En 2012, j’avais écrit cette dépêche Rapport PDF de l’Hadopi, ou comment (ne pas) masquer une adresse IP qui montrait une erreur de caviardage d’information d’un document au format PDF par l’HADOPI, et qui discutait ensuite des deux mythes autour des fichiers PDF : une prétendue inaltérabilité et le caviardage à la truelle.

L’actualité récente nous permet de revenir une nouvelle fois sur le sujet.

• cela pourrait être à propos de cette discussion surréaliste sur un réseau social bien connu (« (question) vous pensez qu’on peut lire sous le bloc noir de ce document administratif ? (réponse) des fois le caviardage est mal fait (riposte) arrêtez d’aider les administrations ») ;
• mais je pense surtout à la Commission européenne qui a publié une version caviardée du contrat vaccinal avec AstraZeneca, version qui est plus bavarde que prévu. L’info serait accessible « en utilisant simplement la fonction signets d’Acrobat Reader », comme évoqué là ou plus largement dans la presse 1, 2, 3, 4, 5, 6, ou 7), et si le document en ligne a été remplacé, une copie de la première version est toujours en ligne.

Profitons-en pour rappeler que depuis sa version 6.3, LibreOffice offre une fonction de caviardage (voir les annonces dans ce journal et cette dépêche).

Dans un journal au menu d’à côté, on parlait des imprimantes sans pilotes (driverless) qui se répandent doucement. Il y a aussi les scanners sans pilotes qui doivent suivre. Mais chez la marque à la pomme, ils sont encore plus science-fiction : ils ont l’accès WiFi « codeless ». Si, si, sur iOS pas besoin d’ânonner le code super-cali-solidistique qui verrouille l’accès WiFi : en un clic de communication Bluetooth, vous donnez l’accès aux ami(e)s. Agréable, pratique et reposant.

Eh bien malgré les verrous d’Apple, Jannik Lorenz a eu la bonne idée de consacrer sa thèse préparée au SEEMO Lab (Secure Mobile Networking Lab) à faire de l’ingénierie inverse sur le protocole. Résultat, ça marche partout maintenant ! L’outil s'appelle OpenWifiPass, il est codé en Python et tourne sous Linux (GPLv3). Attention c’est une preuve de concept, ne pas l’utiliser en vrai (ou alors par goût du risque).

Mais d’où ça sort ? Là-bas à Darmstadt les chercheurs de l'Open Wireless Link ont eu l’idée de déconstruire l’Apple Wireless Direct Link (AWDL) pour faire bénéficier toutes les plateformes de cet écosystème bien imaginé. OpenWifiPass est l'une des réussites.

Snuffleupagus est un module pour PHP, version 7+ et maintenant 8+, qui a pour but d’augmenter drastiquement la difficulté des attaques contre les sites Web. Cela s’obtient, entre autres, via la désactivation de fonctions et de classes, et en fournissant un système de correctifs virtuels, permettant à l’administrateur de corriger des vulnérabilités spécifiques sans modifier le code PHP.

La version 0.7.0 sortie aujourd’hui, est un excellent prétexte pour reparler de ce projet sur LinuxFr.org

Cette dépêche est initialement basée sur le journal de MariePa, qui a été complété et enrichi pour lister des solutions libres pour le travail collaboratif sécurisé. Il y est donc question de clients libres, de serveurs libres, de chiffrement bout en bout, de confidentialité des données, etc.

Les Hubs Cyber & Security et Open Source du Pôle Systematic mènent une enquête sur les pratiques et besoins relatifs à la sécurité des logiciels Open Source.

L’Open Source apporte d'importants avantages pour la sécurité des applications, pouvant même être un avantage concurrentiel pour les industriels proposant des solutions de haut niveau de sécurité. De plus, certains processus de développement qui contribuent à la sécurité sont largement diffusés dans l’Open Source, et de nombreux outils Open Source sont disponibles pour la détection de vulnérabilités et les évaluations de sécurité. Enfin, l’Open Source est un élément indispensable de la confiance pour toutes les applications/infrastructures avec un fort risque pour la société en cas de détournement.

Le mois dernier, nous vous présentions CrowdSec, un logiciel de sécurité gratuit et open source déployable sur votre serveur, qui permet de détecter et bloquer les adresses IP malveillantes et de les partager avec toute la communauté d’utilisateurs.

Alors que la release de la v.1.0 est désormais disponible, et en attendant le paquet Debian qui arrivera très bientôt, nous vous invitons à découvrir les nouvelles fonctionnalités de la solution.