Wiki [Tuto/HowTo] [Ubuntu/Debian] Chiffrer ses volumes Glusterfs

Licence CC By‑SA.
Étiquettes :
0
25
sept.
2017

/!\ suite à une erreur lors de la création de l'article, le titre n'est pas bon. Cet article traite du chiffrement des communications entre les machines. Pas du chiffrement sur les disques.

Chiffrer les communications de GlusterFS

Introduction

Par défaut les communications de glusterfs-server et de glusterfs-client ne sont pas chiffrées. Glusterfs peut néanmoins utiliser TLS (ex SLL) pour chiffrer les communications et casser ainsi toute tentative de MITM.
Ensemble, nous allons voir comment.

Note : Pour une raison (…)

Journal --== GUIDE DE L'ADMINISTRATEUR LINUX ==--

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
24
10
sept.
2017

Bonjour à toutes et à tous,

Je mets à disposition gratuitement un guide assez exhaustif de 80 pages, qui est le fruit de quelques années d'administration et d'ingénierie des systèmes Open-Source.

Mon objectif, en 1996, était de rédiger un pense-bête, avec l’une des premières distributions libres d’Unix (Slackware). Je l’ai ensuite étoffé via des systèmes similaires, dont RedHat, Mandrake (actuellement Mandriva). Par la suite, j’ai ajouté des commandes et syntaxes propres à Solaris ou Novell/Suse.

Il s'agit d'un document de (…)

Forum général.hors-sujets Quand Synology incite à envoyer un mot de passe administrateur en clair

Posté par  . Licence CC By‑SA.
Étiquettes :
6
6
sept.
2017

Salut,

Pour faire court : le support technique de Synology me demande de lui envoyer un mot de passe administrateur de mon NAS, en clair, par mail. Je leur demande une clé publique PGP, un compte Wire, que sais-je ? Un canal chiffré.

Niet, ils insistent : par mail, en clair. Ils n'ont pas d'autre moyen…

C'est courant ce genre de situation ou c'est Synology qui est à l'Ouest ?

Franck.

PS: pendant ce temps, depuis que j'ai ouvert le port Telnet (…)

Sortie de LDAP Tool Box Self Service Password 1.1

Posté par  (site web personnel, Mastodon) . Édité par Davy Defaud et claudex. Modéré par claudex. Licence CC By‑SA.
Étiquettes :
24
4
sept.
2017
Sécurité

Le logiciel Self Service Password est développé au sein du projet LDAP Tool Box. Il fournit une interface permettant aux utilisateurs de changer leur mot de passe dans un annuaire LDAP, y compris Active Directory ou Samba 4, ainsi que leur clé SSH.

Outre le changement de mot de passe simple, l’interface propose de réinitialiser son mot de passe en cas de perte, soit par l’envoi d’un courriel, soit par la réponse à des questions, soit par l’envoi d’un SMS.

Les contraintes de qualité du mot de passe sont paramétrables : taille minimale, maximale, présence de différentes classes de caractères, caractères interdits, contrôle de la valeur par rapport à l’ancien mot de passe ou à l’identifiant.

Le logiciel Self Service Password est écrit en PHP et est sous licence publique générale GNU. La version 1.1 est sortie le 1er septembre 2017.

Embedded Recipes, première édition à Paris

Posté par  (site web personnel) . Édité par Davy Defaud et claudex. Modéré par claudex. Licence CC By‑SA.
Étiquettes :
15
30
août
2017
Linux

Nous y réfléchissions depuis un moment. Après avoir lancé Kernel Recipes il y a six ans, nous sommes fiers de vous annoncer Embedded Recipes, une journée consacrée au Libre dans le domaine de l’embarqué, le 26 septembre 2017, à Paris.

Logo Embedded Recipes

Kernel Recipes 2017 : les inscriptions vont bientôt démarrer

Posté par  (site web personnel) . Édité par bubar🦥, claudex, Davy Defaud, Nÿco, Benoît Sibaud et palm123. Modéré par bubar🦥. Licence CC By‑SA.
Étiquettes :
25
29
août
2017
Noyau

C’est devenu presque une tradition. Avec la fin de l’été, hupstream est fier de vous présenter la septième édition de Kernel Recipes. Elle aura lieu à Paris du 27 au 29 septembre 2017.

Pour cette septième édition, nous avons tenté encore une fois de vous proposer une liste d’intervenants qui viendront du monde entier : Greg Kroah‐Hartman, Brendan Gregg, Benjamin Tissoires, Steven Rostedt, James Bottomley, Kees Cook, Andrea Arcangeli, Thomas Gleixner, Maxime Ripard, Johan Hovold, Sasha Levin, Werner Koch, Jens Axboe, Kevin Hilman, Hans Verkuil, Sjoerd Simons, Éric Leblond.

Logo Kernel Recipes

Forum Linux.général La sécurité sous Linux: partagez vos conseils, astuces et outils

Posté par  . Licence CC By‑SA.
Étiquettes :
6
11
août
2017

Bonjour,

Quand on arrive sous GNU-Linux (et autre *nix) on pense souvent qu'on est au top de la protection (à cause des "pas de virus" et "code open-source très relu"). Très rapidement on se rend compte que c'est un système comme un autre mais on a la chance d'avoir des outils géniaux. Je voulais donc écrire un article sur le sujet mais je pense que pour collecter quelques avis le forum est un bon début, je vous invite donc à (…)

Journal Au voleur.sh

Posté par  .
Étiquettes :
13
4
août
2017

Un package « nodejs » assez populaire balance les variables d'environnement des imprudents utilisateurs vers son serveur. Bien sur, ces variables contiennent souvent des mots de passes, des tokens API et autres informations spécifiques.

Plus de détail sur https://medium.com/@ceejbot/crossenv-malware-on-the-npm-registry-45c7dc29f6f5 le 3ème point va vous faire halluciner !

Il y a vraiment des gens qui utilisent ça sur des serveurs de production ? Je veux dire dans un mode de vrais professionnels.

L'une des parades seraient un firewall applicatif. Ca existe sous Linux ?

Journal Mise à jour du firmware d’un Lenovo Thinkpad moderne…

Posté par  . Licence CC By‑SA.
Étiquettes :
62
1
août
2017

Bonsoir nal,

Il y a quelques semaines, je fus victime d’un odieux larcin, mon PC portable pro a été dérobé (cher voleur, tu peux faire un git push de mes devs ferroviaires ?). Donc nouveau PC portable pro, installation de Debian, et toute la phase rigolote de sécurisation de la machine.
Je vous passe l’installation de Debian (LUKS, SELinux, nftables…), on va se concentrer ici sur les firmwares.

1er firmware : le microcode du processeur

Comme vous le savez peut‐être, les (…)

Suricata 4.0 : la détection d’intrusion en mode hipster

Posté par  (site web personnel) . Édité par Davy Defaud, Pierre Jarillon, palm123, ZeroHeure, claudex et Xavier Teyssier. Modéré par claudex. Licence CC By‑SA.
Étiquettes :
35
29
juil.
2017
Sécurité

Suricata, l’outil de détection des menaces réseau, passe en version 4.0 avec pléthore de nouveautés :

  • ajout de l’analyse du protocole NFS ;
  • améliorations de la gestion de TLS ;
  • gestion des changements de protocoles (STARTTLS, HTTP CONNECT) ;
  • enrichissement des événements générés ;
  • prise en charge d’analyseurs de protocoles en Rust.

Suricata est un moteur de détection d’intrusions réseau et de supervision réseau orienté sécurité. En clair, il analyse le trafic des réseaux pour détecter des menaces et journaliser les événements. Suricata est disponible sous licence GPL v2 et est développé par une fondation à but non lucratif, l’OISF.

Suricata est devéloppé en C avec depuis la version 4.0 des analyseurs de protocoles en Rust écrits avec utilisant le framework Nom.

Journal Les clients graphiques FTP par défaut sous Debian ne gèrent pas TLS/SSL

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
2
11
juil.
2017

Ce matin, j'ai été surpris de constater que lorsqu'on se connecte à un serveur FTP distant via gvfs (donc via Nautilus, PCManFM, …), le chiffrement TLS n'est pas pris en charge. Conséquence : les identifiants et les données sont transmis en clair sur le réseau. La commande suivante permet de le vérifier :

$ sudo tcpdump "port 21" -vvv

Plutôt attentif à la sécurité et étant sous Debian stable, je suis surpris de constater que TLS/SSL n'est pas activé par (…)

L’heure du test — fork 2 — Qubes OS

Posté par  . Édité par Nils Ratusznik, Davy Defaud, ZeroHeure, palm123, Nÿco, Benoît Sibaud et esdeem. Modéré par ZeroHeure. Licence CC By‑SA.
Étiquettes :
35
4
juil.
2017
Distribution

L’heure du test est un rendez‐vous pour les tests et guides d’installation de distributions, en exposant leurs avantages et inconvénients. Ce fork présente Qubes OS, un système d’exploitation libre qui prétend ne pas être une distribution !
Logo Qubes OS

Qubes OS est un système d’exploitation focalisé sur la sécurité. Il se situe à mi‐chemin entre une distribution classique et un hyperviseur. Il s’appuie sur l’hyperviseur Xen et propose un système sécurisé basé sur l’isolation.

OpenSSH : configuration des algorithmes de cryptographie

Posté par  (site web personnel) . Édité par Davy Defaud, Nils Ratusznik et Pierre Jarillon. Modéré par Xavier Teyssier. Licence CC By‑SA.
Étiquettes :
51
18
juin
2017
Administration système

Le logiciel OpenSSH permet d’avoir un shell sécurisé sur un serveur distant ou du transfert de fichiers de ou vers un serveur. Divers algorithmes de cryptographie sont utilisés pour le chiffrement, la génération ou l’échange de clefs. Et ces algorithmes peuvent s’affaiblir, être remplacés par de meilleurs algorithmes, connaître des portes dérobées, nécessiter des clefs plus grandes, etc. Ils sont implémentés (au sens ajouter ou enlever) par les développeurs d’OpenSSH (et de bibliothèques de cryptographie sous‐jacentes), ils sont empaquetés par une distribution (qui peut changer certains réglages à la production du paquet ou bien faire certains choix sur la configuration par défaut), et ils sont mis à jour par les équipes sécurité (d’OpenSSH et de la distribution).

Bannière openssh

Jetons un œil sur les paquets openssh-server de la distribution Debian (actuellement les versions sont 6.0p1-4+deb7u4 en Wheezy (l’ancienne ancienne version stable), 6.7p1-5+deb8u3 en Jessie (l’ancienne version stable) et 7.4p1-10 en Stretch (la version stable actuelle depuis le 17 juin 2017) : nous verrons quels sont les algorithmes pris en charge, quels sont ceux par défaut et quel niveau de sûreté leur accorder (suivant les tests des sites Rebex et CryptCheck, et les outils SSHScan et CryptCheck que nous allons utiliser).