Journal Gitea contre les bots

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes :
31
11
fév.
2021

’jour Nal,

En tant que développeur de logiciels libres à mes heures perdues, j’ai ma propre instance Gitea pour héberger mes dépôts. (J’ai aussi un compte Github, mais je ne l’utilise que pour contribuer à des projets tiers déjà hébergés là-bas, pas pour mes propres dépôts.)

Cette instance n’a pas vocation à héberger d’autres dépôts que les miens. Je ne suis pas un CHATON (comme dirait un procureur américain fâché avec ses filtres Zoom), et n’ai pour l’instant pas l’intention (…)

Journal De l’inanité des solutions de travail in-da-cloud

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes : aucune
58
17
déc.
2020

’jour Nal,

Depuis le début de l’épidémie de SARS-CoV-2, comme probablement pas mal de monde, je suis passé au télétravail (à 100% d’avril à juin, puis à 50% depuis — je passe la moitié de mon temps de travail au labo, l’autre moitié chez moi devant mon ordinateur personnel).

Ce journal est destiné à évacuer ma frustration illustrer l’importance d’impliquer les utilisateurs dans le choix des outils de télétravail, en racontant mon expérience personnelle avec les outils choisis par la (…)

Des nombres aléatoires dans le noyau Linux

89
3
sept.
2020
Linux

Basée sur un journal, cette dépêche présente les mécanismes de génération de nombres (pseudo‑)aléatoires dans le noyau Linux, et fait le point sur les principales évolutions survenues entre les versions 3.17 (en octobre 2014) et 5.6 (en mars 2020).

Journal Des nombres aléatoires dans le noyau Linux

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes : aucune
94
2
sept.
2020
Ce journal a été promu en dépêche : Des nombres aléatoires dans le noyau Linux.

’jour Nal

D’habitude je te cause d’OpenPGP et/ou de GnuPG, mais aujourd’hui je vais t’entretenir d’un sujet connexe, les nombres aléatoires. Plus précisément, ce journal présente les mécanismes de génération de nombres (pseudo-)aléatoires dans le noyau Linux, et fait le point sur les principales évolutions survenues entre les versions 3.17 (en octobre 2014) et 5.6 (en mars 2020).

Typologie des générateurs de nombres aléatoires

Brièvement, on distingue plusieurs types de RNG (Random Number Generator). Dans tous les cas (…)

Journal Déployer un service d’annuaire de clefs OpenPGP pour son domaine

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes :
40
29
mai
2020

Depuis quelques années, les développeurs de GnuPG proposent un nouveau mécanisme de distribution et de découverte des clefs OpenPGP. Au lieu de se reposer sur un réseau de serveurs de clefs où tout le monde peut librement déposer des clefs, le principe est de confier la distribution aux opérateurs de messagerie électronique, chaque opérateur devenant responsable de la distribution des clefs pour les adresses de son propre domaine (i.e., l’opérateur de example.org a la charge de distribuer les (…)

Utilisation d’un TPM pour l’authentification SSH

Posté par  (site Web personnel) . Édité par Davy Defaud, Benoît Sibaud et Ysabeau. Modéré par Ysabeau. Licence CC By‑SA.
Étiquettes :
35
25
mai
2020
Sécurité

Après son « Bien démarrer avec GnuPG », gouttegd nous livre un nouveau journal sur l’utilisation du Trusted Platform Module (TPM) pour s’authentifier auprès d’un serveur SSH. Ce journal a été converti en dépêche et enrichi des premiers commentaires.

Journal Utilisation d’un TPM pour l’authentification SSH

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes :
40
25
mai
2020
Ce journal a été promu en dépêche : Utilisation d’un TPM pour l’authentification SSH.

J’ai récemment fait l’acquisition d’un nouveau PC portable équipé entre autres choses d’un Trusted Platform Module (TPM) — comme la plupart des PC portables de nos jours, puisqu’à ce qu’il me semble la présence d’un TPM est un pré-requis pour vendre un PC avec une version récente de Windows). Je n’ai pas encore étudié tout ce qu’il serait possible de faire avec ce TPM, mais dans ce journal je vais décrire comment l’utiliser pour s’authentifier auprès d’un serveur SSH.

Support

(…)

Bien démarrer avec GnuPG

Posté par  (site Web personnel) . Édité par Davy Defaud, Benoît Sibaud, patrick_g et Ysabeau. Modéré par Ysabeau. Licence CC By‑SA.
Étiquettes :
58
23
mai
2020
Sécurité

N. D. M. : la dépêche est tirée du journal personnel de l’auteur, complétée des premiers commentaires suscités.

Suite à une diatribe de ma part à l’encontre de la mauvaise qualité de beaucoup de tutoriels consacrés à GnuPG, on m’a suggéré de créer le mien. Alors, without further ado, le voici.

Journal Bien démarrer avec GnuPG

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes :
71
21
mai
2020
Ce journal a été promu en dépêche : Bien démarrer avec GnuPG.

Suite à une diatribe de ma part à l’encontre de la mauvaise qualité de beaucoup de tutoriels consacrés à GnuPG, on m’a suggéré de créer le mien. Alors, without further ado, le voici.

Installation de GnuPG

Si vous utilisez GNU/Linux, GnuPG est dans les dépôts de toutes les distributions, et il est très souvent installé par défaut.

Il peut être utile néanmoins de vérifier que la version installée est bien issue de la dernière branche stable (2.2.x), et non (…)

SHA-mbles : une collision à préfixes choisis sur SHA-1

72
23
avr.
2020
Sécurité

Au début de l’année 2020, alors que l’on commençait à entendre parler de quelques cas de pneumonie atypique dans la ville chinoise de Wuhan, deux chercheurs français, Gaëtan Leurent (Inria) et Thomas Peyrin (Nanyang Technological University, Singapour), publiaient la première collision à préfixes choisis sur l’algorithme de condensation cryptographique SHA-1, et démontraient la faisabilité d’une attaque contre la toile de confiance OpenPGP.

L’attaque, dénommée SHA-mbles (« chaos », « désordre »), est de toute beauté et son étude fournit une excellente occasion, en cette période de confinement, de se pencher sur diverses notions comme le format des certifications OpenPGP ou le fonctionnement des algorithmes de condensation.

Gnuk, NeuG, FST-01 : entre cryptographie et matériel libre

Posté par  (site Web personnel) . Édité par ZeroHeure, Benoît Sibaud, palm123 et Davy Defaud. Modéré par ZeroHeure. Licence CC By‑SA.
50
30
juin
2018
Sécurité

Depuis quelques années, la Free Software Initiative of Japan (FSIJ, association de promotion des logiciels libres au Japon) travaille sur un ensemble de projets à la croisée des chemins entre cryptographie, informatique embarquée et matériel libre.

Ces projets sont l’œuvre de Niibe Yutaka (Gniibe ou g新部), qui, entre autres casquettes, est président de la FSIJ, coordinateur des traductions japonaises du projet GNU, développeur Debian et contributeur à GnuPG (où il travaille notamment sur la cryptographie à courbes elliptiques et la gestion des cartes à puce — deux aspects qui sont directement liés aux projets dont il va être question dans cette dépêche).

Votre serviteur avait déjà très brièvement évoqué l’existence de deux de ces projets (Gnuk et le FST-01) dans une dépêche précédente consacrée à la carte OpenPGP (dont la lecture est recommandée avant de poursuivre), mais sans donner aucun détail, ce que la présente dépêche va corriger.

Journal Scorepw, un évaluateur de mots de passe

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes : aucune
34
3
jan.
2018

Un petit journal promotionnel pour annoncer mon dernier projet libre (qui ne devait initialement être qu’un petit de bout de code jamais supposé sortir de chez moi…) : scorepw, un outil permettant d’évaluer la « qualité » d’un mot de passe.

Pour ceux que la théorie intéresse, je les déçois immédiatement : il n’y a rien de novateur dans scorepw — pas de nouvelle méthode d’évaluation révolutionnaire à laquelle personne n’aurait encore jamais pensé. Au contraire, scorepw n’est qu’un peu d’enrobage (…)

Journal GnuPG 2.2, la nouvelle branche stable de GnuPG

Posté par  (site Web personnel) . Licence CC By‑SA.
Étiquettes :
18
1
sept.
2017

Après GnuPG 2.1.23 il y a trois semaines, les développeurs de GnuPG viennent de sortir la version 2.2.0.

Il n’y a pas beaucoup de différences entre ces deux versions vu que GnuPG 2.1.23 (dont j’ai parlé ici) était en fait une release candidate pour la version 2.2.0.

À part quelques corrections de bug, la principale différence est que l’option --auto-key-retrieve n’est de nouveau plus activée par défaut : elle avait été rendue active par défaut dans GnuPG 2.1.23 (…)

Journal GnuPG lance une nouvelle campagne de financement

Posté par  (site Web personnel) . Licence CC By‑SA.
35
8
juin
2017

Après s’être sorti d’une mauvaise passe il y a quelques années grâce à une campagne de financement réussie et aux contributions de quelques grosses entreprises, GnuPG cherche aujourd’hui à pérenniser ses ressources et lance à cette fin une nouvelle campagne de financement où l’accent est mis sur la récurrence des dons et l’importance des donateurs individuels.

PGP, OpenPGP, GnuPG : petit rappel des faits

Au début des années 1990, Phil Zimmerman écrivit PGP (Pretty Good Privacy), un logiciel (…)

Journal De la distribution des clefs OpenPGP

Posté par  (site Web personnel) . Licence CC By‑SA.
58
11
mai
2017

Introduction

Un problème fréquemment rencontré avec OpenPGP est celui de la distribution des clefs publiques : comment Alice peut-elle transmettre sa clef publique à Bob, étape préalable indispensable à toute communication sécurisée ?

Depuis les premières versions de PGP, plusieurs méthodes ont été élaborées pour tenter de résoudre ce problème. Cet article les passe en revue.

Les serveurs de clefs

La première méthode, la plus connue et celle historiquement associée au monde OpenPGP, consiste à enregistrer la clef auprès d’un serveur (…)