Après de multiples heures de discussion sur la liste de diffusion de Wayland et avec des amis ayant la même formation que moi en sécurité système, j'ai décidé de compiler en un article un maximum d'observations et de propositions sur comment gérer les problèmes de sécurité que posent certaines fonctionnalités classiques des serveurs graphiques. Le focus a bien évidement été mis particulièrement sur Wayland car il est actuellement en développement et que c'est le meilleur moment pour influencer l'élaboration des (…)
Journal L'Internet en feu (merci à Jules Verne)
Peut-être pour faire de la publicité au prochain numéro de MISC qui est consacré aux attaques par déni de service (DoS), l'Internet vit en ce moment au rythme des nombreuses attaques par réflexion+amplification utilisant le protocole NTP. Ces attaques ont atteint des nouveaux sommets (des victimes signalent du 350, voire du 400 Gb/s mais rappelez-vous qu'il n'y a pas d'enquêtes indépendantes sur les attaques DoS).
Le principe de l'attaque est connu depuis longtemps, il est le même que pour (…)
Journal Nouvelle boutique en ligne Linux
Journal Toi aussi, amuses toi avec le FireWire
Bonjour Nal,
Les problèmes liés au FireWire sont connus et identifiés depuis longtemps. Voir par exemple cet excellent papier datant de 2008, de Uwe Hermann, développeur Debian, à ce sujet. En gros, à partir du moment où tu as un accès physique à la machine, tu peux :
- lire et écrire arbitrairement dans la RAM ;
- Avoir accès à un disque chiffré sans en connaître la clef ;
- … et plein de trucs visiblement très rigolos
Alors, chez Nal, pourquoi je (…)
Journal L'art de stocker des mots de passe
Bonjour à tous,
Je vous propose un enième article sur un sujet bien connu : comment sécuriser des mots de passe dans une base de données. Et au passage, comment éviter de se taper la honte si votre BDD est leakée.
Après une longue réflexion, j'ai décidé de présenter ce journal sous forme de niveaux. Deux négatifs (-2 et -1) qui correspondent à des solutions (trop) souvent mises en place mais pas sécurisées du tout.
Puis, un niveau 0 qui (…)
Sortie de Modoboa 1.1.0
Une nouvelle version du logiciel libre (licence MIT) Modoboa est disponible. Modoboa est un outil visant à simplifier l’administration et l’utilisation d’une plate‐forme d’hébergement de courriel. Il est disponible dans neuf langues (anglais, français, allemand, espagnol, portugais, suédois, italien, russe et tchèque). Il est majoritairement écrit en Python/Django (avec un peu de JavaScript quand même pour la partie « dynamique »).
Il s'agit d'une version majeure pour plusieurs raisons. Tout d'abord, un certain nombre de fonctionnalités ont été ajoutées comme :
- Le support des domaines relais (un mode gateway en quelque sorte) ;
- Diverses améliorations au niveau de la quarantaine ;
- Le support d'une date de démarrage pour les réponses automatiques ;
- Activation/désactivation des réponses automatiques par les administrateurs ;
- Le renforcement des algorithmes utilisés pour chiffrer les mots de passe ;
- Le déploiement silencieux.
D'autre part, le code source a subit une restructuration importante et les tests de non-régression ont été complétés.
La chasse aux bogues continue et le russe fait désormais partie des langues disponibles pour afficher l'interface web. Faute d'équipe, la traduction portugaise est incomplète dans cette version, nous cherchons d'ailleurs des repreneurs ;)
Au chapitre des changements importants mais indépendants du code, Github est désormais utilisé pour la gestion du code source et des tickets, l'ancienne instance Redmine est donc obsolète.
Forum Linux.général Checksum de la partition /boot
Bonjour à tous,
J'ai actuellement Fedora et Archlinux installés en dual boot, les deux avec un chiffrement intégral ( tout sauf /boot ).
Or si un système est compromis, il pourrait alors modifier la partition /boot de l'autre système, en remplaçant par exemple le noyau ou l'initramfs par des équivalents vérolés (Evil Maid Attack), afin d'intercepter la passphrase du volume luks pour ensuite le déchiffrer et accéder aux données de l'autre système.
Quelle protection contre ça ?
On peut (…)
Prelude IDS 1.1.0
Prelude est un logiciel SIEM qui permet de superviser la sécurité des systèmes d'information. Prelude collecte, normalise, trie, agrège, corrèle et affiche tous les événements de sécurité indépendamment des types d'équipements ou système surveillés.
Au-delà de sa capacité de traitement de tout type de journaux d’événements (journaux système, syslog, fichiers plats, etc.), Prelude est nativement compatible avec de nombreuses sondes anti-intrusion open-source (snort, suricata, ossec, samhain, etc.) grâce à l'utilisation du format IDMEF (RFC 4765).
Revue de presse de l'April pour la semaine 51 de l'année 2013
La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.
Sommaire
- [Numerama] Contre la NSA, l'Europe déroule ses solutions
- [Libération.fr] Surveillance du Net: tout savoir d'une loi qui vous regarde
- [Boing Boing] UN adopts resolution in favor of digital privacy
- [Le Monde Informatique] Le gouvernement allemand s'implique dans l'Open Source et la sécurité
- [PC INpact] Le projet de loi américain contre les patent trolls ralentit au Sénat
- [Numerama] Le calendrier 2014 du libre partage, par Framasoft et Nina Paley
- [Blogs LeMonde.fr] Open-data: de nouvelles données gouvernementales mises à disposition gratuitement
Journal OSSEC et réponse active pour Asterisk
SPOILER: a la fin, je met un décodeur correct pour bloquer les brute force sur asterisk avec OSSEC
Comme beaucoup d'entre vous, j'héberge un serveur Asterisk et je reçois beaucoup de tentatives de brute-forces tous les jours.
Mon amis OSSEC est censé m'aider à gérer ces situations. Pour ceux qui ne connaissent pas, OSSEC est un host IDS assez bien foutu et Open Source (bon, ok, j'ai pas vérifié la licence).
Les lignes de lot ressemblent à ça:
Dec 17
(…)
PacketFence 4.1 : une solution BYOD/NAC dans la cour des grands
Inverse, société spécialisée en développement et déploiement de logiciels libres, annonce la sortie de la version 4.1 de PacketFence. PacketFence est une solution de conformité réseau (NAC, Network Access Control) entièrement libre (GPL v2), supportée et reconnue. Procurant une liste impressionnante de fonctionnalités telles un portail captif pour l'enregistrement ou la remédiation, une gestion centralisée des réseaux filaire et sans fil, le support pour le [802.1X], l'isolation niveau-2 des composantes problématiques, l'intégration au détecteur d'intrusions Snort et au détecteur de vulnérabilités Nessus — elle peut être utilisée pour sécuriser efficacement aussi bien des réseaux de petite taille que de très grands réseaux hétérogènes.
La version 4.1 de PacketFence apporte de nombreuses améliorations comme :
- la gestion des droits d'accès à l'interface web d'administration ;
- les profils de portail peuvent maintenant être définis par commutateurs ;
- l'importation massive d'appareils réseau à partir de l'interface web d'administration ;
- la propagation immédiate de l'ajout de commutateurs, évitant un redémarrage de RADIUS ;
- la gestion étendue des durées d'accès réseau et la gestion dynamique des colonnes dans l'interface web d'administration.
Plusieurs améliorations de performance ont été apportées, de même que certains correctifs. PacketFence atteint un nouveau niveau qui fait déjà pâlir ses concurrents commerciaux !
Forum Linux.général Deux systèmes d'exploitation isolés sur une même machine hôte
Bonjour à tous,
J'aimerai pouvoir utiliser sur un même ordinateur différents systèmes d'exploitation isolés en eux, dans le but que si un système est compromis, les autres restent sains. J'utilise actuellement Fedora avec un i5, qui supporte les instructions VT, et un disque de 1TB. Je penses à deux possibilités :
--> Un multiboot, partitionnement GPT, un GRUB qui renvoie vers les différents OS.
Avantage(s) :
- performances maximales (pas de virtualisation)
Inconvénients :
- les systèmes peuvent accéder aux (…)
Les journaux LinuxFr.org les mieux notés du mois de novembre 2013
LinuxFr.org propose des dépêches et articles, soumis par tout un chacun, puis revus et corrigés par l'équipe de modération avant publication. C'est la partie la plus visible de LinuxFr.org, ce sont les dépêches qui sont le plus lues et suivies, sur le site, via Atom/RSS, ou bien via partage par messagerie instantanée, par courriel, ou encore via médias sociaux.
Ce que l’on sait moins, c’est que LinuxFr.org vous propose également à tous de tenir vos propres articles directement publiables, sans validation a priori des modérateurs. Ceux-ci s'appellent des journaux. Voici un florilège d'une dizaine de ces journaux parmi les mieux notés par les utilisateurs… qui notent. Lumière sur ceux du mois de novembre passé.
- cv, un petit outil pour surveiller vos copies par Xfennec ;
- Développeur, ou comment sur-évaluer ses compétences par Snarky ;
- 3 ans de projets libre: bilan et apprentissages par gelnior ;
- sauter l'airgap avec des ultrasons par Krunch ;
- Kubunteros, réfléchissez! par saltimbanque ;
- Quelques outils pour Windows par dave_null ;
- Disséquer du binaire sous linux par mitsurugi ;
- Merci les barbus (les vrais !!) par netchaiev ;
- Graphismes du jeu Glitch libérés par GuieA_7 ;
- Polycode : Moteur 2D/3D open-source par Viish.
Journal Atelier W3C / IETF à Londres sur le renforcement de la sécurité de l'Internet contre l'espionnage
Vous considérez que l'espionnage massif auquel se livrent la NSA et d'autres organisations est une menace pour les droits de l'homme, ainsi que pour l'Internet libre et ouvert ? Vous avez des idées techniques géniales sur les meilleurs façons de renforcer la sécurité de l'Internet contre ces attaques sur la vie privée ? Alors, c'est le moment d'envoyer des propositions sérieuses pour le futur atelier STRINT "A W3C/IAB workshop on Strengthening the Internet Against Pervasive Monitoring"
Le site Web, avec l'appel à (…)
Du chiffrement et de la sécurité sur LinuxFr.org (statut au 24/11/2013)
En ces temps de PRISM/NSA et autres grandes oreilles, et aussi parce que c'est techniquement intéressant, nous essayons d'avoir sur LinuxFr.org des configurations pertinentes au niveau sécurité (pour nos serveurs et pour vos données genre adresses de courriel). Vous trouverez ci-dessous un petit statut de l'existant et les pistes d'améliorations, et nous sommes bien entendu ouverts à vos propositions sur le sujet.
Au sommaire, d'abord un descriptif de ce qui est commun à nos différents serveurs, puis les spécificités de chacun et quelques questionnements pour ouvrir le sujet.