Stripe organise un challenge autour de la sécurité des applications web. Le but du jeu est de capturer un drapeau (12 chiffres) en passant 9 niveaux (numérotés de 0 à 8). Pour passer un niveau, il faut réussir à récupérer le mot de passe d'une petite application web.
Les premiers niveaux sont faciles d'accès avec des attaques tout ce qu'il y a de plus classique comme des injections SQL et des XSS. Le dernier niveau est, par contre, bien plus (...)
Certains d'entre vous ont sans doute entendu parler ou vue la présentation de Rakshasa, c'est la POC d'une superbe backdoor qui fait froid dans le dos : cela permettrais d'infecter les bios de cartes mères, de cartes réseaux, en gros pas mal de composants ayant un firmware non libre (ou ayant un firmware libre, mais dans ce cas nous pourrions le recompiler et le reflasher).
C'est développé avec du libre (coreboot, SeaBIOS, iPXE…) mais ne (...)
Depuis la découverte de Stuxnet en juin 2010 et son analyse, les experts se sont aperçu que certaines des failles utilisées par le malware étaient inconnues (0-day) et de très haut niveau, et que certaines autres étaient au contraire connues et relativement triviales, cette dernière catégorie est majoritairement représentée parmi celles affectant les systèmes SCADA Siemens WinCC (Supervisory Control And Data Acquisition, télésurveillance et acquisition de données).
Depuis, beaucoup de personnes se sont intéressées à la sécurité des systèmes de contrôle industriel au sens large. Les systèmes SCADA sont dorénavant bien connus pour être vulnérables mais ils ne sont pas les seuls.
Le monde de la sécurité informatique découvre depuis peu ce que beaucoup de gens savent déjà, les systèmes de contrôle industriel sont de vraies passoires et la mise en péril d'un processus industriel est relativement simple.
Prelude OSS est de retour sur Internet avec une nouvelle version 1.0.1.
Prelude est un logiciel SIEM (Security Information & Event Management) qui permet de superviser la sécurité de votre système d'information. Prelude collecte, normalise, trie, agrège, corrèle et affiche tous les événements de sécurité indépendamment des types d'équipements surveillés. Au-delà de sa capacité de traitement de tous types de journaux d’événements (logs système, syslog, fichiers plats, etc.), Prelude est nativement compatible avec de nombreuses sondes anti-intrusion open-source (snort, suricata, ossec, samhain, etc.) grâce à l'utilisation du format IDMEF (RFC 4765).
Démarré en 1998 sous la forme d'un projet libre d'une sonde IDS, Prelude devient le premier SIEM hybride open-source à partir de 2003, année à laquelle se crée la société Prelude Technologies qui commercialise la version Entreprise.
Prelude sera repris en 2009 par la société Edenwall et sera malheureusement entraîné dans sa mise en faillite. Le logiciel est alors racheté par la société CS, intégrateur de systèmes critiques, en début d'année 2012, société qui propose déjà une solution open-source de supervision de performances complémentaire avec Vigilo. Suite au rachat, le site Prelude est remis en ligne mais sans les sources de la version OSS. Cette nouvelle version signe donc le retour de Prelude OSS sur Internet.
Les nouveautés de la v1.0.1 :
L'IETF avait créé en 2004 un groupe de travail nommé MARID, qui avait pour tâche de normaliser un mécanisme d'authentification faible du courrier électronique par le biais de la publication dans le DNS des serveurs autorisés à envoyer du courrier pour un domaine. Deux propositions étaient sur la table, SPF et Sender ID. Microsoft avait pratiqué une intense obstruction contre SPF, pour promouvoir sa propre solution, Sender ID. Six ans après est publié le RFC 6686 qui conclut enfin officiellement (...)
Salut Nal !
Aujourd'hui, je commence par la fin :
Il n'est pas surprenant que ce soit Java qui soit utilisé : la plateforme a plein de trous de sécurité et est répandue sur toutes les plateformes.
Sans entrer dans les détails, le virus est une applet java qui, une fois installée avec une belle erreur de signature, détecte votre système d'exploitation et installe le malware ad-hoc.
(De là à dire qu'on a été vraiment chercher les ennuis avec l'applet java de (...)
Voici un petit article que j'ai écris il y a quelques jours. Initialement la cible n'était pas LinuxFR donc je vais l'adapter un peu pour le public de barbus que vous êtes.
Introduction qui dit qu'il y a des méchants pirates et qu'il faut faire attention à ses identifiants.
Blabla que vous connaissez par coeur : alpha-numérique + minuscule/majuscules + caractères spéciaux + >= 8 caractères.
Hier a vu la publication du premier « Rapport sur la résilience de l'Internet en France ».
Il s'agit d'étudier quantitativement la résilience de l'Internet dans ce pays (oui, je sais, l'Internet est mondial, mais il faut bien commencer quelque part). Le rapport définit donc un certain nombre d'indicateurs puis les mesure et publie le résultat.
Le rapport est un travail commun de l'ANSSI et de l'AFNIC. Il comprend deux grandes parties, une sur le protocole BGP et une sur (...)
Dans le cadre des RMLL 2012 qui se déroulent à Genève du 7 au 12 Juillet, le thème Sécurité vous propose trois demi-journées autour des thématiques suivantes :
Lundi 09 Juillet 2012 :
Après midi :
Mardi 10 Juillet 2012 :
Matin :
Après midi :
Enfin, vous trouverez dans la suite de la dépêche 2 entretiens avec Werner Koch d'une part (GnuPG, STEED et la vie privée sur le net) et avec Eric Leblond d'autre part (Suricata, IDS/IPS et la Sécurité).
Venez nombreux : c'est du lourd, c'est du libre, et … c'est gratuit !
Ave
Un journal bookmark, Korben a fait un article sur un soft de Ford et une agence de pub, Ogilvy.
http://korben.info/ford-keyfree-login-bah-les-gars-et-le-chiffrement-cest-pour-les-chiens.html
Chez Ford, ils ont un système qui déverrouille votre Ford quand vous approchez (une ânerie IMHO, mais passons), et sur ce système, ils ont développé un soft pour Iphone qui vous logge automatiquement sur votre Mac dans Facebook, Gmail, Twitter quand vous approchez.
Bon alors pour commencer, ça ne marche que si vous avez un Iphone, un Mac, et (...)
Et voici un nouveau numéro !
Bon, faudrait que j'arrive à me caler sur trolldi pour publier, ça pourrait être un peu plus marrant…
Quoi qu'il en soit, j'ai essayé de faire ça un peu mieux en catégorisant un peu plus, même si c'est pas encore parfait. Les liens sont plutôt inclus dans le texte, à vous de dire si c'est mieux ou si vous préférez de bêtes listes.
Pour cette fois, principalement trois thèmes :
MAT est un projet écrit en python dédié à l'anonymisation de metadonnées, se voulant simple d'utilisation. Écrit durant le GSoC 2011 sous l'ombrelle du projet Tor, il vient de sortir en version 0.3.2. Il est composé d'une bibliothèque, d'une interface en CLI, et d'une autre en GUI.
Une métadonnée est une information qui caractérise une donnée.
Prenons un exemple : lorsque vous créez un PDF, en général, des données additionnelles sont ajoutées à votre fichier : le nom du logiciel producteur, votre nom, la date de production, la description de votre document, le titre de votre document, la dernière date de modification, … ce sont des métadonnées. Vous n'avez peut-être pas envie de partager ces informations lorsque vous partagez votre fichier.
Pour l'instant, MAT prend en charge les formats suivants :
Pour l'instant MAT permet l'anonymisation de quelques formats de fichiers couramment utilisés. Un des buts à long terme serait d'implémenter des contres-mesures pour le tatouage/marquage.
Il y a quelque temps, j'ai écrit un système d'authentification utilisant les clés Yubikeys. Cela permet de s'authentifier par SSH ou sur un serveur web en utilisant un jeton, en plus de son mot de passe. Je l'utilise quotidiennement depuis plusieurs mois. Voici donc le code (GPL v2+).
Ce sont des périphériques USB de la taille d'une clef fournissant des mots de passe uniques (One Time Password) ou jetons. Elles se comportent comme un clavier et émettent une (...)
En tant que Français de l'étranger, j'ai aujourd'hui reçu mon mot de passe pour voter aux législatives par Internet.
Je n'ai rien demandé, c'est une opportunité supplémentaire de forcer un peu la main aux électeurs qui risqueraient d'encombrer inutilement les bureaux de vote.
Mais pour que cette méthode prenne toute sa valeur, il faut que la sécurité aille au-delà de la norme, au-delà de la sécurisation de l'adresse IP de Mme Albanel.
Il faut du lourd!
C'est pourquoi le mot (...)
