Krunch a écrit 4025 commentaires

J'ai l'impression que ce que j'ai décrit ressemble un peu à Augmented Encrypted Key Exchange: a Password-Based Protocol Secure Against Dictionary Attacks and Password File Compromise de Steven M. Bellovin et Michael Merritt.
http://scholar.google.com/scholar?cluster=174278290914243224(...)

/me va creuser ça (peut-être)

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Selon les besoins, tu peux peut-être t'inspirer du format utilisé par abook.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

> On m'a même répondu une fois que les fraudes restaient à
> un « niveau acceptable » et qu'ils préféraient payer pour que leurs
> utilisateurs aient accès à un « meilleur service »

La sécurité est un compromis. Bienvenue dans la vraie vie. Je te suggère de lire Bruce Schneier : http://www.schneier.com/essay-150.html
Et Marcus Ranum pour l'avis opposé : http://www.ranum.com/security/computer_security/editorials/l(...)

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

> Un bon développeur ne stocke jamais un mot de passe.

Un bon développeur stocke le mot de passe. Comme ça on peut faire du challenge-response pour les authentifications futures sans que le mot de passe ne circule sur le réseau (TLS ou pas).

En fait, j'avais réfléchi au problème récemment et je me disais que l'idéal serait peut-être de stocker la moitié du mot de passe, un hash salé de l'autre moitié et le sel lui même. De cette manière, on a l'avantage de ne jamais faire passer le mot de passe complet sur le réseau (hors initialisation) et de ne pas stocker le mot de passe complet. L'attaquant doit pouvoir à la fois observer le réseau et accéder à la base de données.

Détail d'implémentation : évidemment on va découper un hash du mot de passe original et non le mot de passe original, histoire de minimiser les risques si une des moitiés du mot de passe est faible. Cependant, ce hash suffit à l'authentification donc du point de vue d'un attaquant c'est aussi intéressant que le mot de passe et il doit donc être traité comme tel.

Bon en fait, soit cette méthode a déjà été formalisée et implémentée par quelqu'un d'autre, soit il y a un truc qui m'échappe qui la rend inutilement compliquée.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Je recommande notamment la lecture de :
Secure Programming for Linux and Unix HOWTO http://www.dwheeler.com/secure-programs/Secure-Programs-HOWT(...)
CERT C Secure Coding Standard https://www.securecoding.cert.org/confluence/display/seccode(...)

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

g+s ? Ou bien j'ai pas compris la question.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Je comprend pas bien l'intérêt des ACL dans ce cas. C'est se compliquer la vie pour rien étant donné que les droits Unix traditionnels permettent de faire la même chose.

Par contre, quand on n'est pas root et qu'on veut partager certains répertoires avec certains utilisateurs, c'est pratique. J'utilisais beaucoup cette technique pour le SVN des projets de groupe à l'unif.

Par ailleurs, pour la petite histoire, les ACL POSIX ne sont pas vraiment POSIX. Il s'agit d'un brouillon qui a été abandonné bien qu'implémenté dans Linux et d'autre Unices.
http://wt.xpilot.org/publications/posix.1e/download.html

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

typo toussa

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Et une tourte c'est assimilable à une pie dans la langue de Cheik Spire.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

http://archives.neohapsis.com/archives/fulldisclosure/2007-0(...)
http://code.google.com/p/intrace/wiki/intrace
http://jon.oberheide.org/projects/0trace/

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Tu es le premier à parler de malloc(). Peut-être que le monsieur pensait à utiliser mmap() en C...

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Concrêtement ?

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Bon je suis nul en tourtes donc j'ai juste préparé des fondants au chocolat pour demain.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

On est en pleine phase 3, possiblement 4 en fait si on considère qu'on a gagné quand MSFT fait de l'Open Source.
http://www.redhat.com/videos/truth_happens.html

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Dans les commentaires Slashdot [0], on retrouve un des monsieurs [1] qui semblent derrière l'initiative. On peut tomber aussi sur cet article [2] qui explique que Microsoft collabore maintenant activement avec Samba semblerait-il.

[0] http://news.slashdot.org/story/09/07/20/1643251/Microsoft-Re(...)
[1] http://slashdot.org/~Sam+Ramji
[2] http://port25.technet.com/archive/2007/12/19/If-you_2700_re-(...)

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

> il propose un mécanisme original pour faire un STARTTLS avec n'importe quel protocole
> (taper à la main le STARTTLS comme il faut, puis ^d pour passer en TLS).

J'ai l'intuition que ça permet de monter des super bidouilles mais comme ça je vois pas bien l'utilité de la chose.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Sous Linux, il suffit que l'application demande explicitement à bypasser le cache kernel en utilisant les "direct I/O" (O_DIRECT sur le open(2)). Apparement, MySQL+InnoDB le permet avec "innodb_flush_method = O_DIRECT", je suppose qu'en cherchant un peu on peut trouver l'option pour les autres formats aussi.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Tu peux déjà limiter uniquement aux IP de ton continent, à moins que tu ne fasses des voyages intercontinentaux régulièrement. Selon tes contraintes, tu peux aussi limiter par pays ou ISP. Toutes les informations nécessaires sont publiquement accessible (au moins pour RIPE).

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

> les langages qui ne supportent pas les exceptions (C, par exemple)

En bidouillant un peu, il y a moyen de se faire des macros qui font des exceptions presque comme en C++ ou Java : http://adomas.org/excc/

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

J'ai cru comprendre de PHP a une notion de classe et d'objet de nos jours. Tu pourrais donc créer un singleton Config dans ce genre là (syntaxe très probablement invalide mais c'est l'idée qui compte) :

class Config {
private static $config = array('foo' => 'bar', ...);
public static get(string $key) {
return $config[$key];
}
}

Tout code voulant accéder au tableau ne peut utiliser que get() qui ne fait que lire et tout le contenu est fixé à l'initialisation. La syntaxe pour accéder au tableau reste simple (bien qu'on se rende bien compte que c'est pas directement un tableau) et c'est le plus important je pense :

get('foo')

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Moi j'aime bien gnireenigne. Bon après il y a le problème de la prononciation.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

cf https://linuxfr.org/comments/1042966.html#1042966

Si tu fais du challenge-response, il faut connaître le secret des deux côté. Tu peux le faire avec un hash mais alors il suffit de connaître le hash pour s'authentifier.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

Toute méthode d'authentification impliquant un challenge-response sans possibilité de rejeu ?

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

http://www.dailymail.co.uk/news/worldnews/article-1193875/Po(...)
http://www.lameuse.be/magazines/insolite/2009-06-12/miss-bel(...)

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

J'imagine que tu n'as pas rédigé ce journal sur ton Nokia 770 en faisant la file du boulanger.

pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.