Journal Httpd 2.2.20

11
2
sept.
2011

Cher journal,

Je t'ecris aujourd'hui en cette belle journee de vendredi pour t'annoncer que le fameux bug DOS de apache (concernant le support de range cf https://linuxfr.org/users/spack/journaux/apache-nappr%C3%A9cie-pas-le-http-range ) parait enfin etre corrige.

Pour rappel, ce bug concernait l'ensemble des version apache (1 et 2) et permettait en theorie de DOSer un serveur avec un simple heade
r http.

Changelog de la version 2.2.20 : http://www.apache.org/dist/httpd/CHANGES_2.2.20
Telecharger cette nouvelle version: http://httpd.apache.org/download.cgi#apache22

Les serveurs de kernel.org ont été compromis

76
1
sept.
2011
Pirate

Pour télécharger les sources du noyau Linux il faut aller sur kernel.org. C'est là que sont rassemblés les archives des différentes versions et c'est là que se trouvent les différentes branches git de nombreux développeurs.

Les responsables du site viennent d'annoncer (voir la partie news en bas de la page) que le serveur Hera avait été compromis, et ce au moins depuis le 28 août. Le pirate a modifié les binaires SSH du système et il a ajouté un cheval de Troie dans les scripts de démarrage.
Bien évidemment les administrateurs ont immédiatement isolé la machine et sont en train de tout passer au peigne fin pour comprendre l'origine de la compromission et pour évaluer les dégâts. Il faudra au minimum que les centaines de développeurs utilisant directement kernel.org changent leur clé SSH et que les tarballs disponibles soient régénérés (puisqu'elles ont été signées avec une clé présente sur le serveur compromis).

En revanche il n'y a, à priori, pas d'inquiétude à avoir en ce qui concerne les sources du noyau. La conception même de git, avec les sommes de hachage SHA-1 calculées pour chaque commit et chaque fichier source, empêche d'implanter une backdoor. Celui qui tenterait cela serait immédiatement détecté puisque les centaines de développeurs du noyau qui ont une copie git des sources recevraient alors une alerte au premier commit.

Jonathan Corbet, éditeur du site LWN, a rapidement publié un article sur le site linux.com pour expliquer ce fait et pour couper court aux articles catastrophistes que les journalistes n'allaient pas manquer de publier.
L'état de la presse étant ce qu'il est, nous savons tous que cet article de Jonathan n'empêchera pas les gens de dire n'importe quoi....

Clé web USB et sécurité

79
31
août
2011
Sécurité

C'est l'histoire d'une personne qui reçoit un gros document papier, contenant une clé USB en forme de clé de porte (voir la photo en seconde partie de la dépêche). On se dit que la clé USB doit contenir la version numérique du document papier, et on branche négligemment l'objet sur son ordinateur.

Une fois branchée sous Windows, la clé ouvre la fenêtre Exécuter avec le raccourci clavier [Touche windows+R], tape une adresse HTTP de site web et confirme la demande. On se retrouve avec un navigateur (disons Internet Explorer par défaut sous Windows) qui ouvre un site distant inconnu. En l'occurrence la clé pointe vers le site du vendeur de ce gadget (l'adresse était en erreur la première fois que je l'ai branchée...), qui lui-même pointe vers le site désiré par l'acheteur de cet objet promotionnel.

Journal Interdiction des VPN chiffrés au Pakistan. A quand notre tour ?

Posté par .
18
31
août
2011

Le pakistan a interdit les VPN chiffrés, et demande aux FAI de dénoncer les utilisateurs qui utiliseraient ces VPN
http://www.pcinpact.com/actu/news/65396-pakistan-vpn-censure-liberte-expression.htm

J'applaudis cette mesure qui est un pas de plus vers un internet civilisé. D'ailleurs nos dirigeants devraient s'en inspirer pour chasser hors d'internet les vils pirates qui tuent nos artistes.

Nouveau cas de certificat SSL frauduleux (contre Google.com en Iran, autorité DigiNotar)

Posté par (page perso) . Modéré par Christophe Guilloux. Licence CC by-sa
24
30
août
2011
Sécurité

L'Electronic Frontier Foundation (EFF), qui défend la liberté d'expression sur Internet, a publié hier un article concernant l'attaque Man-in-the-middle contre les utilisateurs de Google en Iran, qui a eu lieu en douce pendant deux mois.

Une nouvelle fois, la vulnérabilité des systèmes de chiffrement sur le web basés sur des autorités de certification est mis en lumière : encore une fois l'attaquant a obtenu un certificat frauduleux d'une autorité (cette fois-ci DigiNotar). L'attaque a été détectée via le navigateur Google Chrome car celui-ci embarque en dur des vérifications pour les certificats de Google.

Pour mémoire je vous rappelle les deux entrées dans l'aide du site LinuxFr.org concernant le certificat SSL/TLS de LinuxFr.org et alertes dans les navigateurs et la réponse à la question Pourquoi ne prenez pas un certificat SSL/TLS gratuit ou payant de chez Machin qui est par défaut dans un navigateur ? Ce dernier lien comporte notamment des pointeurs vers des affaires précédentes autour des certificats SSL/TLS et des autorités de confiance (Comodo, Microsoft et Tunisie, Defcon 2010, CCC 2010, Verisign 2003/2004).

Journal Matriux Krypton, enfin la version finale !

Posté par (page perso) . Licence CC by-sa
9
30
août
2011

Après 2 ans et 2 mois de travaux, la version finale de Matriux a pointé le bout de son nez mi-août, j'ai nommé Matriux Krypton.

Kesako

Il s'agit d'un système d'exploitation basé sur Debian GNU/Linux et qui regroupe tout un tas d'outils spécialisés pour la sécurité informatique.
Il permet en autres de réaliser de tests de pénétration, ethical hacking, administration de système et de réseau, recherches légales, récupération de données, et caetera.

Quelques informations utiles

  • Environnement graphique : Gnome (...)

Journal Et pourquoi pas un nouveau modèle de sécurité pour le web ?

Posté par (page perso) . Licence CC by-sa
23
25
août
2011

Cela fait quelques temps que je m’interroge sur le modèle de sécurité du web actuel, basé sur la politique de même origine. J'aimerais proposer un modèle de sécurité différent, qui pourrait rendre beaucoup plus robuste les applications web. Mais il faut la coopération des navigateurs. Voici mon idée:

Petit résumé de la situation

A l'heure actuelle, une page web n'a pas le droit de faire une requête XmlHttpRequest sur un autre domaine. Par exemple, si example.com essaye de charger facebook.com (...)

Journal Apache n'apprécie pas le HTTP Range

Posté par . Licence CC by-sa
37
25
août
2011

Un bug exploitable à distance a récemment été découvert sur le serveur HTTP Apache et affecterait toutes les versions depuis la 1.3.

Le bug provient de la façon dont Apache traite une requête HTTP demandant plusieurs rangées de données se chevauchant. En effet, il est possible de spécifier dans l'en-tête HTTP la rangée des données que l'on veut recevoir au lieu des données complètes. Ceci est notamment utilisé lors du téléchargement d'un fichier et permet de reprendre le téléchargement là (...)

WinAdminPassword : Déployer des mots de passe uniques sur les systèmes GNU Linux / Microsoft Windows

Posté par . Modéré par baud123. Licence CC by-sa
21
14
août
2011
Sécurité

L'outil WinAdminPassword permet de générer des mots de passe en fonction d'une clef secrète et du numéro de série de l'ordinateur sur lequel il est lancé.

Son objectif principal est de déployer des mots de passe différents pour les comptes d'administration, et cela sur tous les systèmes de son parc informatique (Microsoft Windows, Linux, BSD, POSIX...).

Les mots de passe générés contiennent quatre types de caractères (majuscules, minuscules, chiffres et caractères spéciaux) et ne sont pas sauvegardés dans une base de données (Les seules informations à enregistrer dans votre gestionnaire ou base de mots de passe sont les clefs secrètes de génération des mots de passe).

Licence : GPLv3
Version courante : 1.5
Systèmes testés : Debian 6, Ubuntu 11.04, CentOS 5, RHEL 5, Fedora 15, OpenSuze 11.4, Mandriva Linux 2010.2, Microsoft Windows XP and Microsoft Windows 7 (x86 and x64)

Journal Prestashop communique beaucoup à la maison

Posté par (page perso) .
8
5
août
2011

Prestashop est une application web de boutique en ligne. C'est une application opensource écrite en php. Pour des raisons évidentes de déontologie, je ne m'attarderais pas sur le fait que les créateurs de l'application soient d'anciens élèves d'Epitech.

Devant faire un design pour la boutique d'un marchand de drogue, amis de longue date, j'ai installé cette magnifique application en local. Mais après avoir un peu bidouillé l'application, je me suis rendu compte qu'elle était très très lente. Comptez environ 2 (...)

Journal La solidité des mots de passe

Posté par .
Tags :
31
20
juil.
2011

Je viens de lire une analyse à propos de mots de passe réels. On y trouve confirmation à grande échelle de ce que chaque utilisation de Jack The Ripper montre: la plupart des mots de passe, c'est du basique.http://www.troyhunt.com/2011/07/science-of-password-selection.html

Beaucoup dissertent au sujet des mots de passe super solides. Alors que je trouve, c'est un point de vue personnel, qu'un mot de passe relativement simple suffit. A partir du moment où il n'est pas possible de faire des millions (...)

Journal Google censure !

Posté par (page perso) . Licence CC by-sa
5
11
juil.
2011

Pour des raisons de sécurités, évidemment. D'après cet article du Register, tous les sous-domaines de co.cc auraient été supprimés des résultats du moteur de recherche. Ce fournisseur de services Internet serait utilisé par des programmes malicieux.

Protéger le pauvre utilisateur sans défense sur le grand méchant Internet. Est-ce de la responsabilité à Google de protéger l'utilisateur (dans ce cas particulier) ? Non. Actuellement la sécurité informatique est un gag, un énorme gag même, pour la simple est bonne raison (...)

Journal Renforcer la sécurité du noyau

Posté par (page perso) . Licence CC by-sa
51
28
juin
2011

Un journal quasi-bookmark pour signaler une belle initiative visant à renforcer la sécurité du noyau.

Solar Designer (le leader de la distribution Openwall) a annoncé en avril dernier que 5 projets avaient été acceptés dans le cadre du Google Summer of Code. Mail d'annonce : http://www.openwall.com/lists/announce/2011/04/26/1

L'un de ces étudiants est Vasiliy Kulikov et il travaille sur la sécurisation du noyau. Essentiellement cela consiste à essayer de faire remonter vers la branche principale (celle de Linus) les patchs qui (...)

Conseils pour la mise en place d'une politique de sécurité informatique dans les PME/PMI

Posté par . Modéré par Mouns. Licence CC by-sa
16
26
juin
2011
Sécurité

L'association GOALL (Groupe d'organismes acteurs du Libre en Lorraine) propose de rédiger et de diffuser sous licence libre un document avec des conseils généraux pour mettre en place une politique de sécurité informatique. Ce document est destiné aux responsables d'entreprise.