Journal Annonce : Manux 0.0.1

72
15
août
2013

Bonjour tout le monde!

Je voudrais profiter de ce journal pour vous présenter mon projet personnel : Manux version 0.0.1.

Il s'agit d'un système d'exploitation, pour l'instant très limité, conçu pour encaisser les exploits jour zéro en espace utilisateur, et renforcé face aux exploits noyau. Son noyau, ainsi que les éléments du cœur du système (comme le système de paquetages), ont été entièrement écrits de zéro par mes soins. Son architecture est très différente de celle des autres systèmes d'exploitation (...)

Vie Privée en 2013 : Pourquoi. Quand. Comment. - une conférence de Werner Koch traduite en français

Posté par . Édité par palm123. Modéré par ZeroHeure. Licence CC by-sa
22
11
août
2013
Sécurité

Werner Koch, auteur de GnuPG, a récemment donné une conférence aux RMLL intitulée Privacy 2013 : Why. When. How.

On y parle de chiffrement, de surveillance, de Tor, d'Edward Snowden, de Google, de Cloud, bref un très bon état de l'art sur le sujet. Le discours est relativement accessible et gagne à être connu d'un plus large public. La dernière partie de la conférence donne des recommandations pour l'utilisation quotidienne d'Internet.

Les groupes Transcriptions et TradGNU de l'April ont travaillé conjointement à une version française.
Une transcription anglaise est en cours de finalisation. De l'aide pour une version en sous-titrage serait également bienvenue.
Sur le même thème, on pourra lire une interview de Jérémie Zimmermann, de la Quadrature du Net.

Forum Linux.debian/ubuntu [GPG] Réimporter sa clé privée après perte du repertoire .gnupg/

Posté par (page perso) . Licence CC by-sa
4
7
août
2013

Salut les machines enigmas ; )

Voilà suite à un crash disque OS (un vrai), je repars sur une installation neuve.
J'avais bien pris soin d'exporter ma clé privée vers une clé USB en revanche lorsque je tente de la réimporter :

mathieu@petitpi ~ $ gpg --import --allow-secret-key-import ma_cle_priv_gpg.gpg
gpg: répertoire « /home/mathieu/.gnupg » créé
gpg: nouveau fichier de configuration « /home/mathieu/.gnupg/gpg.conf » créé
gpg: Attention : les options de « /home/mathieu/.gnupg/gpg.conf » ne sont pas encore actives cette fois
gpg: le porte-clefs « /home/mathieu/.gnupg/secring.gpg » a été créé
gpg:
(...)

Journal Le système de d'authentification de la clef des voitures de luxe VW a été cassé.

Posté par (page perso) . Licence CC by-sa
23
27
juil.
2013

Cher journal,

J'ai un un article qui explique que VW veut empêcher la publication d'un article qui expliquerait le fonctionnement de l'algorithme d'authentification des clefs de voiture pour ses marques de luxe (Porsche, Audi, Bentley et Lamborghini) et permettrait de les voler. Du coup, je me demande pourquoi ils n'utilisent un système se reposant sur des algorithmes publiques et éprouvé (du genre de SSH) plutôt que de refaire un truc dans leur coin qui permet de voler n'importe quel voiture (...)

Journal Oui, mais si on oublie la réponse à sa question secrète ?

44
25
juil.
2013

Bonjour à tous,

Comme moi, peut-être vous-êtes vous un jour posez cette question : « que se passe-t-il si je n'ai plus accès à ma boîte mail et que je ne me rappel plus de la réponse à ma question secrète » ? Et, comme moi, peut-être l'avez vous refoulée bien vite en vous disant que de toute manière cela ne vous arriverai jamais. Aujourd'hui, j'ai la réponse à cette question en ce qui concerne les comptes Yahoo et je tenais à vous (...)

Forum général.général [resolu] Sécurité et synchronisation contacts OwnCloud avec CardDAV

Posté par . Licence CC by-sa
2
16
juin
2013

Bonjour à tous,

Je suis passé à OwnCloud la semaine dernière. Je n'ai aucune connaissances particulières sur le sujet et j'ai adhéré à une association (Zaclys) qui gère des serveurs OwnClown histoire de tester la bête.

En configurant aujourd'hui la synchronisation de mes contacts depuis Thunderbird (j'ai écrit un tutoriel à ce sujet aujourd'hui si ça intéresse quelqu'un), je me suis rendu compte qu'il suffisait d'une simple adresse pour accéder aux contacts. Même pas un petit mot de passe pour (...)

Journal Content Security Policy 1.0 intégré à Firefox

Posté par . Licence CC by-sa
25
13
juin
2013
Ce journal a été promu en dépêche : Content Security Policy 1.0 intégré à Firefox.

Depuis le 30 mai Content Security Policy (CSP) 1.0 est supporté par Firefox, dans le canal Aurora (version pre-beta de firefox) .

Content Security Policy ?

CSP est un mécanisme de sécurité dont le but est de protéger l'utilisateur contre les failles XSS en permettant aux sites web de restreindre l'origine des scripts.
CSP a été crée par la fondation Mozilla, et les premières implémentations ont été intégrés à Firefox 4.
Depuis le 15 novembre 2012, c'est même une recommandation candidate (...)

Certificat SSL/TLS pour serveur web, HTTPS et problèmes associés

Posté par (page perso) . Édité par Bruno Michel. Modéré par Nils Ratusznik. Licence CC by-sa
37
6
juin
2013
LinuxFr.org

Les serveurs utilisent des certificats TLS (ex SSL) pour permettre des échanges chiffrés avec les navigateurs (éviter les écoutes, les modifications, protéger la vie privée, sécuriser des échanges financiers, permettre de vérifier que le serveur est le bon, etc.). Et donc soit on auto-certifie son propre certificat, soit on passe par une autorité de certification (ou une chaîne d'autorités).

Côté client, les autorités acceptées sont gérées soit par le navigateur (Firefox, Chrome, Opéra, un navigateur basé sur java…) et c'est alors spécifique au navigateur , soit le navigateur délègue ça au système (rekonq, konqueror, iceweasel…) et c'est alors spécifique au système.

LinuxFr.org utilise un même certificat sur les différents domaines gérés, dont les serveurs de production et de test, le serveur cache des images, ainsi que le gestionnaire de listes de diffusion. Ce certificat doit être mis à jour sous peu (le 7 juin). Et comme à chaque mise à jour, les mêmes questions vont revenir, c'est donc l'occasion de faire le point sur le sujet (dans la seconde partie de la dépêche).

Journal Attaque sur les serveurs d'hébergement

13
25
mai
2013

En début de semaine, un serveur au Luxembourg (94.242.237.122) a essayé à 3 reprises de casser le mot de passe administrateur du site Wordpress de l'association GOALL. je l'ai signalé à l'hébergeur du serveur (root.lu) qui a étrangement fermé le ticket sans répondre. Sur WOT, cet hébergeur est mal noté car il met ses serveurs à disposition de spammeurs russes et il distribue des malwares (voir https://www.mywot.com/en/scorecard/root.lu). Je doute donc qu'il fasse quoi que ce soit.
Cerise sur le (...)

Hacking : sécurité avec les logiciels libres, petit déjeuner

Posté par (page perso) . Édité par Nÿco. Modéré par Pierre Jarillon. Licence CC by-sa
5
22
mai
2013
Sécurité

Ce petit-déjeuner, ouvert à tous, sera l'occasion d'aborder les problématiques liées au hacking du point de vue de la sécurité. Nous ferons un tour rapide des différentes solutions existantes dans le domaine du logiciel libre. Nous finirons avec une table-ronde/discussions sur ce sujet avec mise en perspective sur la base de situations "terrain".

Intervenants :

  • 8h30 - 9h30h: Julien Cayssol - Consultant Sécurité - Certilience
  • 9h30-10h: Table ronde interactive avec un responsable production

Quand : le 28 juin 2013
Horaires : 8h30 à 10h30
Nombre de place : 35
Lieu : 105 rue La Fayette 75010 Paris

Root exploit sur les noyaux linux 2.6.38 à 3.8.8

Posté par . Édité par Nÿco, Christophe Guilloux et Benoît Sibaud. Modéré par patrick_g. Licence CC by-sa
44
17
mai
2013
Noyau

Un nouveau root exploit est apparu mardi et concerne les noyaux Linux de 2.6.38 à 3.8.8 ayant CONFIG_PERF_EVENTS activé.

Tapez la commande suivante pour savoir si vous êtes impacté :
zgrep CONFIG_PERF_EVENTS /proc/config.gz

Si zgrep répond cette ligne, vous êtes impacté.
CONFIG_PERF_EVENTS=y

Le patch existe depuis plusieurs semaines mais n'a pas été forcement intégré dans toutes les distributions - cherchez le code CVE-2013-2094 dans les derniers security advisory.

La Debian Wheezy a été patchée ce matin (je mets le lien vers le mail de la liste de diffusion « security » car je ne trouve pas l'annonce de sécurité debian sur le site).

Pour ceux qui ne peuvent pas patcher immédiatement leur noyau, il faut suivre le lien vers l'outil de suivi de bug de redhat qui propose plusieurs solutions temporaires plus ou moins efficaces.

Journal Sécurité des mots de passe

Posté par . Licence CC by-sa
15
10
mai
2013

Je ne sais pas s'ils se sont donné le mot, mais j'ai l'impression que tous mes flux se sont mis à parler de la sécurité des mots de passe. Ça a commencé avec developpez.com qui explique que les mots de passes sont trop simples et sont donc facilement crackables, puis ce fut autour de blogzinet de proposer une extension qui vérifie notre mauvaise utilisation des mots de passe, intel de nous dire combien mes mots de passe sont (...)

Journal Linux/Cdorked.A : nouvelle backdoor Apache discrète.

Posté par . Licence CC by-sa
36
2
mai
2013

Une nouvelle backdoor Apache, nommée Linux/Cdorked.A a été détectée par ESET et Sucuri.
L’intérêt de cette backdoor est qu'elle est très évoluée et se dissimule très bien, rendant difficile sa découverte.
Seul le fichier binaire httpd (le démon Apache) est modifié, et toutes les informations du malware sont stockés en mémoire partagée. La configuration du malware et ses ordres sont envoyés par des requêtes HTTP GET obscurcies, mais surtout non-loguées par Apache.

Ce malware redirige les utilisateurs vers des sites (...)

Forum Linux.général Sécurisation des ports USB via filtrage des périphériques

Posté par . Licence CC by-sa
1
22
avr.
2013

Bonjour à tous,

Je suis actuellement à la recherche de méthodes, techniques ou procédures permettant de limiter l'utilisation des périphériques USB sous un environnement Linux.

Mon objectif étant :
- de n'autoriser que les périphériques USB désirés par l'administrateur
- de faciliter la mise en place de ce système et de le rendre compatible sur une multitude de distribution
- d'empêcher Mme Michu de connecter smartphone/disque externe ou autres sur mon Intranet…

Je vous remercie par avance pour vos éventuelles (...)