bug malencontreux dans SpamAssassin

Posté par (page perso) . Modéré par Benoît Sibaud.
Tags :
20
2
jan.
2010
Sécurité
En ce premier janvier 2010, un bug fâcheux a été découvert dans SpamAssassin.

En effet, il existe une règle nommée FH_DATE_PAST_20XX dont le but est d'augmenter de 3.4 points le score d'un courriel (donc la probabilité qu'il s'agisse d'un spam/pourriel) lorsque celui-ci a son champ “Date:” dans un futur trop lointain. Or il se trouve que la règle se déclenche lorsque le courriel a été posté à partir de… 2010.

La majeure partie des installations standards de SpamAssassin verront donc le score des courriels analysés surévalué.

Un correctif[2] a été commité en juillet dernier, mais il n'est ni présent dans la dernière version de SpamAssassin, ni dans les règles mises à jour par sa-update.

Petit déjeuner sur la sécurité des données grâce au logiciel libre - vendredi 18 décembre à Digne

Posté par (page perso) . Modéré par Nÿco.
Tags :
6
14
déc.
2009
Sécurité
APITUX vous invite au petit déjeuner organisé par Libertis, le réseau opérationnel des sociétés de services en logiciels libres, le vendredi 18 décembre 2009 de 9h à 10h30 chez XSALTO, rue Pasteur, à Digne-les-Bains.

Autour d'un café, pour échanger sur le thème la sécurité des données grâce au logiciel libre.

Avec les interventions de :
  • Jean-Christophe Becquet (APITUX) : utiliser des formats ouverts pour garantir la pérennité des données
  • Renaud Zigmann (XSALTO) : sécuriser son réseau et ses données avec des logiciels libres

Publication de EvalSMSI

Posté par . Modéré par patrick_g.
Tags :
9
30
nov.
2009
Sécurité
Après près d'un an de développement et de mise au point. Le logiciel EvalSMSI est disponible au téléchargement.

EvalSMSI est une application WEB, sous licence GPL, développée en PHP/MySQL, permettant de réaliser l'évaluation d'un Système de Management de la Sécurité de l'Information (SMSI).

S'appuyant sur la méthodologie proposée par la norme ISO 27001, cet outil a pour objectif de faciliter les opérations d’audit interne et de suivi des actions liées au management de la sécurité de l’information dans un organisme ou dans un groupement d'organismes.

Ses principales fonctionnalités sont :
  • la réalisation d'évaluations internes à partir d'un questionnaire,
  • la génération de graphes radars pour les résultats,
  • la gestion d'un tableau de bord pour les évaluateurs,
  • le suivi des évaluations sur plusieurs années,
  • la génération automatique de rapports...

Faille locale dans les fonctions pipe_*_open() du noyau Linux

Posté par (page perso) . Modéré par Christophe Guilloux.
Tags :
38
5
nov.
2009
Sécurité
Une situation de compétition (race condition) a été trouvée le 14 octobre dans les fonctions pipe_read_open(), pipe_write_open() et pipe_rdwr_open() du noyau Linux par Earl Chew, bug vieux de plus de dix ans. Deux jours plus tard, Earl a écrit un patch corrigeant le bug (commité le 21 octobre, il fait partie de la version 2.6.32-rc6).

L'histoire pourrait s'arrêter là, mais Eugene Teo de Red Hat a découvert cinq jours plus tard que le bug est une faille de sécurité. La faille est facile à exploiter avec la boîte à outils de Brad Spengler. Comme les dernières failles du noyau Linux (vmsplice(), tun_chr_pool() et perf_counter), la faille est liée au déréférencement d'un pointeur NULL. Brad Spengler a écrit un exploit (pouvoir passer root à partir d'un compte utilisateur) fonctionnant sur, au moins, Debian Etch, Fedora (6, 10 et 11), et RedHat (5.3 et 5.4). L'exploit contourne les protections SELinux dans le cas de Fedora 10 et RedHat 5.4. Il devrait publier son exploit dans les prochains jours.

Pour se protéger (ou vérifier si votre système est vulnérable ou non), assurez-vous que la valeur de /proc/sys/vm/mmap_min_addr ne soit pas nulle. Debian Sid, Mandriva Linux 2010.0, Fedora 12, Ubuntu (Ibex et supérieurs) et les noyaux patchés avec grsecurity ne sont pas vulnérables. Alors que Debian Lenny et Squeeze ont une valeur nulle par exemple (il est prévu de changer ça à partir de Debian 5.0.4). Comme l'option mmap_min_addr a été introduite dans Linux 2.6.23, Debian Etch (qui utilise un noyau 2.6.18) est vulnérable : vous pouvez utiliser les paquets etchhalf pour installer un noyau 2.6.24. Des correctifs pour RedHat sont déjà disponibles.

Présentation du projet LDAP Tool Box

Posté par (page perso) . Modéré par patrick_g.
Tags :
16
26
oct.
2009
Sécurité
Le projet LDAP Tool Box (aussi connu comme LTB project) est une compilation de petits outils destinés aux administrateurs d'annuaires LDAP. Certains de ces outils sont dédiés à OpenLDAP, mais la plupart peuvent être utilisés sur n'importe quel annuaire compatible avec le standard LDAPv3.

On trouve par exemple dans ces outils des scripts de supervision pour Nagios et Cacti, des RPMs de la dernière version stable d'OpenLDAP, ou encore une interface de changement de mot de passe.

LDAP Tool Box est publié sous licence GPLv2.

Hack.lu - Version 2009

Posté par . Modéré par Florent Zara.
Tags : aucun
4
18
sept.
2009
Sécurité
Hack.lu est une convention/conférence où les spécialistes peuvent discuter sur la sécurité informatique, les aspects de la vie privée, les technologies de l’information et son implication dans la société. Le but de cette convention est de réaliser des liens entre les différents acteurs du monde de la sécurité informatique.

Les sujets abordés pendant cette édition sont d’actualité, à la pointe de ce qui se fait actuellement. Entre autres :
  • New advances in Office Malware analysis ;
  • PDF- Penetration Document Format ;
  • Some Tricks For Defeating SSL In Practice ;
  • etc.
Cette convention est le lieu idéal pour créer des liens avec des interlocuteurs spécialistes de la sécurité, se tenir au courant des dernières bonnes pratiques dans le domaine, ainsi que de s’informer sur le matériel disponible.

Comme l'année passée, celle-ci se tiendra à Luxembourg-Ville à l'Alvisse Parc Hotel. Les dates retenues sont du 28 au 30 octobre. Réservez votre entrée dès maintenant afin de pouvoir bénéficier du tarif réduit (entre 100 et 500€ selon votre statut (étudiant ou non) et la date de la réservation).

FRHack : Conférence de RMS en accès gratuit

Posté par . Modéré par Mouns.
Tags :
12
5
sept.
2009
Sécurité
Dans le cadre du colloque FRHack, Richard M. Stallman (RMS) animera une conférence en anglais : "Free Software in Ethics and in Practice", lundi 7 septembre à 17h30. Contrairement aux autres conférences du colloque celle-ci sera accessible gratuitement à cette adresse : http://mediatux.com/webtvstream.php

FRHack est un colloque international sur la sécurité informatique et les NTIC en France (au Grand Kursaal de Besançon), programmée du 7 au 11 Septembre 2009.

Rugby et cryptographie : Shabal est en demi-finale !

Posté par (page perso) . Modéré par Florent Zara.
Tags : aucun
32
26
juil.
2009
Sécurité
Bien entendu ce n'est pas de Sébastien Chabal dont il est question ici mais bien de la fonction de hachage SHABAL qui participe à la compétition SHA-3.

Les 14 algorithmes sélectionnés pour participer au second tour de la compétition ont été annoncés avant-hier 24 juillet par le NIST.

Une interview de Brad Spengler

Posté par (page perso) . Modéré par j.
Tags :
44
24
juil.
2009
Sécurité
Brad Spengler, le mainteneur du projet grsecurity et l'auteur du dernier exploit en date dans le noyau Linux, a accepté de répondre à quelques questions pour LinuxFr.org.

Sous le pseudonyme de "Spender", Brad s'est rendu célèbre en découvrant de nombreuses vulnérabilités du noyau Linux et en prouvant, à l'aide d'exploits, que ces trous de sécurité étaient exploitables. Il est le mainteneur principal du patch externe grsecurity, qui vise à renforcer la sécurité du noyau en ajoutant divers mécanismes qui restreignent l'impact des vulnérabilités ou qui les bloquent complètement. Après la publication de son dernier exploit plusieurs questions lui ont été envoyées par mail (en une seule fois) et il a eu la gentillesse d'y répondre. Qu'il en soit remercié.

Sortie de LemonLDAP::NG 0.9.4

Posté par (page perso) . Modéré par baud123.
Tags :
16
22
juil.
2009
Sécurité
Début juillet est sortie la dernière version de LemonLDAP::NG, un logiciel libre de WebSSO et gestion des accès.
Les nouveautés de la version 0.9.4 ont été présentées lors des 10èmes RMLL à Nantes, pendant la journée consacrée à la gestion des identités. Pour ceux qui n'ont pas eu le privilège d'assister à cette conférence, cet article rappelle les principes de fonctionnement du produit et liste les nouvelles fonctionnalités. Les plus intéressés trouveront également dans le Linux Mag de cet été une bonne introduction au logiciel.

Exploit local dans le noyau Linux 2.6.30

Posté par (page perso) . Modéré par Sylvain Rampacek.
26
18
juil.
2009
Sécurité
Brad Spengler, mainteneur du projet Grsecurity, a publié un exploit local pour le noyau Linux. Seule la version 2.6.30 du noyau est impactée. L'exploit a été publié rapidement car aucune distribution n'utilise cette version pour le moment. Il est capable de contourner les protections AppArmor, SELinux, LSM, et désactive l'audit. La faille concerne les interfaces réseaux virtuelles tun et a été introduite en février dernier. D'abord considérée comme un simple bug, elle a été découverte le 4 juillet, corrigée le lendemain, puis Brad a publié son exploit le 15 juillet.

Brad profite de l'exploit pour dire tout le mal qu'il pense de la gestion de la sécurité dans le noyau Linux (lire notamment tous les commentaires présents dans le fichier exploit.c du tgz). Il reproche notamment la correction silencieuse de failles qui pose problème aux distributions Linux : les mainteneurs ne savent pas quels patchs doivent être backportés dans les branches stables. Il reproche également l'absence d'analyse de l'impact d'un bug en terme de sécurité : certaines failles sont considérées comme non exploitables, alors qu'elles le sont.

La seconde partie de cette dépêche détaille la faille.

Générer des nombres aléatoires avec Hasard 0.9.6

Posté par (page perso) . Modéré par Mouns.
Tags :
36
10
juil.
2009
Sécurité
Générer des nombres aléatoires avec un ordinateur (déterministe par définition) est un problème complexe. Il est facile d'introduire un biais par une maladresse. On a vu de nombreuses failles au fil des années, un exemple récent étant la faille introduite dans la version Debian d'OpenSSL (mai 2008).

Chaque système d'exploitation propose des périphériques et API différentes, et il existe diverses bibliothèques tierces, pour générer des nombres aléatoires. La bibliothèque Hasard propose une API simple, portable et haut niveau, pour limiter les erreurs d'un développeur, tout en réutilisant les briques existantes (ex: bibliothèques OpenSSL et gcrypt).

La version 0.9.6 supporte Linux, FreeBSD, Mac OS X et Windows, et devrait fonctionner sur n'importe quel système d'exploitation disposant des périphériques /dev/urandom et /dev/random. La bibliothèque Hasard est écrite en C, propose un binding Python, et est distribué sous licence BSD.

PacketFence 1.8.3, un puissant contrôleur d'accès au réseau

Posté par (page perso) . Modéré par Jaimé Ragnagna.
13
11
juin
2009
Sécurité
Inverse, société spécialisée en développement et déploiement de logiciels libres, annonce la sortie de la version 1.8.3 de PacketFence, sous licence GPLv2.

Créé en 2004, PacketFence est un logiciel libre de contrôle d'accès réseau ("NAC").
Contrairement aux alternatives propriétaires, PacketFence possède toutes les fonctionnalités d'un NAC telles :
  • L'enregistrement des composantes réseau ;
  • La détection d'activités illicites (avec Snort) ;
  • La détection proactive de vulnérabilités (avec Nessus) ;
  • L'isolation des composantes réseau problématiques ;
  • La capture d'empreintes DHCP ;
  • Ainsi qu'un puissant portail captif.


PacketFence peut être utilisé pour la sécurisation d'un réseau filaire ou sans fil et possède plusieurs mécanismes pour la gestion des accès réseau (usurpation ARP, DHCP/DNS, changement dynamique de VLAN et 802.1X).

Par ailleurs, la solution peut être utilisée pour la sécurisation de très grands réseaux hétérogènes grâce à sa prise en charge de nombreux modèles de commutateurs (Cisco, Nortel, HP, etc.).

Des paquets pour Red Hat Enterprise Linux (ou CentOS) sont disponibles sur le site officiel du projet ainsi qu'une version préconfigurée dans une image de type VMWare.

Nouvelles attaques sur SHA-1 : Debian pourrait migrer vers SHA-2

Posté par . Modéré par Florent Zara.
Tags : aucun
25
9
mai
2009
Sécurité
La conférence Eurocrypt 2009 qui s'est achevé le 20 avril dernier nous a donné de nouvelles attaques sur la fonction de hachage SHA-1. Trouver une collision ne nécessite maintenant plus que 2^52 opérations, soit quelques semaines de calcul sur un PC standard (voir ce document pdf d'annonce de la nouvelle attaque).

Un plan de migration pour la bien connue distribution GNU/Linux Debian a été proposé, soit une migration de l'ensemble des clefs PGP et GPG de son infrastructure (développeurs compris) vers des clefs plus robustes. Beaucoup de ses clefs font en effet appel aux mécanismes RSA ou DSA, avec des clefs de 1024 bits, ainsi qu'à la fonction de hachage SHA-1, à l'exception notable de la clef primaire de la distribution stable actuelle, Lenny, qui fait 4096 bits (RSA).

Les clefs migreraient donc toutes vers l'algorithme RSA, taille 2048 bits, ainsi que vers les fonctions de hachage de la famille SHA-2 (SHA-224, SHA-256, SHA-384 et SHA-512). Tout l'enjeu de cette migration est de ne pas casser le Web of Trust (chaîne de confiance) déjà existant mais de le faire migrer en douceur.

Plus de détails dans la suite de la dépêche.