2181 results for tags
sécurité x
-
Certificate Patrol : Je jette l'éponge
TROP. C'EST TROP. Je jette l'éponge: Je supprime l'extension Certificate Patrol. C'est inutile.2013-09-20 22:13:28
Pourquoi ? Parce qu'il n'y a PAS UN SEUL ACTEUR DU WEB (Google, Twitter ou autre) qui soit FOUTU d'avoir ses certificats à jour sur les différentes machines de son CDN.
Du coup, voilà: Des alertes TOUT LE TEMPS.
On ne peut même pas cocher "Try checking authority only for this domain" puisque même l'autorité change. Ils me font chier.
Je suis donc obligé de couper complètement Certificate Patrol, réduisant ainsi ma sécurité. Fait chier.
(Pour ceux qui ne connaissent pas Certificate Patrol, voir ces articles:
http://sebsauvage.net/rhaa/index.php?2010/03/26/12/03/17-les-certificats-ssl-ne-suffisent-plus
http://sebsauvage.net/rhaa/index.php?2010/08/18/11/16/54-des-extensions-firefox-pour-controler-les-certificats-https
et http://sebsauvage.net/rhaa/index.php?2010/11/08/19/54/41-je-suis-content-d-utiliser-certpatrol )http://sebsauvage.net/galerie/photos/Bordel/20130920_certificate_patrol.png
-
In Wake of Latest Crypto Revelations, 'Everything is Suspect' | Threatpost
BOUH QUE C'EST LAID.2013-09-20 21:13:59
Résumons: Régulièrement, le NIST (un organisme de standardisation américain) fait voter des standards de crypto. C'est d'eux que proviennent des standards comme l'AES ou SHA-2 (aka SHA256).
En 2007, différents algos générateurs de nombres pseudo-aléatoires avaient été proposés comme standard, dont l'un (Dual EC DRBG) recommandé par la NSA. A l'époque, Bruce Schneier (une sommité en crypto) avait analysé l'algo et trouvé des faiblesses (un biais de l'algo) qui - je cite - "ne peut être décrit que comme une backdoor". Mais il n'avait rien pour le prouver.
Nous sommes en 2013, et nous y somme: Cet algo semble en effet posséder des failles volontaires permettant à la NSA de déchiffrer les protocoles utilisant cet algo. En fait, comme beaucoup d'algo, il contient des constantes. Schneier soupçonne ces constantes d'avoir été calculée à dessein, et de faire partie d'une formule (un peu comme les paires clés privées/clés publiques).
La personne possédant le nombre secret correspondant pourrait déchiffrer un trafic TLS/SSL utilisant cet algo en observant seulement 32 octets échangés. Et il n'y a pas que TLS qui utilise Dual EC DRBG. Il y a tout un tas de produits, à commencer par ceux de la célèbre société RSA qui - du coup - recommande à ses clients d'éviter cet algo comme la peste.
Le NIST lui-même déconseille désormais Dual EC DRBG et ré-ouvrira des discussions sur les générateurs de nombres pseudo-aléatoires.
La question posée par l'auteur de l'article est pertinente: Pourquoi la société américaine RSA a choisi cet algo comme algo par défaut dans la majorité de ses produits, alors qu'il savaient dès le départ que c'était le bébé de la NSA ?
EDIT: Une liste d'entreprises utilisant cet algo: http://sebsauvage.net/links/?FZvDyA
EDIT: Article complémentaire: http://sebsauvage.net/links/?ZUgdvAhttp://threatpost.com/in-wake-of-latest-crypto-revelations-everything-is-suspect/102377
-
Le FBI hacke des sites hébergés en France : "no comment" de l'Etat
Le gouvernement prévient les députés concernant la sécurité des téléphones portables qui "pourraient" être piratés, mais quand on lui montre des serveurs français hackés par des américains, bouche cousue-circulez-y'a-rien-à-voir ? Quel foutage de gueule, quelle hypocrisie.2013-09-19 13:29:08http://www.numerama.com/magazine/27031-le-fbi-hacke-des-sites-heberges-en-france-no-comment-de-l-etat.html
-
Linus Torvalds Admits He's Been Asked To Insert Backdoor Into Linux - Slashdot
Oho... donc un gouvernement aurait déjà approché Linus Torvalds pour lui demander d'insérer une backdoor dans Linux. Ou alors c'est une blague de Linus.2013-09-19 09:57:35http://linux.slashdot.org/story/13/09/19/0227238/linus-torvalds-admits-hes-been-asked-to-insert-backdoor-into-linux
-
VUPEN, l'entreprise française qui aide la NSA
Pas brillant :-/2013-09-17 21:57:08
On notera chez Reflets (http://reflets.info/vupen-ou-les-limites-de-lattaque-dans-le-cybermonde/) cette réflexion tout à fait pertinente: « [...] avec la disparition de la menace représentée par les méchants rouges assoiffés du sang des petits enfants américains, les agences de la communauté du renseignement voyaient déjà leurs budgets fondre. Le hacker (pirate) assoiffé de bits remplace opportunément le communiste. »http://www.numerama.com/magazine/27004-vupen-l-entreprise-francaise-qui-aide-la-nsa.html
-
Creating the perfect GPG keypair - Alex Cabal
TL;DR Des conseils pour générer ses clés OpenPGP.2013-09-14 22:50:20https://alexcabal.com/creating-the-perfect-gpg-keypair/
-
Why fingerprints make lousy authentication tokens - Boing Boing
La biométrie comme moyen d'authentification pour remplacer les mots de passe ? Non merci !2013-09-13 08:48:36
Vos empreintes digitales ? Vous en laissez des copies partout, dès que vous touchez quelque chose.
Votre ADN ? Vous perdrez des cellules et des cheveux constamment.
Et une fois que votre empreinte digitale est recopiée ou votre ADN récupéré et réutilisé par des arnaqueurs ou des pirates, vous ne pouvez plus en changer -- contrairement aux mots de passe.
La biométrie est loin d'être une bonne idée pour l'authentification.
EDIT: Le CCC a réussit à casser le système d'authentification de l'iPhone 5s: http://sebsauvage.net/links/?TqsGzAhttp://boingboing.net/2013/09/12/why-fingerprints-make-lousy-au.html
-
Security of Java takes a dangerous turn for the worse, experts say | Ars Technica
Ouch. Java 6 n'est plus supporté par Oracle, donc plus de correction des failles de sécurité. Or Java 6 est installé chez la moitié des internautes. Cela veut dire des failles de sécurité et des infections qui vont perdurer... encore très longtemps. :-(2013-09-12 07:41:59
Oracle, tu fous quoi ???http://arstechnica.com/security/2013/09/security-of-java-takes-a-dangerous-turn-for-the-worse-experts-say/
-
How the feds asked Microsoft to backdoor BitLocker, their full-disk encryption tool - Boing Boing
Voilà qui est intéressant: Visiblement le FBI et la NSA venaient constamment chez Microsoft, entre autre pour demander à ce dernier de mettre une backdoor dans BitLocker (le système de chiffrement de disque de Microsoft). Les ingénieurs de Microsoft - tout à leur honneur - on refusé.2013-09-11 22:33:18
Maintenant, imaginez bien que s'ils vont aussi facilement demander au géant Microsoft, ils n'auront aucun problème pour aller demander aux plus petits. Y compris des plus petits sur lesquel il sera bien plus facile de mettre la pression.
Ce qui me laisse penser qu'un bon nombre de solutions de sécurité (antivirus, firewalls, proxy, équipements réseaux divers...) sont caviardés. Il y a des indices, comme McAfee qui avait annoncé il y a quelques années que leur antivirus ne détecterait pas le cheval de Troie du FBI.
Certains collaborent, d'autre non. Ou bien si, mais à leur insue.
Je ne serais pas surpris qu'on découvre un jour que certaines agences ont aussi caviardé les binaires des dépôts de certaines distributions. Le contraire serait étonnant.
Comme dit Bruce Schneier, la NSA, avec ses yeux partout et son investissement dans la destruction de la crypto, a surtout œuvré pour la destruction de la sécurité et de la confiance.
Les hackers ont amélioré notre sécurité en rendant public les failles et en forçant les entreprises à publier et corriger. La NSA l'a minée en essayant d'en introduire, et d'obliger les entreprises à la boucler.http://boingboing.net/2013/09/11/how-the-feds-asked-microsoft-t.html
-
Bullrun, l'arme anti-chiffrement des données de la NSA
« Ces collaborations lui auraient permis d'insérer « secrètement » des vulnérabilités dans les systèmes de chiffrement des données mis au point par les firmes. »2013-09-06 13:16:44
Du lard ou du cochon ? Si c'est vrai, ça va être un foutu pavé dans la marre des éditeurs de logiciels de sécurité et chiffrement. Effet de bord possible: Ça pourrait donner un bon coup de pouce aux logiciels libres.
EDIT: Chez Numérama: http://www.numerama.com/magazine/26916-comment-la-nsa-peut-contrecarrer-le-chiffrement-des-communications.htmlhttp://pro.clubic.com/legislation-loi-internet/donnees-personnelles/actualite-582284-bullrun-arme-anti-chiffrement-donnees-nsa.html
-
SSL/TLS & Perfect Forward Secrecy | Vincent Bernat
Explication du paramétrage "Perfect Forward Secrecy" en SSL/TLS et benchmarks. (via http://famille-michon.fr/links/?4XfBAg)2013-09-06 11:00:28http://vincent.bernat.im/fr/blog/2011-ssl-perfect-forward-secrecy.html
-
Orbit Downloader – Désinstallez vite cette merde ! | Korben
Un logiciel de téléchargement à bannir: il effectue dans votre dos des attaques DDOS.2013-09-04 22:48:58http://korben.info/orbit-downloader.html
-
Blog Stéphane Bortzmeyer: La cryptographie nous protège t-elle vraiment de l'espionnage par la NSA ou la DGSE ?
L'avis de S.B. sur la crypto ? Ce n'est pas une arme absolue, mais il serait bête de s'en priver.2013-09-03 23:46:25http://www.bortzmeyer.org/crypto-protection.html
-
High Profile Domains Under Siege | OpenDNS Blog
Woua... un registrar a été piraté, ce qui a permis de détourner carrément les sites du New-York Times, Twitter, ShareThis et Huffington Post vers des IP malveillantes.2013-08-29 23:08:15
Ce genre d'attaque contre les registrars est assez rare: les pirates s'attaquent généralement aux serveurs web eux-mêmes, aux inclusions (régies de pub), voir aux serveurs DNS.http://blog.opendns.com/2013/08/27/high-profile-domains-under-siege/
-
Zenk - Security - Repository
Une importante quantité de documents sur la sécurité (via http://links.buntux.org/?yxccHQ)2013-08-29 15:36:41
(Il faudrait que je fasse un miroir de ce site au cas où ça passerait à la trappe.)
EDIT: J'ai tout récupéré (2,9 Go). Vive ScrapBook.
EDIT: Merci à T0m qui a créé un torrent: magnet:?xt=urn:btih:4d88e1e1be0a9aa328d4829641e375985d43700c&dn=repo.zenk-security.com&tr=http%3A%2F%2Ftracker.openbittorrent.com%3A80%2Fannouncehttp://repo.zenk-security.com/
-
Comment bien choisir son mot de passe
Là où tous ces tests se plantent, c'est qu'il comptent le nombre de caractères et en déduisent le nombre de bits, donc la sécurité. Mais c'est idiot.2013-08-19 14:43:55
Votre "manger couchette rose" est à peine plus sûr que "mcr": Le pirate, au lieu de rechercher en combinant des lettres, fera juste une recherche en combinant des mots. Et il y a déjà des tonnes de dictionnaires prêt à l'emploi sur le net.
Ces tests de sécurité des mots de passe ignorent ce fait et se contenteront de compter le nombre de bits, en partant du principe que le pirate essaiera toutes les combinaisons de bits ou de lettre (aaa, aab, aac...). Ils n'évaluent pas le temps nécessaire à la combinaison de mots issus d'un dictionnaire.
Si je prend un dictionnaire de la langue anglaise, "this is fun" prendra juste quelques minutes à trouver puisqu'il n'y a qu'à chercher la combinaison de 3 mots.http://geekpauvre.com/bien-choisir-mot-passe/
-
Google Admits Bitcoin Thieves Exploited Android Crypto PRNG Flaw - Slashdot
Nous voici encore avec un exemple d'un mauvais générateur de nombres aléatoires qui plombe la sécurité d'une application.2013-08-15 20:37:02http://it.slashdot.org/story/13/08/15/1726233/google-admits-bitcoin-thieves-exploited-android-crypto-prng-flaw
-
Duplicity : des backups incrémentaux chiffrés – ®om's blog
Exemple d'utilisaton de duplicity pour faire ses backups incrémentaux et chiffrés. Incrémentaux car seuls les fichiers modifiées sont envoyés, et chiffré (avec GPG) pour faire ses backups vers des serveurs qui ne sont pas forcément à nous.2013-08-14 18:01:32http://blog.rom1v.com/2013/08/duplicity-des-backups-incrementaux-chiffres/
-
Les Fast-Flux Networks : comment remonter à la source des attaques ?
TL;DR Article technique expliquant le principe du fast-flux.2013-08-14 08:38:51http://www.xmco.fr/article-fast-flux.html
-
Settings - Passwords - Arthur Hoaro's Links
+12013-08-08 13:26:53
Chiffrés ou non, je ne laisse jamais un logiciel stocker mes mots de passe. *Jamais*.http://links.hoa.ro/?7rBINw
-
Sécurisation d'applications Web - Système de bannissement en php
J'ai ajouté mon système de bannissement d'adresse IP au système de login de Codiad. Trop d'essais avec le mauvais mot de passe, et l'adresse IP est bannie pendant 30 minutes. C'est suffisant pour bloquer les attaques de type brute-force. C'est très facile à ajouter, ça m'a pris 2 minutes, et ce genre de manipulation peut se faire sur pratiquement n'importe quelle appli web sans trop de difficultés. Il suffit de localiser l'endroit du code qui vérifie la validité du mot de passe.2013-08-07 18:37:15
Voilà comment procéder pour Codiad: J'ai mis mon petit "ban.php" dans le répertoire /component/user/ de Codiad: http://sebsauvage.net/paste/?7d32a7e48aeefb0f#5gIhzFvURzmZze+XpLVr66T+FBAd5z4u+0t5rtuSBYc=
puis j'ai modifié class.user.php. Voici le diff: http://sebsauvage.net/paste/?444102b53288a3a6#QC80ccMjOCpJJCWl7J9f93RoKzoWsAASOhqLPRNNtVk=
Vous voyez, il n'y a vraiment pas grand chose à changer: 2 lignes à ajouter, et 2 lignes à modifier, et voilà un formulaire de login protégé contre le brute-force. :-)
La petite subtilité ici, sur la manière dont je l'ai intégré, c'est que le pirate ne pourra pas faire la différence entre un bannissement et un mot de passe incorrecte: S'il est banni, on continuera à lui répondre que le mot de passe est incorrecte, même s'il est bon. Gniark gniark. (◠‿◠)?AzNPPw
-
Black Hat 2013: What Have We Learned | Threatpost
Résumé de la Black Hat Conference, selon Kaspersky: La conclusion ? Très sombre: Question sécurité, le web est cassé et il n'y a pas vraiment de moyen de corriger le tir sans tout refaire. La cause majeur de cette insécurité ? Javascript !2013-08-06 12:51:56https://threatpost.com/black-hat-2013-what-have-we-learned/101591
-
Insolite : des toilettes japonaises connectées victimes d'une faille de sécurité
Et vous voulez vraiment toute votre maison reliée à internet ? toilettes, chauffage central, four, frigo, congélateur, stores.... tout ça relié à internet ? Vraiment ?2013-08-06 10:42:23http://www.clubic.com/insolite/actualite-576482-insolite-toilettes-japonaises-connectees-victimes-faille-securite.html
-
Half of Tor Sites Compromised, Including TORMail - Slashdot
TL;DR un certain nombre de noeuds TOR auraient été compromis, y compris distribuant des attaques javascript. L'attaque ne marche que:2013-08-05 01:03:32
1) si vous activez javascript (interdit par défaut dans TorBrowser - ne jamais activer !)
et 2) si vous utilisez le même navigateur pour surfer normalement (ce qu'il ne faut jamais faire).
EDIT: TorMail est accessible. La nouvelle chez TorProject: https://blog.torproject.org/blog/hidden-services-current-events-and-freedom-hosting
EDIT: Liens complémentaires: http://shaarli.cafai.fr/?PxOciwhttp://yro.slashdot.org/story/13/08/04/2054208/half-of-tor-sites-compromised-including-tormail
-
Experts Urge ECC crytpo over RSA algorithm | Threatpost
Les progrès en mathématiques appliqués dans la factorisation des grands nombre pourraient voir le glas de l'algorithme RSA. Oh on y est pas encore, mais c'est une éventualité dans les années à venir.2013-08-01 22:25:13
Ils recommandent de passer progressivement aux ECC (courbes elliptiques).https://threatpost.com/crypto-gains-ramp-up-calls-to-get-ahead-of-inevitable-rsa-algorithm-downfall/101560
-
Dans les logs de connexion de mon Shaarli...
:-)2013-08-01 14:41:19
| 2012/08/18_15:18:02 - 92.147.215.x - Login failed for user sebsauvage' --
| 2012/08/18_15:18:17 - 92.147.215.x - Login failed for user sebsauvage" --
Non non, n'insistez pas, y'a pas de SQL dans Shaarli :-D
| 2012/11/02_18:33:15 - 80.185.48.x - Login failed for user audrey djiboutipresse
Gni ?
| 2012/12/27_02:49:23 - 113.212.70.x - Login failed for user discount north face denali
Sans doute un bot spammeur un peu plus con que les autres...
| 2013/02/03_22:49:43 - 78.230.75.x - Login failed for user Donc_on_peut_envoyer_nos_commentaires_comme_ca_Cool.:D
Petit malin :-)
| 2013/02/04_14:19:09 - 82.127.2.x - Login failed for user Coucou :P !
Coucou.
| 2013/02/15_21:01:04 - 78.231.35.x - Login failed for user eolivier
| 2013/02/15_21:01:51 - 78.231.35.x - Login failed for user oups-sorry-trompé-de-shaarli
Y'a pas de problème ^◡^
| 2013/02/27_05:36:26 - 178.194.233.x - Login failed for user charly
| 2013/02/27_05:36:39 - 178.194.233.x - Login failed for user charly
| 2013/02/27_05:36:58 - 178.194.233.x - Login failed for user charly
charly, es-tu là ?
| 2013/03/08_11:42:16 - 194.199.251.x - Login failed for user admin-shaarli
Non.
| 2013/03/08_11:42:30 - 194.199.251.x - Login failed for user admin-shaarli
Non.
| 2013/03/08_11:43:05 - 194.199.251.x - Login failed for user admin-shaarli
Toujours non.
| 2013/04/17_23:03:30 - 82.247.178.x - Login failed for user Pas de redirrection automatique vers https ?
Pas encore de https sur sebsauvage.net, désolé :-) (Je ferai peut-être ça un de ces jours vu que je vais changer de serveur.)
| 2013/04/20_00:32:25 - 86.220.203.x - Login failed for user protected against brute force
| 2013/04/20_00:32:53 - 86.220.203.x - Login failed for user dalahi
| 2013/04/20_00:33:16 - 86.220.203.x - Login failed for user titi is not there
| 2013/04/20_00:33:40 - 86.220.203.x - Login failed for user Otto
| 2013/04/20_00:33:40 - 86.220.203.x - IP address banned from login
Je confirme, ça marche. :o)
| 2013/06/07_21:16:08 - 83.202.178.x - Login failed for user -- olol apprenti hackerz coucou seb^^
:-)
Et enfin, un botnet utilisant de multiples adresses IP semble essayer de se connecter tous les jours (avec un user vide, ça ne risque pas de marcher). Il ne fait que quelques essais par jour, et utilise différentes adresses IP. Exemple pour une IP:
| 2013/07/26_10:48:39 - 142.4.213.x - Login failed for user
| 2013/07/26_11:14:07 - 142.4.213.x - Login failed for user
| 2013/07/26_11:23:52 - 142.4.213.x - Login failed for user
| 2013/07/26_12:25:16 - 142.4.213.x - Login failed for user
| 2013/07/26_12:25:16 - 142.4.213.x - IP address banned from login
| 2013/07/26_15:23:26 - 142.4.213.x - Ban lifted.
| 2013/07/27_22:04:05 - 142.4.213.x - Login failed for user
| 2013/07/27_23:04:56 - 142.4.213.x - Login failed for user
| 2013/07/28_21:59:48 - 142.4.213.x - Login failed for user
| 2013/07/28_23:00:44 - 142.4.213.x - Login failed for user
| 2013/07/28_23:00:44 - 142.4.213.x - IP address banned from login
| 2013/07/31_21:40:02 - 142.4.213.x - Ban lifted.
| 2013/07/31_21:40:03 - 142.4.213.x - Login failed for user
| 2013/07/31_22:44:41 - 142.4.213.x - Login failed for user
| 2013/08/01_12:01:16 - 142.4.213.x - Login failed for user
| 2013/08/01_13:08:37 - 142.4.213.x - Login failed for user
| 2013/08/01_13:08:37 - 142.4.213.x - IP address banned from login
Quel acharnement !
Et cette pattern se reproduit pour plusieurs adresses IP différentes, qui changent au cours du temps:
| 2013/07/12_15:12:54 - 94.23.234.x - Login failed for user
| 2013/07/12_16:17:41 - 94.23.234.x - Login failed for user
| 2013/07/17_22:31:28 - 94.23.234.x - Login failed for user
| 2013/07/17_23:34:40 - 94.23.234.x - Login failed for user
| 2013/07/17_23:34:40 - 94.23.234.x - IP address banned from login
| 2013/07/18_21:28:45 - 94.23.234.x - Ban lifted.
| 2013/07/23_20:16:23 - 94.23.234.x - Login failed for user
| 2013/07/23_21:16:13 - 94.23.234.x - Login failed for user
| 2013/07/26_17:53:30 - 94.23.234.x - Login failed for user
| 2013/07/26_18:53:40 - 94.23.234.x - Login failed for user
| 2013/07/26_18:53:40 - 94.23.234.x - IP address banned from login
| 2013/07/27_12:41:48 - 94.23.234.x - Ban lifted.
| 2013/07/28_04:06:10 - 94.23.234.x - Login failed for user
| 2013/07/28_05:06:55 - 94.23.234.x - Login failed for user
| 2013/07/28_18:32:06 - 94.23.234.x - Login failed for user
| 2013/07/28_19:32:57 - 94.23.234.x - Login failed for user
| 2013/07/28_19:32:57 - 94.23.234.x - IP address banned from login
| 2013/07/28_22:22:59 - 94.23.234.x - Ban lifted.
C'est limite flippant.
Donc, je vous recommande très fortement de mettre, dans le *MOINDRE* formulaires de login un système de bannissement (que ce soit fail2ban sous Linux, ou une petite lib maison en php comme j'ai fait pour Shaarli.).
Voici un bout de code adapté de Shaarli qui s'en occupe. Il est assez facile à utiliser (3 petites fonctions): http://sebsauvage.net/paste/?36dbd6c6be607e0c#M5uR8ixXo5rXBpXx32gOATLraHPffhBJEeqiDl1dMhs=
Instructions d'utilisation:
• Faites un require_once de ce script.
• à l'endroit où vous testez la validité du mot de passe:
• Si ban_canLogin()==false, l'utilisateur est banni. Ne testez même pas le mot de passe: Rejetez l'utilisateur.
• Si ban_canLogin()==true, vérifiez le mot de passe.
• Si le mot de passe est ok, appelez ban_loginOk(), sinon appelez ban_loginFailed()
La lib s'occupe de compter le nombre d'échecs et de gérer la durée de bannissement (bannissement/levée de ban).
Cette lib créé un sous-répertoire "data" qui contient les données de bannissement (ipbans.php) et un log de connexion (log.txt).
Pour fail2ban, j'ai fait un tuto là: http://www.commentcamarche.net/faq/18225-utiliser-fail2ban-pour-proteger-votre-application-web?kO4Krg
-
Piratage de voiture : maintenant ça commence à devenir vraiment dangereux… | {niKo[piK]}
J'l'avais dit, hein ?2013-08-01 11:17:22
Et c'est sans compter sur les bugs. Une Toyota Prius contient 100 MILLIONS DE LIGNES DE CODE.
http://sebsauvage.net/rhaa/index.php?2010/02/24/11/21/13-les-bugs-informatiques-peuvent-tuerhttp://www.nikopik.com/2013/08/piratage-de-voiture-maintenant-ca-commence-a-devenir-vraiment-dangereux.html
-
Myself and BitTorrent (Source/DNS and a reward) - RaGEZONE forums
Un hacker a eu par hasard accès au backoffice de la société BitTorrent, avec accès à *TOUT*: Dépôt Git (avec droits complets), accès aux DNS, aux documents internes. Le tout accessible sans mot de passe.2013-08-01 08:42:07
Il a donc prévenu la société qui l'a remercié et promis une récompense... qui n'est pas venue. Quand il leur a rappelé, il s'est fait jeter.
Pas très sympa... ou alors il ne fallait rien promettre.
(Le hacker n'a gardé aucun document: Il publie juste les copies d'écran pour prouver.)
Je ne sais pas, mais un hacker qui a évité que votre société se retrouve COMPLÈTEMENT À POIL sur internet (documents internes (y compris financiers), code source, mots de passe, config DNS...) ne mérite pas mieux qu'un simple «merci» ?http://forum.ragezone.com/f10/bittorrent-source-dns-reward-948810/
-
Un scientifique hacke les clés numériques des voitures de luxe
Interdiction de publier la faille ? Donc seules les criminels auront accès à l'information. Et c'est censé améliorer notre sécurité ? Bravo, bien joué.2013-07-30 19:08:58http://www.tomshardware.fr/articles/voiture-hack-luxe,1-45422.html
-
Can we believe our eyes? - Microsoft Malware Protection Center - Site Home - TechNet Blogs
Je m'y attendais un peu: les malwares commencent utiliser l'Unicode pour masquer les noms de fichiers.2013-07-26 00:09:44
D'abord avec un fichier hosts leurre dont le "o" n'est pas un "o" latin mais un caractère cyrillique. Ce fichier leurre ne contient aucune entrée malveillante. Donc à l'inspection, l'utilisateur ne verra rien d'anormal. Le vrai fichier hosts reste caché, contenant les domaines détournés.
Ensuite, plus subtile, en utilisant le caractères Unicode qui inverse l'écriture. Par exemple en insérant ce caractère après "pic" dans "picgpj.exe", le fichier apparaît comme "picexe.jpg", mais il a bien l'extension .exe et s'exécutera si on double-clic dessus. Diabolique.
Il fut une époque où le même genre de magouille était possible dans les URL, mais désormais les navigateurs affichent (généralement) les URL encodées en PunnyCode pour les différencier. Exemple: Voyez-vous des différences entre ces URLs ?
http://cοmmentcamarche.net/
http://cѻmmentcamarche.net/
http://commentcamarche.net/
http://c੦mmentcamarche.net/
http://c౦mmentcamarche.net/
Elles sont toutes différentes, mais une seule mène au vrai site de commentcamarche. Les autres domaines n'existent pas, mais rien n'empêcherait quelqu'un de les acheter et de mettre de fausses pages de login commentcamarche.https://blogs.technet.com/b/mmpc/archive/2011/08/10/can-we-believe-our-eyes.aspx?Redirected=true
-
Public-GitLab 5.4 released - Arthur Hoaro's Links
Certains d'entre vous on dû le remarquer: Le bookmarklet de Shaarli ne fonctionne pas sur certains sites (comme GitHub.com) à cause des CSP que certains sites utilisent (J'en avais parlé là: http://sebsauvage.net/links/?M0zQNA).2013-07-25 09:44:09
Dit autrement: La fonction de protection contre les attaques cross-site scripting incluse dans les navigateurs bloque l'exécution du bookmarklet Shaarli si la page indique dans ses règles CSP que le javascript inline est interdit.
Vous verrez alors dans la console développeur web l'erreur: "CSP WARN: La directive inline script base restriction a été violée"
La seule solution dans ce cas est de copier l'URL de la page que vous voulez partager, cliquez dans "Add link" dans Shaarli et coller l'URL.http://links.hoa.ro/?8V11nw
-
Google Hacking Database, GHDB, Google Dorks
Certes il y a https://canary.pw/ (cf.http://sebsauvage.net/links/?Jy6gWg) mais n'oublions pas l'excellent "Google Dorks" qui permet également de trouver des choses effarantes qui traînent sur le net, simplement avec quelques requêtes Google bien placées.2013-07-24 16:30:29http://www.exploit-db.com/google-dorks/
-
Après Prism, un petit Français veut protéger les échanges sur Internet - Le Point - Les petits liens à Neros
Voilà: Donc méfiance quand vous voyez un logiciel annoncer une sécurité maximale super-simplement. Sécurité et simplicité sont rarement compatibles.2013-07-24 13:37:45http://neros.fr/links/?JH62Kw
-
Publicités malicieuses : fausse mise à jour Flash | malekal's site
Faites gaffe aux fausses mise à jour Flash (et utilisez WOT !)2013-07-22 23:33:45http://www.malekal.com/2013/07/21/publicites-malicieuses-fausse-mise-a-jour-flash/
-
OVH Tasks
Uho... OVH semble voir été pénétré par des pirates qui ont eu accès au backoffice.2013-07-22 22:07:14
EDIT: les explications d'OVH: http://travaux.ovh.net/?do=details&id=8998http://status.ovh.net/?do=details&id=5070&PHPSESSID=d2344fbaf05bddbe375071d4ec197f41
-
Une faille dans les Google Glasses à base de QR Code | Korben
Haha ! Trop bon. Les google glass piratées simplement en regardant un QR-Code. Google a comblé la faille, mais il y en aura d'autres.2013-07-17 22:38:50http://korben.info/une-faille-dans-les-google-glasses-a-base-de-qr-code.html
-
L’ANSSI et l’AFNIC publient le rapport de l’Observatoire sur la résilience de l’Internet français - LinuxFr.org
Je me disais bien qu'il avait forcément du Stéphane Bortzmeyer derrière un rapport de ce genre :-)2013-07-16 15:50:57http://linuxfr.org/news/l-anssi-et-l-afnic-publient-le-rapport-de-l-observatoire-sur-la-resilience-de-l-internet-francais
-
Amazon One-Click Chrome Extension Snoops On SSL Traffic - Slashdot
Oh tiens, l'extension Amazon pour Chrome espionne votre traffic web, y compris HTTPS. Et en prime, elle introduit une faille de sécurité.2013-07-13 00:30:20
Chrome est plus sûr que les autres navigateurs ? ça reste à voir... (cf.http://sebsauvage.net/links/?9adXUg)http://yro.slashdot.org/story/13/07/12/2057214/amazon-one-click-chrome-extension-snoops-on-ssl-traffic
-
Malware and computer viruses: They’ve left porn sites for religious sites. - Slate Magazine
La statistique du jour qui fait rigoler: Vous avez plus de chances de choper un virus en surfant sur des sites religieux qu'en surfant sur des sites porno. LOL.2013-07-11 14:52:17http://www.slate.com/articles/technology/technology/2012/05/malware_and_computer_viruses_they_ve_left_porn_sites_for_religious_sites_.html
-
Security-Enhanced Android: NSA Edition - Businessweek
La NSA a contribué à du code pour Android. Ça ne me surprend pas. Ce n'est pas pour autant qu'il faut sortir son chapeau en papier d'alu: La NSA a déjà contribué à la sécurisation de Linux avec SELinux, un module pour affiner la sécurité de Linux (https://fr.wikipedia.org/wiki/SELinux) et c'est bien.2013-07-11 13:39:57http://www.businessweek.com/articles/2013-07-03/security-enhanced-android-nsa-edition
-
Windows Security Downloads
Voici une liste d'outils sécurité pour Windows. /!\ Attention: ils ne sont généralement pas destinés à tous les publics et sont souvent ciblés (par exemple AdwCleaner qui cible certaines spywares/PUP coriaces).2013-07-11 08:56:40
Visiblement la plupart de ces outils fonctionnent hors-ligne: Il peut donc être utile de les embarquer sur clé USB pour nettoyer des machines.http://www.bleepingcomputer.com/download/windows/security/
-
HP admits to backdoors in storage products • The Register
Superbe: HP admet qu'il y a une grosse backdoor dans tous ses produits de stockage StoreOnce: Bon c'est un accès root, mais - promis promis ! - ça ne permet pas d'accéder aux données utilisateur.2013-07-11 08:08:53
Ma fois s'ils ont "omis" (mensonge par omission) de dire qu'il avait cette backdoor, comment peut-on leur faire confiance sur cette dernière affirmation ? Il n'y a aucun moyen de vérifier: c'est à sources fermés.
Certes le monde opensource n'est pas parfait, mais je pense que ce genre de backdoor aurait plus de difficulté à passer inaperçue.http://www.theregister.co.uk/2013/07/11/hp_prepping_fix_for_latest_storage_vuln/
-
Shooting the messenger - Secunia Newsroom - IT Security Blog
Gni ? L'équipe VLC aurait menacé légalement Secunia ? (Secunia avait informé VideoLan que le patch de la 2.0.5 ne suffisait pas à combler une faille de sécurité.)2013-07-09 23:29:39
Et la réponse de VideoLan: http://www.jbkempf.com/blog/post/2013/More-lies-from-Secuniahttps://secunia.com/blog/372
-
Snowden: US and Israel did create Stuxnet attack code • The Register
Tout le monde le savait (cf.http://sebsauvage.net/links/?P7ApCw, http://sebsauvage.net/links/?eIoF6Q), mais c'est confirmé par Snowden (pour ce que vaut sa parole): Le vers Stuxnet a bien été co-écrit par les États-Unis et l'Israël.2013-07-09 12:24:53http://www.theregister.co.uk/2013/07/08/snowden_us_israel_stuxnet/
-
No, you're right... it was a stupid post anyway. - Imgur
Comme d'habitude, McAfee SiteAdvisor au meilleur de sa forme.2013-07-09 11:25:33
(avant, ils bloquaient aussi Commentcamarche et Malekal. Duh.)
McAfee lui-même n'utilise plus McAfee.http://imgur.com/UNDVM3o
-
Anatomy of a pseudorandom number generator – visualising Cryptocat’s buggy PRNG | Naked Security
Encore un excellent article chez Naked Security qui essaie de montrer graphiquement le problème de sécurité de CryptoCat lié à son mauvais générateur de nombres pseudo-aléatoires.2013-07-09 09:19:42
(Les générateurs de nombres pseudo-aléatoire (PRNG) sont critiques pour la sécurité informatique, et pas toujours facile à faire correctement. J'en avais déjà parlé là: http://sebsauvage.net/rhaa/index.php?2011/08/25/07/32/33-le-hasard-est-une-chose-difficile-pour-un-ordinateur)http://nakedsecurity.sophos.com/2013/07/09/anatomy-of-a-pseudorandom-number-generator-visualising-cryptocats-buggy-prng/
-
Hadopi / TMG : la CNIL perd son procès contre Electron Libre
Good. Il ne faut pas que ceux qui mettent en lumière les failles de sécurité soient condamnés, sinon *personne* ne sera en sécurité.2013-07-08 20:44:24http://www.numerama.com/magazine/26458-hadopi-tmg-la-cnil-perd-son-proces-contre-electron-libre.html
