Kernel Recipes 2014

Posté par (page perso) . Édité par Davy Defaud, Bruno Michel et tankey. Modéré par tankey. Licence CC by-sa
33
25
août
2014
Noyau

hupstream est fier de vous annoncer la 3e édition de Kernel Recipes, les 25 et 26 septembre 2014.

Cette nouvelle édition s’annonce pleine de promesses. Cette année nous vous proposons des conférenciers venus des États‐Unis, d’Europe et de France : Greg Kroah‐Hartman, Hans Peter Anvin, Jean Delvare, Willy Tarreau, Borislav Petkov, Martin Peres, Maxime Ripard, Julien Grall, Eric Leblond, Samir Bellabes et Hans Verkuil.

Nombre d’entre eux interviendront pour la première fois en France.

Journal Capsicum dans Linux : ça bouge !

Posté par . Licence CC by-sa
46
3
août
2014
Ce journal a été promu en dépêche : Capsicum dans Linux : ça bouge !.

Chers LinuxFrien-ne-s,

En 2011 je vous parlais de Capsicum (dépêche LinuxFr), un projet de chercheurs de Cambridge de nouvelles primitives de gestion des droits pour les systèmes UNIX, très prometteur et en passe d'être intégré à FreeBSD.

Linux n'avait à l'époque pas de bonne solution pour un sandboxing fin; en 2012, une revue complète du système seccomp (dépêche LinuxFr) apportait un mécanisme très fin de contrôle des appels systèmes, mais ne gérant pas le transfert de (...)

Journal C'est vendredi, c'est trolldi, c'est permis : l'open source n'est pas secure

Posté par . Licence CC by-sa
8
1
août
2014

Le vendredi, c'est la chasse aux trolls. Et là, j'en tiens un beau \o/

http://blog.erratasec.com/2014/07/cliche-open-source-is-secure.html Alors, OK, comme le titre le laisse annoncer, il ne faut pas croire aveuglément que l'open source est plus secure que le closed source, idée à laquelle il est simple d'adhérer.

Par contre, le reste du post est rempli de trolls bien gras. Le premier paragraphe est juste mythique:
Unusable crypto isn't a valid option for most users. Most would rather just not communicate at (...)

Journal L'USB c'est moisi, ça propage des virus

25
1
août
2014

Un bon petit article alarmiste pour commencer ce trolldi.

L'article source, que je préfère résumer car le ton m'a l'air trop alarmiste : La norme USB possède une énorme faille de sécurité qui ne pourra pas être comblée

Qui a lui-même une source sur Wired.

La Black Hat Security Conference à Las Vegas, c'est dans une semaine ! On va donc faire monter la hype avec une annonce fracassante d'une des conférences : à cause d'une faille de conception, il (...)

Sondage Quand je vois une session ouverte...

Posté par . Licence CC by-sa
8
25
juil.
2014

Dans votre bureau ou votre école, il vous arrive parfois de voir qu'un de vos collègues a laissé une session ouverte sur un poste avant de l'abandonner pour faire une pause ou de partir en réunion. Comment réagissez-vous ?

  • Je ne fais rien, ça ne m'intéresse pas :
    573
    (33.0 %)
  • Je joue avec sa messagerie :
    317
    (18.3 %)
  • Je change le thème de l'environnement graphique :
    183
    (10.6 %)
  • Je change la page d'accueil du navigateur web :
    68
    (3.9 %)
  • Je récupère toute trace de vie privée du propriétaire :
    48
    (2.8 %)
  • J'installe de quoi faire tout ça à distance :
    134
    (7.7 %)
  • Je verrouille sagement la session pour empêcher cela :
    411
    (23.7 %)

Total : 1734 votes

Campagne de financement participatif pour ProtonMail

14
19
juil.
2014
Sécurité

ProtonMail est un service de messagerie web sécurisé créé en 2013 par Jason Stockman, Andy Yen et Wei Sun au CERN, situé à côté de Genève en Suisse. À l'opposé de nombreuses messageries web existantes (gmail.com, outlook.com…), ProtonMail chiffre les courriels avant qu'ils ne soient envoyés au serveur. ProtonMail est actuellement en version bêta.

logo ProtonMail

Depuis le 17 juin, une campagne de financement participative a été lancée par l'équipe de développeur dans le but d'atteindre 100 000$. Deux semaines plus tard, le projet avait déjà reçu 200 000$. La prochaine étape est d'atteindre 500 000$ afin que des applications pour iOS et Android soient développées. La campagne se termine le 31 juillet. ProtonMail accepte les paiements par carte bleue, paypal (voir plus bas) et bitcoin.

Forum général.général Forcer un algorithme de chiffrement

Posté par . Licence CC by-sa
1
9
juil.
2014

Bonjour à tous,

Je me posais une question l'autre jour en lisant un nème article sur la sécurité des applications (c'est à la mode en ce moment, suite aux diverses failles récemment révélées dans plusieurs projets open source).

La question est la suivante : existe-t-il un moyen pour "forcer" un chiffrement si l'algorithme de chiffrement / déchiffrement lui même n'est pas connu ? Par exemple si on a une boite noire qui permette de chiffrer un contenu (et donc d'avoir (...)

Journal 2 vulnérabilités découvertes dans LZ0 et LZ4

21
30
juin
2014

Les vulnérabilités découvertes pour LZ0 et pour LZ4 viennent d'un code datant de 1999.

En résumé, elles provoquent un dépassement du tas d'entier non-signé, ce qui conduit à une corruption locale de la mémoire.

Ce bogue n'est pas super pratique à utiliser, car il faut lancer la fonction incriminée avec assez de données pour dépasser la limite d'un entier non signé, ce qui dépend donc de l'architecture.

En pratique, cela signifie qu'une architecture 64 bits est plutôt à l'abri.

Le (...)

Thème "Sécurité" RMLL 2014 : vous n'aurez pas Tor de reprendre du Kiwi à (nf)table(s) !

Posté par (page perso) . Édité par Nils Ratusznik, Xavier Teyssier, Xavier Claude et palm123. Modéré par ZeroHeure. Licence CC by-sa
27
24
juin
2014
RMLL/LSM

Comme chaque année, le thème "Sécurité" des RMLL vous propose un tour des logiciels libres, des technologies et des concepts de la sécurité informatique. Le thème se déroulera cette année du lundi 7 Juillet au jeudi 10 Juillet 2014 à Montpellier tandis que les RMLL commencent le samedi 5 et s'achèvent le vendredi 11 Juillet.

Vous aurez donc au menu :

Mais, vous pourrez aussi :

Un atelier sur le langage de sécurité réseau Haka est aussi au programme le jeudi matin. Vous en voulez encore ? La suite est à découvrir dans le menu, bande de petits curieux ;-)

Evènement cette année : la tenue aux RMLL du Netfilter Workshop, la rencontre annuelle des développeurs Netfilter avec toute la core team.

Lors du Netfilter Workshop User day le lundi après midi, les développeurs Netfilter vous présenteront donc leurs dernières avancées avec notamment une présentation de Nftables par les deux derniers Netfilter team leaders, Patrick McHardy et Pablo Neira.

Enfin, afin de pouvoir mieux connaître nos conférenciers, nous vous proposons deux entretiens :

C'est Libre, c'est gratuit, c'est sécurisé ;-) Venez !

Un prototype de Lupo Libero

Posté par . Édité par Nÿco, Benoît Sibaud, Xavier Claude, ZeroHeure, palm123 et Xavier Teyssier. Modéré par Nÿco. Licence CC by-sa
19
24
juin
2014
Internet

Un prototype de Lupo Libero est disponible ! Pour rappel, Lupo est un futur service de stockage de fichiers sur internet, actuellement en campagne de financement participatif.

lupolibero

Voici les principales différences entre Lupo et ce qui existe déjà :

  • toute la partie logicielle est sous licence libre MIT ;
  • les fichiers (ainsi que leurs métadonnées) sont chiffrés (= verrouillés) de bout-en-bout (ou "côté client") : ils sont chiffrés avant d'être envoyés sur Internet, de sorte qu'ils ne peuvent être utilisés/lus sans le mot de passe de l'utilisateur ;
  • le chiffrement n'est pas optionnel ;
  • il est possible et simple de partager un seul fichier alors qu'ils sont tous chiffrés (très peu de services le permettent) ; aucun mot de passe additionnel n'est nécessaire pour chaque partage.

Résumé de l’affaire TrueCrypt

Posté par (page perso) . Édité par Nÿco, BAud, eggman, Benoît Sibaud, palm123, glennie et Nils Ratusznik. Modéré par Nÿco. Licence CC by-sa
44
20
juin
2014
Sécurité

TrueCrypt est un logiciel de chiffrement de disques, multiplateforme, sous licence non-libre (cf annexe en seconde partie), mais dont le code source est accessible. Ses développeurs sont anonymes.

TrueCrypt

Depuis le 28 mai dernier, le site web officiel TrueCrypt.org redirige vers le sous-domaine de Sourceforge dédié au projet et affiche en rouge un message inquiétant :

ATTENTION : Utiliser TrueCrypt n’est pas sûr car il pourrait contenir des problèmes de sécurité non-corrigés

Cette page explique également aux utilisateurs comment migrer leurs données vers un autre outil de chiffrement… qui n'est autre que BitLocker de Microsoft !

Journal La loose des mots de passe sur les sites webs

Posté par . Licence CC by-sa
22
19
juin
2014

Bonjour Nal,

Plein de sites webs permettent de s'inscrire via un login et un mot de passe. Les mots de passe, on le sait, c'est la loose absolue. Entre la très grande majorité des gens qui continuent de mettre 123456 ou password comme mot de passe et les formulaires webs qui imposent un minimum de 23 caractères dont au moins une majuscule, une minuscule, un nombre, un caractère spécial, deux emojis et une résistance au dictionnaire, on ne sait pas (...)

Journal le canard, l'armée et les chinois

19
11
juin
2014

Bonsoir,

ceci est un journal bookmark, oui mais un bookmark papier. Pas de lien, vu la tronche parfaitement assumée du site du canard enchaîné ¹ et surtout parce que le canard ça se lit sur papier et puis que cette presse papier là a bien besoin de lecteurs

Dans un article paru aujourd'hui, le canard titre « Des espions chinois dans les ordinateurs de nos armées ? » et décrit la passation d'un marché entre l'armée et IBM juste avant que celui-ci ne (...)

Nouvelle faille importante dans GnuTLS

Posté par (page perso) . Édité par BAud, Nÿco, eggman et Frédéric Massot. Modéré par ZeroHeure. Licence CC by-sa
40
6
juin
2014
Sécurité

GnuTLS est une bibliothèque libre qui, au même titre que OpenSSL, permet d’établir une connexion chiffrée sur Internet via le protocole SSL/TLS.

GnuTLS

Une faille de sécurité qui permet de faire planter GnuTLS et, dans certaines conditions, lui faire exécuter du code arbitraire a été découverte.

Concrètement, lors d’une poignée de main, l’envoi d’un identifiant de session extrêmement long par le serveur provoque un dépassement de tampon. Pour résumer, on veut enregistrer en mémoire l’identifiant de session qui est plus grand que l’espace prévu à cet effet, l’excédent est écrit à côté et, en particulier, sur le programme en mémoire. En choisissant bien l’identifiant de session, on peut donc altérer le fonctionnement du logiciel en cours d’exécution à son avantage.