Journal QRaidCODE, stocker des données sécurisée sur qrcodes

24
25
oct.
2014

Il y a un peu plus d'un an de ça, j'ai travaillé sur une application web de stockage de données sur qrcode utilisant un système proche du Raid des disques dur permettant de proposer à l'utilisateur de stocker des données sur une série de qrcode et de pouvoir n'utiliser qu'une fraction de ces qrcodes pour récupéré ses données.

À l'époque, il s'agissait d'une application web qu'il était compliqué de déployer car nécessitant quelques binaires et notamment une version patché (...)

Journal Hack.lu 2014

Posté par (page perso) . Licence CC by-sa
22
25
oct.
2014

Cher journal,

Hack.lu, c'est fini, c'était la semaine passée. Alors, je vais te faire un résumé rapide des conférences que j'ai ou dont j'ai entendu parlées qui étaient particulièrement intéressantes. Vous pouvez retrouver une partie des supports de présentation dans les archives, elles n'étaient cependant pas filmées. Je ne vais pas détailler plus que ça parce que je n'ai pas forcément vu les conférences et puis, avec Google et le titre, vous trouverez plein d'informations si le sujet (...)

Forum Linux.général [Sécurité] Comment protéger ses services auto-hebergés sans empiler les par-feux physique ?

2
18
oct.
2014

Salut les packets IP ;)

Mes connaissances en architectures réseaux sont un peu lointaines et j'aimerais profiter de cette manne de connaissances qu'est LinuxFr pour m'aider dans ma réflexion.

Avec la recrudescence des failles découvertes un peu partout en ce moment, les super h4ck3rs du dimanche s'en donnent à coeur joie dans les log Nginx notamment.
C'est l'occasion de revoir un peu l'aspect sécurité sur mes services auto-hébergés, notamment sur la gestion des IP/packets entrant vers mes services.
J'aimerais beaucoup exclure (...)

Journal HardenedBSD mentioned in FreeBSD Quaterly report

Posté par . Licence CC by-sa
8
17
oct.
2014

Hello tout le monde,

HardenedBSD évolue petit a petit à ce qu'on peut voir ici … Une fois qu'ASLR est poussé "upstream", les autres features peuvent suivre. En effet, apres un EuroBSDCon 2014 riche en evenements, la mise a jour d'arc4random (qui utilise l'algo Chacha 20 en lieu et place du vénérable RC4) côté userland et kernel, l'addition de l'appel systeme getentropy (je crois que sous Linux c'est plutot getrandom ? à vérifier…), les libraries et quelques binaires compilent respectivement avec (...)

CVE-2014-3566 — Vulnérabilité POODLE

Posté par . Édité par Nÿco, tankey, Davy Defaud, Xavier Teyssier, palm123 et Benoît Sibaud. Modéré par patrick_g. Licence CC by-sa
32
17
oct.
2014
Sécurité

Qu’est‐ce POODLE ?

POODLE signifie Padding Oracle On Downgraded Legacy. Il s’agit d’une vulnérabilité permettant via une attaque de l’« homme du milieu » (MIM, Man In the Middle), en se plaçant entre le navigateur Web et le serveur Web, de déchiffrer les informations chiffrées.

POODLE affecte les anciennes normes de chiffrement, notamment Secure Socket Layer (SSL) version 3.0. Il n’affecte pas le mécanisme de chiffrement plus récent, et standardisé, appelé Transport Layer Security (TLS).

Recommandations

Pour atténuer cette vulnérabilité, désactivez SSL 3.0 en forçant l’utilisation de TLS, tout en vérifiant la compatibilité des navigateurs clients devant y avoir accès.

Plusieurs bulletins de sécurité ont annoncé la vulnérabilité :

SELKS 1.0 : une distribution

Posté par (page perso) . Édité par Davy Defaud, Nÿco, Xavier Teyssier et palm123. Modéré par patrick_g. Licence CC by-sa
35
16
oct.
2014
Sécurité

SELKS est une distribution liv_e et installable qui fournit un système de détection d’intrusion (_Intrusion Detection System, abrévié IDS) Suricata prêt à l’emploi. Elle intègre Scirius, une interface Web de gestion des règles de l’IDS, et le trio Elasticsearch, Logstash et Kibana (ou "ELK"). L’interface Kibana permet d’analyser les alertes et les événements remontés par l’IDS.

Capture d'écran de SELKS

Le projet SELKS a été initié pour fournir un moyen de tester rapidement les capacités de l’IDS Suricata dans le domaine de la détection d’intrusion réseau et dans le domaine de la surveillance réseau. En mode live, il est ainsi possible de passer de l’amorçage du système à l’analyse du trafic réseau dans Kibana en 30 secondes.

Revue de presse de l'April pour la semaine 39 de l'année 2014

14
29
sept.
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Une faille nommée « shellshock »

82
28
sept.
2014
Sécurité

« ShellShock », une faille dans l'usage du shell Bash, est sous les projecteurs depuis quelques jours. Le terme est un jeu de mot entre la stupeur propre à l'obusite des combattants de la première guerre mondiale et l'interface système shell. Nous vous proposons des explications sur cet évènement particulier, son périmètre, les conditions de son exploitation, les surfaces d'attaques, et les solutions proposées, déjà mises en œuvre ou à venir. Enfin, une revue de presse sera dressée, cette faille s'étant transformée en évènement.

Journal Mets à jour ton bash. Maintenant.

55
24
sept.
2014

Bonjour, Nal

Un journal bookmark pour signaler : faut mettre à jour bash
Voilà, c'est tout. Vous pouvez reprendre une activité normale.

Pour les autres, qui ne vont pas reprendre une activité normale de suite, on pourra résumer cela en "c'est sérieux, urgent, et mérite peut être une campagne de patch au pied levé". Cette découverte, qui date d'une vingtaine de jours aujourd'hui, vient d'avoir ses correctifs validés, à priori (…).
Sans cela, il est possible de faire, par exemple (...)

ConFoo: La conférence pour les développeurs web est à la recherche de conférenciers.

Posté par (page perso) . Édité par ZeroHeure et tankey. Modéré par ZeroHeure. Licence CC by-sa
3
9
sept.
2014
Communauté

ConFoo est à la recherche de conférenciers
ConFoo est à la recherche de professionnels du web avec une connaissance approfondie du développement avec PHP, Python, Ruby, Java, DotNet, HTML5, Databases, Cloud et le dévelopement mobile souhaitant partager leurs connaissances et expériences lors du prochain ConFoo. Soumettez vos propositions entre le 25 août et le 22 septembre.

  • ConFoo 2015 se déroulera du 18 au 20 février à Montréal, à l’Hôtel Hilton Bonaventure.
  • Nous prenons grand soin de nos conférenciers en couvrant la majorité des dépenses incluant le déplacement, l’hébergement, le lunch, le billet complet de la conférence, etc.
  • Les présentations sont d’une durée de 35min + 10min de questions et peuvent être tant en français qu'en anglais.
  • ConFoo est un environnement ouvert où tout le monde est invité à soumettre. Vous êtes qualifié et amical? Joignez-vous à nous!

Si vous voulez simplement assister à la conférence, nous avons un rabais de 290$ en vigueur jusqu’au 13 octobre.

Revue de presse de l'April pour la semaine 36 de l'année 2014

Posté par (page perso) . Édité par palm123. Modéré par Pierre Jarillon. Licence CC by-sa
13
9
sept.
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Kernel Recipes 2014

Posté par (page perso) . Édité par Davy Defaud, tankey et Bruno Michel. Modéré par tankey. Licence CC by-sa
33
25
août
2014
Noyau

hupstream est fier de vous annoncer la 3e édition de Kernel Recipes, les 25 et 26 septembre 2014.

Cette nouvelle édition s’annonce pleine de promesses. Cette année nous vous proposons des conférenciers venus des États‐Unis, d’Europe et de France : Greg Kroah‐Hartman, Hans Peter Anvin, Jean Delvare, Willy Tarreau, Borislav Petkov, Martin Peres, Maxime Ripard, Julien Grall, Eric Leblond, Samir Bellabes et Hans Verkuil.

Nombre d’entre eux interviendront pour la première fois en France.

Revue de presse de l'April pour la semaine 32 de l'année 2014

18
12
août
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Journal Capsicum dans Linux : ça bouge !

46
3
août
2014
Ce journal a été promu en dépêche : Capsicum dans Linux : ça bouge !.

Chers LinuxFrien-ne-s,

En 2011 je vous parlais de Capsicum (dépêche LinuxFr), un projet de chercheurs de Cambridge de nouvelles primitives de gestion des droits pour les systèmes UNIX, très prometteur et en passe d'être intégré à FreeBSD.

Linux n'avait à l'époque pas de bonne solution pour un sandboxing fin; en 2012, une revue complète du système seccomp (dépêche LinuxFr) apportait un mécanisme très fin de contrôle des appels systèmes, mais ne gérant pas le transfert de (...)

Journal C'est vendredi, c'est trolldi, c'est permis : l'open source n'est pas secure

Posté par . Licence CC by-sa
8
1
août
2014

Le vendredi, c'est la chasse aux trolls. Et là, j'en tiens un beau \o/

http://blog.erratasec.com/2014/07/cliche-open-source-is-secure.html Alors, OK, comme le titre le laisse annoncer, il ne faut pas croire aveuglément que l'open source est plus secure que le closed source, idée à laquelle il est simple d'adhérer.

Par contre, le reste du post est rempli de trolls bien gras. Le premier paragraphe est juste mythique:
Unusable crypto isn't a valid option for most users. Most would rather just not communicate at (...)