Le NIST (National Institute of Standard and Technology, organisme US définissant les standards gouvernementaux) vient d'annoncer la release officielle d'AES (Advanced Encryption Standard).
L'AES est destiné à remplacer le DES devenu trop faible au niveau sécurité. Après plusieurs années de mise au point et de processus de sélection, en octobre 2000, l'algo Rjindael (développé par 2 chercheurs belges) a été retenu pour devenir l'AES.
Le CERTA ( Centre d'Expertise gouvernemental de Réponse et de Traitement des Attaques informatiques ) publie un bulletin d'alerte sur le risque de divulgation de données personnelles/confidentielles par des produits Microsoft. Une solution dite "provisoire" est apportée, mais aucune sur un éventuel changement d'OS.
Il semblerait que le FBI decouvre les vertus de netbus et de back orifice. A moins que ce soit celle d'I love you.
En effet; il aurait été envoyé à des personnes surveillées un troyen chargé de récuperer leurs clefs PGP . . .
Bref, un truc à vous dégouter de lire votre courrier avec Outlock.
Quand à installer un programme dont on ne possède pas le source . . .
L'angoisse, quoi !
Security Enhanced Linux est un projet Linux mis en oeuvre par la NSA afin de développer un système Linux plus sécurisé. SELinux est un assortiment de patchs du noyau Linux et d'utilitaires conçu autours d'un système de contrôle d'accès obligatoire.
Cet article explique son installation et sa configuration.
Après plusieurs mois de travail, Hal Burgiss a terminé la première version de son guide sur la Sécurité Linux. Une version Red Hat existe également. A découvrir d'urgence :)
Note du modérateur: Guide étudié pour les débutants. Vraiment intéressant.
Le gouvernement donne officiellement une méthode provisoire pour desactiver l'envoi d'informations confidentielles/personnelles à Microsoft lors d'un crash système.
Rappelons quand même que pour favoriser le "debuggage" de Windows XP, Microsoft a implémenté le `Error Reporting Tool' afin de transmettre via internet une prétendue sorte de core dump après un crash de leur système.
Note du modérateur : ce bulletin n'est pas nouveau.
VNU Net nous indique que, a la surprise generale, Internet Explorer (les dernieres versions 5.5 et 6) peut donner accès à tous les cookies présents sur le navigateur avec un simple script...
Je vous aurais bien mis un petit lien pour patcher vos navigateurs (y'en a qui bossent sous Windows), mais le site de Microsoft indique que :
"Why isn't there a patch available for this issue?
The person who discovered this vulnerability has chosen to handle it irresponsibly, and has deliberately made this issue public only a few days after reporting it to Microsoft. It is simply not possible to build, test and release a patch within this timeframe and still meet reasonable quality standards."
Ce qui peut se traduire par (Attention, traduction perso) :
"Pourquoi n'y a-t-il pas de mise à jour corrigeant ce problème ?
La personne qui a découvert cette vulnerabilité a choisi de se comporter de facon irresponsable, et ne l'a déliberemment rendue publique que quelques jours après l'avoir rapportée a Microsoft. Il est tout simplement impossible de développer, tester et rendre disponible une mise à jour dans un si court laps de temps, tout en maintenant une qualité raisonnable."
Google est bien connu des internautes en recherche de liens. Il semblerait qu'il fasse trop bien son travail ou que les serveurs contiennent des fichiers qui ne devraient pas être accessible:
il a été fait une recherche sur les site militaires americains et les fichiers Word et on a vu apparaître des documents plutôt sensibles dans la réponse de la requête. La faute ne revient pas à Google de trop bien faire son travail mais plutôt à quelques webmestres qui ne font pas bien le leur.
A peine le nouveau système d'authentification de Microsoft, Passport, dévoilé, que déjà un développeur américain vient de trouver une faille assez succulente dans Passport. Le principe constiste à envoyer un email à un utilisateur de Hotmail contenant du JavaScript simulant un message Hotmail qui re-demande à l'utilisateur son mot de passe et qui l'envoie dans la base de données du pirate. Cela n'est pas bien nouveau, c'est une "fonctionnalité" des emails en HTML.
Mais le problème, c'est qu'une nouvelle fonctionnalité de Windows XP, baptisée "Wallet", permet d'enregistrer son numéro de carte de crédit dans le système et de s'en servir pour effectuer des achats plus rapidement. Le pirate, une fois en possession du mot de passe peut alors tranquillement effectuer ses achats sur les sites Passport avec votre n° de carte bleue... Rassurant, non ?
Infos trouvées sur www.secusys.com,
"« Ptracekm » est un module kernel pour Linux 2.2 (et probablement 2.4 mais non testé) permettant de bloquer les appels (syscall) ptrace() pour tous les utilisateurs excepté le root.
Ce module vous protègera donc contre les pirates voulant prendre le root grâce aux exploits de type ptrace()."
De plus, ne pas oublier de vérifier Webmin 0.88 qui permet la création de fichiers modifiables par tous sous /tmp avec les droits 777.... pour modifier le script run.cgi... voir la news originale pour plus de détails.
Note du modérateur : Le problème webmin, c'est un rappel, on en avait déjà parlé ici le 22 Octobre.
La cérémonie allemande des Big Brother Awards s'est tenue à Bielefeld le 26 octobre. Le grand vainqueur de cette cérémonie est sans contexte le ministre allemand de l'intérieur (Otto Schily). Le ministre socialiste (SPD) de l'Intérieur de la République fédérale a reçu une double distinction, celle de la catégorie «Politique» et le prix d'honneur de la soirée. «Parce que sous couvert de la lutte contre le terrorisme, il contribue à restreindre les droits des citoyens et la protection des données personnelles», s'est justifié le comité organisateur.
Mais n'oublions pas les autres lauréats, entre autres : Real Network, puisqu'il faut obligatoirement s'enregistrer pour utiliser leur logiciel Real Player ainsi que ProtectCom qui surveille ses employés.
Cette faille a été découverte par Christophe Casalegno et Aurélien Cabezon.
Webmin souffre d'un problème de sécurité concernant la création temporaire de fichier qui peut être utilisée pour compromettre le compte root.
En effet, Webmin crée des fichier temporaires dans /tmp qui ont les permissions : -rwxrwxrwx (777) et qui appartiennent à l'utilisateur root (ex : commandes personnalisées). N'importe qui peut modifier le fichier créé pendant l'exécution de la commande par le système. Il suffit donc pour l'attaquant de rajouter une commande dans le fichier, qui sera exécutée par le root. L'attaquant pourra donc à loisir, lancer des commandes, créer/effacer/modifier des fichiers/répertoires, etc...
Exemple:
Il suffit de rajouter la commande suivante à la fin du fichier temporaire crée par webmin pendant son exécution pour gagner les privilèges de root:
cp /bin/sh /tmp/.backdoor vous donnera un shell root dans /tmp
Le problème est situé dans le script run.cgi qui crée le fichier temporaire en lui donnant de mauvaises permissions.
$temp = &tempname();
open(TEMP,">$temp");
...blablabla...
chmod(0777, $temp);
Pour fixer le problème il suffit de hanger la ligne chmod(0777, $temp); par chmod(0700, $temp);
Note du modérateur : Il ne semble pas y avoir de confirmation sur le site de Webmin. En outre, webmin 0.89 devrait sortir sous peu.
Les packages de la RedHat 7.2 (Enigma) sont incorrectement signés sur les miroirs ftp. La 7.1 était quant à elle correctement signée avec GnuPG. Soit RedHat a tout simplement oublié cette étape, soit leur process qualité a été shunté, ce qui est plus grave. Pas encore de réactions sur le site de RedHat. Celà me permet de conseiller ici l'excellent site de Kurt Siegfried sur la sécurité informatique.
La surprise du matin en lisant le changelog Linux 2.2.20pre10 : celui-ci est censuré, pour respecter le DMCA .... (autocensure d'Alan Cox ?)
Il y a quelques threads sur le sujet. Personnellement, je reste perplexe ... et je ne comprends pas! Si quelqu'un peut m'expliquer?
Suite à une annonce sur Yahoo (ZDNet en fait) où il est annoncé la mort de PGP (ce n'est pas nouveau), j'ai pu lire "vive WinPT". En creusant un peu plus, il s'avère qu'il s'agit d'un "portage" basé sur GnuPG pour Windows. (Je sais que ...) Mais bon, voilà qui élargit un peu le domaine d'action de GnuPG et des utilisateurs qui l'utilisent, (c'est le but de l'article).
