Forum général.hors-sujets Quand Synology incite à envoyer un mot de passe administrateur en clair

6
6
sept.
2017

Salut,

Pour faire court : le support technique de Synology me demande de lui envoyer un mot de passe administrateur de mon NAS, en clair, par mail. Je leur demande une clé publique PGP, un compte Wire, que sais-je ? Un canal chiffré.

Niet, ils insistent : par mail, en clair. Ils n'ont pas d'autre moyen…

C'est courant ce genre de situation ou c'est Synology qui est à l'Ouest ?

Franck.

PS: pendant ce temps, depuis que j'ai ouvert le port Telnet (...)

Journal --== GUIDE DE L'ADMINISTRATEUR LINUX ==--

23
10
sept.
2017

Bonjour à toutes et à tous,

Je mets à disposition gratuitement un guide assez exhaustif de 80 pages, qui est le fruit de quelques années d'administration et d'ingénierie des systèmes Open-Source.

Mon objectif, en 1996, était de rédiger un pense-bête, avec l’une des premières distributions libres d’Unix (Slackware). Je l’ai ensuite étoffé via des systèmes similaires, dont RedHat, Mandrake (actuellement Mandriva). Par la suite, j’ai ajouté des commandes et syntaxes propres à Solaris ou Novell/Suse.

Il s'agit d'un document de (...)

Sortie de LDAP Tool Box Self Service Password 1.1

Posté par (page perso) . Édité par Davy Defaud et Xavier Claude. Modéré par Xavier Claude. Licence CC by-sa
24
4
sept.
2017
Sécurité

Le logiciel Self Service Password est développé au sein du projet LDAP Tool Box. Il fournit une interface permettant aux utilisateurs de changer leur mot de passe dans un annuaire LDAP, y compris Active Directory ou Samba 4, ainsi que leur clé SSH.

Outre le changement de mot de passe simple, l’interface propose de réinitialiser son mot de passe en cas de perte, soit par l’envoi d’un courriel, soit par la réponse à des questions, soit par l’envoi d’un SMS.

Les contraintes de qualité du mot de passe sont paramétrables : taille minimale, maximale, présence de différentes classes de caractères, caractères interdits, contrôle de la valeur par rapport à l’ancien mot de passe ou à l’identifiant.

Le logiciel Self Service Password est écrit en PHP et est sous licence publique générale GNU. La version 1.1 est sortie le 1er septembre 2017.

Kernel Recipes 2017 : les inscriptions vont bientôt démarrer

25
29
août
2017
Noyau

C’est devenu presque une tradition. Avec la fin de l’été, hupstream est fier de vous présenter la septième édition de Kernel Recipes. Elle aura lieu à Paris du 27 au 29 septembre 2017.

Pour cette septième édition, nous avons tenté encore une fois de vous proposer une liste d’intervenants qui viendront du monde entier : Greg Kroah‐Hartman, Brendan Gregg, Benjamin Tissoires, Steven Rostedt, James Bottomley, Kees Cook, Andrea Arcangeli, Thomas Gleixner, Maxime Ripard, Johan Hovold, Sasha Levin, Werner Koch, Jens Axboe, Kevin Hilman, Hans Verkuil, Sjoerd Simons, Éric Leblond.

Logo Kernel Recipes

Embedded Recipes, première édition à Paris

Posté par (page perso) . Édité par Davy Defaud et Xavier Claude. Modéré par Xavier Claude. Licence CC by-sa
15
30
août
2017
Linux

Nous y réfléchissions depuis un moment. Après avoir lancé Kernel Recipes il y a six ans, nous sommes fiers de vous annoncer Embedded Recipes, une journée consacrée au Libre dans le domaine de l’embarqué, le 26 septembre 2017, à Paris.

Logo Embedded Recipes

Journal Panne du système 3D Secure… pour cause de non renouvellement de nom de domaine

Posté par . Licence CC by-sa
46
15
juin
2017

Hier, le système 3D Secure opéré par Atos wordline, permettant d’authentifier les utilisateurs de cartes bancaires lors d’un achat en ligne, est tombé en panne.

Il s’agit de la fenêtre vers laquelle certains acheteurs sont redirigés après avoir renseigné leur numéro de carte bancaire et qui demande une confirmation supplémentaire (typiquement un code à usage unique délivré par un boîtier électronique).

La cause serait tout simplement l’oubli de renouvellement du nom de domaine wlp-acs.com du serveur qui héberge l’interface d’authentification. Voir l’historique (...)

Suricata 4.0 : la détection d’intrusion en mode hipster

35
29
juil.
2017
Sécurité

Suricata, l’outil de détection des menaces réseau, passe en version 4.0 avec pléthore de nouveautés :

  • ajout de l’analyse du protocole NFS ;
  • améliorations de la gestion de TLS ;
  • gestion des changements de protocoles (STARTTLS, HTTP CONNECT) ;
  • enrichissement des événements générés ;
  • prise en charge d’analyseurs de protocoles en Rust.

Suricata est un moteur de détection d’intrusions réseau et de supervision réseau orienté sécurité. En clair, il analyse le trafic des réseaux pour détecter des menaces et journaliser les événements. Suricata est disponible sous licence GPL v2 et est développé par une fondation à but non lucratif, l’OISF.

Suricata est devéloppé en C avec depuis la version 4.0 des analyseurs de protocoles en Rust écrits avec utilisant le framework Nom.

Forum Linux.général La sécurité sous Linux: partagez vos conseils, astuces et outils

Posté par . Licence CC by-sa
5
11
août
2017

Bonjour,

Quand on arrive sous GNU-Linux (et autre *nix) on pense souvent qu'on est au top de la protection (à cause des "pas de virus" et "code open-source très relu"). Très rapidement on se rend compte que c'est un système comme un autre mais on a la chance d'avoir des outils géniaux. Je voulais donc écrire un article sur le sujet mais je pense que pour collecter quelques avis le forum est un bon début, je vous invite donc à (...)

Journal Au voleur.sh

Posté par .
12
4
août
2017

Un package « nodejs » assez populaire balance les variables d'environnement des imprudents utilisateurs vers son serveur. Bien sur, ces variables contiennent souvent des mots de passes, des tokens API et autres informations spécifiques.

Plus de détail sur https://medium.com/@ceejbot/crossenv-malware-on-the-npm-registry-45c7dc29f6f5 le 3ème point va vous faire halluciner !

Il y a vraiment des gens qui utilisent ça sur des serveurs de production ? Je veux dire dans un mode de vrais professionnels.

L'une des parades seraient un firewall applicatif. Ca existe sous Linux ?

Journal Mise à jour du firmware d’un Lenovo Thinkpad moderne…

Posté par . Licence CC by-sa
61
1
août
2017

Bonsoir nal,

Il y a quelques semaines, je fus victime d’un odieux larcin, mon PC portable pro a été dérobé (cher voleur, tu peux faire un git push de mes devs ferroviaires ?). Donc nouveau PC portable pro, installation de Debian, et toute la phase rigolote de sécurisation de la machine.
Je vous passe l’installation de Debian (LUKS, SELinux, nftables…), on va se concentrer ici sur les firmwares.

1er firmware : le microcode du processeur

Comme vous le savez peut‐être, les (...)

Journal Les clients graphiques FTP par défaut sous Debian ne gèrent pas TLS/SSL

Posté par . Licence CC by-sa
3
11
juil.
2017

Ce matin, j'ai été surpris de constater que lorsqu'on se connecte à un serveur FTP distant via gvfs (donc via Nautilus, PCManFM, …), le chiffrement TLS n'est pas pris en charge. Conséquence : les identifiants et les données sont transmis en clair sur le réseau. La commande suivante permet de le vérifier :

$ sudo tcpdump "port 21" -vvv

Plutôt attentif à la sécurité et étant sous Debian stable, je suis surpris de constater que TLS/SSL n'est pas activé par (...)

L’heure du test — fork 2 — Qubes OS

Posté par . Édité par Nils Ratusznik, Davy Defaud, ZeroHeure, palm123, eggman, Nÿco et Benoît Sibaud. Modéré par ZeroHeure. Licence CC by-sa
34
4
juil.
2017
Distribution

L’heure du test est un rendez‐vous pour les tests et guides d’installation de distributions, en exposant leurs avantages et inconvénients. Ce fork présente Qubes OS, un système d’exploitation libre qui prétend ne pas être une distribution !
Logo Qubes OS

Qubes OS est un système d’exploitation focalisé sur la sécurité. Il se situe à mi‐chemin entre une distribution classique et un hyperviseur. Il s’appuie sur l’hyperviseur Xen et propose un système sécurisé basé sur l’isolation.

Thème Sécurité RMLL 2017 : de la confidentialité à l'IoT en passant par…

Posté par (page perso) . Édité par Davy Defaud, palm123, Xavier Claude et Benoît Sibaud. Modéré par ZeroHeure. Licence CC by-sa
16
14
juin
2017
RMLL/LSM

Les RMLL sont de retour cette année et cela se passera du 1er au 7 juillet à Saint‐Étienne. Pour ce qui concerne le thème Sécurité, ce sera deux jours et demi de conférences, tables rondes et ateliers du lundi 3 au mercredi 5 juillet.

Les thématiques couvertes cette année seront des plus diverses et nous espérons que cette diversité attisera votre intérêt.

Nous avons aussi besoin de vous : mardi en fin d’après‐midi, un créneau d’une heure est ouvert aux présentations courtes (5 min max). Vous avez des choses novatrices à dire sur la sécurité et le logiciel libre ? Venez !

Mais prenons le temps de parcourir ensemble le menu…

Logo RMLL