Journal En sécurité informatique, que valent les identificateurs CVE et les évaluations CVSS ?

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
33
6
sept.
2023

Un débat (assez récurrent) agite en ce moment le monde de la sécurité informatique à propos de deux choses, les CVE et les CVSS. Commençons par expliquer. Un CVE (« Common Vulnerabilities and Exposures ») est juste un identificateur (par exemple, CVE-2022-4269 désigne une faille de sécurité du noyau Linux permettant à un utilisateur de planter le système). Ce sont juste des identificateurs. Ils permettent de référencer une faille de manière non ambigue et facilitent donc la communication. (« As-tu (…)

Journal RISC-V désormais officiellement dans Debian

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
34
23
juil.
2023

L'architecture ouverte RISC-V rejoint désormais la liste des architectures officiellement gérées par Debian. Ne vous précipitez pas, toutefois, il faut maintenant importer tous les paquetages (dpkg est déjà arrivé), bâtir les images d'installation, etc, ça va prendre un peu de temps.

Journal Une nouvelle carte à processeur RISC-V : la Star64

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
92
30
avr.
2023

Vous le savez, le projet de processeur à jeu d'instructions libre RISC-V ne date pas d'aujourd'hui. Mais, pendant longtemps, il n'y avait pas de moyen facile d'expérimenter avec un tel processeur, en général présent dans de l'embarqué plus ou moins clos ou dans des systèmes peu pratiques pour la programmation, genre tablettes. Les développeur·ses devaient donc se contenter de QEMU ou autre émulateur. Les choses changent et on voit maintenant apparaitre des cartes portant un processeur RISC-V, à un prix (…)

Journal Docker supprime l'accès gratuit aux groupes et organisations

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
42
15
mar.
2023

Le contexte

Docker, comme tout le monde ici le sait peut-être, est une technologie de contrôle de containers, permettant de créer, de lancer et d'arrêter des containers, mais aussi de créer des images (un système complet que le container exécutera). Ces images peuvent être distribuées par divers moyens mais un des plus connus est le Docker Hub, géré par une société privée. Il faut donc bien distinguer Docker le logiciel libre, Docker Hub le dépôt d'images et (…)

Le protocole QUIC désormais normalisé

130
29
mai
2021
Internet

Le protocole de transport QUIC (couche 4 du modèle OSI) vient d’être normalisé, sous la forme de plusieurs RFC. QUIC, déjà largement déployé, peut changer pas mal de choses sur le fonctionnement de l’Internet, en remplaçant, au moins partiellement, TCP. C’est quoi, QUIC, et à quoi ça sert ? Logo du groupe de travail QUIC

Appel de plusieurs organisations à imposer un minimum d’interopérabilité pour les GAFA

58
23
mai
2019
Internet

Lorsque l’on essaie de convaincre des personnes de quitter les vilains réseaux sociaux centralisés des GAFAM comme Facebook ou YouTube, censeurs et piqueurs de données personnelles, l’objection la plus courante qui est faite est : « Mais, tous mes amis sont sur Facebook, YouTube, Google+ [non, je rigole] et Instagram. Donc, si je pars, je me retrouve seul. » L’idéal serait que tout le monde parte en même temps des GAFAM pour aller vers des réseaux sociaux libres et décentralisés, mais cela semble peu réaliste.

Une solution serait alors de contraindre par la loi les acteurs (tous états‐uniens). Mais serait‐ce efficace ?

Journal Le domaine linux.org détourné

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
50
9
déc.
2018

Vendredi 7 décembre, vers 0430 UTC, les serveurs de noms faisant autorité pour linux.org (à ne pas confondre avec linuxfr.org) ont été modifiés. Les nouveaux serveurs indiquaient comme adresse IP pour linux.org un serveur Web pirate (208.91.197.27, le serveur Web habituel étant chez Cloudflare, en 104.27.166.219 et 104.27.167.219). Apparemment (je n'ai pas pu le voir), le contenu comprenait diverses insultes contre Linux ("G3T 0WNED L1NUX N3RDZ") et Linus Torvalds, certaines reliées aux nouvelles conditions de participation à Linux.

Le service (…)

Quad9, résolveur DNS public, et sécurisé par TLS

41
17
nov.
2017
Internet

Le résolveur DNS Quad9 (prononcer « quoi de neuf » en français) a été annoncé aujourd’hui. C’est un résolveur DNS public, mais dont l’originalité est d’être accessible de manière sécurisée, avec TLS (DNS sur TLS est décrit dans le RFC 7858).

Alors, le lectorat de LinuxFr.org, étant très au fait du sujet, va dire « mais des résolveurs DNS publics, il y en a plein ! Pourquoi un de plus ? ». Le plus connu est Google Public DNS, mais il en existe beaucoup d’autres, avec des politiques et des caractéristiques techniques diverses. Notamment, tous (à l’exception de Cisco OpenDNS) sont non sécurisés : le lien entre vous et le résolveur est en clair, tout le monde peut écouter, et il n’est pas authentifié, donc vous croyez parler à Google Public DNS mais, en fait, vous parlez au tricheur que votre FAI a annoncé dans ses réseaux locaux.

Journal Quad9, résolveur DNS public, et sécurisé par TLS

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
42
16
nov.
2017
Ce journal a été promu en dépêche : Quad9, résolveur DNS public, et sécurisé par TLS.

Le résolveur DNS Quad9 (prononcer « quoi de neuf » en français) a été annoncé aujourd'hui. C'est un résolveur DNS public, mais dont l'originalité est d'être accessible de manière sécurisée, avec TLS (DNS sur TLS est décrit dans le RFC 7858).

Alors, l·e·a lect·eur·rice de LinuxFr.org, étant super au courant, va dire « mais des résolveurs DNS publics, il y en a plein ! Pourquoi un de plus ? ». Le plus connu est Google Public DNS mais il en existe beaucoup d'autres, avec des (…)

Journal Les routeurs Turris Omnia sont livrés

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
Étiquettes :
50
20
oct.
2016

Les premiers routeurs Turris Omnia arrivent depuis deux semaines. Il s’agit d’un routeur OpenWrt pour la maison ou bien la petite entreprise, avec de l’Ethernet et du Wi‐Fi. Banal, vous allez me dire. Sauf qu’il y a plusieurs points importants :

  1. entièrement en logiciel libre ;
  2. matériel décrit publiquement, tout est documenté ;
  3. vous êtes root (et un grand pouvoir implique de grandes responsabilités, etc.) ;
  4. une communauté sympa (surtout si vous parlez tchèque :-)) ;
  5. les trucs qui, en 2016, devraient être standards (IPv6, résolveur DNS (…)

Journal Ray Tomlinson est décédé

20
6
mar.
2016

Il est surtout connu comme l'inventeur du courrier électronique tel que nous le connaissons, celui avec le @ entre la partie locale et le nom de domaine. Ray Tomlinson est mort hier à l'âge de 74 ans.

Journal Faille de sécurité dans la GNU libc avec les requêtes DNS

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
54
17
fév.
2016

Une faille très sérieuse (CVE-2015-7547) vient d'être découverte dans la GNU libc (qui équipe tous les serveurs et desktops utilisant Linux…). Lorsqu'on résoud un nom en adresse, avec getaddrinfo(), le tampon où arrive la réponse n'est pas toujours le bon, et une réponse de grande taille peut écraser la mémoire, et mener au crash du client, voire à l'exécution de code (aïe).

Une exploitation typique est : le méchant se connecte à un serveur SMTP GNU/Linux depuis une adresse IP (…)

Joyce Reynolds est morte :-(

Posté par  (site web personnel, Mastodon) . Édité par Benoît Sibaud. Modéré par claudex. Licence CC By‑SA.
46
31
déc.
2015
Internet

Joyce Reynolds vient de mourir, de maladie. Elle était l’auteure de nombreux RFC (demande de commentaires), dont ceux sur le protocole telnet. Elle était aussi co-éditrice des RFC à la grande époque (celle de Jon Postel). Comme elle signait « J. K Reynolds », des tas de gens qui cherchaient à contacter « l’auteur de telnet » étaient surpris en la voyant « mais non, je cherche un technicien ». Elle avait aussi travaillé sur plein d’autres trucs des débuts de l’Internet (comme le TLD .us) et de l’IETF.

Journal Joyce Reynolds est morte :-(

Posté par  (site web personnel, Mastodon) . Licence CC By‑SA.
55
30
déc.
2015
Ce journal a été promu en dépêche : Joyce Reynolds est morte :-(.

Joyce Reynolds vient de mourir, de maladie. Elle était l’auteur de nombreux RFC, dont ceux sur telnet. Elle était aussi co-éditeur des RFC à la grande époque (celle de Jon Postel). Comme elle signait « J. K Reynolds », des tas de gens qui cherchaient à contacter « l’auteur de telnet » étaient surpris en la voyant « mais non, je cherche un technicien ». Elle avait aussi travaillé sur plein d’autres trucs des débuts de l’Internet (comme le TLD .us) et de l’IETF.

Une fameuse (…)