Y'a juste un truc que j'ai pas compris comment faire encore, c'est un reverse proxy qui réécrit les urls, pour que les images ou les liens puissent suivre.
Avec Apache tu as mod_rewrite. C'est pas super simple à comprendre au début mais ça permet de « tout » faire dans le domaine.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
ce don't on speak
I know just what you're saying
So please stop explaining
Don't tell me cause it hurts (no, no, no)
Hum. Oui donc sinon je suis assez d'accord sur ce que dit pbpg dans ce fil de commentaires et je n'ai pas grand chose de constructif à ajouter mais j'aime beaucoup cette typo.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Arg, ça ne résoud pas le problème pour les images qui étaient déjà en cache avant l'application du patch puisque saveImageInCache() retourne avant de stocker l'ETag si la checksum correspond.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Le nombre de morts en valeur absolue me semble une métrique un peu douteuse. Combien y a-t-il de randonneurs/alpinistes/… comparé au nombre de parachutistes ?
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
C'est pas moi qui ai parlé de connerie mais si tu ne tiens pas compte de la gouvernance d'un projet pour décider de l'utiliser ou non, je veux bien envisager de mettre ton QI en doute.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
nmap a besoin d'examiner/construire des paquets IP manuellement pour certaines opérations. Cela ne peut pas se faire par les APIs réseau classiques qui sont à un trop haut niveau. Il doit passer par quelque chose comme packet(7) qui nécessite root ou CAP_NET_RAW.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Je suppose que si ça ramait moins sous Windows avec une version moderne d'Internet Explorer, c'est ce que tu utiliserais. Qui sait, peut-être que c'est le cas. Tu as essayé ?
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Une solution est de faire tourner chacune de ses applications avec un utilisateur différent. Il y en a même qui poussent le vice à les faire tourner dans des VMs différentes : http://qubes-os.org/
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Dans le cas de figure décrit, l'avantage de faire tourner ses malware en tant qu'utilisateur non-root c'est qu'ils vont avoir plus de mal à s'installer de manière inexpugnable. Une fois que le virus est root, le seul moyen sûr de récupérer un système sain est de le réinstaller (et encore, en admettant qu'ils ne s'installent pas au niveau des firmwares). S'il n'a eu accès qu'à des comptes non root, il « suffit » de supprimer tout ce qui appartient à ces comptes en tant que root (y compris les processus).
Bon après en pratique, sur un système GNU/Linux type utilisé par le lecteur DLFP moyen, passer root n'est pas vraiment un problème.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
C'est surtout le "installer les 42 dépendances et lancer les deux daemons" qui me manquait. J'ai un peu réfléchi à comment rendre ce bazard testable proprement mais ça sera pour une autre fois.
J'ai une patch queue de quatre patches et j'ai testé que ça fait ce que ça doit. Sans « vrai » tests c'est dur d'étre raisonnablement sûr que j'ai rien cassé mais ça a l'air d'aller.
Bon, j'ai un brouillon de patch qui Devrait Marcher. Me reste plus qu'à trouver comment tester.
Par contre j'ai bien l'impression que ce serveur de cache est sujet à des conditions de course. Il est sans doute possible de se retrouver avec un Content-Type qui ne correspond pas au fichier ou avec un fichier tronqué ou mélangeant des bouts de deux fichiers.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Pour chaque version majeure qui est supportée « longtemps » (de l'ordre de 10 ans pour RHEL IIRC). Il peut y avoir des changement de kABI entre versions mineures mais ils essaient de s'arranger pour que ça n'arrive pas et je suppose qu'ils se coordonnent avec les « partenaires » qui fournissent des drivers.
C'est vrai qu'en dehors de la distribution elle-même, ça ne change rien. Enfin, le mécanisme peut être réutiliser par d'autres distros si elles le souhaitent (sans doute sans avoir à rien coder si elles utilisent déjà RPM).
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Outre les autres scénarios (scénarii ?) décrits dans d'autres commentaires, on peut imaginer, dans la même pièce, des PCs connectés par cables à un réseau moins filtrés que des laptops connectés par wifi. Ou l'inverse.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Apparement c'est fort similaire à ce qui se fait dans RHEL. L'idée c'est que l'organisation qui maintient la distribution garantit la « stabilité » de certains symboles. Évidemment, ça marche qu'avec un kernel que l'organisation contrôle et tu vas pas pouvoir magiquement installer le dernier linux-next de kernel.org sans tout péter.
Après, au moins dans RHEL, il y a des mécanismes intégrés à rpmbuild pour éviter que les gens ne dépendent par erreur de symboles dont la stabilité n'est pas garantie. En pratique, les symboles dont la stabilité est garantie sont groupés en kABIs (genre tous les trucs liés au réseau,…) pour lesquels une signature est générée. Le kernel satisfait donc des dépendances telles que "kernel(rhel5_net_sunrpc_ga) = 24164573208ac3a8706912194cb786857d2222d6". Quand tu buildes un modules pour ce kernel, rpmbuild va examiner tous les symboles dont il dépend et les ajouter en dépendances au niveau RPM, soit via les kABIs explicités (et du coup ça marche pour tous les kernels dont la signature du kABI correspondant ne change pas), soit en explicitant le dépendance sur le symbole spécifique et sa signature s'il ne fait pas partie d'un kABI « supporté » (et du coup, le RPM du module va pas s'installer parce que la dépendance est pas satisfaisable puisque le RPM du kernel ne la satisfait pas explicitement).
Si on peut avoir un consensus sur le comportement à adopter et que le code à modifier est disponible (ce qui ne semble pas vraiment le cas), je veux bien tenter d'écrire un patch.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Toutafé, c'est comme les tunnels DNS ou ICMP, ça sert vraiment trop à rien vu que les deux côtés doivent être au courant.
Après, s'il y a des gens qui s'amusent à concevoir un antimalware qui touchent au micro, je suis sûr qu'on trouvera bien des failles dedans (comme les NIDS qui deviennent des vecteurs de compromission, c'est toujours amusant).
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
Heu, je sais pas trop, on a gardé le premier truc qui marchait en fait à vrai dire. Il me semblait avoir tenté une fréquence d'échantillonage plus élevée mais ça ne marchait pas, j'en ai déduit que le matériel ne le supportait pas. On avait plein de fréquences parasites en dessous de ~15kHz mais je pense que c'était surtout dû au bruit ambiant. Au delà, on avait quelques parasites mais on pouvait clairement distingué le pic généré par l'emetteur. Du coup je comprend pas bien ce qu'un signal triangulaire pourrait apporter (mais j'y connais rien) et comme signalé, au delà de ~21kHz, soit ça n'émet plus rien, soit le récepteur ne peut pas le capter (ou alors j'ai pas trouvé comment).
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Reverse Proxy HTTPS
Posté par Krunch (site web personnel) . En réponse à la dépêche Gérer plusieurs services de façon transparente. Évalué à 4.
Avec Apache tu as mod_rewrite. C'est pas super simple à comprendre au début mais ça permet de « tout » faire dans le domaine.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Laissez malloc tranquille !
Posté par Krunch (site web personnel) . En réponse à la dépêche Le langage Go fête ses 4 ans. Évalué à 0.
Hum. Oui donc sinon je suis assez d'accord sur ce que dit pbpg dans ce fil de commentaires et je n'ai pas grand chose de constructif à ajouter mais j'aime beaucoup cette typo.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: consensus & patch
Posté par Krunch (site web personnel) . En réponse à l’entrée du suivi HTTP GET 73 fois par jour depuis DLFP. Évalué à 2 (+0/-0).
Arg, ça ne résoud pas le problème pour les images qui étaient déjà en cache avant l'application du patch puisque saveImageInCache() retourne avant de stocker l'ETag si la checksum correspond.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Un expert de sécurité qui ne respecte pas la sécurité ?
Posté par Krunch (site web personnel) . En réponse à la dépêche Décès de Cédric Blancher, chercheur en sécurité informatique. Évalué à 10.
Le nombre de morts en valeur absolue me semble une métrique un peu douteuse. Combien y a-t-il de randonneurs/alpinistes/… comparé au nombre de parachutistes ?
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Boaf…
Posté par Krunch (site web personnel) . En réponse au journal Activation de fonctionnalités sélective dans chromium . Évalué à -3.
C'est pas moi qui ai parlé de connerie mais si tu ne tiens pas compte de la gouvernance d'un projet pour décider de l'utiliser ou non, je veux bien envisager de mettre ton QI en doute.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Amis développeurs
Posté par Krunch (site web personnel) . En réponse au journal Contre la phobie du root. Évalué à 10.
nmap a besoin d'examiner/construire des paquets IP manuellement pour certaines opérations. Cela ne peut pas se faire par les APIs réseau classiques qui sont à un trop haut niveau. Il doit passer par quelque chose comme packet(7) qui nécessite root ou CAP_NET_RAW.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Boaf…
Posté par Krunch (site web personnel) . En réponse au journal Activation de fonctionnalités sélective dans chromium . Évalué à 0.
Je suppose que si ça ramait moins sous Windows avec une version moderne d'Internet Explorer, c'est ce que tu utiliserais. Qui sait, peut-être que c'est le cas. Tu as essayé ?
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Amis développeurs
Posté par Krunch (site web personnel) . En réponse au journal Contre la phobie du root. Évalué à 4.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: installer des paquets en simple utilisateur
Posté par Krunch (site web personnel) . En réponse au journal Contre la phobie du root. Évalué à 2.
Sous Fedora et peut-être d'autre il y a Polkit mais de ce que je comprend ça revient à un sudo plus transparent : http://en.wikipedia.org/wiki/Polkit
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# sandboxing
Posté par Krunch (site web personnel) . En réponse au journal Contre la phobie du root. Évalué à 9.
Une solution est de faire tourner chacune de ses applications avec un utilisateur différent. Il y en a même qui poussent le vice à les faire tourner dans des VMs différentes : http://qubes-os.org/
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: consensus & patch
Posté par Krunch (site web personnel) . En réponse à l’entrée du suivi HTTP GET 73 fois par jour depuis DLFP. Évalué à 2 (+0/-0).
Et tant que je suis à rapporter les bugs que personne va jamais remarquer, le Last-Modified renvoyé par img dépend des locales alors que ça devrait toujours être GMT. Voilà un patch qui s'applique par dessus les autres : http://fruli.krunch.be/~krunch/src/dlfp/img-Return-Last-Modified-time-conform-to-RFC2616.patch
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# rootkit
Posté par Krunch (site web personnel) . En réponse au journal Contre la phobie du root. Évalué à 8.
Dans le cas de figure décrit, l'avantage de faire tourner ses malware en tant qu'utilisateur non-root c'est qu'ils vont avoir plus de mal à s'installer de manière inexpugnable. Une fois que le virus est root, le seul moyen sûr de récupérer un système sain est de le réinstaller (et encore, en admettant qu'ils ne s'installent pas au niveau des firmwares). S'il n'a eu accès qu'à des comptes non root, il « suffit » de supprimer tout ce qui appartient à ces comptes en tant que root (y compris les processus).
Bon après en pratique, sur un système GNU/Linux type utilisé par le lecteur DLFP moyen, passer root n'est pas vraiment un problème.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: consensus & patch
Posté par Krunch (site web personnel) . En réponse à l’entrée du suivi HTTP GET 73 fois par jour depuis DLFP. Évalué à 2 (+0/-0).
C'est surtout le "installer les 42 dépendances et lancer les deux daemons" qui me manquait. J'ai un peu réfléchi à comment rendre ce bazard testable proprement mais ça sera pour une autre fois.
J'ai une patch queue de quatre patches et j'ai testé que ça fait ce que ça doit. Sans « vrai » tests c'est dur d'étre raisonnablement sûr que j'ai rien cassé mais ça a l'air d'aller.
J'ai pas de compte github donc http://fruli.krunch.be/~krunch/src/dlfp/suivi1224/
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: consensus & patch
Posté par Krunch (site web personnel) . En réponse à l’entrée du suivi HTTP GET 73 fois par jour depuis DLFP. Évalué à 2 (+0/-0).
Bon, j'ai un brouillon de patch qui Devrait Marcher. Me reste plus qu'à trouver comment tester.
Par contre j'ai bien l'impression que ce serveur de cache est sujet à des conditions de course. Il est sans doute possible de se retrouver avec un Content-Type qui ne correspond pas au fichier ou avec un fichier tronqué ou mélangeant des bouts de deux fichiers.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Go continue à gagner un popularité?
Posté par Krunch (site web personnel) . En réponse à la dépêche Le langage Go fête ses 4 ans. Évalué à 2.
Je préfère Glenda aussi http://plan9.bell-labs.com/plan9/glenda.html
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# acoustic side channel
Posté par Krunch (site web personnel) . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 2.
Voire aussi http://tau.ac.il/~tromer/acoustic/
Donc on peut aussi écouter le CPU directement, même si l'emetteur n'est pas compromis.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: consensus & patch
Posté par Krunch (site web personnel) . En réponse à l’entrée du suivi HTTP GET 73 fois par jour depuis DLFP. Évalué à 4 (+0/-0).
OK, je penserai à mettre un Goatse à retardement sur ma prochaine dépêche.
Je vais tenter de voir à écrire un patch dans les jours/semaines qui viennent. Ça me fait une excuse de plus pour me mettre au Go.
Merci.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: ça marche comment?
Posté par Krunch (site web personnel) . En réponse au journal SUSE SolidDriver de nouveau sur les rails pour développer des drivers Linux en toute sécurité !. Évalué à 3.
Pour chaque version majeure qui est supportée « longtemps » (de l'ordre de 10 ans pour RHEL IIRC). Il peut y avoir des changement de kABI entre versions mineures mais ils essaient de s'arranger pour que ça n'arrive pas et je suppose qu'ils se coordonnent avec les « partenaires » qui fournissent des drivers.
C'est vrai qu'en dehors de la distribution elle-même, ça ne change rien. Enfin, le mécanisme peut être réutiliser par d'autres distros si elles le souhaitent (sans doute sans avoir à rien coder si elles utilisent déjà RPM).
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: I love you
Posté par Krunch (site web personnel) . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 2.
Outre les autres scénarios (scénarii ?) décrits dans d'autres commentaires, on peut imaginer, dans la même pièce, des PCs connectés par cables à un réseau moins filtrés que des laptops connectés par wifi. Ou l'inverse.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: ça marche comment?
Posté par Krunch (site web personnel) . En réponse au journal SUSE SolidDriver de nouveau sur les rails pour développer des drivers Linux en toute sécurité !. Évalué à 10.
C'est décrit par là http://drivers.suse.com/doc/SolidDriver/How_It_Works.html#how-it-works
Apparement c'est fort similaire à ce qui se fait dans RHEL. L'idée c'est que l'organisation qui maintient la distribution garantit la « stabilité » de certains symboles. Évidemment, ça marche qu'avec un kernel que l'organisation contrôle et tu vas pas pouvoir magiquement installer le dernier linux-next de kernel.org sans tout péter.
Après, au moins dans RHEL, il y a des mécanismes intégrés à rpmbuild pour éviter que les gens ne dépendent par erreur de symboles dont la stabilité n'est pas garantie. En pratique, les symboles dont la stabilité est garantie sont groupés en kABIs (genre tous les trucs liés au réseau,…) pour lesquels une signature est générée. Le kernel satisfait donc des dépendances telles que "kernel(rhel5_net_sunrpc_ga) = 24164573208ac3a8706912194cb786857d2222d6". Quand tu buildes un modules pour ce kernel, rpmbuild va examiner tous les symboles dont il dépend et les ajouter en dépendances au niveau RPM, soit via les kABIs explicités (et du coup ça marche pour tous les kernels dont la signature du kABI correspondant ne change pas), soit en explicitant le dépendance sur le symbole spécifique et sa signature s'il ne fait pas partie d'un kABI « supporté » (et du coup, le RPM du module va pas s'installer parce que la dépendance est pas satisfaisable puisque le RPM du kernel ne la satisfait pas explicitement).
Pour RHEL5 c'est détaillé (sans doute plus clairement que mon pavé ci-dessus) dans http://driverupdateprogram.com/presentations/DriverUpdateProgramTechnical.pdf
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# chez Red Hat Enterprise Linux aussi
Posté par Krunch (site web personnel) . En réponse au journal SUSE SolidDriver de nouveau sur les rails pour développer des drivers Linux en toute sécurité !. Évalué à 6.
Ils ont ça chez RHEL aussi et ça s'appelle Red Hat Enterprise Linux Driver Update Program: http://driverupdateprogram.com/
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# consensus & patch
Posté par Krunch (site web personnel) . En réponse à l’entrée du suivi HTTP GET 73 fois par jour depuis DLFP. Évalué à 3 (+0/-0).
Si on peut avoir un consensus sur le comportement à adopter et que le code à modifier est disponible (ce qui ne semble pas vraiment le cas), je veux bien tenter d'écrire un patch.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # lapin compris
Posté par Krunch (site web personnel) . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 3.
Tu veux dire que tu as fait le test avec GNU Radio et que ça s'est avéré concluant ? Tu peux détailler stp ?
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: I love you
Posté par Krunch (site web personnel) . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 3.
Toutafé, c'est comme les tunnels DNS ou ICMP, ça sert vraiment trop à rien vu que les deux côtés doivent être au courant.
Après, s'il y a des gens qui s'amusent à concevoir un antimalware qui touchent au micro, je suis sûr qu'on trouvera bien des failles dedans (comme les NIDS qui deviennent des vecteurs de compromission, c'est toujours amusant).
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
[^] # Re: Sinusoïde ?
Posté par Krunch (site web personnel) . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 3.
Heu, je sais pas trop, on a gardé le premier truc qui marchait en fait à vrai dire. Il me semblait avoir tenté une fréquence d'échantillonage plus élevée mais ça ne marchait pas, j'en ai déduit que le matériel ne le supportait pas. On avait plein de fréquences parasites en dessous de ~15kHz mais je pense que c'était surtout dû au bruit ambiant. Au delà, on avait quelques parasites mais on pouvait clairement distingué le pic généré par l'emetteur. Du coup je comprend pas bien ce qu'un signal triangulaire pourrait apporter (mais j'y connais rien) et comme signalé, au delà de ~21kHz, soit ça n'émet plus rien, soit le récepteur ne peut pas le capter (ou alors j'ai pas trouvé comment).
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.