D’après Wired, les drones américains sont actuellement vérolés par un virus dont ils ne savent pas comment se débarrasser, ni ce qu’il fait exactement.
On apprend au passage des choses rigolotes, comme le fait que les informations envoyées par les drones ne sont pas toutes chiffrées…
Petit rappel : certains drones sont armés de missiles, le « petit » virus peut donc poser quelques menus soucis !
Le "fleuron français de l'industrie nucléaire", l'ancienne COGEMA actuellement nommé Aréva, est un expert en sûreté nucléaire.
On nous le rappelle sur tous les supports médiatiques existants à chaque 'incident' que ce soit dans le Gard ou au Japon.
Ses installations se doivent d'être irréprochables, et ce, dans tous les compartiments de son métier.
En particulier l'informatique. C'est un élément primordial dans la gestion d'un système tel qu'un réacteur nucléaire.
Qu'apprend-t-on aujourd'hui ?
Qu'ils sont "hackés" depuis, au moins, (…)
Inverse, société spécialisée en développement et déploiement de logiciels libres, annonce la sortie de la version 3.0 de PacketFence.
PacketFence est une solution de conformité réseau (NAC) entièrement libre, supportée et reconnue. Procurant de nombreuses fonctionnalités, telles un portail captif pour l’enregistrement ou la re‐médiation, une gestion centralisée des réseaux filaires et sans fils, le support pour le 802.1X, l’isolation niveau 2 des composantes problématiques, l’intégration au détecteur d’intrusions Snort et au détecteur de vulnérabilités Nessus.
Elle peut être utilisée pour sécuriser efficacement aussi bien des réseaux de petite taille que de très grands réseaux hétérogènes.
Pour télécharger les sources du noyau Linux il faut aller sur kernel.org. C'est là que sont rassemblés les archives des différentes versions et c'est là que se trouvent les différentes branches git de nombreux développeurs.
Les responsables du site viennent d'annoncer (voir la partie news en bas de la page) que le serveur Hera avait été compromis, et ce au moins depuis le 28 août. Le pirate a modifié les binaires SSH du système et il a ajouté un cheval de Troie dans les scripts de démarrage.
Bien évidemment les administrateurs ont immédiatement isolé la machine et sont en train de tout passer au peigne fin pour comprendre l'origine de la compromission et pour évaluer les dégâts. Il faudra au minimum que les centaines de développeurs utilisant directement kernel.org changent leur clé SSH et que les tarballs disponibles soient régénérés (puisqu'elles ont été signées avec une clé présente sur le serveur compromis).
En revanche il n'y a, à priori, pas d'inquiétude à avoir en ce qui concerne les sources du noyau. La conception même de git, avec les sommes de hachage SHA-1 calculées pour chaque commit et chaque fichier source, empêche d'implanter une backdoor. Celui qui tenterait cela serait immédiatement détecté puisque les centaines de développeurs du noyau qui ont une copie git des sources recevraient alors une alerte au premier commit.
Jonathan Corbet, éditeur du site LWN, a rapidement publié un article sur le site linux.com pour expliquer ce fait et pour couper court aux articles catastrophistes que les journalistes n'allaient pas manquer de publier.
L'état de la presse étant ce qu'il est, nous savons tous que cet article de Jonathan n'empêchera pas les gens de dire n'importe quoi….
Le code source de la version 2.0 de Vulture est disponible, sous licence GPL v2. Vulture est une solution Web-SSO basée sur une technologie de proxy inverse implémentée sur le socle Apache. Vulture implémente également des fonctionnalités de firewall applicatif.
Les principaux changements par rapport à la version 1.99 sont :
Il s’agit encore d’une version beta, quelques bugs subsistent, mais l’essentiel pour commencer à tester est là… avis aux amateurs ! Pour récupérer le code : svn checkout http://vulture.googlecode.com/svn/trunk/ vulture-read-only
Cher journal,
Je t'ecris aujourd'hui en cette belle journee de vendredi pour t'annoncer que le fameux bug DOS de apache (concernant le support de range cf https://linuxfr.org/users/spack/journaux/apache-nappr%C3%A9cie-pas-le-http-range ) parait enfin etre corrige.
Pour rappel, ce bug concernait l'ensemble des version apache (1 et 2) et permettait en theorie de DOSer un serveur avec un simple heade
r http.
Changelog de la version 2.2.20 : http://www.apache.org/dist/httpd/CHANGES_2.2.20
Telecharger cette nouvelle version: http://httpd.apache.org/download.cgi#apache22
C'est l'histoire d'une personne qui reçoit un gros document papier, contenant une clé USB en forme de clé de porte (voir la photo en seconde partie de la dépêche). On se dit que la clé USB doit contenir la version numérique du document papier, et on branche négligemment l'objet sur son ordinateur.
Une fois branchée sous Windows, la clé ouvre la fenêtre Exécuter avec le raccourci clavier [Touche windows+R], tape une adresse HTTP de site web et confirme la demande. On se retrouve avec un navigateur (disons Internet Explorer par défaut sous Windows) qui ouvre un site distant inconnu. En l'occurrence la clé pointe vers le site du vendeur de ce gadget (l'adresse était en erreur la première fois que je l'ai branchée…), qui lui-même pointe vers le site désiré par l'acheteur de cet objet promotionnel.
L'Electronic Frontier Foundation (EFF), qui défend la liberté d'expression sur Internet, a publié hier un article concernant l'attaque Man-in-the-middle contre les utilisateurs de Google en Iran, qui a eu lieu en douce pendant deux mois.
Une nouvelle fois, la vulnérabilité des systèmes de chiffrement sur le web basés sur des autorités de certification est mis en lumière : encore une fois l'attaquant a obtenu un certificat frauduleux d'une autorité (cette fois-ci DigiNotar). L'attaque a été détectée via le navigateur Google Chrome car celui-ci embarque en dur des vérifications pour les certificats de Google.
Pour mémoire je vous rappelle les deux entrées dans l'aide du site LinuxFr.org concernant le certificat SSL/TLS de LinuxFr.org et alertes dans les navigateurs et la réponse à la question Pourquoi ne prenez pas un certificat SSL/TLS gratuit ou payant de chez Machin qui est par défaut dans un navigateur ? Ce dernier lien comporte notamment des pointeurs vers des affaires précédentes autour des certificats SSL/TLS et des autorités de confiance (Comodo, Microsoft et Tunisie, Defcon 2010, CCC 2010, Verisign 2003/2004).
Le pakistan a interdit les VPN chiffrés, et demande aux FAI de dénoncer les utilisateurs qui utiliseraient ces VPN
http://www.pcinpact.com/actu/news/65396-pakistan-vpn-censure-liberte-expression.htm
J'applaudis cette mesure qui est un pas de plus vers un internet civilisé. D'ailleurs nos dirigeants devraient s'en inspirer pour chasser hors d'internet les vils pirates qui tuent nos artistes.
Un bug exploitable à distance a récemment été découvert sur le serveur HTTP Apache et affecterait toutes les versions depuis la 1.3.
Le bug provient de la façon dont Apache traite une requête HTTP demandant plusieurs rangées de données se chevauchant. En effet, il est possible de spécifier dans l'en-tête HTTP la rangée des données que l'on veut recevoir au lieu des données complètes. Ceci est notamment utilisé lors du téléchargement d'un fichier et permet de reprendre le téléchargement là (…)
Cela fait quelques temps que je m’interroge sur le modèle de sécurité du web actuel, basé sur la politique de même origine. J'aimerais proposer un modèle de sécurité différent, qui pourrait rendre beaucoup plus robuste les applications web. Mais il faut la coopération des navigateurs. Voici mon idée:
Petit résumé de la situation
A l'heure actuelle, une page web n'a pas le droit de faire une requête XmlHttpRequest sur un autre domaine. Par exemple, si example.com essaye de charger facebook.com (…)
Après 2 ans et 2 mois de travaux, la version finale de Matriux a pointé le bout de son nez mi-août, j'ai nommé Matriux Krypton.
Il s'agit d'un système d'exploitation basé sur Debian GNU/Linux et qui regroupe tout un tas d'outils spécialisés pour la sécurité informatique.
Il permet en autres de réaliser de tests de pénétration, ethical hacking, administration de système et de réseau, recherches légales, récupération de données, et caetera.
L'outil WinAdminPassword permet de générer des mots de passe en fonction d'une clef secrète et du numéro de série de l'ordinateur sur lequel il est lancé.
Son objectif principal est de déployer des mots de passe différents pour les comptes d'administration, et cela sur tous les systèmes de son parc informatique (Microsoft Windows, Linux, BSD, POSIX…).
Les mots de passe générés contiennent quatre types de caractères (majuscules, minuscules, chiffres et caractères spéciaux) et ne sont pas sauvegardés dans une base de données (Les seules informations à enregistrer dans votre gestionnaire ou base de mots de passe sont les clefs secrètes de génération des mots de passe).
Licence : GPLv3
Version courante : 1.5
Systèmes testés : Debian 6, Ubuntu 11.04, CentOS 5, RHEL 5, Fedora 15, OpenSuze 11.4, Mandriva Linux 2010.2, Microsoft Windows XP and Microsoft Windows 7 (x86 and x64)
Le projet ayant fait le sujet d'un journal vient d'ouvrir son wiki
Prestashop est une application web de boutique en ligne. C'est une application opensource écrite en php. Pour des raisons évidentes de déontologie, je ne m'attarderais pas sur le fait que les créateurs de l'application soient d'anciens élèves d'Epitech.
Devant faire un design pour la boutique d'un marchand de drogue, amis de longue date, j'ai installé cette magnifique application en local. Mais après avoir un peu bidouillé l'application, je me suis rendu compte qu'elle était très très lente. Comptez environ 2 (…)