Dans les logiciels libres les SSII devraient travailler à l'œil ? Si t'as l'impression que ton prestataire se goinfre, va voir ailleurs, c'est l'un des avantages du libre.
Est-il possible de se créer des alias avec openID ?
Un autre risque est celui de l'anonymat si on est obligé d'utiliser le même identifiant pour tous les sites.
Puisqu'il y a des spécialistes LVM dans l'assistance j'en profite pour exposer ma quête du Graal: est-il possible de faire un snapshot d'un volume logique puis en cours de route changer d'avis et faire un "rollback", c'est à dire annuler toutes les écritures faites depuis la date de création du snapshot ?
Merci beaucoup avec apt-show-versions ça fonctionne très bien.
Pour prouver à Moun's (qui est décidément très lourd) que je sais utiliser les pipes et le grep, ainsi que comme bloc-note, voici la commande:
export COLUMNS=200;for i in `dpkg -l | grep ii | awk {'print $2'}`; do apt-show-versions $i; done
Mais tu ne réponds pas à ma question.
Je connais dpkg -l qui liste les paquets installés, apt-cache show ou apt-cache showpkg mais je n'ai pas l'impression que ces commandes m'informent de la provenance du paquet (etch ou sarge)
Tu as parfaitement raison ! Regarde le noyau, dont une bonne partie est écrite en C par des débutants qui ne font aucun test unitaire, on n'y a jamais découvert la moindre faille.
La morale est que toute application a des failles.
J'ai regardé le code de la faille, ça n'a rien à voir avec de l'échappement. En mettant # à la place de ' ça marche aussi, et en laissant une chaîne vide ça marche également (à condition de désactiver javascript dans le navigateur).
Les requêtes SQL sont correctement échappées dans Joomla et les saisies de formulaires sont vérifiés.
Le problème est que le fameux code qui être saisi est normalement composé que de lettres et de chiffres. Joomla nettoie ce code en supprimant tout ce qui n'est pas lettre ou chiffre puis effectue un échappement.
Le déroulé de la faille est le suivant:
o saisie par exemple du token: ###{{}{}
o nettoyage par Joomla: le token devient une chaîne vide
o échappement par Joomla de la chaîne vide
o Le code SELECT id FROM #__users WHERE block = 0 AND activation = '.$db->Quote($token) devient SELECT id FROM jos_users WHERE block = 0 AND activation = ''
o La colonne activation de la table SQL est vide pour un utilisateur n'ayant pas demandé la réinitialisation de son mot de passe, d'où le bug et son code de correction.
Donc oui, la faille aurait du être évitée, mais ce n'est pas non plus aussi trivial que ça.
always_bcc ne peut être utilisé dans le cas présenté. En effet pour que la copie soit générée il faut que le mail soit accepté, et la question ici est comment accepter tous les mails.
Pour être tatillon tu devrais ajouter un fichier d'alias qui pointe tous tes utilisateurs linux vers ton_utilisateur_linux_qui_doit_prendre_tous_les_mails, /etc/aliases:
root: ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
www-data: ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
ftp: ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
...
Je ne suis pas sûr que les directives concernant le transport soient obligatoires.
Moi j'en suis quasi sûr.
Il faut lire l'énoncé:
je cherche à ce que tous les mails qui arrivent sur ce serveur soient stockés dans une boite utilisateur quelconque. (L'idée c'est de faire une sorte de honeypot).
Donc si j'ai bien compris il veut que les mails qui arrivent sur son serveur à destination de toto@gmail.com, rjuthjt@djdkjjhr.fr, truc@bidule.com soient livrés dans la boîte mail d'un utilisateur.
Lorsqu'on configure postfix avec aucune adresse du domaine (donc en laissant vide la directive mydestination), postfix considère simplement qu'aucun domaine n'est local. Dans ce cas la directive luser_local (qui est utilisé par le démon local) n'est jamais utilisée puisque l'agent de livraison local ne sera jamais appelé.
Dans ma configuration, je mets en garde contre l'open relay à cause de la directive:
mynetworks = 0.0.0.0/0
Car à elle seule elle fait de postfix un serveur open relay.
En revanche le serveur ne sera pas un open relay si la directive transport_maps est bien configurée.
Il est donc très important que la personne qui met en place mon exemple s'assure que tout est bien carré et qu'il soit conscient que l'oubli d'une seule ligne peut faire de son serveur un open relay.
Posté par mxt .
En réponse au journal Jyraphe 0.3.
Évalué à 1.
En plus, devoir se logguer pour uploader un simple fichier, ça me paraît un peu trop. Ou alors il faut me donner un cas d'utilisation répandu qui permette d'inclure cette fonctionnalité.
Pour que n'importe qui ne puisse pas utiliser mon serveur pour mettre à disposition des fichiers (illégaux) ?
Une solution serait alors de protéger la page d'upload pour que seul moi puisse l'utiliser, mais dans ce cas personne ne peut m'envoyer de fichier.
Il faut donc un système de comptes pour l'upload, avec la possibilité pour un utilisateur de créer des comptes temporaires pour qu'il puisse recevoir des fichiers.
Chez starcom, ils génèrent eux-même la clé privée, la clé publique, le certificat et te renvoient le tout.
Complètement faux, en tout cas pas à l'époque (août 2007) où je l'ai fait.
Et non il n'y a pas que Firefox qui est reconnu la liste complète et là: http://cert.startcom.org/?app=140
Pour résumer c'est *presque* tout navigateur récent sauf IE et Opera.
[^] # Re: Super
Posté par mxt . En réponse au journal GMAO immobilière en Open Source. Évalué à 6.
[^] # Re: Sécurité?
Posté par mxt . En réponse au journal Étude d'usabilité sur d'OpenID. Évalué à 1.
Un autre risque est celui de l'anonymat si on est obligé d'utiliser le même identifiant pour tous les sites.
# Rollback de snapshot
Posté par mxt . En réponse à la dépêche SAL + atelier LVM2 sur la Côte d'Azur le 17 octobre 2008. Évalué à 2.
Merci.
# netcat
Posté par mxt . En réponse au message tester l'ouverture d'un port.. Évalué à 7.
nc -l -p 16000 localhost
L'option "-l" c'est pour listen: agir en mode serveur; et "-p" c'est pour le port.
[^] # Re: apt-show-versions ?
Posté par mxt . En réponse au message Trier les paquets. Évalué à 1.
apt-show-versions
[^] # Re: apt-show-version ?
Posté par mxt . En réponse au message Trier les paquets. Évalué à 1.
Pour prouver à Moun's (qui est décidément très lourd) que je sais utiliser les pipes et le grep, ainsi que comme bloc-note, voici la commande:
export COLUMNS=200;for i in `dpkg -l | grep ii | awk {'print $2'}`; do apt-show-versions $i; done
[^] # Re: heu ... les commandes shell ?
Posté par mxt . En réponse au message Trier les paquets. Évalué à 2.
Mais tu ne réponds pas à ma question.
Je connais dpkg -l qui liste les paquets installés, apt-cache show ou apt-cache showpkg mais je n'ai pas l'impression que ces commandes m'informent de la provenance du paquet (etch ou sarge)
# RedHat
Posté par mxt . En réponse au message rhn_register. Évalué à 2.
Si tu veux t'enregistrer chez RedHat c'est que tu as du support chez eux, alors autant s'en servir et les contacter pour ton problème.
Sinon ça ne viendrait pas d'un problème réseau ? D'un problème DNS ?
[^] # Re: Erf
Posté par mxt . En réponse au journal Faille de sécurité critique dans Joomla 1.5. Évalué à 0.
Au moins avec le C, on n'a pas ces problèmes.
Tu as parfaitement raison ! Regarde le noyau, dont une bonne partie est écrite en C par des débutants qui ne font aucun test unitaire, on n'y a jamais découvert la moindre faille.
La morale est que toute application a des failles.
[^] # Re: Erf
Posté par mxt . En réponse au journal Faille de sécurité critique dans Joomla 1.5. Évalué à 7.
Les requêtes SQL sont correctement échappées dans Joomla et les saisies de formulaires sont vérifiés.
Le problème est que le fameux code qui être saisi est normalement composé que de lettres et de chiffres. Joomla nettoie ce code en supprimant tout ce qui n'est pas lettre ou chiffre puis effectue un échappement.
Le déroulé de la faille est le suivant:
o saisie par exemple du token: ###{{}{}
o nettoyage par Joomla: le token devient une chaîne vide
o échappement par Joomla de la chaîne vide
o Le code
SELECT id FROM #__users WHERE block = 0 AND activation = '.$db->Quote($token)
devientSELECT id FROM jos_users WHERE block = 0 AND activation = ''
o La colonne activation de la table SQL est vide pour un utilisateur n'ayant pas demandé la réinitialisation de son mot de passe, d'où le bug et son code de correction.
Donc oui, la faille aurait du être évitée, mais ce n'est pas non plus aussi trivial que ça.
[^] # Re: oubli
Posté par mxt . En réponse au message Envoyer un email en mode console (Postfix et SMTP). Évalué à 1.
Mais hélas je ne reçois rien du tout.
Toujours penser à regarder les logs.
As-tu le paquet mailx installé ?
[^] # Re: oubli
Posté par mxt . En réponse au message Envoyer un email en mode console (Postfix et SMTP). Évalué à 2.
mail destinataire@add -- -fmail@expediteur -F "Nom expediteur"
Une autre solution est de demander à Postfix de le faire:
http://postfix.traduc.org/index.php/STANDARD_CONFIGURATION_R(...)
Je t'invite d'ailleurs à parcourir cette doc pour que Postfix n'ait plus de secret pour toi:
http://postfix.traduc.org/
[^] # Re: oubli
Posté par mxt . En réponse au message Envoyer un email en mode console (Postfix et SMTP). Évalué à 1.
Le mail est peut être refusé si le domaine de l'expéditeur n'existe pas.
[^] # Re: oubli
Posté par mxt . En réponse au message Envoyer un email en mode console (Postfix et SMTP). Évalué à 1.
relayhost = [smtp.mana.pf]
[^] # Re: Attention à l'open relay
Posté par mxt . En réponse au message Configuration postfix originale. Évalué à 1.
[^] # Re: Attention à l'open relay
Posté par mxt . En réponse au message Configuration postfix originale. Évalué à 1.
un nouveau fichier, donc elle peut être moins source d'erreur:
local_recipient_maps =
luser_relay= ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
default_transport = local:
mynetworks = 0.0.0.0/0
La directive clé étant ici default_transport.
Pour être tatillon tu devrais ajouter un fichier d'alias qui pointe tous tes utilisateurs linux vers ton_utilisateur_linux_qui_doit_prendre_tous_les_mails, /etc/aliases:
root: ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
www-data: ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
ftp: ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
...
[^] # Re: Attention à l'open relay
Posté par mxt . En réponse au message Configuration postfix originale. Évalué à 1.
Je ne suis pas sûr que les directives concernant le transport soient obligatoires.
Moi j'en suis quasi sûr.
Il faut lire l'énoncé:
je cherche à ce que tous les mails qui arrivent sur ce serveur soient stockés dans une boite utilisateur quelconque. (L'idée c'est de faire une sorte de honeypot).
Donc si j'ai bien compris il veut que les mails qui arrivent sur son serveur à destination de toto@gmail.com, rjuthjt@djdkjjhr.fr, truc@bidule.com soient livrés dans la boîte mail d'un utilisateur.
Lorsqu'on configure postfix avec aucune adresse du domaine (donc en laissant vide la directive mydestination), postfix considère simplement qu'aucun domaine n'est local. Dans ce cas la directive luser_local (qui est utilisé par le démon local) n'est jamais utilisée puisque l'agent de livraison local ne sera jamais appelé.
Dans ma configuration, je mets en garde contre l'open relay à cause de la directive:
mynetworks = 0.0.0.0/0
Car à elle seule elle fait de postfix un serveur open relay.
En revanche le serveur ne sera pas un open relay si la directive transport_maps est bien configurée.
Il est donc très important que la personne qui met en place mon exemple s'assure que tout est bien carré et qu'il soit conscient que l'oubli d'une seule ligne peut faire de son serveur un open relay.
# Attention à l'open relay
Posté par mxt . En réponse au message Configuration postfix originale. Évalué à 1.
local_recipient_maps =
luser_relay=ton_utilisateur_linux_qui_doit_prendre_tous_les_mails
transport_maps = hash:/etc/postfix/transport
mynetworks = 0.0.0.0/0
Dans le fichier /etc/postfix/transport:
* local:
Lance les commandes:
postmap /etc/postfix/transport
/etc/init.d/postfix reload
A priori ça doit être bon, mais je décline toute responsabilité si cette configuration fait de toi un open relay.
[^] # Re: Ha mon dieu !
Posté par mxt . En réponse au journal Jyraphe 0.3. Évalué à 1.
En plus, devoir se logguer pour uploader un simple fichier, ça me paraît un peu trop. Ou alors il faut me donner un cas d'utilisation répandu qui permette d'inclure cette fonctionnalité.
Pour que n'importe qui ne puisse pas utiliser mon serveur pour mettre à disposition des fichiers (illégaux) ?
Une solution serait alors de protéger la page d'upload pour que seul moi puisse l'utiliser, mais dans ce cas personne ne peut m'envoyer de fichier.
Il faut donc un système de comptes pour l'upload, avec la possibilité pour un utilisateur de créer des comptes temporaires pour qu'il puisse recevoir des fichiers.
# Lien
Posté par mxt . En réponse au message Sauvegarde distante. Évalué à 2.
http://riseuplabs.org/grimoire/backup/
[^] # Re: SSL et certificat
Posté par mxt . En réponse à la dépêche Évolutions sur LinuxFr. Évalué à 2.
Complètement faux, en tout cas pas à l'époque (août 2007) où je l'ai fait.
Et non il n'y a pas que Firefox qui est reconnu la liste complète et là:
http://cert.startcom.org/?app=140
Pour résumer c'est *presque* tout navigateur récent sauf IE et Opera.
# SSL et certificat
Posté par mxt . En réponse à la dépêche Évolutions sur LinuxFr. Évalué à 4.
Au sujet du https pourquoi ne pas installer un vrai certificat reconnu ?
StartCom offre un certificat SSL gratuit qui est approuvé par Firefox.
[^] # Re: ... et pour le reply
Posté par mxt . En réponse au message postfix reply. Évalué à 1.
Paquet fournissant la commande mail ?
As-tu la commande mailx ?
[^] # ... et pour le reply
Posté par mxt . En réponse au message postfix reply. Évalué à 1.
export REPLYTO=address@reply
mail .....
# option de sendmail
Posté par mxt . En réponse au message postfix reply. Évalué à 1.
mail destinataire@add -- -fmail@expediteur -F "Nom expediteur"