Un peu plus de sécurité sous Linux

Posté par (page perso) . Édité par Benoît Sibaud, palm123, NeoX, tankey et Xavier Teyssier. Modéré par tuiu pol. Licence CC by-sa
33
5
mar.
2015
Debian

Un problème qui revient souvent lorsqu'on débute sous (GNU/)Linux concerne la sécurité de sa machine, que ce soit un serveur ou un ordinateur de bureau. Faut il installer un antivirus ? un firewall ? et les malwares ? les mises à jour ? Des sauvegardes ? Mais mon ordi va bien non ?

Certain-e-s d'entre vous ont sans aucun doute des configurations intéressantes et/ou exotiques, n'hésitez pas à les partager, tous le monde en sortira gagnant.

Et donc, au programme de cet article (testé sur Debian Wheezy) :

  • Mises à jour : cron-apt et checkrestart
  • Sécurité
    • virus : clamav,
    • malwares maldet,
    • rootkits rkhunter, chkrootkit, lynis
    • vérification de l'intégrité des paquets : debsums
  • nettoyage : deborphan, …
  • backups

Revue de presse de l'April pour la semaine 9 de l'année 2015

18
2
mar.
2015
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Journal De Snowden, Kaspersky, CitizenFour et Gemalto

Posté par (page perso) . Licence CC by-sa
26
24
fév.
2015

Journal bookmark rapide, désolé si ça fait doublon mais je crois pas avoir vu passer.

Le documentaire sur les révélations de Snowden par Laura Poitras a gagné l'oscar du meilleur documentaire, ça on le sait tous.

Mais saviez-vous que le docu est passé (discrètement) dans le domaine public ? C'est l'info rapportée par Cryptome et ce site allemand : http://t3n.de/news/citizenfour-oscar-gekroente-595416/ En gros le docu a été versé au dossier dans le cadre d'une plainte contre le film, et de ce fait (...)

Revue de presse - février 2015

Posté par (page perso) . Édité par Benoît Sibaud. Modéré par Pierre Jarillon. Licence CC by-sa
17
1
fév.
2015
Presse

Le mois de janvier fût marqué par des drames que nous ne sommes pas près d'oublier. En France, la presse est libre. Sans la liberté de blâmer, il n'est point d'éloge flatteur ; et comme le rappelle toutes les semaines un canard, la liberté de la presse ne s’use que quand on ne s’en sert pas. Pour ce deuxième mois de l'année, les marchands de journaux disposent encore une fois de nombreux titres dans leurs rayons et cet hiver, la sécurité semble être la préoccupation principale.

Comment protéger sa vie privée ? Y a-t-il un danger à se connecter en wifi ? Comment installer un firewall ? Pour le n° 83 de Planète Linux, 2015 est l’année de la sécurité informatique.

Linux Pratique n° 87 vous propose de découvrir comment anonymiser tout votre trafic [réseau] avec Tor. Par ailleurs, d'autres sujets sont abordés comme la sécurisation d'un serveur serveur web avec chroot ainsi que l'utilité d'un pare-feu.

Souhaitez vous optimiser la protection de votre système et de vos applications ? Le hors-série n° 76 Sécurité & Linux devrait vous intéresser. À noter qu'un chapitre est consacré à la sécurité sous Android.

MISC n° 77 propose un dossier sur la sécurité des moyens de paiement. Comment faciliter les échanges tout en évitant la fraude ? Les réponses sont dans MISC.

Hackable n° 4 le magazine des amateurs de tournevis et de fer à souder se recentre une nouvelle fois sur Raspberry Pi et ses nouvelles cartes.

Les pythoneux pointilleux se délecteront du n° 179 de GNU/Linux Magazine. Tandis que les débutants en programmation porteront leur attention sur le n° 182 de Programmez! qui tente de convaincre son lectorat de l'intérêt du métier de développeur. Le magazine a tout de même le mérite de présenter la première version d'Android Studio apparue discrètement en décembre.

Les sommaires complets de chacun de ces magazines sont en ligne via les liens ci-dessous.

Journal Faille de sécurité glibc

Posté par . Licence CC by-sa
38
27
jan.
2015

Je me permets de faire un copier coller de l'annonce relayée sur le FRench SysAdmins Group (FRsAG):

**
/Cette vulnérabilité sévère détectée dans la bibliothèque C de GNU/Linux donne le contrôle aux attaquants sans nécessiter d’identifiants système.
- Patchs disponibles dès aujourd’hui - /

*
Le 27 janvier 2015 –– *Qualys, Inc.(NASDAQ : QLYS), le principal fournisseur de solutions de sécurité et de conformité dans le Cloud, annonce que son équipe chargée de la recherche en sécurité (...)

Mettre en place un serveur Jabber avec du TLS et du Forward Secrecy

Posté par (page perso) . Édité par ZeroHeure, palm123, NeoX et Nÿco. Modéré par ZeroHeure. Licence CC by-sa
51
27
jan.
2015
XMPP

J'ai publié il y a quelques mois un tuto pour mettre en place "facilement" un serveur XMPP/Jabber avec Prosody et du SSL/TLS plutôt bien configuré sous Debian, j'ai eu pas mal de retours positifs depuis et je pense qu'il pourrait intéresser d'autres personnes.

Revue de presse de l'April pour la semaine 3 de l'année 2015

Posté par (page perso) . Édité par BAud. Modéré par Nÿco. Licence CC by-sa
22
21
jan.
2015
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

SmartLab aussi appelé DumbLab : un hackerspace à Limoges

Posté par . Édité par ZeroHeure, Benoît Sibaud et palm123. Modéré par Nÿco. Licence CC by-sa
13
13
jan.
2015
Do It Yourself

Le hackerspace de Limoges, SmartLab aussi appelé DumbLab ouvre officiellement ses portes le vendredi 6 Février 2015 à 19 h 30.

Les principaux domaines qui intéressent le lab sont la sécurité informatique, les télécommunications et plus généralement l'électronique. Nous convions toutes les personnes intéréssées afin qu'elles puissent découvrir les locaux, le matériel ainsi que les projets du lab, poser des questions et pourquoi pas devenir membre :).

À cette occasion un apéro sera organisé dans nos locaux fraîchement rénovés. Rendez-vous donc le Vendredi 6 Février 2015 dans nos locaux situés impasse Daguerre.
N'hésitez pas à en parler autour de vous !

Pour tout renseignement, n'hésitez pas à consulter le site. Contact : smartlab.limoges@gmail.com

Revue de presse de l'April pour la semaine 2 de l'année 2015

15
13
jan.
2015
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Journal Les lois françaises favorisent-elles l’insécurité informatique ?

Posté par . Licence CC by-sa
15
11
jan.
2015

Un système mécanique, par exemple dans une voiture, est relativement facile à sécuriser :

  • Le nombre de pièces et leurs interactions est relativement limité donc le risque de panne aussi ;
  • On peut calculer la résistance de chaque pièce mécanique et prévoir sa fiabilité (MTBF), quelles que soient les contraintes : efforts mécaniques exercés sur la pièce, fatigue et usure, vibrations, chaleur, réactions chimiques, corrosion ;
  • On a accès à chaque pièce pour faire un diagnostic ou une expertise et (...)

Appel à conférences sur la sécurité informatique, pour le 06 au 08 mars 2015, à SUPELEC Metz

Posté par . Édité par tankey et Benoît Sibaud. Modéré par Ontologia. Licence CC by-sa
6
9
jan.
2015
Sécurité

Cette année l'association GOALL aide à l'organisation des Journées FedeRez à SUPELEC à Metz. FedeRez est une fédération d'associations de réseaux informatiques étudiants. Tous les ans, les étudiants des associations membres se retrouvent pour échanger lors des Journées FedeRez, assister à des conférences et participer à divers ateliers. En plus des nombreux étudiants et jeunes diplômés constituant le public habituel de l'événement, beaucoup de professionnels sont invités.

L'édition 2015 aura pour thème la sécurité des systèmes d'information :

  • vendredi 6 mars après-midi : conférences et table ronde
  • samedi 7 mars matin : conférences
  • samedi 7 mars après-midi : conférences et ateliers
  • dimanche matin 8 mars : conférences et Assemblée Générale Ordinaire des associations membres du réseau Federez

Journal SécurityDay à Lille seconde édition

Posté par (page perso) . Licence CC by-sa
8
9
jan.
2015

Bonjour,

Mes étudiants organisent une conférence de sécurité assez technique le 16 Janvier 2015 à L'université de Lille 1:

http://securitydaylille1.github.io/

Au programme:
- (FR) Keynote - Fred Raynal
- (EN) Towards ultimate deobfuscation - Aurélien Wailly
- (FR) Recherche de vulnérabilités - Florian Ledoux
- (FR) Program analysis: dynamic binary analysis and instrumentation - Jonathan Salwan
- (EN) Memory analysis: a volatility primer - Mariano Graziano
- (EN) Inside VMProtect - Samuel Chevet
- (EN) Theorem prover, symbolic execution &amp (...)

Journal Méfiez-vous des applications de courriel sur mobile

Posté par (page perso) . Licence CC by-sa
54
31
déc.
2014

Introduction

Que ce soit sur Google Play ou même l’App Store, les applications mobiles alternatives pour consulter votre boîte mail prospèrent. Mais que font-elles vraiment ? Peut-on leur faire confiance ?

On s’imagine qu’elles sont justes « mieux faites » que les applications par défaut. « Pareil mais en mieux », plus jolies, plus simples, vous promettant un tri automatique du courriel entrant ou un (swype) super-cool, ou encore un regroupement de vos boîtes pro & perso, alors vous foncez. Mais qu’en est-il vraiment ?

(...)

Mises à jour ntp à faire suite à la faille CVE-2014-9295

Posté par . Édité par Benoît Sibaud, Jiehong, Florent Zara, Nÿco, Nils Ratusznik et BAud. Modéré par Nÿco. Licence CC by-sa
30
26
déc.
2014
Sécurité

De multiples failles de sécurité ont été identifiées et comblées dans ntp (le logiciel de ntp.org, pas le protocole NTP en général) ces derniers jours. Il s'agit de plusieurs failles avec notamment :

  • deux dépassements de mémoire tampon qui peuvent permettre un déni de service ou l'exécution de code avec les privilèges du processus ntpd lancé ;
  • d'une faiblesse dans la génération des clés, il est donc conseillé de recréer ces dernières après la mise à jour dans certains cas.

Elles ne sont pas forcément exploitables ou d'une grande dangerosité en dehors d'une d'utilisation avancée / serveur ntpd, mais il est préférable d'être prévenu :)

Cette faille a été identifiée et nommée CVE-2014-9295. Elle concerne toutes les versions de ntp jusqu'à la 4.2.7 et la version corrective 4.2.8 est parue le 18 décembre 2014.

NdM : il existe d'autres logiciels libres pouvant servir pour la synchronisation NTP, comme openntpd (non vulnérable) issu d'OpenBSD, Ntimed (client uniquement) sponsorisé par la Linux Foundation, chrony, etc.

Journal Mises à jour NTP

Posté par . Licence CC by-sa
40
23
déc.
2014
Ce journal a été promu en dépêche : Mises à jour ntp à faire suite à la faille CVE-2014-9295.

Bonjour,

Juste un petit journal bookmark très rapide pour signaler à ceux qui seraient passés à coté de l'info : de multiples failles de sécurité ont étés identifiées et comblées dans NTP ces derniers jours.

Il s'agit de plusieurs failles avec notamment :
- Deux dépassements de mémoire tampon qui peuvent permettre un déni de service ou l'exécution de code par un attaquant avec les privilèges de l'utilisateur NTP.
- D'une faiblesse dans la génération des clés, il est donc (...)