Mes Liens en Vrac
1297 shaares
308 résultats
taggé
security
Lors d'une discussion avec un Officier de Police Judiciaire, celui-ci me demandait comment faire une analyse de disque dur sans budget logiciel, tout en garantissant un bon niveau d'investigation.
Quarkslab was hired by OSTIF to perform a security assessment of OpenVPN 2.4.0. We focused on code and cryptography assessment. Results are briefly described in this blog post, and full report is available at its end.
Never configure nginx with the resolver directive pointing to a resolver on the Internet like Google Public DNS, OpenDNS, or your ISP’s resolver. Many nginx users make this exact mistake.
ssh_scan is an easy-to-use prototype SSH configuration and policy scanner for Linux and UNIX servers, inspired by Mozilla OpenSSH Security Guide, which provides a reasonable baseline policy recommendation for SSH configuration parameters such as Ciphers, MACs, and KexAlgos and much more.
Security in WordPress is taken very seriously, but as with any other system there are potential security issues that may arise if some basic security precautions aren't taken.
I was recently invited to take part in some research by BBC Click, alongside Professor Alan Woodward, to analyse a device that had quite a lot of people all excited. With slick marketing, catchy tag lines and some pretty bold claims about their security, nomx claim to have cracked email security once and for all. Down the rabbit hole we go!
Par définition, un serveur est accédé de manière distante. C’est à dire qu’on doit pouvoir l’administrer sans être physiquement devant. Alors qu’il soit dans un datacenter à l’autre bout du globe ou dans le grenier de la maison, SSH nous permettra de gérer tout ça depuis notre ordinateur de bureau (ou laptop).
I found on Twitter an interesting blog post on breaking (EC)DSA and was writing a lengthy comment when some weird combination of keystrokes shutdown my browser and ate my comment, so I thought I'd write a blog post instead.
Lynis est un outil de sécurité open source. Utilisé par de nombreux administrateurs systèmes, il a pour objectif d’évaluer le niveau de sécurité de votre système.
I want to share my web server DocumentRoot /var/www/html/ across 2 Apache web server. Both of my web servers are behind load balanced reverse proxy powered by Nginx.
How do I limit ssh connection attempts using UFW (Uncomplicated Firewall) on Ubuntu or Debian Linux server?
The importance of trust and integrity in a VPN provider (and how MySafeVPN blew it)
Protects your data by inspecting incoming queries from your application server and rejecting abnormal ones.
I setup GlusterFS cluster on Ubuntu Linux. How do I enable network encryption using TLS/SSL for my Glusterfs storage cluster on Linux for security reasons when using over insecure network such as WAN (wide area network) or the Internet?
For security reasons and to save bandwidth I would like to configure Squid proxy server such way that my users should not download all of the following files:
C'est la controverse de la semaine, lancée par un billet de SSL Store, autorité qui délivre des certificats SSL payants.
This code was introduced in OpenSSL 1.1.0d, which was released a couple of days ago. This is in the server SSL code, ssl/statem/statem_srvr.c, ssl_bytes_to_cipher_list()), and can easily be reached remotely. Can you spot the vulnerability? (read ahead for the answer)
Logcheck est un logiciel qui analyse les logs du serveur et renvoi par mail des infos sur les problèmes rencontrés.
Malgré le paramétrage qui semble être correct, les règles d'évitement (ignorance) des log de sSMTP n'étaient pas appliquées et je recevais toutes les heures un message du type :
Malgré le paramétrage qui semble être correct, les règles d'évitement (ignorance) des log de sSMTP n'étaient pas appliquées et je recevais toutes les heures un message du type :
Cisco vient de publier un rapport de sécurité qui mentionne la présence de failles de sécurité découvertes suite à l'étude des documents publiés par Wikileaks. Des vulnérabilités tenues secrètes par la CIA et qui pouvaient être utilisées pour récupérer des données à distance, ou d'exécuter du code.
Tunnel TCP through WebSockets. Access anything you want, even from a crappy WiFi which only allows HTTPS.
Nous allons aujourd’hui étudier d’un peu plus près un angle d’attaque des services DHCP qui se nomme le DHCP Starvation, nous étendrons ensuite notre attaque vers le DHCP Rogue et verrons la différence, de but et de procédure, entre ces deux attaques.
Ce papier fait suite au précédent Chiffrer ses requêtes DNS avec DNScrypt et le complète en donnant une recette afin d'installer DNScrypt. Contrairement à ce que je déclarai dans ce papier, je suis revenu à une installation à la main, plutôt que de recourir à un script.
Dans cet article, nous allons nous intéresser au”RA flooding”, autrement dit l’inondation de paquet de type “Router Advertisment”. Nous étudierons son fonctionnement, son impact ainsi que des pistes de sécurisation.
How you can very easily use Remote Desktop Services to gain lateral movement through a network, using no external software — and how to defend against it.
All systems behind a hypertext transfer protocol secure (HTTPS) interception product are potentially affected.
L’offre de certificats gratuits proposée par Let’s Encrypt est généralement vue comme une aubaine qui a permis aux administrateurs de site web de facilement adopter le chiffrement HTTPS sur leurs sites. Mais ces certificats sont également utilisés par des cybercriminels qui souhaitent légitimer leurs sites contrefaits.
Une étude montre qu’entre 5 et 10 % des connexions web sécurisées HTTPS sont interceptés par des logiciels de sécurité. Et malheureusement, ces derniers sont mal configurés et apportent leurs propres vulnérabilités.
Dans le cadre le cadre de votre travail ou chez vous, vous conservez des documents qui peuvent contenir des informations confidentielles qui ne devraient pas être accessibles à tous. Le chiffrement répond à cette problématique.
Botnets have existed for at least a decade. As early as 2000, hackers were breaking into computers over the Internet and controlling them en masse from centralized systems. Among other things, the hackers used the combined computing power of these botnets to launch distributed denial-of-service attacks, which flood websites with traffic to take them down.
Linus Torvalds, Git and SHA1 collisions
The guys from sucuri have recently published a blog post with details of a WordPress vulnerability which allows an unauthenticated attacker to easily edit any blog post of their liking by abusing a bug in the WordPress REST API. I am not going to write about the details of the vulnerability because that has been discussed in the original blog post as mentioned.
Si KeePass peut être utilisé pour stocker les mots de passe de vos volumes chiffrés, il permet aussi parfois d'automatiser leur montage. Dans le cas de VeraCrypt, il suffit d'utiliser le plugin open source KeePassVeraCryptMount.
J’ai mis hier en ligne un script de mise à jour du logiciel SquidGuard, à partir de la blacklist fournie par l’université de Toulouse et mise à jour par Fabrice Prigent. Merci à lui.
Nick Sullivan and I gave a talk about TLS 1.3 at 33c3, the latest Chaos Communication Congress. The congress, attended by more that 13,000 hackers in Hamburg, has been one of the hallmark events of the security community for more than 30 years.
dns2proxy is an offensive DNS server that offers various features for post-exploitation once you’ve changed the DNS server of a victim.
La nouvelle version du GUIDE D’HYGIÈNE INFORMATIQUE est disponible dès aujourd’hui. Une refonte sur le fond et sur la forme qui présente en 42 mesures les pratiques incontournables pour renforcer la sécurité des systèmes d’information.
Quand j’ai dit sur Twitter que pour moi un VPN (d’entreprise pas celui que vous utilisez pour chiffrer vos connexions quand vous êtes au MacDo) pouvait être une menace,et quand je parle de menace je ne parle pas d’attaquer la crypto, personne ne m’a trop compris. Je vais donc expliquer le fond de ma pensée ici.
Hello everyone, in this post we are going to use DNS for data ex-filtration to fasten (time based) blind sql injection attacks or make exploitation possible even on random delayed networks/applications. So let us start with basics of DNS.
A curated list of resources for learning about application security. Contains books, websites, blog posts, and self-assessment quizzes.
L’intérêt principal des mécanismes de restriction logicielle réside dans la possibilité de restreindre l’exécution des programmes à une liste de programmes dûment autorisés (liste blanche).
Some physicists 28 years ago needed a way to easily share experimental data and thus the web was born. This was generally considered to be a good move. Unfortunately, everything physicists touch — from trigonometry to the strong nuclear force — eventually becomes weaponized and so too has the Hypertext Transfer Protocol.
Si vous avez une application avec un protocole ne supportant pas SSL, la solution est de l'encapsuler dans un tunnel SSL.
Bien entendu, il s'agit là d'un exemple, qui fonctionne chez-moi, n'hésitez pas à améliorer.
Bien entendu, il s'agit là d'un exemple, qui fonctionne chez-moi, n'hésitez pas à améliorer.
Après mon premier article sur Morpheus, découvrez aujourd’hui un autre type d’attaque MitM. Ce type d’attaque vise particulièrement les pages d’authentification de routeurs. L’objectif de l’attaquant ici sera de créer une page Web clonée d’un routeur afin de récolter les logins que la victime aura insérés.
LetsEncypt est une autorité de certification utilisant une API basée sur des appels HTTP et un client côté serveur qui va générer des tokens lus par les serveurs LetsEncrypt.
Nous allons ici voir une architecture LetsEncrypt typique dans laquelle nous allons utiliser le client acme-client d’OpenBSD disponible dans les ports et les packages FreeBSD.
Nous allons ici voir une architecture LetsEncrypt typique dans laquelle nous allons utiliser le client acme-client d’OpenBSD disponible dans les ports et les packages FreeBSD.
When running a domain with DNSSEC enabled, it is important to monitor it. Apart from monitoring whether the nameserver is running, is responding to UDP and TCP queries, the domain is served by the nameserver and whether the RRSIGs are valid (you do all that already right?), knowing if the chain of trust to the domain is valid is just as important.
Intervention de l'ANSSI au SSTIC 2017 sur le piratage de TV5 Monde en 2015
référentiel d’exigences
–
niveau Essentiel
–
niveau Essentiel
With many important things depending on time (think Kerberos), NTP is an important but often forgotten component of your network. Because the NTP daemon for Linux is relatively lightweight, it's rare for bugs to pop up in such a common service.
Parce qu’il est indispensable, dans toute opération d’externalisation, de faire appel à des prestataires qui s’engagent sur la sécurité, l’ANSSI propose un guide de l’externalisation qui vous aidera à maîtriser les aspects de sécurité dans les marchés d’infogérance.
GitHub - drduh/macOS-Security-and-Privacy-Guide: A practical guide to securing macOS.
I have used non-standard RSA key size for maybe 15 years. For example, my old OpenPGP key created in 2002. With non-standard key sizes, I mean a RSA key size that is not 2048 or 4096.
Une cyberattaque a paralysé le web américain vendredi soir, empêchant des millions d'internautes d'accéder à des services comme Twitter ou eBay.
Lurking in the kernel for nine years, flaw gives untrusted users unfettered root access.
Rich Salz and Tim Hudson started off their LinuxCon Europe 2016 talk by stating that April 3, 2014 shall forever be known as the "re-key the Internet date." That, of course, was the day that the Heartbleed vulnerability in the OpenSSL library was disclosed. A lot has happened with OpenSSL since that day, to the point that, Salz said, this should be the last talk he gives that ever mentions that particular vulnerability. In the last two years, the project has recovered from Heartbleed and is now more vital than ever before.
12 règles essentielles pour sécuriser
vos équipements numériques
vos équipements numériques
L’ANSSI propose un nouveau web-documentaire consacré à la cryptologie. Un format innovant qui présente de manière simple et interactive quelques-unes des nombreuses facettes de la cryptologie.
Depuis quelques semaines, un nouveau trojan se répand en Europe. StrongPity est un logiciel malveillant particulièrement vicieux, qui s'en prend à deux logiciels très populaires : WinRAR et TrueCrypt.
Ce document rédigé par l’ANSSI présente les « Recommandations pour la sécurisation d’un commutateur de desserte ». Il est téléchargeable sur le site www.ssi.gouv.fr. Il constitue une production originale de l’ANSSI. Il est à ce titre placé sous le régime de la « Licence ouverte » publiée par la mission Etalab (www.etalab.gouv.fr). Il est par conséquent diffusable sans restriction.
En août dernier, Libération éventait une note de l’ANSSI où Guillaume Poupard dégommait sans nuance l’idée d’installer des backdoors (portes dérobées) dans les solutions de chiffrement. Le sujet est revenu sur la scène des Assises de Monaco.
Le leader mondial des systèmes de vidéosurveillance des datacenters, racheté en 2007 par Schneider Electric, poids lourds du CAC 40, était doté d'une porte dérobée permettant au renseignement militaire américain d'espionner ses clients.
Sucuri researcher Daniel Cid found that it only took an attacker 12 minutes to compromise an IPv4 server and shortly after, use it to launch a DDoS attack on an unsuspecting victim while performing an experiment to see how long it would take to brute force compromise IPv4-only and IPv6-only servers.
If you run a Secure Shell login service anywhere which is accessible from the Internet, I'm sure you've seen things like these in your authentication logs:
Sep 26 03:12:34 skapet sshd[25771]: Failed password for root from
Sep 26 03:12:34 skapet sshd[25771]: Failed password for root from
Près de 860 000 périphériques réseau de Cisco sont exposés à une vulnérabilité qui ressemble à celle qui a été exploitée par un groupe d'attaquants, peut-être proche de l'Agence de sécurité nationale (NSA) américaine. Cette faille pourrait permettre d'extraire des données des mémoires de ces équipements. Selon l'analyse effectuée par la Fondation Shadowserver, les Etats-Unis sont les plus touchés avec 259 249 systèmes vulnérables. La France en compte plus de 27 000.
L’Agence Nationale de la Sécurité des Systèmes d’Information publie pour la première fois son rapport d’activité annuelle. L’occasion sur l’agence de faire le point sur ses grands axes de batailles et ses actions mises en place au cours de l’année 2015.
L’éditeur de sécurité a dressé un état des lieux de l’underground de la cybercriminalité en France. Méfiance, bitcoins et forte orientation vers les falsifications des documents sont les maîtres mots.
TrueCrack is a brute-force password cracker for TrueCrypt volume files. It works on Linux and it is optimized for Nvidia Cuda technology
In this post we’ll use GNU Radio’s Wi-Fi receiver, RFtap and Wireshark to detect Wi-Fi MAC spoofing by using the unique carrier offset frequency of each Wi-Fi packet.
Mickaël Salaün, chercheur à l’ANSSI, a présenté ses dernières recherches, menées avec Marion Daubignard, en matière de cloisonnement de sécurité d’un poste de travail à l’occasion de l’ACM Asia Conference on Computer and Communications Security (ou ASIACCS) organisé à Xi’an (Chine) en juin dernier.
La sécurité des utilisateurs est capitale. Les entreprises technologiques doivent faire tout ce qui est en leur pouvoir pour garantir la sécurité de leurs utilisateurs et créer des produits et services intégrant les plus fortes mesures de sécurité possibles.
SMTP STS is a mechanism enabling mail service providers to declare their ability to receive TLS-secured connections, to declare particular methods for certificate validation, and to request sending SMTP servers to report upon and/or refuse to deliver messages that cannot be delivered securely.
Parmi les outils des pirates informatiques, nous trouvons l’attaque de l’homme du milieu. Un projet Français, baptisé CheckMyHTTPS, souhaite permettre de contrer le Man in the Middle SSL TLS.
(J’aurais bien intitulé ce post « BlindEagle, charlatanisme ou charlatanisme ? », mais il paraît que c’était déjà pris :D)
Nous avons accueilli Ludovic Hirlimann, développeur chez Mozilla, ex QA lead pour thunderbird, pour nous parler de OpenGPG. Autour d'un repas, il nous a présenté les intérêts des signatures sécurisées PGP, l'utilisation de l'outil GPG pour gérer son trousseau de clés et fait une petite démonstration de signature croisée de clés.
Voici les dix règles de base, en quelque sorte les 10 commandements de la sécurité sur l’Internet.
Depuis quelques semaines, vous pouvez installer simplement et gratuitement un certificat Let's Encrypt sur votre serveur et disposer d'une connexion HTTPS. Mais que se cache-t-il derrière cette petite révolution qui veut généraliser le fameux cadenas vert ?
L’OpenSSL Software Foundation a mis à disposition hier une nouvelle version d’OpenSSL. Cette mouture règle un sérieux problème de sécurité qui, s’il devait être exploité, permettrait de déchiffrer les communications transitant sur une connexion HTTPS ou n’importe quel canal TLS (Transport Layer Security). La faille est d’autant plus dangereuse qu’OpenSSL est largement utilisé.
During this week, I've been playing with CloudFlare free plan in order to turn my websites into HTTPS protected websites, while configuring my account and playing a little bit with bettercap I figured out something really weird and I tweeted this ( from the @bettercap account ).
The Intercept recently reported that Apple CEO Tim Cook, in a private meeting with White House officials and other technology leaders, criticized the federal government’s stance on encryption and technology back doors
netfilter is a set of hooks inside the Linux kernel that allows kernel modules to register callback functions with the network stack. A registered callback function is then called back for every packet that traverses the respective hook within the network stack.
J'ai récemment animé des ateliers d'autodéfense numérique. Voici quelques retours et pistes d'améliorations.
Do you run Tor on Windows? Do you Google and Torrent on Tor? Here is a list of things you should NOT be doing while using Tor or else your privacy is as vulnerable as without Tor.
Apple CEO Tim Cook lashed out at the high-level delegation of Obama administration officials who came calling on tech leaders in San Jose last week, criticizing the White House for a lack of leadership and asking the administration to issue a strong public statement defending the use of unbreakable encryption.survei
ufw, Uncomplicated FireWall
L’ANSSI présente le système d’exploitation sécurisé CLIP, ses principes de conception et ses scénarios d’emploi.
The system administrator is responsible for security Linux box. In this first part of a Linux server security series, I will provide 20 hardening tips for default installation of Linux system.
A few weeks ago, additional parts of the “A History of U.S. Communications Security” books from the NSA were declassified.
Avec Vuvuzela, le MIT propose une messagerie qui génère un brouillard numérique pour réduire les risques d’espionnage.
Face à la montée des risques encourus par les journalistes, Reporters sans frontières (RSF) publie, en partenariat avec l’Unesco, une nouvelle édition de son Guide pratique de sécurité des journalistes, disponible en français, anglais, espagnol et arabe.
Les autorités de certification racine… Comment pourrait-on ne pas en parler quand on parle de TLS ou de HTTPS…
Ou : utilisons un logiciel dont c'est le taf de proxyfier :-)
Le Wi-Fi est une science complexe : les réseaux et les terminaux connectés se multiplient, occasionnant parfois des problèmes de connectivités ou de débit pour les utilisateurs. Mais plusieurs applications permettent d’analyser ces réseaux Wi-Fi afin d’en tirer le meilleur parti.
Emails chiffrés : ProtonMail sortira de bêta en janvier et proposera une offre payante - Next INpact
Après avoir revu son infrastructure, ProtonMail se prépare à lancer la version 3.0 de son service d'emails chiffrés, la première version qui ne sera pas en bêta. Pour l'occasion l'interface sera revue et corrigée, tandis que les applications mobiles et la liste d'attente devraient disparaitre. Il est également question d'une formule payante.
Ça y est, je me suis lancé ! J'ai testé Let's Encrypt, dont j'ai beaucoup entendu parler.
Comme promis à plusieurs personnes, un petit billet sur les extensions que j’utilise pour tenter de protéger ma vie privée.
Enfin. On l'attendait depuis longtemps. À chaque message publié sur leur blog, je lisais vite pour voir s'illes parlent d'une date de sortie. Il y avait d'abord eu une beta fermée (avec inscription sur un google docs), puis avant-hier, jeudi 3 décembre la beta a été ouverte à tou⋅te⋅s. Enfin.
This is an Acme Protocol implementation written fully using PHP language. It allows you to create manage and revoke certificates using ACME protocol used by Let's Encrypt
Its aim is to be used by hosting control panel software and hosting companies using PHP for their hosting panel.
Its aim is to be used by hosting control panel software and hosting companies using PHP for their hosting panel.
The OpenSSL project made public today four new security advisories. Three of the issues are considered of moderate severity while one is low.
L’ANSSI et la CGPME présentent douze règles essentielles pour la sécurité des systèmes d’information des petites et moyennes entreprises.
Keys hard-coded in thousands of routers, modems, IP cameras, VoIP phones and other devices can be used to launch man-in-the-middle attacks
Même si un antivirus est maintenant délivré d'office avec les systèmes Windows, de nombreuses alternatives qui proposent plus de fonctionnalités existent. Comment choisir son antivirus et quelle est leur efficacité ?