vjm a écrit 397 commentaires

voir l'excellent bouquin de Fareed Zakaria "The Future of Freedom : Illiberal Democracy at Home and Abroad" récemment traduit en français.

ah oui j'oubliais :
l'idée n'est pas neuve, route l'avait déjà proposé dans une suite de proof of concept contre des faiblesses de TCP, et ce dans phrack 49 (soit 1996). Et comme c'est laissé entendre dans plusieurs commentaires, c'est basé sur le comportement de TCP face à une window size annoncée à zéro (entraînant 3 window probes avec des timers de malade).

Autre chose, ça a l'avantage d'emmerder cordialement un worm qui n'aurait pas de timeout interne puisqu'il sera _obliger_ d'attendre que TCP lui rende la main au bout de 3 window probes...

wéé, bientôt 10 eurocents...

étant donné que l'implémenteur du tarpit sur netfilter a fait preuve d'un manque d'originalité stupéfiant (c'est _exactement_ la même technique que LaBrea), alors oui y'a un patch nmap qui doit déjà être en cours (65000 ports qui font du window advertisement à 0, en contradiction complète avec des mesures de connectivité d'hôte ou à l'exception de 3 ports qui fonctionnent impec', etc. c'est suspect).

Par contre, vu que c'est basé sur des principes TCP ultra génériques, faut vraiment générer ses paquets n'importe comment pour créer des subtilités d'implémentations décelables.

Mais bon, c'est une des variantes de mise en place d'un honeypot. Un honeyd couplé à un firewall pourrait faire la même chose, de même qu'un sinkhole qui annonce des bogons, etc. Ca reste intéressant si c'est un gros réseau qui le déploie largement et consciensieusement.

ça va faire 4 eurocents.

PS : c'est quoi ce flood de posts en 15 min ?

Aloooooooooooors.
Pour la petite histoire, LaBrea, qui est à l'origine du concept et du nom tarpit, était aussi l'un des tous premiers outils à être considéré comme un honeypot. Or les honeypots c'est l'outil à la mode dans la sécurité (ça va par phase, les firewalls, les IDS, maintenant les honeypots...).

Sinon, si tu regardes avec attention les conférences données ces derniers temps lors des meetings NANOG, on se rend compte que les tarpits sont utilisés à grande échelle chez des ISP de même que les blackholes comme moyens de défense, et les sinkholes comme outils d'analyse. En ajoutant un tarpit, je peux, en plus d'empêcher ou d'analyser la propagation d'un worm/scan/attaque, la ralentir. Dans le cas d'un scan ça permet également d'affoler des outils comme nmap donc de limiter le mapping. Il y a même une société (dont j'ai oublié le nom désolé) qui vend une blackbox qui fait du firewall et du so-called "system cloacking" en détectant les scans et en y répondant par un "tous les ports ouverts sur toutes les machines".

D'autre part, un tarpit, comme tout système lié aux honeypots, peut se révéler un outil de détection redoutable si il est utilisé avec des adresses non-allouées ou type RFC 1918. Là, tu reçois que du trafic nécessairement illégitime, ce qui permet de mettre en place les réponses appropriées (valable aussi pour les sinkholes).

Dernier point, 500k connexions simultanées c'est pas si inhabituel que cela sur de très gros réseaux. Et dire que ça devrait être géré par du hardware ça n'a aucun sens, y'a tjrs un peu de software derrière, pour du routage, du filtrage ou du service.
Et quand il y a plus de RAM si tu gicles pas des connexions tu crashes, point barre. Il y a juste les syncookies qui sur Linux et BSD servent de système de secours, mais ce n'est valable que pour les end hosts.

my 2 eurocents.

Faut ajouter qu'avec la récente loi européenne sur le financement des partis politiques européens (oui c'était jusqu'ici le même bordel qu'en France avt 1988) on va peut-être voir la création de partis transnationaux (par exemple, des gens du même partis siègeant à l'assemblée nationale, au bundestag, au cortes, et au parlement européen...). Ce serait intéressant car les listes de membres du PPE donnent des informations précieuses sur les liens entre certains partis ou députés de différents états européens.

http://europe.tiscali.fr/politique/union_europeenne/200306/24/fin_p(...)

--ebk

ahem
dans la famille open source et pour faire du patching à chaud de process image, y'a l'API Dyninst développée dans le cadre du projet Paradyn qui est pas mal (et multiplateforme).
D'une manière générale, le process hijacking et le checkpointing sont sujet que le monde libre a pas mal balisé. Aussi bien à titre institutionnel (cherchez esky ou libpkct et regardez les dates) que bidouilleur (suffit de voir la somme colossale d'articles qui proposent de patcher un processus via ptrace ou autre).
Sous Windows j'ai déjà vu des articles sur le process hijacking par des DLL

http://www.cs.wisc.edu/~paradyn/papers/(...) (section Paradyn and Dyninst)
http://www.cs.wisc.edu/~paradyn/release3.3/(...) (Dyninst only)
http://www.phrack.org/show.php?p=59&a=8(...)
http://www.phrack.org/show.php?p=59&a=12(...)

En tout cas c'est exactement le même paradigme chez MS et à l'Université du Wisconsin.

qu'est ce que je raconte, pas ds les tarballs, puisqu'on calcule qu'après les tarballs fait...
/me fatigué

et en passant, à l'avenir les tarballs seront signés. ça c'est efficace :)

de plus l'intérêt des md5sum sur le site c'est quoi ? de savoir si on telecharge pas qqch de verolé ? Si qqun est rentré sur le serveur pour veroler les tarballs, il peut aussi modifier les pages pour afficher le checksum correspondant. Par contre, non seulement c'est passé ds les ML, mais c'est aussi ds les tarballs...

don't feed the troll :)

http://listes.tuxfamily.org/?A=READ&L=prelude-user_prelude-ids.(...)

The Kompany (pour ceux qui aiment payer, comme les gens habitué à Access par exemple :) dispose d'un logiciel qui a l'air fort sympathique et qui remplit les mêmes fonctions que Access avec des bases SQL.

http://thekompany.com/products/rekall/(...)

moa ce qui me semblait beaucoup plus intéressant, c'est l'annonce d'un partenariat entre Sun et Apple pour un portage natif de StarOffice basé sur le port en cours de OpenOffice.org.

http://zdnet.com.com/2102-1104-946788.html(...)

"The partnership is expected to produce a Java-based version of OpenOffice by the end of the year, followed by a commercial StarOffice release sometime in 2003."

Dans le même article il est dit que AppleWorks n'est pas distribué sur les versions pro...

ah oui tiens, plus récemment y'a la Fédération Internet & Liberté qui est prometteuse. Je verrai bien enfin des manifestations et du lobbying electoral en faveur des libertés publiques, parce ça devient flippant ce qu'on laisse passer.
Et encore on est pas aux US avec Operation TIPS (j'espère que la droite française ne s'inspirera pas de la droite américaine...)

<mode=pessimiste et excedé>ahem le CC tu peux te le mettre au cul.</mode>

Pour la LSQ tout le monde même (et surtout) les juristes pensant que l'un des préposés allait saisir le conseil constitutionnel puisque les amendements sécuritaires étaient passés en urgence suite aux attentats du 11 septembre, de manière illégale, après examen par la commission mixte paritaire (et donc prêt à être acceptée par l'ensemble du parlement).
On a invoqué le terrorisme et tout ça, la LDH et IRIS ont gueulé etc. Résultat : un magistral bras d'honneur de la part du président et des autres, et ceux en public.
Second acte, le cavalier budgétaire dans la loir rectificative des finances qui autorisait douanes, COB et Tresor Public à se servir sans contrôle judiciaire dans les données de connexion. Là, le conseil constitutionnel a été saisi. Résultat : des modifications mais pas aux cavaliers budgétaires (ou alors juste pour le trésor public, bref, ça reste illogique, il faut un contrôle judiciaire).
Et là, ça va encore être pareil, on va invoquer l'insécurité et bla bla bla. La gauche montera ptet aux crénaux maintenant qu'ils n'ont plus la majorité et que ça redevient important pour eux de se la jouer libertaire... C'est juste trop tard, ils n'ont quasiment plus de pouvoir !

Encore heureux qu'ils nous restent IRIS qui fait un lobbying exceptionnel au niveau national et européen, même si les résultats ne sont pas encore là. Surtout que la plainte à la commission européenne aurait de fortes chances d'aboutir contre la LSQ qui est en opposition avec les positions de la commission quant à la rétention des données (mais aussi en parfaite ligne avec la traité sur la cybercriminalité...). Pour la LIPSO ça devrait être encore plus évident puisque ça dénature la loi sur la présomption d'innocence qui faisait déjà suite à un rappel à l'ordre de la commission européenne pour que la France se conforme à la convention européenne de sauvegarde des droits de l'homme. D'ailleurs sur ce point je ne m'y connais pas très bien en droit communautaire, mais le juge judiciaire devrait pouvoir exercer un contrôle de conventionnalité si la LIPSO passait...

bah non ça me vexe pas, je corrige juste une erreur :

"(*N*IDS)"

C'est pas juste ça, c'est un IDS total ./

Comme d'habitude, il fallait se renseigner avant. Prelude jusqu'au LSM'01 était effectivement un NIDS (très performant, mais juste un NIDS).
Cependant, depuis 1 an le développement s'est orienté vers un IDS complet et extrêmement modulaire.
Prelude possède donc un module nommé prelude-lml qui permet de faire très facilement de la remontée de log (pour PaX par exemple), ainsi qu'une extension à LibSafe permettant de logguer les alertes libsafe dans la db d'un Manager Prelude, en idmef.
Prelude est donc aussi un HIDS, et il ne devrait pas être difficile d'écrire un plugin à prelude-lml pour AIDE, ou directement lui faire envoyer les alertes à un Manager.

http://www.prelude-ids.org/index.php?langue=&page=19(...)

Prelude et son équipe se trouveront au LSM'02 (plusieurs membres de l'équipe sont de l'ENSEIRB, dont le co-organisateur du topic sécurité)

"Elle [la commission des lois] a ensuite été saisie d'un amendement présenté par le rapporteur, MM. Jean Codognès et Alain Vidalies prévoyant que l'utilisation d'un réseau de communication électronique pour stocker ou accéder à des informations stockées dans le terminal d'un usager - c'est-à-dire le recours à ce qu'il est convenu d'appeler « cookies » - n'est possible que si l'usager a été préalablement informé des finalités du traitement et des moyens de s'y opposer. M. Alain Vidalies a précisé que le dispositif proposé s'inspirait de la position adoptée par le Conseil européen le 6 décembre 2001 et était conforme aux recommandations de la CNIL en cette matière. Il a ajouté que le fait de ne pas informer préalablement un internaute de l'envoi de « cookies » dans son terminal serait passible d'une sanction pénale de cinq ans d'emprisonnement et de 300 000 euros d'amende. La Commission a adopté cet amendement [...]"

Si si, ça y est. C'est bien pour ça que j'ai donné en prime le compte rendu de l'examen des amendements par la commission des lois.

Il y a méprise puisque je ne parle pas des dérives propriétaires mais des objectifs des licences. Avec la BSD, absolument tout le monde peut utiliser, experimenter le code et donc potentiellement l'améliorer. Et ce même, si l'on désire ne pas republier les modifications qui sont personnelles. Et oui, je rappelle que les rumeurs d'inclusion propriétaire de code BSD ne vient que de la possibilité de redistribuer les modifications sous une autre licence, pas un changement de licence du code indépendant de son propriétaire. Bref, le caractère non viral et donc non obligatoire de la divulgation.
En cela, la citation de Saint Just s'applique parfaitement. Et la référence à la Terreur aussi. Je ne prends pas le côté péjoratif du mot terreur, je parle de la necessité politique de ce mouvement qui a fait des dégâts et n'est pas appelé à revenir : son efficacité et son intérêt politique n'étaient que contextuels.

Bref, la GPL est la licence du changement, la BSD (si elle n'est pas détruite par des initiatives arbitraires comme celle de RedHat avec ses brevets logiciels à l'utilisation conditionnée et donc loin d'être liberale) serait plus la licence d'un fonctionnement scientifique généralisé.

tiens et pendant que j'y suis, je tiens à signaler que bien que peu connu, FreeBSD possède depuis déjà quelques temps son propre projet de source auditing.

http://www.freebsd.org/auditors.html(...)

Raaaaaah faut arrêter de voir des forks partout !
FreeBSD et NetBSD était les BSD issuent de la fermeture du CSRG développant BSD. FreeBSD étant légèrement plus ancien puisque dérivé directement de 386BSD. Ensuite, OpenBSD est un fork de NetBSD orienté sécurité. MicroBSD est un fork (qui a dit vaporware ?) basé sur OpenBSD et lui ajoutant quelques fonctionnalités.

Qui, d'ailleurs ressemblent en partie au travail effectué par TrustedBSD (qui n'est pas un fork) dont le but est de faire passer à FreeBSD les Common Criteria for Information Technology Security Evaluation (reconnus en France, en Allemagne, aux USA, au Royaume-Uni, au Canada et au Pays-Bas) aussi connu sous le nom d'Orange Book. Et justement il demande entre autre des acl, des discretionnary access control (mac avec plusieurs politiques dont notamment un portage de SELinux appelé SEBSD, capabilities...). En passant, TrustedBSD n'est qu'une des nombreuses initiatives du projet CBOSS soutenu par NAI Labs et la DARPA. C'est notamment grâce à CBOSS qu'on a vu le remplacement du PRNG par Yarrow, l'arrivée des syncookies/syncache et bientôt l'arrivée d'UFS2 optimisé pour les Extended Attributes (utilisés pour les ACL et autres) ou l'extension de jail.

Bref, renseignez vous un peu.
http://opensource.nailabs.com/initiatives/cboss/(...)

(future news : CBOSS un fork (bomb) BSD !)

"Ce que l'homme perd par le contrat social, c'est sa liberté naturelle et un droit illimité à tout ce qu'il possède. Pour ne pas se tromper dans ces comparaisons, il faut bien distinguer la liberté naturelle qui n'a pour bornes que les forces de l'individu, de la liberté civile qui est limitée par la volonté générale, et la possession qui n'est que l'effet de la force ou le droit du premier occupant, de la propriété qui ne peut être fondée que sur un titre positif."
-- Jean-Jacques Rousseau, Du Contrat Social

Bref, à mes yeux, la BSD - qui prend ses origines dans la recherche scientifique (oui oui je sais RMS était du MIT, mais je parle de l'esprit général) - correspond plus à un univers où l'aboutissement technique, la consultation et l'amélioration par le plus grand nombre, bref le progrès essentiellement technique compte.

Pour la GPL, c'est beaucoup plus engagé politiquement. Ce serait plus "pas de liberté pour les ennemis de la liberté". Face à l'octroi de propriété à tout va et donc l'offensive face au liberté, il apparaît important de défendre positivement toutes les libertés du logiciel (et par extension des productions intellectuelles) aussi celle du développeur que de l'utilisateur.

Bref, la GPL serait plutôt la licence de la Terreur face aux multiples offensives contre la liberté (dur, mais nécessaire). Et la BSD serait plus la licence d'un esprit scientifique généralisé.

just my 0.02 euros :)

/me ne s'y connait pas du tout en droit communautaire mais je me demande si il serait possible de faire passer une sorte de test d'"internationalité" (sic) à une directive européenne ?
Parce que vu le nombre de mécontents (ne serait ce que sur linuxfr, plus les députés, plus les ONG, plus les 20000 citoyens européens...) il me semblerait intéressant de porter l'affaire devant la cours européenne des droits de l'homme ou carrément le comité des droits l'homme (m'enfin ce dernier a une jurisprudence assez pauvre) individuellement en tant que personnes physiques ou via un personne morale. C'est ce qu'à fait IRIS concernant la LSQ.
Il y a certainement des recours possibles, ne nous laissons pas fliquer en râlant !

-1 parce que j'ai pas de quoi engager un avocat:)

A mon avis on s'en tamponne que ton client au niveau informatique sâche via les entêtes HTTP que tu reçois un cookie. Le but est de prévenir l'utilisateur et de forcer cette notification du côté des sites et donc de ceux qui s'en servent pour collecter des données. Ca me semble bien plus logique que d'imposer aux éditeurs de logiciel d'empêcher les _autres_ de déployer des cookies de ce type...
Maintenant ça peut paraître dérisoire de mettre ça directement dans une loi mais au moins ça prévient des jurisprudences originales. C'est un exemple concrêt d'interprétation de cet article 5 (qui est d'ailleurs à mon avis le plus intéressant puisqu'il s'applique également à la collecte indirecte, donc aux sociétés récupérant des fichiers chez d'autres).

Je suis tombé il y a peu sur une analyse juridique détaillée du téléchargement de MP3, partiellement extensible à d'autres domaines juridique ET technologique.

http://www.lettresdudroit.com/article.list/analyse-juridique-et-pra(...)

Elle donne surtout une définition juridique intéressante du téléchargement (malgré qq petites lacunes techniques) permettant son interprétation

<<
- d&#8217;une part, lors de la mise à disposition du fichier sur le site, qui s&#8217;analyse comme une reproduction, et éventuellement comme une représentation (I. 1) ;

- d&#8217;autre part, lors du téléchargement par l&#8217;internaute, qui constitue à notre sens une copie privée (I. 2).
>>

Sinon bien que le rapport soit extrêmement bien écrit et très complet, il y a un détail qui me choque (présent aussi dans les commentaires). Je ne pense pas que foncièrement la propriété intellectuelle soit en opposition avec la liberté d'expression, ce serait plutôt une partie de la liberté d'expression, celle de limiter le public du résultat de son expression. Enfin, je suppose que ça doit être dû à une vision très GPLienne, qu'on pourrait résumer par "pas de liberté pour les ennemis de la liberté". Personnellement je préfère voltaire (et la BSDL ;)

alors quitte à passer pour pointilleux, la LSQ a été voté le 15 novembre 2001, cad pendant les vacances (of course). Et seuls les verts ont voté contre...

D'autre part, tlm a proposé des initiatives (no-log, utilisation intensive de GPG/PGP) mais je pense que nous ne devrions pas accepter la résistance illégale mais bien profiter du droit à la "résistance à l'oppression" des la DDHC. De plus les amendements les plus controversés de cette loi et aussi les plus sécuritaires sont passés après examination par la commission mixte paritaire la rendant non seulement abusives mais aussi totalement illégales. Le conseil constitutionnel a été gentillement prié de fermer sa gueule, allant même jusqu'à ignorer le cavalier budgétaire de la loi rectificative des finances 2001 qui permet au trésor public, aux douanes et à la Commission des Opérations de Bourses de se servir dans les données de connexion sans contrôle judiciaire.

Bref une initiative que j'apprécie c'est la plainte portée par IRIS contre la France auprès de la commission européenne pour violation de 2 directives sur la vie privée pour lesquelles la France a déjà été épinglé. La plainte a été jugé recevable en janvier 2002.

http://www.iris.sgdg.org/info-debat/comm-lsq-plainte0102.html(...)

Après il nous restera tjrs le cour de strasbourg pour la convention européenne de sauvegarde des droits de l'homme (mais c'est bien dommage que le juge judiciaire ne puisse pas saisir le conseil constitutionnel suite à un contrôle de conventionnalité...).

Dernier point en passant : après tout le G8 n'a aucun pouvoir reglementaire.

Non linkée par securite.org, la présentation de dug song sur fragroute
http://monkey.org/~dugsong/talks/csw02/(...)

d'autre part, le Libre Software Meeting qui se déroulera à Bordeaux du 9 au 13 juillet 2002 proposera un topic sécurité des plus alléchant avec notamment dug song, niels provos, harald welte, bradley spengler de grsecurity, des gens de Prelude, denis ducamp, frederic raynal ou encore renaud deraison.
http://lsm.abul.org/program/topic02/(...)