Journal Un journaliste suspecté de terrorisme par Skynet ou les limites des recoupements des méta-données

Posté par  . Licence CC By‑SA.
Étiquettes :
15
13
mai
2015

Skynet est un autre des nombreux programmes de la National Security Agency qui utilise les méta-données des communications et la localisation pour identifier les terroristes.

Ahmad Muaffaq Zaidan est un journaliste qui a voyagé au Pakistan et en Afghanistan et rencontré des hauts dirigeants d'Al-Qaida y compris Ben Laden.

En analysant une base de données de 55 millions relevés téléphoniques, son nom est ressorti comme terroriste et membre d'Al-Qaida et de la fraternité musulmane.

Mais c'est un journaliste qui ne (…)

Cybersécurité : des enjeux et des techniques au cœur de l’actualité (Évry, 16 avril 2015)

Posté par  . Édité par Benoît Sibaud et palm123. Modéré par bubar🦥. Licence CC By‑SA.
Étiquettes :
10
11
avr.
2015
Sécurité

L'association étudiante MiNET, fournisseur d'accès internet sur les campus des écoles Télécom SudParis et Télécom École de Management, organise jeudi 16 avril 2015 à Évry un après-midi de conférences autour de la cybersécurité et de la protection des données personnelles.

Depuis que Edward Snowden a révélé en juin 2013 les agissements de la NSA, le grand public a ouvert les yeux sur l'enjeu majeur qu'est la cybersécurité. En effet nous confions de plus en plus de données à différents acteurs du web. Pourtant l'accumulation récente de fuites montrent que nos données sont vulnérables : le piratage de photos personnelles de célébrités sur icloud, l'arrêt des services live de Microsoft et Sony à Noël…

Durant cet après-midi nos six conférenciers (liste en seconde partie de la dépêche) aborderont un large spectre de problématiques liées à la cybersécurité. Le but est de proposer une ouverture sur des domaines bien spécifiques (méthode de triage en forensic, cyberterrorisme, threat intelligence, etc…) tout en posant la problématique de ce que nous, en tant qu'individus, faisons de nos données privées.`

Qui a accès à nos données ? Comment ? Qu'en font-ils ?

Journal ulimits: appliquer des limitations de ressources sans PAM

Posté par  . Licence CC By‑SA.
Étiquettes :
28
4
mai
2015

Je présente ici un petit outil sans prétention de mon cru, ulimits, qui permet d’appliquer des limitations de ressources aux utilisateurs de systèmes dépourvus de PAM.

Les limitations de ressources

Les « limitations de ressources » (resource limits) sont un mécanisme permettant d’empêcher un utilisateur de faire un usage abusif des ressources d’une machine. Il est ainsi possible d’empêcher un utilisateur de créer trop de processus, de créer des fichiers trop gros, de poser trop de verrous, de consommer (…)

OpenBSD 5.7 « Blues Brothers »

Posté par  (site web personnel) . Édité par BAud, palm123, Loïc Blot, karchnu, Xavier Teyssier, Nils Ratusznik, Nÿco, Benoît Sibaud, Dareg, zurvan, claudex, Ellendhel, Cédric Krier, ZeroHeure et Rolinh. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
53
1
mai
2015
OpenBSD

Le premier mai, OpenBSD est de sortie, comme chaque année.

OpenBSD est un système d'exploitation orienté sécurité et réseau, dont les principaux avantages sont la stabilité, grâce aux audits sur le code source, mais également l'ensemble très large de fonctionnalités réseau qu’il fournit.

Le changement majeur de cette version est dans la continuité du fork d’OpenSSL, LibreSSL (cf. Bob Beck, LibreSSL - The first 30 days and the Future, BSDcan 2014 ; Ted Unangst, LibreSSL: More Than 30 Days Later, EuroBSDCon 2014). En effet, neuf jours après la sortie d'OpenBSD 5.6, la vulnérabilité POODLE a pointé son nez. Adieu SSL 3, SSH 1 et MD5 !

Ont contribué à cette dépêche (par ordre de dispersion) : BAud, karchnu, Loïc Blot, Xavier Teyssier, palm123, zurvan, Cédric Krier, Rolinh, Xavier Claude, Ellendhel, Dareg, Nÿco, Stéphane Aulery. Aucune moule n'a été blessée durant la rédaction.

OpenBSD

Remonter une attaque et trouver la faille avec les logs d'Apache2

Posté par  (site web personnel) . Édité par Nÿco, Benoît Sibaud, palm123, Nils Ratusznik et Ontologia. Modéré par Benoît Sibaud. Licence CC By‑SA.
Étiquettes :
60
4
mai
2015
Sécurité

Nous allons voir dans cet article comment remonter une attaque suite au piratage d'un site avec les logs d'Apache. On partira du principe que Apache est déjà configuré pour mettre ses logs dans /var/log/apache2 et dans les fichiers access.log et error.log.

Journal Quelques nouvelles concernant la sécurité

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
20
28
avr.
2015

Bon journal !

Tout d'abord, dans le monde d'Apple, la CIA a financé un groupe de recherche sur plusieurs années visant à passer outre les mesures de sécurités mises en place par l'entreprise. L'idée primaire étant d'essayer de récupérer les clé secrètes sur chaque appareil. Par exemple, une version d'XCode frauduleuse permettrait à tout développeur d'application d'ajouter une partie malveillante à son logiciel qui sera ensuite distribué sur l'Apple Store, et tout le reste (même si la manière de distribuer cette (…)

No Limit Secu : épisode sur le forensic et DFF (framework opensource dédié au forensic)

Posté par  . Édité par Nils Ratusznik et Benoît Sibaud. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
14
27
avr.
2015
Sécurité

Cette semaine, l'épisode de No Limit Secu est dédié à la criminalistique (forensic) et au logiciel libre DFF (Digital Forensics Framework, boîte à outil de criminalistique numérique, licence GPL).

NoLimitSecu

Dans cet épisode, nous abordons les points suivants :

  • Qu'est-ce que le forensic ?
  • Quelles sont les problématiques liées à la pratique du forensic ?
  • Solal Jacob répond à nos questions sur DFF.

DFF est un cadriciel qui peut être utilisé à la fois par des professionnels et non-experts afin de recueillir et de révéler des preuves numériques en préservant les systèmes et les données.

Journal Encfs déclaré relativement peu sûr

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
26
26
avr.
2015

Bonjour… nal (allez quoi, la tradition).

Je fais un petit journal qui fait écho à celui paru en début de mois et qui annonçait TrueCrypt « relativement sûr ».

Suite aux annonces de 2014 concernant ce dernier, j'avais migré mes backups vers un volume Encfs, au travers de la bien sympathique application Gnome Encfs. Bref ce soir je met à jour ma Ubuntu et paf :

According to a security audit by Taylor Hornby (Defuse Security), the current implementation of Encfs is (…)

Podcast francophone dédié à la cybersécurité : No Limit Secu

Posté par  . Édité par Nils Ratusznik, Benoît Sibaud et palm123. Modéré par Benoît Sibaud. Licence CC By‑SA.
Étiquettes :
19
21
avr.
2015
Sécurité

Un épisode sur NAXSI un WAF — parefeu applicatif pour le web — open-source avec Thibault Koechlin et Sébastien Plot : quoi de mieux comme occasion pour porter à votre connaissance l'existence d'un podcast (ou bala(do)diffusion) dédié à la cybersécurité ?

No Limit Secu est un podcast indépendant, animé par des personnes passionnées qui sont parties prenantes dans le domaine de la cybersécurité à des rôles et dans entreprises diverses.

logo de No Limit Secu

L'équipe du podcast prend beaucoup de plaisir à réaliser ces épisodes et souhaite partager cela avec la communauté LinuxFr.org. Dans la mesure du possible, un nouvel épisode est publié chaque semaine. C'est donc aussi l'occasion de vous proposer de contribuer à un épisode si vous souhaitez aborder une problématique ou traiter d'un sujet dans lequel vous êtes impliqué(e) (bien entendu, dans le domaine de la cybersécurité). Pour cela, vous pouvez contacter l'équipe via Twitter : @nolimitsecu.

Journal Public Key Pinning Extension for HTTP

Posté par  . Licence CC By‑SA.
Étiquettes :
27
18
avr.
2015

Cher journal,

En ces temps ou un certain nombre d'entre vous n'ont pas l'air d'avoir envie de tout partager avec leur gouvernement. Voici une annonce qui améliore un peu la sécurité du HTTPS. Tu n'es pas sans ignorer que le modèle actuel de TLS souffre un gros problème. N'importe quelle autorité de confiance peut signer un certificat pour n'importe quel domaine, même si le propriétaire actuel du nom de domaine a déjà demandé à une autre autorité de le faire (…)

Forum général.cherche-logiciel un login, 2 mot de passe, 2 sessions différentes

Posté par  . Licence CC By‑SA.
Étiquettes :
1
26
mar.
2015

Bonjour à tous,

Je souhaiterai mettre en place la chose suivante: lors de la saisie du mot de passe (en mode graphique idéalement, mais je n'aurai rien contre la même chose en mode console), pour un même utilisateur, que 2 mot de passe soient valides, et ouvrent 2 sessions différentes :

l'utilisateur se logue sous Paul avec le mot de passe 123456, celui ouvre son KDE, avec un /home/Paul et ces documents
l'utilisateur se logue toujours sous Paul, mais saisi (…)

Pourquoi ne faut-il absolument pas brancher ses appareils USB sur des bornes publiques ?

Posté par  (site web personnel) . Édité par Benoît Sibaud, ZeroHeure, Florent Zara et bubar🦥. Modéré par patrick_g. Licence CC By‑SA.
Étiquettes :
42
8
mar.
2015
Sécurité

Bornes USB à Paris
Vous avez peut-être entendu parler des nouvelles bornes installées dans les abris-bus à Paris permettant de recharger un téléphone ou tout autre appareil se rechargeant par l'USB. Bon, ça n'a rien d'ingénieux et ça se fait depuis plus d'une décennie.

Et si ça posait un risque pour vos données ? Et de manière générale si se brancher sur l'USB n'était pas anodin ?

NdM: l'article original de matlink a été enrichi en modération.

SMSSecure : les SMS et MMS chiffrés sur Android, ce n'est pas fini !

Posté par  . Édité par Benoît Sibaud, ZeroHeure et palm123. Modéré par Benoît Sibaud. Licence CC By‑SA.
Étiquettes :
42
22
mar.
2015
Android

Le 6 mars 2015, Open Whisper Systems annonçait que la version 2.7 de TextSecure ne supportera plus le chiffrement des SMS pourtant recommandé par l'EFF, TextSecure fait marche arrière. De nombreux utilisateurs se sont plaints de cette décision dont le raisonnement n'a pas fait unanimité, et un fork de TextSecure a été créé.

(anciennement SecuredText) SMSSecure était né !

Forum Linux.général Protection d'une application par NAT interne + Authentification Kerberos

Posté par  . Licence CC By‑SA.
Étiquettes :
0
31
mar.
2015

Bonjour tout le monde ! :)

Dans le cadre d'un projet durant mes études,
Je rencontre beaucoup de difficultés car je ne maîtrise pas suffisamment IPTables et Apache pour savoir d'où provient mon problème.

J'ai mis en place une application, dont l'interface est généré par Jetty, et accessible via navigateur sur le port 44440.

Il m'a été demandé de mettre en place une authentification avec Kerberos, afin de permettre une authentification qui sera basée sur l'AD de (…)

Journal Les lois françaises favorisent-elles l’insécurité informatique ?

Posté par  . Licence CC By‑SA.
Étiquettes :
15
11
jan.
2015

Un système mécanique, par exemple dans une voiture, est relativement facile à sécuriser :

  • Le nombre de pièces et leurs interactions est relativement limité donc le risque de panne aussi ;
  • On peut calculer la résistance de chaque pièce mécanique et prévoir sa fiabilité (MTBF), quelles que soient les contraintes : efforts mécaniques exercés sur la pièce, fatigue et usure, vibrations, chaleur, réactions chimiques, corrosion ;
  • On a accès à chaque pièce pour faire un diagnostic ou une expertise et (…)