Retour sur l’affaire des « patchs hypocrites » de l’Université du Minnesota

162
26
mar.
2022
Noyau

Le 6 avril 2021, un patch était posté sur la liste de discussion des développeurs du noyau Linux (LKML). Écrit par Aditya Pakki, un doctorant de l’Université du Minnesota, ce patch, en apparence trivial (trois lignes) et franchement indistinguable des milliers d’autres qui s’échangent sur la LKML, allait in fine provoquer quinze jours plus tard le bannissement de toutes les contributions au noyau en provenance de l’Université du Minnesota.

Que s’est-il passé au juste ?

Forum général.cherche-logiciel CA pour signature d'application

Posté par  . Licence CC By‑SA.
5
3
fév.
2022

Bonjour,

Dans mon travail, on développe, entre autre, des applications Windows et on est un peu lassé pas les retours sur les applications non signée, et on se résout donc à acheter un certificat de signature de code.

Seulement, voilà, la question qu'on se pose est auprès de quelle CA va-t-on acquérir celui-ci ? On en a bien sûr identifiée plusieurs, mais elles sont en très grande majorité basées aux US.

Auriez-vous connaissances de CA qui vendraient des certificats de (…)

Passbolt, le gestionnaire de mots de passe pour équipe, lance ses applications mobiles

43
26
jan.
2022
Sécurité

Passbolt est un gestionnaire de mots de passe libre conçu pour l’utilisation en équipe et la collaboration. La première version du logiciel avait été annoncée ici même sur LinuxFr il y a quelques années.

Depuis son lancement initial en 2016, passbolt a beaucoup évolué : de nombreuses fonctionnalités ont été ajoutées ainsi que le support de nombreux systèmes. Le serveur passbolt peut maintenant être installé sur un large éventail de serveurs Linux (packet debian, ubuntu, centos, redhat…), docker, ou même encore sur Raspberry Pi. Sur le plan de la sécurité, les différents composants de la solution ont été intégralement audités en 2021 par une société indépendante (Cure53).

Passbolt dispose d’un forum communautaire sur lequel les membres peuvent proposer ou voter pour de nouvelles fonctionnalités. La fonctionnalité la plus demandée étant depuis un moment et de loin la disponibilité d’applications mobiles, il devenait important de prioriser ces développements.

Après plus d’un an de travail et beaucoup de sueur, l’équipe passbolt est donc fière d’annoncer la sortie de ses deux applications mobiles iOS et Android, toutes les deux entièrement libres, intégralement auditées, et compatibles avec l’ensemble des éditions du logiciel : communauté, pro et cloud édition.

Avant d’entrer dans les détails, voici une petite vidéo de démonstration (en anglais).

Forum Linux.debian/ubuntu mettre à jour Log4j sur Debian Buster

Posté par  . Licence CC By‑SA.
6
20
déc.
2021

Bonjour,

Juste un post qui aurait pu m'aider à ne pas perdre des heures sur mon serveur Debian pour mettre à jour Apache.

Debian a confirmé la mise a jour de Log4j sur les dépots sécurity de Debian Buster mais lorsque je faisais un apt update && upgrade je n'avais rien, si toi aussi tu es dans la même situation que moi voici la manip que j'ai effectué:

Depuis le terminal, taper "sudo su" puis indiquer votre mot de passe (…)

Détectez et bloquez les tentatives d'exploitation de Log4j avec CrowdSec

Posté par  (site Web personnel) . Édité par Ysabeau et Julien Jorge. Modéré par Ysabeau. Licence CC By‑SA.
24
14
déc.
2021
Administration système

Si vous travaillez dans le domaine de la cybersécurité, le week-end dernier a probablement été moins relaxant que prévu. Et ce, à cause de la découverte de la vulnérabilité zero-day Log4j (CVE-2021-44228). L’équipe CrowdSec s’est retroussé les manches pour développer un scénario capable de détecter et bloquer les tentatives d’exploitation de cette vulnérabilité. Vous pouvez le télécharger directement depuis le Hub de CrowdSec et l’installer en un clin d’œil. Preuve en vidéo.

L’efficacité de CrowdSec se basant sur le pouvoir de la foule, et à la lumière de la taille de leur communauté en pleine expansion, la solution a déjà collecté un grand nombre d’adresses IP qui tentent d’exploiter la vulnérabilité. Vous pouvez consulter la liste ici. Elle est très fréquemment mise à jour et il va sans dire que vous devriez bloquer sans attendre celles qui sont marquées comme « validated ».

Journal Coût de piratage des serveurs Linux

Posté par  . Licence CC By‑SA.
14
8
déc.
2021

Pour l'instant, le coût de piratage des postes et serveurs Linux est trop élevé pour que les délinquants à la petite semaine s'y intéressent. Ils se contentent d'utiliser plus ou moins industriellement des logiciels malveillants diffusés pour infiltrer les systèmes Windows. La sécurité de Linux est loin d'être parfaite mais elle va bien au-delà de celle de Windows.
Région Grand Est : « Les ordinateurs sous exploitation Linux, la majorité des postes, n’ont pas été impactés, contrairement à ceux fonctionnant (…)