Inverse a annoncé le 13 janvier 2016 la sortie de la version 5.6 de PacketFence, une solution de conformité réseau (NAC) entièrement libre (GPL v2), supportée et reconnue. PacketFence dispose de nombreuses fonctionnalités, comme un portail captif pour l'enregistrement ou la remédiation, une gestion centralisée des réseaux filaire et sans fil, la prise en charge du 802.1X, l'isolation niveau 2 des composantes problématiques, l'intégration au détecteur d'intrusions Snort et au détecteur de vulnérabilités Nessus. Cette solution peut être utilisée pour sécuriser efficacement aussi bien des réseaux de petite taille que de très grands réseaux hétérogènes.

La version 5.6 de PacketFence apporte de nombreuses améliorations telles qu'un module d'audit RADIUS permettant la traçabilité des événements sur le réseau, le regroupement des commutateurs pour leur appliquer une configuration commune, ou encore les filtres DHCP permettant d'effecteur des actions basées sur les empreintes numériques d'un appareil.

Cette dépêche est tirée du journal de patrick_g.

Le web commence à bouillonner au sujet des téléphones Motorola Droid X (basés sur le noyau Linux) et qui sont supposés s'autodétruire si on tente de flasher le système. Tout est parti de cet article sur le site Mydroidworld.com. L'info a ensuite été reprise sur Mobilecrunch.com puis sur Slashdot et maintenant Harald Welte (spécialiste des smartphones s'il en est) en parle sur son blog.

De quoi est-ce qu'il s'agit ?
Une puce (eFUSE) est chargée de vérifier le processus de boot du téléphone. Si tout est correct, c'est à dire si rien n'a changé par rapport au code d'origine Motorola, alors le boot continue normalement. En revanche si la puce détecte que le code du firmware a été modifié (à la suite d'un flashage par exemple) alors elle envoie une commande qui empêchera de façon permanente le démarrage du téléphone. Il ne pourra plus jamais s'allumer. Comme disent nos amis anglo-saxons : votre téléphone devient une brique ! "If the eFuse failes to verify this information then the eFuse receives a command to "blow the fuse" or "trip the fuse". This results in the booting process becoming corrupted and resulting in a permanent bricking of the Phone."

Seul Motorola connait les spécifications de la puce eFUSE et peut éventuellement réactiver le téléphone. Donc pour l'utilisateur c'est mort, il peut jeter son téléphone à la poubelle ou le transformer en coûteux presse-papiers. On connaissait déjà les puces de contrôle qui empêchent simplement le boot mais c'est, à ma connaissance, la première fois qu'on découvre un mécanisme d'autodestruction placée sciemment au coeur du hardware par un constructeur pour interdire le flashage de ses téléphones.

Bien entendu ça fait encore plus mal au coeur de savoir que ces téléphones sont basées sur Linux c'est à dire sur du logiciel libre devant posséder les 4 libertés classiques définies dans la licence GPL. C'est encore plus rageant quand on lit la prose de Lori Fraleigh sur le blog officiel des téléphones Motorola : "L'utilisation de logiciels open source, comme le noyau Linux ou la plateforme Android, dans une machine, n'oblige pas le téléphone faisant tourner ce code à permettre le flashing. Nous respectons les licences, y compris la GPLv2, pour chacun des packages open source de nos téléphones";.

C'est évidemment un argument massue en faveur de la licence GPLv3 qui interdit explicitement cette "tivoisation". Et en attendant n'achetez pas un téléphone Motorola car, comme le dit un commentaire sur Slashdot, "vous pouvez légalement acheter un pistolet qui ne tire que dans la direction de la personne pressant la détente, mais ça ne veut pas dire que c'est une bonne idée".

NdM : Attention cette information émane d'une seule source donc prudence. Voir également ce commentaire de SOULfly_B sur le journal d'origine.

Android, le système d’exploitation largement majoritaire sur les mobiles, est, comme chacun le sait sur LinuxFr.org, construit sur un noyau Linux.

Linux étant sous licence GPL, tout peut vous sembler parfait, mais en réalité la couche applicative Android est beaucoup moins amicale que son noyau Linux.

Le but de cet article est de vous expliquer le fonctionnement d’Android, de vous faire découvrir sa face cachée et de vous expliquer comment vivre avec dans les meilleures conditions possibles.

Une nouvelle version du logiciel libre (licence MIT) Modoboa est disponible. Modoboa est un outil visant à simplifier l’administration et l’utilisation d’une plate‐forme d’hébergement de courriel. Il est disponible dans neuf langues (anglais, français, allemand, espagnol, portugais, suédois, italien, russe et tchèque). Il est majoritairement écrit en Python/Django (avec un peu de JavaScript quand même pour la partie « dynamique »).

Il s'agit d'une version majeure pour plusieurs raisons. Tout d'abord, un certain nombre de fonctionnalités ont été ajoutées comme :

• Le support des domaines relais (un mode gateway en quelque sorte) ;
• Diverses améliorations au niveau de la quarantaine ;
• Le support d'une date de démarrage pour les réponses automatiques ;
• Activation/désactivation des réponses automatiques par les administrateurs ;
• Le renforcement des algorithmes utilisés pour chiffrer les mots de passe ;
• Le déploiement silencieux.

D'autre part, le code source a subit une restructuration importante et les tests de non-régression ont été complétés.

La chasse aux bogues continue et le russe fait désormais partie des langues disponibles pour afficher l'interface web. Faute d'équipe, la traduction portugaise est incomplète dans cette version, nous cherchons d'ailleurs des repreneurs ;)

Au chapitre des changements importants mais indépendants du code, Github est désormais utilisé pour la gestion du code source et des tickets, l'ancienne instance Redmine est donc obsolète.

PyPI (de l’anglais « Python Package Index ») est le dépôt tiers officiel du langage de programmation Python. Son objectif est de doter la communauté des développeurs Python d’un catalogue complet recensant tous les paquets Python libres.
Google, par l’intermédiaire de l’Open Source Security Foundation (OpenSSF) de la Linux Foundation, s’est attaqué à la menace des paquets malveillants et des attaques de la chaîne d’approvisionnement des logiciels open source. Elle a trouvé plus de 200 paquets JavaScript et Python malveillants en un mois, ce qui pourrait avoir des « conséquences graves » pour les développeurs et les organisations pour lesquelles ils écrivent du code lorsqu’ils les installent.
PyPI déploie le système 2FA (pour double authentification ou authentification à deux facteurs) pour les projets critiques écrits en Python.

MAT est un projet écrit en python dédié à l'anonymisation de metadonnées, se voulant simple d'utilisation. Écrit durant le GSoC 2011 sous l'ombrelle du projet Tor, il vient de sortir en version 0.3.2. Il est composé d'une bibliothèque, d'une interface en CLI, et d'une autre en GUI.

Qu'est-ce qu'une metadonnée ?

Une métadonnée est une information qui caractérise une donnée.
Prenons un exemple : lorsque vous créez un PDF, en général, des données additionnelles sont ajoutées à votre fichier : le nom du logiciel producteur, votre nom, la date de production, la description de votre document, le titre de votre document, la dernière date de modification, … ce sont des métadonnées. Vous n'avez peut-être pas envie de partager ces informations lorsque vous partagez votre fichier.

Formats pris en charge

Pour l'instant, MAT prend en charge les formats suivants :

• Portable Document Format (pdf)
• Zip
• TApe aRchiver (tar.gz, tar.bz2, tar)
• Jpeg (jpg, jpeg)
• Portable Network Graphics (png)
• Torrent
• Opendocuments (odt, opt, …)
• Openxml de Microsoft (docx, pptx, …)
• MPEG Audio (mp3, mp2, mpa, …)
• Ogg Vorbis (ogg)
• Free Lossless Audio Codec (flac)

Objectifs à long terme

Pour l'instant MAT permet l'anonymisation de quelques formats de fichiers couramment utilisés. Un des buts à long terme serait d'implémenter des contres-mesures pour le tatouage/marquage.

L'outil WinAdminPassword permet de générer des mots de passe en fonction d'une clef secrète et du numéro de série de l'ordinateur sur lequel il est lancé.

Son objectif principal est de déployer des mots de passe différents pour les comptes d'administration, et cela sur tous les systèmes de son parc informatique (Microsoft Windows, Linux, BSD, POSIX…).

Les mots de passe générés contiennent quatre types de caractères (majuscules, minuscules, chiffres et caractères spéciaux) et ne sont pas sauvegardés dans une base de données (Les seules informations à enregistrer dans votre gestionnaire ou base de mots de passe sont les clefs secrètes de génération des mots de passe).

Licence : GPLv3
Version courante : 1.5
Systèmes testés : Debian 6, Ubuntu 11.04, CentOS 5, RHEL 5, Fedora 15, OpenSuze 11.4, Mandriva Linux 2010.2, Microsoft Windows XP and Microsoft Windows 7 (x86 and x64)