CVE-2014-3566 — Vulnérabilité POODLE

Posté par  . Édité par Nÿco, bubar🦥, Davy Defaud, Xavier Teyssier, palm123 et Benoît Sibaud. Modéré par patrick_g. Licence CC By‑SA.
Étiquettes :
32
17
oct.
2014
Sécurité

Qu’est‐ce POODLE ?

POODLE signifie Padding Oracle On Downgraded Legacy. Il s’agit d’une vulnérabilité permettant via une attaque de l’« homme du milieu » (MIM, Man In the Middle), en se plaçant entre le navigateur Web et le serveur Web, de déchiffrer les informations chiffrées.

POODLE affecte les anciennes normes de chiffrement, notamment Secure Socket Layer (SSL) version 3.0. Il n’affecte pas le mécanisme de chiffrement plus récent, et standardisé, appelé Transport Layer Security (TLS).

Recommandations

Pour atténuer cette vulnérabilité, désactivez SSL 3.0 en forçant l’utilisation de TLS, tout en vérifiant la compatibilité des navigateurs clients devant y avoir accès.

Plusieurs bulletins de sécurité ont annoncé la vulnérabilité :

SELKS 1.0 : une distribution

Posté par  (site web personnel) . Édité par Davy Defaud, Nÿco, Xavier Teyssier et palm123. Modéré par patrick_g. Licence CC By‑SA.
Étiquettes :
35
16
oct.
2014
Sécurité

SELKS est une distribution liv_e et installable qui fournit un système de détection d’intrusion (_Intrusion Detection System, abrévié IDS) Suricata prêt à l’emploi. Elle intègre Scirius, une interface Web de gestion des règles de l’IDS, et le trio Elasticsearch, Logstash et Kibana (ou "ELK"). L’interface Kibana permet d’analyser les alertes et les événements remontés par l’IDS.

Capture d'écran de SELKS

Le projet SELKS a été initié pour fournir un moyen de tester rapidement les capacités de l’IDS Suricata dans le domaine de la détection d’intrusion réseau et dans le domaine de la surveillance réseau. En mode live, il est ainsi possible de passer de l’amorçage du système à l’analyse du trafic réseau dans Kibana en 30 secondes.

Revue de presse de l'April pour la semaine 39 de l'année 2014

Posté par  (site web personnel, Mastodon) . Modéré par Pierre Jarillon. Licence CC By‑SA.
Étiquettes :
15
29
sept.
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Une faille nommée « shellshock »

Posté par  . Édité par bubar🦥, Benoît Sibaud, esdeem, Altor, david.g, Salk, Bruno Michel, Maxime, palm123 et BAud. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
82
28
sept.
2014
Sécurité

« ShellShock », une faille dans l'usage du shell Bash, est sous les projecteurs depuis quelques jours. Le terme est un jeu de mot entre la stupeur propre à l'obusite des combattants de la première guerre mondiale et l'interface système shell. Nous vous proposons des explications sur cet évènement particulier, son périmètre, les conditions de son exploitation, les surfaces d'attaques, et les solutions proposées, déjà mises en œuvre ou à venir. Enfin, une revue de presse sera dressée, cette faille s'étant transformée en évènement.

Journal Mets à jour ton bash. Maintenant.

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
55
24
sept.
2014

Bonjour, Nal

Un journal bookmark pour signaler : faut mettre à jour bash
Voilà, c'est tout. Vous pouvez reprendre une activité normale.

Pour les autres, qui ne vont pas reprendre une activité normale de suite, on pourra résumer cela en "c'est sérieux, urgent, et mérite peut être une campagne de patch au pied levé". Cette découverte, qui date d'une vingtaine de jours aujourd'hui, vient d'avoir ses correctifs validés, à priori (…).
Sans cela, il est possible de faire, par exemple (…)

Parution du second tome du Guide d’autodéfense numérique

Posté par  . Édité par Ontologia, palm123 et Nils Ratusznik. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
29
16
sept.
2014
Éducation

Quatre ans après la parution du premier tome du Guide d'autodéfense numérique, le second tome, dédié aux enjeux liés de l'utilisation des réseaux et d'Internet est enfin terminé. Cet ouvrage vise à présenter l’« absence d’intimité » du monde numérique et propose des méthodes pour ajuster ses pratiques quotidiennes en conséquence. Les deux volumes sont d’ores et déjà disponibles en consultation et en version imprimable à l’adresse http://guide.boum.org/.

ConFoo 2015: la conférence pour les développeurs web est à la recherche de conférenciers

Posté par  (site web personnel) . Édité par Benoît Sibaud, ZeroHeure et bubar🦥. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
3
9
sept.
2014
Communauté

ConFoo est à la recherche de conférenciers
ConFoo est à la recherche de professionnels du web avec une connaissance approfondie du développement avec PHP, Python, Ruby, Java, DotNet, HTML5, Databases, Cloud et le dévelopement mobile souhaitant partager leurs connaissances et expériences lors du prochain ConFoo. Soumettez vos propositions entre le 25 août et le 22 septembre.

  • ConFoo 2015 se déroulera du 18 au 20 février à Montréal, à l’Hôtel Hilton Bonaventure.
  • Nous prenons grand soin de nos conférenciers en couvrant la majorité des dépenses incluant le déplacement, l’hébergement, le lunch, le billet complet de la conférence, etc.
  • Les présentations sont d’une durée de 35min + 10min de questions et peuvent être tant en français qu'en anglais.
  • ConFoo est un environnement ouvert où tout le monde est invité à soumettre. Vous êtes qualifié et amical? Joignez-vous à nous!

Si vous voulez simplement assister à la conférence, nous avons un rabais de 290$ en vigueur jusqu’au 13 octobre.

Revue de presse de l'April pour la semaine 36 de l'année 2014

Posté par  (site web personnel, Mastodon) . Édité par palm123. Modéré par Pierre Jarillon. Licence CC By‑SA.
Étiquettes :
13
9
sept.
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Kernel Recipes 2014

Posté par  (site web personnel) . Édité par Davy Defaud, Bruno Michel et bubar🦥. Modéré par bubar🦥. Licence CC By‑SA.
Étiquettes :
33
25
août
2014
Noyau

hupstream est fier de vous annoncer la 3e édition de Kernel Recipes, les 25 et 26 septembre 2014.

Cette nouvelle édition s’annonce pleine de promesses. Cette année nous vous proposons des conférenciers venus des États‐Unis, d’Europe et de France : Greg Kroah‐Hartman, Hans Peter Anvin, Jean Delvare, Willy Tarreau, Borislav Petkov, Martin Peres, Maxime Ripard, Julien Grall, Eric Leblond, Samir Bellabes et Hans Verkuil.

Nombre d’entre eux interviendront pour la première fois en France.

Revue de presse de l'April pour la semaine 32 de l'année 2014

Posté par  (site web personnel, Mastodon) . Modéré par bubar🦥. Licence CC By‑SA.
Étiquettes :
18
12
août
2014
Internet

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

Journal Capsicum dans Linux : ça bouge !

Posté par  . Licence CC By‑SA.
Étiquettes :
46
3
août
2014
Ce journal a été promu en dépêche : Capsicum dans Linux : ça bouge !.

Chers LinuxFrien-ne-s,

En 2011 je vous parlais de Capsicum (dépêche LinuxFr), un projet de chercheurs de Cambridge de nouvelles primitives de gestion des droits pour les systèmes UNIX, très prometteur et en passe d'être intégré à FreeBSD.

Linux n'avait à l'époque pas de bonne solution pour un sandboxing fin; en 2012, une revue complète du système seccomp (dépêche LinuxFr) apportait un mécanisme très fin de contrôle des appels systèmes, mais ne gérant pas le transfert de (…)

Journal C'est vendredi, c'est trolldi, c'est permis : l'open source n'est pas secure

Posté par  . Licence CC By‑SA.
Étiquettes :
8
1
août
2014

Le vendredi, c'est la chasse aux trolls. Et là, j'en tiens un beau \o/

http://blog.erratasec.com/2014/07/cliche-open-source-is-secure.html Alors, OK, comme le titre le laisse annoncer, il ne faut pas croire aveuglément que l'open source est plus secure que le closed source, idée à laquelle il est simple d'adhérer.

Par contre, le reste du post est rempli de trolls bien gras. Le premier paragraphe est juste mythique:
Unusable crypto isn't a valid option for most users. Most would rather just not communicate at (…)

Journal L'USB c'est moisi, ça propage des virus

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
25
1
août
2014

Un bon petit article alarmiste pour commencer ce trolldi.

L'article source, que je préfère résumer car le ton m'a l'air trop alarmiste : La norme USB possède une énorme faille de sécurité qui ne pourra pas être comblée

Qui a lui-même une source sur Wired.

La Black Hat Security Conference à Las Vegas, c'est dans une semaine ! On va donc faire monter la hype avec une annonce fracassante d'une des conférences : à cause d'une faille de conception, il (…)

Sondage Quand je vois une session ouverte...

Posté par  . Licence CC By‑SA.
Étiquettes :
8
25
juil.
2014

Dans votre bureau ou votre école, il vous arrive parfois de voir qu'un de vos collègues a laissé une session ouverte sur un poste avant de l'abandonner pour faire une pause ou de partir en réunion. Comment réagissez-vous ?

  • Je ne fais rien, ça ne m'intéresse pas :
    573
    (33.0 %)
  • Je joue avec sa messagerie :
    317
    (18.3 %)
  • Je change le thème de l'environnement graphique :
    183
    (10.6 %)
  • Je change la page d'accueil du navigateur web :
    68
    (3.9 %)
  • Je récupère toute trace de vie privée du propriétaire :
    48
    (2.8 %)
  • J'installe de quoi faire tout ça à distance :
    134
    (7.7 %)
  • Je verrouille sagement la session pour empêcher cela :
    411
    (23.7 %)

Total : 1734 votes

Campagne de financement participatif pour ProtonMail

Posté par  . Édité par Nils Ratusznik, Benoît Sibaud, Pierre Jarillon, BAud, Florent Zara et Xavier Teyssier. Modéré par Florent Zara. Licence CC By‑SA.
Étiquettes :
15
19
juil.
2014
Sécurité

ProtonMail est un service de messagerie web sécurisé créé en 2013 par Jason Stockman, Andy Yen et Wei Sun au CERN, situé à côté de Genève en Suisse. À l'opposé de nombreuses messageries web existantes (gmail.com, outlook.com…), ProtonMail chiffre les courriels avant qu'ils ne soient envoyés au serveur. ProtonMail est actuellement en version bêta.

logo ProtonMail

Depuis le 17 juin, une campagne de financement participative a été lancée par l'équipe de développeur dans le but d'atteindre 100 000$. Deux semaines plus tard, le projet avait déjà reçu 200 000$. La prochaine étape est d'atteindre 500 000$ afin que des applications pour iOS et Android soient développées. La campagne se termine le 31 juillet. ProtonMail accepte les paiements par carte bleue, paypal (voir plus bas) et bitcoin.