Jeudi dernier s'est déroulée à Soissons la deuxième édition des Trophées du Libre. Six projets libres ont été récompensés, dans chacune des catégories : Sécurité, Structures Publiques et Collectivités, Éducatif, Gestion d’entreprise, Multimédia, Prix Spécial PHP. Un nombre important de projets (plus de 150) avaient fait acte de candidature, ce qui témoigne de l'importance de l'événement.

Pour mémoire, les Trophées du Libre sont un concours international de Logiciel Libre, avec plusieurs prix sur différents thèmes.

Le jury était présidé cette année par David Axmark (co-fondateur de MySQL), et les prix ont été remis aux gagnants en présence de Renaud Dutreil, Ministre de la Fonction Publique et de la Réforme de l’État.

Lors de la distribution des prix, le jury a insisté sur le caractère innovant et mature des projets gagnants.

Un bug vient d'être trouvé sur le générateur de nombre pseudo-aléatoires d'openSSL, pas si aléatoire que ça...
Pas de risques pour l'instant, ce bug semble peu exploitable. Mais soyez méfiants, surveillez les correctifs.
A noter que seul EngardeLinux a sorti un patch pour l'instant.

La cérémonie allemande des Big Brother Awards s'est tenue à Bielefeld le 26 octobre. Le grand vainqueur de cette cérémonie est sans contexte le ministre allemand de l'intérieur (Otto Schily). Le ministre socialiste (SPD) de l'Intérieur de la République fédérale a reçu une double distinction, celle de la catégorie «Politique» et le prix d'honneur de la soirée. «Parce que sous couvert de la lutte contre le terrorisme, il contribue à restreindre les droits des citoyens et la protection des données personnelles», s'est justifié le comité organisateur.
Mais n'oublions pas les autres lauréats, entre autres : Real Network, puisqu'il faut obligatoirement s'enregistrer pour utiliser leur logiciel Real Player ainsi que ProtectCom qui surveille ses employés.

Une news fait beaucoup de bruit dans le monde de la cryptographie depuis quelques jours. En effet, le mathématicien DJ Berstein a publié un article de recherche donnant une technique théorique sur la factorisation de nombres entiers en facteurs premiers, permettant de "casser" le RSA 4x plus vite qu'actuellement.

Dans son article, il propose aussi une application pratique permettant de construire un "RSA breaker" 4x plus performant à coût égal. En conséquence, les clés PGP/RSA de taille plus petite que 2048 bits seraient cassables "facilement".

Et certains en profitent pour ajouter que "nos amis" de la NSA ont déjà ça dans leur carton (gravés dans le silicium) depuis un moment :-(

Lors d'utilisation de fontes anormalement grandes, il est possible de geler un PC utilisant X-window...

L'expérience peut etre tentée avec Gimp, mais le plus dangereux reste encore le deni de service à distance grace à Mozilla, lorsque les fontes se voient assignées une valeur trop grande dans les CSS (Cascading Style Sheets).

Le travail est en cours pour résoudre le problème mais il n'y a pas encore de solution pour éviter le bogue...

Ikarios, et d'autres petites ou moyennes structures de vente par correspondance sur l'Internet, ont recours à des sociétés prestataires qui sécurisent les paiements en ligne. Qu'arrive t-il lorsque ces prestataires sont eux-mêmes des pirates ?

Une vulnérabilité de type buffer overflow a été identifiée dans Apache. Le problème se situe dans les modules « mod_alias » et « mod_rewrite », l'exploitation nécessite un fichier .htaccess spécifique. Dans Apache 2 le socket AF_UNIX utilisé par « mod_cgid » afin de communiquer avec le daemon cgid ou des scripts CGI n'est pas correctement manipulé.

mod_security (Apache 2) est touché quant à lui par une vulnérabilité locale. Cette faille est causée par une erreur dans la manipulation des données générées par le serveur, ce qui pourrait être exploité via des fichiers PHP/CGI spécifiques afin d'exécuter des commandes avec les privilèges du serveur httpd.

PhpSecure sera présent aux RMLL cette année, dans le cadre du thème CMS (Content Management Systems, Système de Gestion de Contenu), pour une conférence d'une heure sur la sécurité des applications de gestion de Contenu en PHP, ce Vendredi 9 Juillet à 17h20 (à Bordeaux).

Au programme : un tour d'horizon des CMS en vogue, du point de vue de la sécurité, des exemples de failles de sécurité classiques et des pistes pour sécuriser ses applications en PHP.

Le fournisseur d'accès vient de choisir l'authentification OpenID pour son portail Orange.fr, devenant ainsi le plus gros site implémentant cette solution d'authentification.

OpenID est l'initiative pour un système d'authentification décentralisé, permettant une identification unique.

Un service d'ores et déjà disponible, comme le souligne Neteco, pour les" 17 millions de clients "internet" et 23 millions de clients "mobile" d'Orange France".

Le réseau de Microsoft aurait été à nouveau piraté. Cette fois-ci, le pirate se serait contenté d'utiliser une faille de sécurité connue dans le serveur IIS de Microsoft. La firme de Redmond avait même développé un pacth pour fixer ce problème... patch qui n'a pas été appliqué à toutes ses machines !

Après le vote par l'Assemblée de la loi sur la signature électronique (donc donnant une valeur juridique à un courrier électronique signé ou à une transaction en ligne), le décret de loi spécifiant les modalités d'utilisation se fait toujours attendre. Un article du journal Le Monde revient sur le sujet.

Et on attend aussi toujours la levée des limitations sur la crypto (ou une limite supérieure à 128 bits) promise par le Gouvernement.

Mandrake a l'air de se placer sur le marché de la sécurité, avec une distribution pour serveur dédié. Le Single Network Firewall vise les utilisateurs sans compétences techniques sur Linux ni sur la sécurité.

Plus d'infos sur l'article de 01net

L'administration allemande va financer le développement d'outils cryptographiques forts pour Kmail et Mutt.
Selon openpgp.fr, d'autres fonds pour le Libre avaient été débloqués en 1999.

Deux nouvelles versions de mutt (une dans chaque série : 1.2 et 1.3) sont sorties avec la nouvelle année. Elle corrigent un important trou de sécu et méritent qu'on s'en occupe sur le champ.
Une nouvelle version est dispo pour Debian (potato) depuis le 2 janvier ...