Les Hubs Cyber & Security et Open Source du Pôle Systematic mènent une enquête sur les pratiques et besoins relatifs à la sécurité des logiciels Open Source.

L’Open Source apporte d'importants avantages pour la sécurité des applications, pouvant même être un avantage concurrentiel pour les industriels proposant des solutions de haut niveau de sécurité. De plus, certains processus de développement qui contribuent à la sécurité sont largement diffusés dans l’Open Source, et de nombreux outils Open Source sont disponibles pour la détection de vulnérabilités et les évaluations de sécurité. Enfin, l’Open Source est un élément indispensable de la confiance pour toutes les applications/infrastructures avec un fort risque pour la société en cas de détournement.

En novembre 2009 j’annonçais, sur LinuxFr.org, la publication de l’application EvalSMSI.

Initialement EvalSMSI était une application Web, sous licence GPLv3, développée en PHP/MySQL, permettant de réaliser l’évaluation d’un Système de Management de la Sécurité de l’Information (SMSI) selon la famile des normes ISO2700x.

Ces dix dernières années EvalSMSI a continué à évoluer pour devenir un logiciel open source d’autoévaluation et d’audit multi-référentiels. Il permet à une entité de mettre en place et de suivre son SMSI à partir de sa propre politique de sécurité du système d’information (PSSI) ou d’un autre référentiel de son choix.

Le projet LDAP Tool Box (aussi connu comme LTB project) est une compilation de petits outils destinés aux administrateurs d'annuaires LDAP. Certains de ces outils sont dédiés à OpenLDAP, mais la plupart peuvent être utilisés sur n'importe quel annuaire compatible avec le standard LDAPv3.

On trouve par exemple dans ces outils des scripts de supervision pour Nagios et Cacti, des RPMs de la dernière version stable d'OpenLDAP, ou encore une interface de changement de mot de passe.

LDAP Tool Box est publié sous licence GPLv2.

Début juillet est sortie la dernière version de LemonLDAP::NG, un logiciel libre de WebSSO et gestion des accès.
Les nouveautés de la version 0.9.4 ont été présentées lors des 10èmes RMLL à Nantes, pendant la journée consacrée à la gestion des identités. Pour ceux qui n'ont pas eu le privilège d'assister à cette conférence, cet article rappelle les principes de fonctionnement du produit et liste les nouvelles fonctionnalités. Les plus intéressés trouveront également dans le Linux Mag de cet été une bonne introduction au logiciel.

L'association GOALL (Groupe d'organismes acteurs du Libre en Lorraine) propose de rédiger et de diffuser sous licence libre un document avec des conseils généraux pour mettre en place une politique de sécurité informatique. Ce document est destiné aux responsables d'entreprise.

Le code source de la version 2.0 de Vulture est disponible, sous licence GPL v2. Vulture est une solution Web-SSO basée sur une technologie de proxy inverse implémentée sur le socle Apache. Vulture implémente également des fonctionnalités de firewall applicatif.

Nouvautés

Les principaux changements par rapport à la version 1.99 sont :

• le passage à Django pour l’interface d’administration ;
• le passage à SQLite3 ;
• le découpage du code Perl suivant l’API Apache, ce qui améliore la lisibilité du code ;
• le passage à ModSecurity 2.6.1 :
  • Support du moteur de détection par scoring ;
  • Embryon de gestion des politiques depuis l’interface ;
  • Mise à jour des règles ModSecurity.org depuis l’interface.

Il s’agit encore d’une version beta, quelques bugs subsistent, mais l’essentiel pour commencer à tester est là… avis aux amateurs ! Pour récupérer le code : svn checkout http://vulture.googlecode.com/svn/trunk/ vulture-read-only

Le département informatique de l'IUT de Bordeaux en association avec l'UFR Math-Info de l'Université de Bordeaux, va ouvrir en septembre 2012, une licence professionnelle Spécialiste en Sécurité des Réseaux et Logiciels dans le domaine de la sécurité des réseaux et des logiciels (bac + 3).

Cette ouverture permettra de faire face à une crise importante en matière de formation et de recrutement dans ce domaine.

Une large part des contenus proposés dans cette formation s'appuie sur des logiciels libres et sur des systèmes basés sur le noyau Linux.
Cette formation s'appuie sur l’expérience acquise par l’équipe du Master Cryptologie et Sécurité Informatique et complétera les deux autres offres de licence professionnelle « Systèmes Informatiques et Logiciels » proposées depuis plus de 8 ans :

• Assistant Chef de Projet Informatique
• Développeur en Applications Web et Images Numériques

Inverse annonce la sortie de la version 5 de PacketFence. PacketFence est une solution de conformité réseau (NAC) entièrement libre (GPL v2), supportée et reconnue. Procurant une liste impressionnante de fonctionnalités comme un portail captif pour l'enregistrement ou la remédiation, une gestion centralisée des réseaux filaire et sans fil, le support pour le 802.1X, l'isolation niveau-2 des composantes problématiques, l'intégration au détecteur d'intrusions Snort et au détecteur de vulnérabilités Nessus - elle peut être utilisée pour sécuriser efficacement aussi bien des réseaux de petite taille que de très grands réseaux hétérogènes.

La version 5 de PacketFence apporte de nombreuses améliorations comme le mode actif/actif pour une grande extensibilité horizontale, l'intégration de Fingerbank pour la différenciation des appareils sur le réseau, l'intégration de StatsD pour un monitoring précis d'indicateurs de performance et la documentation a été entièrement revue.

Inverse annonce la sortie de la version 6 de PacketFence. PacketFence est une solution de conformité réseau (NAC) entièrement libre (GPL v2), supportée et reconnue. Procurant une liste impressionnante de fonctionnalités comme un portail captif pour l'enregistrement ou la remédiation, une gestion centralisée des réseaux filaire et sans fil, le support pour le 802.1X, l'isolation niveau 2 des composantes problématiques, l'intégration au détecteur d'intrusions Snort et au détecteur de vulnérabilités OpenVAS - elle peut être utilisée pour sécuriser efficacement aussi bien des réseaux de petite taille que de très grands réseaux hétérogènes.

La version 6.1 de PacketFence apporte de nombreuses améliorations telles que le support du portail captif CoovaChilli pour la création de grands réseaux sécurisés basés sur OpenWRT, un nouveau module d'audit avec recherches avancées, des améliorations substantielles au clustering et beaucoup plus encore.

Après une première édition réussie en juillet dernier, Pass the SALT, conférence dédiée à la sécurité et aux logiciels libres, revient à l’école Polytech Lille du 1^er au 3 juillet 2019.

Son accès est gratuit et les conférences seront données en langue anglaise afin de permettre la participation la plus ouverte et accessible possible aux conférenciers et conférencières étrangers.

Pass the SALT a pour but de favoriser l’exposition et la coopération autour des logiciels libres dans le domaine de la sécurité. En 2018, elle a accueilli vingt‐huit interventions et cinq ateliers. Ces interventions ont couvert neuf thématiques différentes comme le reverse, la sécurité réseau, la réponse à incident, l’offensif ou la sécurité Web.

L’appel à soumissions est ouvert jusqu’au 31 mars 2019. Le site pour déposer votre proposition d’intervention (présentation de 35 min, 20 min ou atelier) est ici : https://cfp.pass-the-salt.org/.

N’hésitez pas à soumettre, la relecture des soumissions est bienveillante et nous sommes disponibles pour donner conseils et avis. :-)

Et si vous êtes une entreprise, vous pouvez soutenir l’événement en le sponsorisant. Merci par avance !

La seconde édition de Pass the SALT, conférence dédiée à la sécurité et aux logiciels libres (ou aux protocoles et formats ouverts), a publié son programme !

La billetterie (gratuite) sera ouverte autour de la mi‐mai.

Pass the SALT se déroule à l’école Polytech de Lille du 1^er au 3 juillet 2019. Son accès est gratuit. Les interventions se font en anglais afin de permettre la venue la plus confortable possible aux conférenciers et participants non francophones (le Benelux et l’Allemagne ne sont pas loin !).

L’équipe de CrowdSec annonce la sortie de la version 1.1.x, la dernière version de sa solution de cybersécurité gratuite et open-source (MIT) conçue pour protéger les serveurs, services, conteneurs ou machines virtuelles Linux exposés sur Internet. Quoi de nouveau ? Des nouveaux paquets et dépôts, ainsi que des améliorations de l’agent CrowdSec lui-même.

Un mot de passe à usage unique basé sur le temps (TOTP, Time based One Time Password en anglais) est un algorithme permettant de générer un mot de passe à usage unique.

Dans cette nouvelle version 4.4.0, les utilisateurs peuvent maintenant gérer leurs TOTP directement depuis l’extension navigateur, offrant ainsi une facilité d'accès et de gestion sur tous les appareils.

InvisibleThings et plus précisément Joanna Rutkowska, chercheuse polonaise en sécurité, vient d'annoncer Qubes, un environnement Xen de travail sécurisé. J. Rutkowska a publié de nombreuses attaques (avec leur implémentation) sur Xen, la virtualisation matérielle ou plus récemment TrueCrypt.

L'objectif du projet est de fournir un environnement sécurisé par isolation (une VM pour le travail, une pour le surf, une pour le surf sécurisé etc) tout en fournissant les fonctionnalités nécessaires à sa réelle exploitation au quotidien.

Le Sharkfest est un événement annuel qui se déroule aux États-Unis, centré sur l'incontournable Wireshark. Anciennement connu sous le nom d'Ethereal, c'est un « packet sniffer » libre (GPLv2) multi-plates-formes (Linux, Solaris, FreeBSD, Windows, Mac OS X). Véritable couteau suisse de l'analyse de protocole (il en reconnait pas loin de 800), ses utilisations sont multiples : des plus légitimes dépannage, analyse réseau, développement et rétro-ingénierie de protocoles , au plus controversées comme le piratage (au même titre que tout autre logiciel - P2P - ou couteau de cuisine)

Le dernier en date Sharkfest - troisième du nom - s'est déroulé du 14 au 17 Juin 2010 sur le campus de l'université de Stanford à Palo Alto, CA. Les quelques sessions ci-dessous, tirées des programmes officiels, donnent la teneur des échanges :

• Scripting and Extending Nmap and Wireshark with Lua ;
  
• Visibility into the DMZ Network with Wireshark ;
  
• Advanced Threat Intelligence and Session Analysis.
  

Gageons que les présentations seront bientôt disponibles. En attendant, les impatients pourront se plonger dans la lecture des présentations - pas toujours dans un format ouvert d'ailleurs - des deux années précédentes.

La conférence Black Hat, dédiée à la sécurité informatique, se finit aujourd'hui à Las Vegas. Les téléphones mobiles évolués dits smartphones tels que iPhone ou Android et les problèmes de confidentialité inhérents y ont eu une place importante. La société Lookout a assisté à la conférence et a présenté un projet, App Genome, qui a révélé d'intéressantes informations à propos de la sécurité des applications mobiles... mais n'est-ce pas pour mieux faire de la pub à sa propre application (propriétaire jusqu'aux oreilles) Lookout, qui permet de garder les utilisateurs à l'abri d'applications malintentionnées... selon eux ?

Access Road est un simulateur universel des contrôles d'accès logiques, pour améliorer la conception et l'audit de la sécurité. Une meilleure maîtrise de MySQL Server est la première utilisation pratique de Access Road.

Il contient la modélisation de Linux (composants et droits sur les fichiers) et de MySQL Server (composants et privilèges). Il simule aussi une application générique utilisant des rôles, selon le modèle 'Role Based Access Control'.

Access Road est pour le moment en anglais. Il est destiné aux administrateurs techniques, experts ou non en sécurité, et aux administrateurs d'application, même débutants.

ProtonMail est un service de messagerie web sécurisé créé en 2013 par Jason Stockman, Andy Yen et Wei Sun au CERN, situé à côté de Genève en Suisse. À l'opposé de nombreuses messageries web existantes (gmail.com, outlook.com…), ProtonMail chiffre les courriels avant qu'ils ne soient envoyés au serveur. ProtonMail est actuellement en version bêta.

Depuis le 17 juin, une campagne de financement participative a été lancée par l'équipe de développeur dans le but d'atteindre 100 000$. Deux semaines plus tard, le projet avait déjà reçu 200 000$. La prochaine étape est d'atteindre 500 000$ afin que des applications pour iOS et Android soient développées. La campagne se termine le 31 juillet. ProtonMail accepte les paiements par carte bleue, paypal (voir plus bas) et bitcoin.

La convention Netfilter qui rassemble les développeurs de la couche pare-feu de Linux aura lieu cette année à Paris. Cet événement international débutera par une journée de conférences ouvertes aux utilisateurs. Le lieu et le programme de cette journée sont maintenant établis.
Elle se déroulera le 29 septembre à l'école d'ingénieur ESIEA, Paris 5ème.

Des développeurs de Netfilter et des utilisateurs avancés présenteront leur vision et leur utilisation du filtrage IP sous Linux. Les conférences seront variées allant de la présentation de l'utilisation intensive de Netfilter/iptables chez un ISP danois à l'exposé sur le successeur d'iptables par Patrick McHardy, actuel leader du projet, en passant par une présentation de ses derniers travaux par David Miller, mainteneur de la couche réseau de Linux.

La journée est libre et gratuite. Une inscription est souhaitée pour des aspects logistiques.

Entr'ouvert annonce la sortie du logiciel Authentic 2, une plateforme de gestion des identités numériques polyvalente conforme à de multiples standards. Authentic 2 est un logiciel libre publié sous la licence GNU AGPLv3. Il s'agit d'une application Django. Elle est déployée sur le site www.identity-hub.com qui offre le service de fournisseur d'identité, ouvert et libre.

Les fonctionnalités principales sont :

• Fournisseur d'identité et de service SAML 2.0
• Serveur CAS 1.0 et 2.0
• Fournisseur d'identité et de service OpenID 1.0 et 2.0
• Support de multiples mécanismes d'authentification standards :
  • Mots de passe classiques
  • Mots de passe à usage unique (OATH et Google-Authenticator)
  • Certificat X509 via SSL/TLS
• Passerelle de protocoles, par exemple entre OpenID et SAML
• Support des annuaires LDAP v2 et v3
• Support du mécanisme d'authentification PAM
• Gestion des attributs d'identité

Dans le cadre de ses formations mensuelles, l'association StarinuX organise l'atelier : la cryptographie et les certificats SSL - X 509 , donc le but est d'illustrer la théorie par la pratique, même sur des exemples très simples.

Quand : le samedi 22 juin 2013 de 9h30 à 18h

Lieu : Hôtel IBIS Paris-la-Défense (Métro ligne 1, Pont de Neuilly ou Esplanade de la Défense ou gare SNCF La Défense).
Endroit très agréable, luxe, salle bien équipée avec toutes les commodités, 10 heures + goûter offerts.

Programme : voir la seconde partie de la dépêche

L'animatrice : Audrey Dahan, est spécialisée dans la cryptographie, les certificats et le protocole SSL.

L’union locale des syndicats CNT de Lille vous invite à découvrir comment sont conçus ces outils de surveillance et quels sont les moyens de s’en prémunir. Des travailleurs de l’informatique du syndicat CNT de l’industrie, du commerce et des services du Nord (CNT-STICS 59) présenteront le fonctionnement des réseaux de communication mondiaux et comment les services secrets les scrutent. Des outils et services présumés résistants aux systèmes de surveillance seront également présentés (Tor, GPG, Riseup…).

Aucune connaissance préalable en informatique n’est nécessaire.

Jeudi 12 décembre 2013 à 19h
à la Maison des syndicats CNT, 32 rue d’Arras, Lille
Entrée gratuite!

NdM : merci à keyes pour son journal.

Vendredi 22 août, c'est cryptoparty toute la soirée / nuit au L@Bx.

Entrée libre et gratuite. Amenez à manger, à boire, sac de couchage pour les plus courageux.

Quelques idées d'ateliers proposés :

• Créations / échanges de clés GPG
• Chiffrement de disque dur avec LVM+LUKS, encfs, etc.
• Mise en place d'un serveur de courriel
• Traduction du handbook cryptoparty en se basant sur le travail du Tetalab
• TrollDébat sur la sécurisation des locaux du L@Bx (RFID, caméra, poulet-tueur, etc.)
• …

Pour rappel, le L@Bx est un Hackerspace à Bègles (Communauté Urbaine de Bordeaux). Il ouvre ses portes tous les mardis et vendredis soir.

Au plaisir de vous y croiser !

Cette semaine, l'épisode de No Limit Secu est dédié à la criminalistique (forensic) et au logiciel libre DFF (Digital Forensics Framework, boîte à outil de criminalistique numérique, licence GPL).

Dans cet épisode, nous abordons les points suivants :

• Qu'est-ce que le forensic ?
• Quelles sont les problématiques liées à la pratique du forensic ?
• Solal Jacob répond à nos questions sur DFF.

DFF est un cadriciel qui peut être utilisé à la fois par des professionnels et non-experts afin de recueillir et de révéler des preuves numériques en préservant les systèmes et les données.

Que vous soyez développeur ou simple utilisateur, la sauvegarde de données sensibles telles que les mots de passe est source de soucis.
En tant qu'utilisateur, on aime avoir le choix. C'est d'autant plus vrai en sécurité où chacun a ses propres exigences et sa propre topologie.
En tant que développeur, stockages variés et plus sécurisés riment avec moins de portabilité.

Pour essayer de concilier les deux mondes, la bibliothèque "PPasskeeper" voit le jour.

La version 0.9 venant tout juste de sortir (version que je considère comme étant la bêta 1), n'hésitez pas à l'essayer via son utilitaire de gestion de mot de passe graphique ou en ligne de commande.
Je n'ai pu tester la bibliothèque que sous Linux et Windows (XP et Vista), de plus, la liste des modules est assez courte (KWallet, registre Windows et fenêtres de demande de mot de passe en GTK, Win32 ou Qt).