Quad9, résolveur DNS public, et sécurisé par TLS

33
17
nov.
2017
Internet

Le résolveur DNS Quad9 (prononcer « quoi de neuf » en français) a été annoncé aujourd’hui. C’est un résolveur DNS public, mais dont l’originalité est d’être accessible de manière sécurisée, avec TLS (DNS sur TLS est décrit dans le RFC 7858).

Alors, le lectorat de LinuxFr.org, étant très au fait du sujet, va dire « mais des résolveurs DNS publics, il y en a plein ! Pourquoi un de plus ? ». Le plus connu est Google Public DNS, mais il en existe beaucoup d’autres, avec des politiques et des caractéristiques techniques diverses. Notamment, tous (à l’exception de Cisco OpenDNS) sont non sécurisés : le lien entre vous et le résolveur est en clair, tout le monde peut écouter, et il n’est pas authentifié, donc vous croyez parler à Google Public DNS mais, en fait, vous parlez au tricheur que votre FAI a annoncé dans ses réseaux locaux.

Journal Quad9, résolveur DNS public, et sécurisé par TLS

Posté par (page perso) . Licence CC by-sa
41
16
nov.
2017
Ce journal a été promu en dépêche : Quad9, résolveur DNS public, et sécurisé par TLS.

Le résolveur DNS Quad9 (prononcer « quoi de neuf » en français) a été annoncé aujourd'hui. C'est un résolveur DNS public, mais dont l'originalité est d'être accessible de manière sécurisée, avec TLS (DNS sur TLS est décrit dans le RFC 7858).

Alors, l·e·a lect·eur·rice de LinuxFr.org, étant super au courant, va dire « mais des résolveurs DNS publics, il y en a plein ! Pourquoi un de plus ? ». Le plus connu est Google Public DNS mais il en existe beaucoup d'autres, avec des (...)

Wiki [Tuto/HowTo] [Ubuntu/Debian] Chiffrer ses volumes Glusterfs

0
25
sept.
2017

Introduction

Par défaut les communications de glusterfs-server et de glusterfs-client ne sont pas chiffrées. Glusterfs peut néanmoins utiliser TLS (ex SLL) pour chiffrer les communications et casser ainsi toute tentative de MITM.
Ensemble, nous allons voir comment.

Note : Pour une raison inconnue (Ré-installation d'un des node? Bug après un reboot?), il peut arriver que les certificats TLS expirent. Vous vous retrouverez avec des "State: Peer in Cluster (Disconnected)" lorsque vous lancez la commande "gluster peer (...)

Journal À quand l'HTTPS par défaut sur LinuxFR ?

29
14
fév.
2017

Bonjour'nal

Jusqu'à présent pour mouler sur LinuxFR de manière sécurisée avec mon copain TLS on est obligé d'utiliser les services de l'EFF, on est maintenant en 2k17 et ça nous déçois un peu…
Administrateurs, si vous nous lisez ne voulez-vous pas déposer une petite redirection 301 de http://linuxfr.org vers https://linuxfr.org ?

Si non, voulez-vous bien éclairer ma lanterne fort cabossée ? Qu'est-ce qui serait limitant pour forcer HTTPS aujourd'hui ?

La bise.

Forum Linux.général Let's encrypt et plusieurs serveurs sur la même IP

Posté par . Licence CC by-sa
0
6
nov.
2016

Je cherche un moyen de certifier des certificat TLS avec cette m…. de Let's encrypt.
Trois serveurs se trouvent sur la même IP publique et un seul des trois (qu'on nommera server1) occupe les ports publique 80/443.

Donc la grande question : comment certifier les certificat de server2 et server3 alors que let's encrypt ne permet PAS de choisir d'autres ports que les deux principaux des 4 ports web (car oui, même 8080 et 8443 ne sont pas autorisé, oh (...)

Journal Le Directeur général de Comodo à propos de la marque déposée "Let's Encrypt"

Posté par (page perso) . Licence CC by-sa
25
24
juin
2016

Il semblerait que Comodo essaye de récupérer la marque "Let's Encrypt"
https://letsencrypt.org//2016/06/23/defending-our-brand.html

Sur le Forum de la boîte, le Directeur général se défend, et c'est assez fou:
"Why are they copying our business model of 90 day free ssl is the question!"

En gros, ils leur reprochent d'avoir choisi une durée de vie de 90 jours pour leurs certificats arguant que c'était une innovation de Comodo:
- "We invented the 90 day free ssl"
- "So they are admitting they (...)

Journal Petites news dans le monde des autorités de certifications

Posté par .
39
18
juin
2016

Problème de sécurité chez letsencrypt

En début de semaine, mauvaise nouvelle chez Letsencrypt… Ils ont laissé fuiter 7 618 adresses mails de leurs utilisateurs (pas plus, pas moins). Soit 2,0% de leurs clients (et non 1,9% comme le montre leur annonce !). C'est le premier incident de sécurité dont j'ai entendu parler pour Letsencrypt, mais leur site communautaire montre qu'il y en a eu d'autres.
https://community.letsencrypt.org/t/email-address-disclosures-june-11-2016/17025

Nouveau nom du client letsencrypt

Le client letsencrypt se nomme dorénavant, certbot. L'objectif est de laisse (...)

Forum Linux.debian/ubuntu OpenVpn error connectivité au serveur

Posté par . Licence CC by-sa
0
10
mar.
2016

Bonjour à tout un chacun !!!

S'il vous plait j'ai un soucis avec openvpn j'ai installé le serveur completement et j'ai crée les certificats pour la machine cliente et j'ai configuré le fichier client après tout cela si je lance le client avec cette commande
openvpn /etc/openvpn/client.conf j'ai cette erreur

Thu Mar 10 09:40:02 2016 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

Thu Mar 10 09:41:04 2016 TLS Error: TLS handshake failed
Thu (...)

Reparlons de Let’s Encrypt

Posté par (page perso) . Édité par Davy Defaud, tankey, ZeroHeure, Benoît Sibaud, Xavier Teyssier et Nÿco. Modéré par ZeroHeure. Licence CC by-sa
81
24
fév.
2016
Sécurité

Let’s Encrypt est une autorité de certification fournissant gratuitement des certificats de type X.509 pour TLS. Dans le dernier journal où il était question de Let’s Encrypt, des commentateurs ont demandé des retours d’expérience :

On est sur LinuxFr.org, moi je t’aurais surtout demandé « Comment ? ». J’ai l’intention de m’y mettre aussi, mais je n’ai pas encore franchi le pas et j’aimerais avoir des retours d’expérience.

En effet, y a largement matière à s’étendre sur l’utilisation de Let’s Encrypt. Cette dépêche est donc un ensemble pas forcément cohérent de réflexions sur des points divers et variés (sans aucune prétention à l’exhaustivité), agrémentées d’un peu de « retours d’expérience » et de conseils (qui valent ce qu’ils valent).

Convention : « Let’s Encrypt » (en deux mots) désignera l’autorité de certification délivrant des certificats par l’intermédiaire du protocole ACME Automatic Certificate Management Environment »), tandis que « Letsencrypt » (en un seul mot) désignera le client ACME officiel.

Journal Reparlons de Let’s Encrypt

Posté par (page perso) . Licence CC by-sa
61
23
fév.
2016
Ce journal a été promu en dépêche : Reparlons de Let’s Encrypt.

Dans le dernier journal où il était question de Let’s Encrypt, des commentateurs ont demandé des retours d’expérience :

On est sur Linuxfr, moi je t'aurais surtout demandé "Comment ?". J'ai l'intention de m'y mettre aussi mais j'ai pas encore franchi le pas et j'aimerais avoir des retours d'expérience.

L’auteur du journal a répondu que Let’s Encrypt était « suffisamment simple d’utilisation pour qu’il ne soit pas nécessaire [de s’]étendre sur le sujet. »

Je disconviens respectueusement. Questions à se poser, pièges (...)

Journal Gmail cherche à pousser les autres fournisseurs de courriel à envoyer/recevoir de manière chiffrée

Posté par . Licence CC by-sa
11
26
nov.
2015

Gmail vient de publier une étude menée avec les universités du Michigan et de l'Illinois.

Elle révèle que de plus en plus de fournisseurs de courriel envoient les courriels aux abonnés de Gmail via des connexions chiffrées.


Depuis Snowden, Google cherche à montrer son engagement dans la vie privée de ses utilisateurs (traduction il n'y a qu'eux et la NSA qui lisent vos courriels). Dans cette optique, ils vont signaler à leurs usagers si le mail reçu a été émis (...)

Journal Let’s Encrypt en bêta : petit retour d’expérience

Posté par . Licence CC by-sa
51
17
nov.
2015

Comment vas-tu yau de nal,

Je t’écris pour te donner des nouvelles de Let’s Encrypt, cette nouvelle autorité de certification sponsorisée, entre autres, par Mozilla, l’Electronic Frontier Foundation, Cisco, Akamai… qui fournit des certificats SSL gratuits. Il en a déjà été question sur DLFP, pour annoncer sa création et son premier certificat.

Le projet est actuellement au stade de bêta sur invitation. Il faut remplir un formulaire et attendre quelques jours que les (sous-)domaines demandés soient passés en (...)

Journal Chiffrement de SMTP, une obligation?

21
12
oct.
2015

Bonjour,

Notre cher gouvernement français souhaite passer entre les différents FAI français et le groupe La Poste une charte pour que les flux de courriels entre eux soit chiffrés.
http://www.nextinpact.com/news/96749-une-charte-avec-fai-francais-pour-chiffrement-emails.htm
Bref qu'ils ajoutent un S au SMTP. Les techniciens espéreront juste que cela n'utilise pas SSL mais plutôt TLS.

Avant d'entrer dans le sujet, un petit rappel rapide. Le courriel est une carte postale que tout intervenant dans le réseau peut lire: FAI, DSLAM, routeur, etc. Dans un courriel, il (...)

Journal Debug SSL/TLS avec OpenSSL - partie 1

Posté par (page perso) . Licence CC by-sa
Tags :
30
21
juil.
2015

Si tu es en pleine session de dé/bug SSL/TLS, cet article peut t'éviter quelques désagréments ;-)

SSL Labs, l'incontournable

On ne le présente plus, le site de Qualys permet de tester la configuration de son serveur facilement avec une interface web bien faite. Le test permet d'avoir un rapport concernant les points suivants :

  • Authentification : validité du certificat (nom du site, période de validité…),
  • présence et validité de la chaîne de certificat (chain)
  • Protocoles disponibles (SSLv2, SSLv3, TLS 1.0 (...)

Forum général.général [SSL/TLS] Devenir sa propre autorité de certification intermédiaire ?

Posté par (page perso) . Licence CC by-sa
1
9
juin
2015

Bonjour,

Est-ce qu'il est possible de devenir sa propre autorité de certification intermédiaire ?

Je m'explique. J'ai un certificat wildcard pour *.domaine.tld, et j'aimerais savoir si avec la clé de celui-ci il serait possible de signer des CSR pour pour les sous-domaine de domaine.tld et d'inclure le certificat du wildcard dans la chaîne de certificats.

L'objectif étant de pouvoir isoler la clé privé de mon wildcard sur une machine hors-ligne, et de pouvoir ainsi générer et révoquer des certificats au (...)