Vanhu a écrit 447 commentaires

tient, un collègue \o/

Mhhh .... tu dis ca pour essayer de gagner ma confiance ? :-)

la parano c'est un métier

Entièrement d'accord: les "paranos amateurs" se laissent guider par leur parano.
Les "paranos pros" sont paranos, certes, mais sont aussi des pros....

La différence ?
Le second ne se laisse pas dominer par sa parano......

mais bon quand on sait ce que les autres ne savent pas ou croient impossible, ça change les perspectives.

Oui.

Et c'est d'ailleurs pour ca que j'essaie de faire de "l'éducation" quand je peux, par des explications parfois, mais le plus souvent par des démos simples (le sniff des mails entrant/sortant, c'est tout bete, mais comment c'est efficace :-).


A quand un site de "vulgarisation" de la parano, qui montre clairement, avec explications à l'appui, sans sombrer dans la "mauvaise parano", pourquoi il faut quand meme etre un peu parano ?????

Je suis volontaire pour co-animer ce paranofr.org :-)

Donc tu utilise Samba comme PDC et tes windows 2000 ne sont pas en mode natif mais en mode compatibilite NT en gros....

Euh... je suis pas un expert Microsoft, donc je peux pas te garantir.....

Je sais que, coté Win, j'ai fait (du moins en apparence) à peu près la meme chose sous un 98 que sous un XP, sauf que coté XP j'ai du changer une valeur dans la base de registre (quoique j'ai du refaire d'autres modifs apres, donc si ca se trouve, c'est pas indispensable).....

Mais je n'ai pas eu un gros warning "attention, vous etes sur le point d'utiliser le mode obsolète de compatibilité NT qui est pas bien".............

pGina est un remplacement OpenSource de la GINA de microsoft, elle permettrait (j'ai pas essayé et j'apprécierais que quelqu'un essaye et nous dise quoi) de se connecter à un annuaire LDAP standard

Bah des que je suis d'humeur a flinguer un Windows, j'essaie..... mais bon, va déjà falloir que je soie d'humeur à en démarrer un......

Pour info je connais bien Samba.... merci.... je sais qu'on peut le connecter à LDAP.... mais quid de l'authentification des postes windows NT/2000 ? Tu créés des comptes locaux sur toutes les machines ? D'où ma question.....

Non, tu crées une fiche sur le LDAP (avec plein de champs qui vont bien, mais y'a moyen d'automatiser ca par des scripts, IdealX fournit une flopée de scripts "a sa sauce" et j'avais commencé à étudier le développement de quelques scripts qui simplifient la vie, c'est pas tres dur), et zou, t'as le compte UNIX, le compte mail et le compte Windows qui existent.

Seul impératif actuellement: un premier login sous UNIX pour créer le homedir (par pam_mkhomedir), mais meme ca ca doit pouvoir se configurer/bricoler.

Apres, je sais pas si j'ai acces a toutes les subtilites, pour ce que je fais d'un Windows, mais je peux me connecter depuis le Win, en m'authentifiant sur le domaine, et mon profil est bien créé dans le homedir sur le serveur.....

Je sais qu'OpenLDAP fonctionne (nombre d'utilisateurs dans ton annuaire ?) mais ma question serait plus de trouver une solution qui fonctionne en milieu hétérogène


Euh, dans mon LDAP a moi perso que j'ai, ca doit pas dépasser les 4 utilisateurs, mais je connais d'autres annuaires OpenLDAP qui tournent avec plusieurs milliers de comptes (désolé, je peux pas divulguer plus d'infos dessus). Et dans plusieurs de ces cas (dont le mien, "pour tester"), c'est en environnement hétérogène.

Je trouve que dire que la clef a peut-être été copié avant qu'on me vende l'ordinateur frise le mode parano

Euh... on me paye pour etre parano :-)

Et une clé PRIVEE, bah ca doit etre privé !!!

Mais apparemment, d'apres un autre post la au dessus, c'est encore moins simple qu'il n'y parait.....


Finalement, ce qui serait pas mal, ce serait un TCPA où on peut mettre sa propre clef GnuPG

Euh, ouais, enfin le concept de PGP/GPG est encore un peu différent, y'a pas de notion de "root of trust", seulement de confiance mutuelle......

Jai déjà vu cette question quelquepart, moi ..... et j'ai donc déjà répondu qu'il existe une autre variante (je connais pas pGina): Passer par Samba pour les postes Windows, puisque les versions récentes de Samba savent tout à fait causer à un LDAP.

Sinon, je maintiens aussi que OpenLDAP c'est bien, et qu'un annuaire bien fait peut vraiment centraliser toute l'administration d'une entreprise, des comptes utilisateurs à la génération de "doc administrative" (noms, adresses, numéros de telephone, etc...) en passant par les comptes mails, la PKI, les groupes, etc......

En fait, c'est effectivement bien la le problème: on a d'abord essayé de nous présenter TCPA comme un "containeur de clés", associé à un cablage hard de fonctions de chiffrement/generation d'alea/etc....

Et présenté comme ca, ca peut paraitre potentiellement intéressant.

Le problème est justement que, en fait, on subit l'implémentation, et pire encore, on subit le certificat "principal" (on me fournit MA clé privée..... mais comment puis-je etre sur qu'il n'en a pas été fait une copie avant ??????).

je me demandais s'il était possible d'utiliser TCPA pour améliorer la sécurité de ces réseaux en autorisant la connexion qu'aux machine identifiées par leur "numéro" TCPA

Oui, mais on a pas besoin de TCPA pour ca: il "suffirait" de mettre en place sa propre PKi, et de stocker les certificats / cles privées (protégées par mots de passes, bien sur) sur les machines clientes. Après tout, de ce point de vue, TCPA n'est qu'une "variante", qui propose un avantage (stockage de la cle privee en Hard) et un inconvénient (on a aucun controle sur la cle privee (il en existe peut etre une copie ailleurs) ni sur l'autorité de certification (elle pourrait nous révoquer !) ....).

Après ca, tu concevrais un mechanisme d'authentification forte a partir de ces certificats (que tu confrontes à ton autorité de certification, plus eventuellement d'autres validations sur les champs du certificat) pour authentifier tes postes.

En extrapolant encore, on peut imaginer que ton méchanisme d'authentification permette aussi de négocier des paramètres (une clé de session, voire pourquoi pas carrément un algo de chiffrement, d'authentification, etc....), dont tu te servirais pour chiffrer/authentifier tous les paquets que tu emmets/recois avec ton correspondant....

Hein ? quoi ? ca existe déjà ????

Ah ouais, c'est IPSec.......

C'est lourd de lire dans des documents comme ca "encrypter" (et ses variantes) partout....

Le terme francais est "chiffrer", et ca me paraitrait plus "pro" (ou au moins plus propre, plus sérieux) de remplacer ca .......

Il a bien dit "pour le grand public".....

On est apparemment ici tous d'accord sur le fait que, a frequence CPU égale, il peut y avoir d'énoooooormes différences de perfs, n'empeche que Luce et Henri regardent avant tout ce nombre, qui est un "indicateur fiable" de la puissance de la machine qu'ils vont acheter (donc du pourcentage du temps ou la machine ne fera rien et attendra que Luce et Henri lui donne une instruction a executer.........).

Il faut voire si le DMCA interdit de modifier quelque-chose que tu a acheté

Une idée horrible vient de me traverser l'esprit:

Il m'arrive d'acheter des croissants (chez mon boulanger ou en grande surface, je ne sais pas si cela influe beaucoup), de la farine, du lait, des lardons et deux ou trois autres ingrédients (que je garde jalousement secrets tant que je n'ai pas déposé le brevet...).

J'effectue sur ces produits plusieurs opérations visant à les modifier, et au final, j'ai un nouveau produit (que j'appelle "croissant fourré", mais soyez pas salauds, j'ai pas encore déposé la marque).

Avec le DMCA, ais-je encore le droit de faire ca ?????

Et la justesse, la chaleur, l'émotion dégagée par le juste choix des couleurs des encres, c'est pas une oeuvre à protéger, ca ?????

.............

Au secours .........

"les hautes couches" ????

Bah, le niveau 3, j'appelle pas encore ca "haut".....

A priori, il suffit, sur la borne centrale, de n'autoriser que le traffic IPSec, et ca restreint très bien l'accès à ceux qui peuvent négocier un tunnel IPSec, donc à ceux qui peuvent s'authentifier....

Une suggestion est (évidemment) d'encapsuler le traffic dans de l'IPsec, mais cela ne fait que régler le probleme de la confidentialité et pas de la non répudiation ou de l'authentification (il me semble).

Bah a moins que tout le monde n'utilise le meme identifiant et la meme preshared-key, la phase1 d'IPSec me parait régler le problème d'authentification de facon tout à fait satisfaisante !!

Un couple identifiant/PSK par utilisateur, voire une PKI si cela se justifie, c'est très largement suffisant !!!!!!!

Amha, IPSec est pratiquement nécessaire, mais largement suffisant.....
Enfin, bien configuré, avec des algos efficaces, etc.... :-)

une baisse de performances de 50 à 120 % (IPsec)
Ca dépend quand meme énormément des équipements et des algos utilisés.

C'est clair que du 3DES fait en soft par mon téléphone portable, je prefere pas y penser, alors qu'il commence à y avoir des chips pas trop chers de chiffrement AES.

Et apres, il faut aussi voir les besoins en terme de débits. Souvent, on choisit de mauvais algos/pas d'algos du tout car "c'est plus rapide", alors qu'on a un debit effectif ridicule....


et honnètement le WEP est suffisant pour la plupart des usages, tant qu'on ne crie pas le code de la cle d'encription sur tous les toits

Moyen quand meme, puisque (de mémoire), il y a des problèmes d'IV qui facilitent beaucoup le "travail" de l'attaquant éventuel.....

combien de personnes savent configurer racoon ou ISAkmp de tete ???

moi, moi !! :-)

Mais tu triches, la, deja: Luce et Henri ont plutot besoin d'un client sous Windows, et certains sont "relativement" faciles à configurer....

Bon allez, si d'autres relancent, je fais moi aussi un complément:

Shufflepuck Kafe (y'a un clone Linux en développement, d'ailleurs), Brian the Lion, Simon the Sorcerer (un humour extraordinaire !!! :-), Agony (rien que les musiques ....), Chambers of Shaolin, les Kick Off, donc, mais aussi les Sensible Soccer, Ocean Beach Volley, Silkworm, Teenage Queen, 4D sports driving, Pinball Dreams/Fantaisies/Illusions, Slam Tilt, ......

Bon, ma verveine semble ne plus faire trop effet, faut que je m'en refasse une dose, la ......

Mais je suis sur d'en avoir encore oublié plein.....

Bon, outre le troll qui fleure bon la naphtaline, je ne PEUX PAS laisser passer l'affirmation "l'Amiga est une machine sans âme".

D'ailleurs, si l'une de ces deux familles de machines (Amiga et Atari) n'avait pas d'âme, ce troll n'existrait pas !!!!

D'ailleurs, quelqu'un se souvient du nom du jeu de voiture ou on était sur un circuit en hauteur avec 6 pots d'échappements sur le moteur, les flammes qui en sortaient et tout et tout ?

Ca en reparle au dessus, c'est le géniallissime Stundt Car Racer.

Et je sais pas si c'est une bonne idée de commencer à lister les super jeux sur Amiga, parceque la, on va faire exploser les serveurs :-)

Allez, une petite tentative quand meme (liste pas DU TOUT exhaustive):

Speedball 2, Populous, Stundt Car Racer, Shadow of the Beast, les voyageurs du temps (et Secret Agent: Operation Stealth, bien sur :-), Frontier (aka Elite II), Les Body Blows, les Alien Breed, Lotus Esprit Turbo Challenge, Wings, Tower of Babel, Walker, Project-X, Superfrog (avec le fameux niveau "Project-F" :-), Supercars 1/2, Vroom, Another World, Rick Dangerous 1/2, les Eye of the Beholder, Space Ace (oups, on parlait des jeux, pas des démos !! :-), M.U.D.S., ....... et je suis sur d'en avoir oublié la moitié, la :-)

Allez, une verveine et au lit, moi .....

AAA c'est pas "Amiga-Atari-Amstrad", c'est le nom du dernier chipset (jamais sorti) de l'Amiga, qui devait succéder a OCS, ECS et AGA !!! :-)

Et sans meme rentrer dans le troll Atari/Amiga (qui n'a pas de raisons d'etre, de toutes facons, l'Amiga est bien meilleur :-), mettre l'Amstrad sur le meme rang me semble un peu présomptueux pour cette machine .....

Un C128 a la rigueur (mais d'un pur point de vue sentimental, alors :-), mais un Amstrad.....

Euh, c'est "légal" l'authentification nécessaire pour récupérer le truc alors que c'est sous GPL ????

Bah forcément, quand t'es un magazine, t'es rarement tout à fait à jour par rapport à ceux qui peuvent récupérer les dernières versions/informations sur le net en temps quasi réel....

Mais pour ceux qui ont pas de "gros" acces, je suppose que ca peut etre intéressant.....

Ca dépend: s'ils sont friands de Springles, le risque augmente :-)))))

Google est ton ami..... mais il risque de ne pas trop te rassurer sur ce coup la ......

802.11b, SMB/CIFS, NFS, FTP, et la config en HTTP......


Trop de bonheur en un seul boitier..... pour tous ceux qui vont passer dans le coin avec une carte WiFi (et eventuellement avec une boite de Mr Springles :-). Et éventuellement pour les utilisateurs légitimes s'il reste un peu d'espace/de bande passante......


Parceque bon, "securité par filtrage MAC ou filtrage d'IP(uniquement a travers la base), WEP 64/128", c'est drole, mais sans plus......

Et si qqun pingue ma machine, ou s'il "heberge" un Nimda/autre qui essaie de se connecter chez moi, on est aussi en réseau ??? Meme si on tient compte du fait que je reponds ni a l'un ni a l'autre ???? Et si je débranche mon cable, c'est bon, la, au moins ???? Bon, je le coupe tout de suite alors, mais je me demande si apres y'a pas un risque pour que mon clavier blo