Bonjour,
Le but de ce journal est de raconter la petite expérience que j'ai faite en fin de semaine dernière.
On entend souvent que le net est dangereux, qu'il est important de sécuriser ses serveurs.
Je vais donc expliquer l'expérience que j'ai réalisé. Je dois cependant avertir les lecteurs qui administre déjà un(des) serveur(s), ou ceux qui regarde les logs de leur parefeu (…)
Pour ceux qui ne sont pas au courant, l'actrice Scarlett Johansson ainsi qu'une cinquantaine d'autres "peoples" se sont fait "pirater" leur messagerie. Habituellement je ne m'intéresse pas aux actualités "people", mais dans ce cas-ci je ferai une exception. En effet, ce qui est intéressant ici, c'est surtout la méthode employée par le gars qui a piraté les comptes : détermination de l'adresse email de la victime en envoyant des mails "bidon" : lorsque le mail ne revient pas, il considère (…)
Il y a quelque temps, j'ai écrit un système d'authentification utilisant les clés Yubikeys. Cela permet de s'authentifier par SSH ou sur un serveur web en utilisant un jeton, en plus de son mot de passe. Je l'utilise quotidiennement depuis plusieurs mois. Voici donc le code (GPL v2+).
Ce sont des périphériques USB de la taille d'une clef fournissant des mots de passe uniques (One Time Password) ou jetons. Elles se comportent comme un clavier et émettent une (…)
En tant que Français de l'étranger, j'ai aujourd'hui reçu mon mot de passe pour voter aux législatives par Internet.
Je n'ai rien demandé, c'est une opportunité supplémentaire de forcer un peu la main aux électeurs qui risqueraient d'encombrer inutilement les bureaux de vote.
Mais pour que cette méthode prenne toute sa valeur, il faut que la sécurité aille au-delà de la norme, au-delà de la sécurisation de l'adresse IP de Mme Albanel.
Il faut du lourd!
C'est pourquoi le mot (…)
Hello world,
On recrute encore pour notre équipe R&D !
Ayant eu de bonnes candidatures depuis linuxfr mes précédentes fois, je ré-itère :)
Jeune Entreprise Innovante en plein boom, Tetrane est éditeur d'un logiciel d'analyse automatisée de la sécurité informatique des logiciels (binaires exécutables) pour les entreprises stratégiques et sensibles.
CDI, 30-50k€(selon exp), à Mâcon (ville sympa proche de LYON, 2 ingés sont déjà lyonnais)
Vous êtes déjà bon en R&D C++ et vous voulez devenir très bon ?
Rejoignez notre équipe (…)
Comme tous les six mois, une nouvelle version d'OpenBSD est sortie. La version 5.1 est sortie le 1er mai, permettant aux personnes ne voulant pas défiler de pouvoir mettre à jour leur serveur. La chanson accompagnant la version 5.1 est « Bug Busters ».
La liste des changements est assez longue, vous en trouverez une liste réduite en deuxième partie de dépêche.
En lisant les actualités ce matin, je suis tombé sur un article qui nous apprend que les banques font encore preuve d'amateurisme dans la gestion de la sécurité des transactions de leurs clients. En effet on y apprend qu'il est facile d'accéder aux données contenues dans les cartes bancaires sans contact (RFID) uniquement à l'aide d'un adaptateur USB NFC. Pas de faille particulière, les données sont en clair. Parmi ces données, la carte contient toutes les infos permettant à quelqu'un (…)
Un nouveau venu fait son apparition dans le monde des VPN peer-to-peer sur Internet : Freelan. Ce logiciel libre licencié sous GPL permet d'établir un réseau VPN entre différents hôtes selon, au choix, un modèle peer-to-peer, client-serveur ou hybride. N'importe quelle topologie réseau est possible.
Plus de détails dans la suite de la dépêche
Pastebin.com est un service qui permet à n'importe qui de partager des informations sous forme de texte. Jusqu'à peu, on pouvait partager tout et n'importe quoi, mais cela va changer ! Le propriétaire, Jeroen Vader, a en effet annoncé qu'il allait embaucher des employés pour modérer le contenu du site, sous la pression des nombreuses plaintes qu'il recevait (en moyenne 1200 par jour).
Partant de là, Seb Sauvage a commencé à développer un outil qui permettrait d'empêcher ce type d'auto-censure, dans un service similaire à pastebin. Le résultat est ZeroBin.
Lu sur LWN :
“We wouldn’t share this with Google for even $1 million,” says [Vupen's Chaouki] Bekrar. “We don’t want to give them any knowledge that can help them in fixing this exploit or other similar exploits. We want to keep this for our customers.”
Those customers, after all, don’t aim to fix Google’s security bugs or those of any other commercial software vendor. They’re government agencies who purchase such “zero-day” exploits, or hacking techniques that use undisclosed flaws (…)
Ave
Vous avez un téléphone dernier cri, avec le NFC/paiement sans contact ?
Bravo.
Retenez-vous encore un peu de l'utiliser, parce que c'est moyennement sécurisé (ça me rappelle ceux qui parlaient de sécurité totale avec le WEP, à une époque pas si lointaine.
Un article qui détaille tout cela
http://www.securityvibes.fr/produits-technologies/visa-mastercard-carte-sans-contact/
L'expression "chérie, je vais retirer de l'argent dans le métro et je reviens" va devenir populaire.
Je m'étais marré à la lecture du hors-série de MISC sur les cartes à (…)
Le département informatique de l'IUT de Bordeaux en association avec l'UFR Math-Info de l'Université de Bordeaux, va ouvrir en septembre 2012, une licence professionnelle Spécialiste en Sécurité des Réseaux et Logiciels dans le domaine de la sécurité des réseaux et des logiciels (bac + 3).
Cette ouverture permettra de faire face à une crise importante en matière de formation et de recrutement dans ce domaine.
Une large part des contenus proposés dans cette formation s'appuie sur des logiciels libres et sur des systèmes basés sur le noyau Linux.
Cette formation s'appuie sur l’expérience acquise par l’équipe du Master Cryptologie et Sécurité Informatique et complétera les deux autres offres de licence professionnelle « Systèmes Informatiques et Logiciels » proposées depuis plus de 8 ans :
Ceci est une traduction de mon entrée de blog récente. Quelques remarques avant de commencer :
D'autre part, comme ici on est chez les Français râleurs, je n'ai pas à prendre autant de pincettes que dans mon blog agrégé sur Planet Mozilla. Donc soyons clairs, ce texte se veut un coup de gueule. Il y a des soi-disant experts en sécurité qui prétendent que Firefox est vulnérable parce qu'il lui manque telle ou telle fonctionnalité présente chez tel concurrent. Sans vouloir nier l'utilité de ces fonctionnalités, j'ai pensé qu'il était temps de remettre les pendules à l'heure : la sécurité des navigateurs est un sujet trop vaste pour qu'une ou deux techniques en particulier puissent faire une grande différence au total, et ces « experts » et autres journalistes se ridiculisent en répétant, sans distance critique, le marketing d'une entreprise… avec laquelle je ne tiens pas à me brouiller, car si je critique son marketing, j'ai souvent eu à travailler avec ses ingénieurs dans les comités de standards, et ça se passe très bien.
Au fil de mon blog, j'ai largement dévié sur un autre sujet qui me tient à cœur : la sécurité de WebGL, qui a elle aussi été victime d'une campagne de dénigrement de la part, cette fois-ci, d'un autre concurrent, qui lui n'a vraiment pas fait dans la dentelle alors qu'ils avaient eux-mêmes une technologie avec les mêmes « failles ».
Sur ce, la traduction de ce blog se trouve en seconde partie
NdM : merci à Benoit Jacob pour son journal.
HTTPS Everywhere est une extension Firefox éditée par l'Electronic Frontier Foundation qui permet de remplacer automatiquement l'URL d'un site web par son équivalent HTTPS. Ce n'est pas forcément simple parce que pour beaucoup de sites, il ne suffit pas d'ajouter un s à http. Par exemple, jusqu'à récemment, la version HTTPS de Google n'était accessible que sur https://encrypted.google.com.
L'extension maintient donc une base de données pour effectuer les correspondances. Cette version 2.0.1 apporte une base plus grande (404 nouvelles règles depuis la version 1.2.2) mais aussi un Decentralized SSL Observatory (observatoire SSL décentralisé) qui permet d'envoyer de manière anonyme les certificats à une base de données de l'EFF pour qu'ils soient étudiés par cette dernière afin de détecter les éventuelles failles. L'observatoire permet aussi de signaler les éventuels problèmes en temps réel. Pour l'instant seuls les certificats qui ont été générés à partir d'une clef privée faible — à cause d'une machine ayant un générateur de nombre aléatoire buggé — sont signalés. Enfin, cette version 2 fonctionne désormais aussi sur le navigateur de Google : Chrome.
NdA : Merci à detail_pratique pour son aide lors de la rédaction de cette dépêche.