Basée sur un journal, cette dépêche présente les mécanismes de génération de nombres (pseudo‑)aléatoires dans le noyau Linux, et fait le point sur les principales évolutions survenues entre les versions 3.17 (en octobre 2014) et 5.6 (en mars 2020).
Journal Sécurité ouverture/démarrage des nouvelles voitures
Cher journal,
c'est fou de lire ça :
https://www.leparisien.fr/hauts-de-seine-92/recrudescence-de-vols-de-suv-peugeot-dans-le-sud-des-hauts-de-seine-24-08-2020-8372508.php
Suite à de nombreux vol grâce à des boîtiers électronique qui permetterait d'ouvrir et démarrer certaines voiture, la ville de meudon recommande d'utiliser de bon vieux verrous (barre de blocage) !
Les constructeurs automobiles sont aussi nul en soft qu'ils ont fait un système qui a été cassé et ils ne sont même pas foutu de prévenir leur client et de mettre à jour le système ?
As tu des liens (…)
Lien Parce que ça n'arrive qu'aux autres
Journal sécurité, trop de sécurité, pas de sécurité?
Vous savez l'informatique est un truc absolument génial qui permet de faire plein de trucs marrants et stylés, mais il y a plein de petits pirates qui veulent juste exploser des stacks for fun and profit, shaper le heap pour du code exec, voler vos cookies via des [bb code script]alert('oh no')[/bb] XSS, dumper vos bases avec des SQLinjection et même des fois s'élever en privilèges avec des vaches sales.
La question, c'est qu'est ce qu'on fait (…)
Forum Linux.général Quelle doit être la robustesse des mots de passe utilisateurs (root compris) ?
Je me pose cette question : sur un poste personnel, derrière une box quelconque, les utilisateurs doivent-ils avoir des mots de passe forts, et donc difficiles à retenir/frapper ? Pareil pour root, qui d'ailleurs peut être désactivé (le mdp pas le compte) sur certaines distros (ici Fedora) en choisissant un utilisateur qui aura les droits sudo ALL ALL (mal formulé mais vous comprendrez).
Question subsidiaire : y-a-t il moyen de voir quelle sont les attaques sur ces comptes ?
Lien L'attaque "BootHole" affecte les systèmes Windows et Linux utilisant GRUB2 et Secure Boot
Lien Boursorama Banque fuite vos données de connexion
Lien Accès frauduleux à des caméras de surveillance Amazon installés dans des chambres d'enfant
Lien La faille Ripple20 menace plusieurs millions d'équipements IoT
Journal Faciliter la configuration d'un ordinateur portable (ou fixe) sous Debian GNU/Linux 10 (Suite)
Bonjour à tous,
Dans un journal précédent j'évoquais un projet nommé my-deb-laptop-bash développé en bash et permettant de faciliter la configuration d'un ordinateur portable (ou fixe) sous Debian GNU/Linux 10 Buster.
Aujourd'hui, je viens vous parler d'un nouveau projet similaire nommé my-deb-laptop-ansible, et développé avec ansible.
En résumé, il s'agit de :
- faire une installation classique d'une Debian 10 Buster
- installer des pré-requis (ansible, openssh, clé ssh, git, etc.)
- télécharger le code du projet avec (…)
Utilisation d’un TPM pour l’authentification SSH
Après son « Bien démarrer avec GnuPG », gouttegd nous livre un nouveau journal sur l’utilisation du Trusted Platform Module (TPM) pour s’authentifier auprès d’un serveur SSH. Ce journal a été converti en dépêche et enrichi des premiers commentaires.
Lien Legacy LVFS S3 bucket takeover and CVE-2020-10759 fwupd signature verification bypass
Bien démarrer avec GnuPG
N. D. M. : la dépêche est tirée du journal personnel de l’auteur, complétée des premiers commentaires suscités.
Suite à une diatribe de ma part à l’encontre de la mauvaise qualité de beaucoup de tutoriels consacrés à GnuPG, on m’a suggéré de créer le mien. Alors, without further ado, le voici.
SHA-mbles : une collision à préfixes choisis sur SHA-1
Au début de l’année 2020, alors que l’on commençait à entendre parler de quelques cas de pneumonie atypique dans la ville chinoise de Wuhan, deux chercheurs français, Gaëtan Leurent (Inria) et Thomas Peyrin (Nanyang Technological University, Singapour), publiaient la première collision à préfixes choisis sur l’algorithme de condensation cryptographique SHA-1, et démontraient la faisabilité d’une attaque contre la toile de confiance OpenPGP.
L’attaque, dénommée SHA-mbles (« chaos », « désordre »), est de toute beauté et son étude fournit une excellente occasion, en cette période de confinement, de se pencher sur diverses notions comme le format des certifications OpenPGP ou le fonctionnement des algorithmes de condensation.