Journal CPU Ex0217 lost + found (janvier 2024)

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
5
25
jan.
2024

Dans cette release de CPU, en mode lost + found : So long, 2023, ah oui, y'a les JO cet été, la chasse au virus et une galette des rois… salée ?

Écoute à la demande, podcast, textes intégraux, documents et commentaires, sans inscription, ni publicité, ni tracking : https://cpu.pm/0217

Chapitres :

La semaine prochaine : Nous invitons Jordan (…)

Forum Linux.général Sélection des algos pour openssh

Posté par  . Licence CC By‑SA.
Étiquettes :
5
12
jan.
2024

Bonjour,

Je cherche à faire le ménage dans les algos autorisés sur mon serveur openssh (pas d'accès public) et j'ai du mal à trouver des ressources à jour.

Je suis retombé sur ce super post: https://linuxfr.org/news/openssh-configuration-des-algorithmes-de-cryptographie mais il date de quelques années et les liens pointés ne sont également plus mis à jour depuis au mieux 2 ans, ce qui me parait un peu vieux.
- ANSSI (https://cyber.gouv.fr/sites/default/files/2014/01/NT_OpenSSH.pdf) - date de 2015
- sshscan (https://github.com/evict/SSHScan) - (…)

Dévoilement du programme de l’édition 2024 de ConFoo à Montréal !

Posté par  (site web personnel) . Édité par Benoît Sibaud et Ysabeau 🧶 🧦. Modéré par Pierre Jarillon. Licence CC By‑SA.
Étiquettes :
12
10
jan.
2024
Communauté

ConFoo

Voulez-vous être à l’avant-garde de l’industrie ? Réservez votre calendrier pour la 22ᵉ édition de ConFoo en février 2024 à Montréal !

Avec plus de 170 présentations, offertes par des conférenciers de partout à travers le monde, ConFoo est une conférence destinée aux développeurs Full-Stack, couvrant tout, du backend au frontend : JavaScript, PHP, Java, Dotnet, Sécurité, Intelligence Artificielle, DevOps et bien plus encore.

ConFoo apporte une remarquable diversité de contenu pour élargir vos connaissances, augmenter votre productivité et amener vos compétences en développement au niveau supérieur.

Avec un choix de présentations axé sur les technologies de pointe, il y a une raison pour laquelle les participants qui reviennent de ConFoo disent avoir appris davantage en ces trois jours que pendant trois années à l’université !

Inscrivez-vous dès maintenant pour participer, rencontrer les conférenciers de renom qui contribuent aux projets Open Source que vous utilisez tous les jours.

Journal Dédier une clé SSH au rebond sur un serveur

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
42
8
déc.
2023

Bonjour nal,

Pour du développement, j'ai besoin d'administrer en SSH un serveur cible accessible depuis un serveur bastion. Dans ce document, j'explique comment dédier une clé SSH pour se connecter au bastion sans que cette clé ne puisse servir à rien d'autre qu'à rebondir vers d'autres serveurs.

On va parler de plein d'autres choses avant d'arriver au résultat.

Rebondir avec ProxyJump

On connaît l'option -J de SSH (ou ProxyJump dans ~/.ssh/config) qui permet de faire ça simplement (…)

reaction, remplaçant de fail2ban

Posté par  . Édité par Arkem et Benoît Sibaud. Modéré par Arkem. Licence CC By‑SA.
Étiquettes :
99
2
déc.
2023
Administration système

L'honorable fail2ban semble utilisé sur de très nombreuses petites infrastructures. NdM: Fail2ban est un framework de prévention contre les intrusions, écrit en Python (Wikipédia), ou dit autrement à bloquer et bannir des pénibles. Il est diffusé sous GPLv2+.

Il était installé sur mes serveurs, avant que j'essaie de le remplacer.

Mais dis-moi, pourquoi remplacer fail2ban ?

  • Parce que fail2ban est lent
  • Parce que sa configuration est très désagréable et mal documentée.

Mais dis-moi, il doit bien exister une alternative ?

Avant de me lancer yeux fermés dans l'implémentation d'une alternative, j'ai fait le tour du propriétaire libre :

  • sshguard est uniquement adapté à SSH.
  • crowdsec semble chouette, mais adapté à des grosses infras et à des workflows compliqués. De plus, je n'ai pas réussi à l'installer.
  • salt est plus un WAF (Web Application Firewall). Pareil, semble chouette mais adapté à des grosses infrastructures.
  • minos, développé par Exarius (un des CHATONS), efficace mais ne supporte que les logs stockés dans des fichiers texte et le pare-feu nftables.
  • pyruse, que je découvre aujourd'hui sur LinuxFr.org avec l'étiquette fail2ban. Uniquement adapté à systemd/journald.

Cri de joie, de toutes les alternatives que j'ai trouvé, fail2ban semble être encore le mieux adapté !