Journal GnuPG lance une nouvelle campagne de financement

Posté par (page perso) . Licence CC by-sa
Tags :
35
8
juin
2017

Après s’être sorti d’une mauvaise passe il y a quelques années grâce à une campagne de financement réussie et aux contributions de quelques grosses entreprises, GnuPG cherche aujourd’hui à pérenniser ses ressources et lance à cette fin une nouvelle campagne de financement où l’accent est mis sur la récurrence des dons et l’importance des donateurs individuels.

PGP, OpenPGP, GnuPG : petit rappel des faits

Au début des années 1990, Phil Zimmerman écrivit PGP (Pretty Good Privacy), un logiciel (...)

Journal De la distribution des clefs OpenPGP

Posté par (page perso) . Licence CC by-sa
55
11
mai
2017

Introduction

Un problème fréquemment rencontré avec OpenPGP est celui de la distribution des clefs publiques : comment Alice peut-elle transmettre sa clef publique à Bob, étape préalable indispensable à toute communication sécurisée ?

Depuis les premières versions de PGP, plusieurs méthodes ont été élaborées pour tenter de résoudre ce problème. Cet article les passe en revue.

Les serveurs de clefs

La première méthode, la plus connue et celle historiquement associée au monde OpenPGP, consiste à enregistrer la clef auprès d’un serveur (...)

Journal Et paf, le SHA-1 !

Posté par (page perso) . Licence CC by-sa
Tags : aucun
67
23
fév.
2017

Un journal bookmark pour annoncer la première collision SHA-1.

Concrètement, des chercheurs du Centrum Wiskunde & Informatica (institut néerlandais de recherche en mathématiques et informatique) et de Google sont parvenus à fabriquer deux fichiers PDF dont le contenu diffère mais dont le condensat SHA-1 est identique.

Si les auteurs expliquent brièvement en quoi Git (qui repose sur SHA-1 pour l’identification des blobs et des commits contenus dans un dépôt) est impacté, ils ne s’attardent pas en revanche sur OpenPGP, ce que je (...)

Journal De la confiance dans le monde OpenPGP

Posté par (page perso) . Licence CC by-sa
Tags :
61
27
nov.
2016

Introduction

La confiance est l’un des concepts à la fois les plus importants et les plus mal compris d’OpenPGP. Derrière ce terme peuvent se cacher en réalité deux notions bien distinctes, illustrées par les propositions suivantes :

  • Alice est confiante que la clef 0xB4902A74 appartient à Bob ;
  • Alice fait confiance à Bob quand celui-ci lui dit que la clef 0x4B493BB7 appartient à Charlie.

La première proposition fait référence à la validité de la clef 0xB4902A74, tandis que la seconde fait (...)

Journal Gestion des erreurs d’allocation mémoire en C

Posté par (page perso) . Licence CC by-sa
Tags : aucun
54
26
oct.
2016

Chaque fois que je commence un nouveau projet en C, je me pose toujours la même question : que faire en cas d’échec d’allocation de mémoire ?

C’est une question qu’on ne se pose pas dans la plupart des autres langages plus récents, où l’allocation de mémoire est généralement une opération cachée loin de la vue du programmeur. Mais en C, la question se pose chaque fois que l’on doit appeler malloc() ou toute autre fonction allouant de la mémoire : que faire (...)

Journal Gfsecret, le secret réparti en pratique

Posté par (page perso) . Licence CC by-sa
49
4
sept.
2016

Jour’Nal,

Dans un précédent journal sur la gestion des clefs OpenPGP, je mentionnais en passant la possibilité « d’utiliser une méthode de secret réparti pour partager la clef privée en m fragments, dont n sont nécessaires pour reconstituer la clef complète ».

J’aimerais revenir sur cette méthode pour présenter les outils que j’ai développé pour la mettre en œuvre.

Un peu de théorie : le partage de secret d’Adi Shamir

Il existe plusieurs méthodes de partage de secret, celle qui nous intéresse (...)

Reparlons de Let’s Encrypt

Posté par (page perso) . Édité par Davy Defaud, Yvan Munoz, ZeroHeure, Benoît Sibaud, Xavier Teyssier et Nÿco. Modéré par ZeroHeure. Licence CC by-sa
81
24
fév.
2016
Sécurité

Let’s Encrypt est une autorité de certification fournissant gratuitement des certificats de type X.509 pour TLS. Dans le dernier journal où il était question de Let’s Encrypt, des commentateurs ont demandé des retours d’expérience :

On est sur LinuxFr.org, moi je t’aurais surtout demandé « Comment ? ». J’ai l’intention de m’y mettre aussi, mais je n’ai pas encore franchi le pas et j’aimerais avoir des retours d’expérience.

En effet, y a largement matière à s’étendre sur l’utilisation de Let’s Encrypt. Cette dépêche est donc un ensemble pas forcément cohérent de réflexions sur des points divers et variés (sans aucune prétention à l’exhaustivité), agrémentées d’un peu de « retours d’expérience » et de conseils (qui valent ce qu’ils valent).

Convention : « Let’s Encrypt » (en deux mots) désignera l’autorité de certification délivrant des certificats par l’intermédiaire du protocole ACME Automatic Certificate Management Environment »), tandis que « Letsencrypt » (en un seul mot) désignera le client ACME officiel.

Journal Reparlons de Let’s Encrypt

Posté par (page perso) . Licence CC by-sa
61
23
fév.
2016
Ce journal a été promu en dépêche : Reparlons de Let’s Encrypt.

Dans le dernier journal où il était question de Let’s Encrypt, des commentateurs ont demandé des retours d’expérience :

On est sur Linuxfr, moi je t'aurais surtout demandé "Comment ?". J'ai l'intention de m'y mettre aussi mais j'ai pas encore franchi le pas et j'aimerais avoir des retours d'expérience.

L’auteur du journal a répondu que Let’s Encrypt était « suffisamment simple d’utilisation pour qu’il ne soit pas nécessaire [de s’]étendre sur le sujet. »

Je disconviens respectueusement. Questions à se poser, pièges (...)

Quelques brèves sur OpenPGP

Posté par (page perso) . Édité par ZeroHeure, Nils Ratusznik, Nÿco, Benoît Sibaud, tuiu pol, palm123 et rakoo. Modéré par palm123. Licence CC by-sa
37
5
juin
2015
Sécurité

NdM : gouttegd livre régulièrement des journaux traitant d'OpenPGP. Il vient de réaliser une petit tour d'horizon de quelques brèves à ce propos.

Au sommaire :

  • La reprise d'activité sur OpenPGP ;
  • Une nouvelle version de la carte OpenPGP ;
  • Facebook se met à OpenPGP.

Bonne lecture !

Journal Quelques brèves sur OpenPGP

Posté par (page perso) . Licence CC by-sa
Tags : aucun
43
4
juin
2015
Ce journal a été promu en dépêche : Quelques brèves sur OpenPGP.

Un petit journal bookmark pour annoncer quelques nouvelles intéressantes dans le monde OpenPGP.

La reformation du groupe de travail OpenPGP

Le groupe de travail OpenPGP à l’IETF s’était dissous en 2008 peu après la publication du RFC 4880, la version actuelle du standard OpenPGP. Depuis, il n’y avait pas eu grand’chose de nouveau dans OpenPGP, le plus gros changement étant l’introduction des algorithmes Camellia (RFC 5581) et ECDSA/ECDH (RFC 6637).

Maintenant, suite à un regain (...)

Journal De la gestion des clefs OpenPGP

Posté par (page perso) . Licence CC by-sa
Tags :
81
17
mai
2015

Dans un commentaire de la dépêche sur la carte OpenPGP, Spack demandait :

OK mais je la mets où ma clef ? Sous l’oreiller ? Quels sont les bons conseils pour mettre sa clef privée au chaud et de façon pérenne ?

Ce à quoi je répondais, en bottant honteusement en touche, que ça n’avait rien à voir avec la carte OpenPGP. Mais la question n’en est pas moins intéressante et mérite que l’on tente d’y répondre.

Je me propose donc, dans ce (...)

Journal ulimits: appliquer des limitations de ressources sans PAM

Posté par (page perso) . Licence CC by-sa
28
4
mai
2015

Je présente ici un petit outil sans prétention de mon cru, ulimits, qui permet d’appliquer des limitations de ressources aux utilisateurs de systèmes dépourvus de PAM.

Les limitations de ressources

Les « limitations de ressources » (resource limits) sont un mécanisme permettant d’empêcher un utilisateur de faire un usage abusif des ressources d’une machine. Il est ainsi possible d’empêcher un utilisateur de créer trop de processus, de créer des fichiers trop gros, de poser trop de verrous, de consommer (...)

“OpenPGP card”, une application cryptographique pour carte à puce

76
18
déc.
2014
Sécurité

À la demande générale de deux personnes, dans cette dépêche je me propose de vous présenter l’application cryptographique « OpenPGP » pour cartes à puce au format ISO 7816. Une carte à puce dotée d’une telle application vous permet d’y stocker et de protéger vos clefs OpenPGP privées.

scdrand: alimenter le pool d’entropie du noyau à partir d’une carte à puce

Posté par (page perso) . Édité par ZeroHeure, Yvan Munoz et Benoît Sibaud. Modéré par Nils Ratusznik. Licence CC by-sa
42
14
août
2014
Sécurité

Possesseur d’une carte OpenPGP, je cherchais un moyen d’exploiter le générateur de nombres aléatoires dont elle est équipée.

Une rapide recherche m’a immédiatement emmené vers TokenTools, qui semble faire exactement ce que je veux. Malheureusement, ce programme ne peut pas cohabiter harmonieusement avec Scdaemon, le démon de GnuPG chargé d’interagir avec les cartes à puce : TokenTools ne peut pas accéder à la carte tant que scdaemon tourne — or j’ai besoin de scdaemon pour l’utilisation routinière de ma carte OpenPGP (signer, déchiffrer, m’authentifier).

La deuxième partie décrit le programme que l'auteur a écrit pour remplacer Token Tools.

Journal scdrand: alimenter le pool d’entropie du noyau à partir d’une carte à puce

Posté par (page perso) . Licence CC by-sa
Tags : aucun
25
13
août
2014

Possesseur d’une carte OpenPGP, je cherchais un moyen d’exploiter le générateur de nombres aléatoires dont elle est équipée.

Une rapide recherche m’a immédiatement emmené vers TokenTools, qui semble faire exactement ce que je voulais. Malheureusement, ce programme ne peut pas cohabiter harmonieusement avec scdaemon, le démon de GnuPG chargé d’interagir avec les cartes à puce : TokenTools ne peut pas accéder à la carte tant que scdaemon tourne — or j’ai besoin de scdaemon pour l’utilisation routinière de ma (...)