The OpenSSL project made public today four new security advisories. Three of the issues are considered of moderate severity while one is low.

Keys hard-coded in thousands of routers, modems, IP cameras, VoIP phones and other devices can be used to launch man-in-the-middle attacks

This report summarizes the results of that security analysis. As well as uncovering possible vulnerabilities, the aim was also to point out possible areas for improvement during any future developments of the program.

GnuPG is the de-facto way to use OpenPGP compliant smart cards. However in order to use the card for anything other than GPG (and SSH), e.g. TLS Client authentication, PKCS#11 is the industry standard used by all other non-GPG software.

La cryptographie, c’est la pierre angulaire de tout ce qui est plus ou moins sécurisé sur l’Internet numérique digital 2.0. C’est une science qui n’intéressait pourtant, jusqu’à récemment, qu’une poignée d’initiés à la pilosité faciale plus ou moins époustouflante.

Now that the cat is firmly out the bag, and it's clear that the NSA has cracked the encryption behind, potentially, a huge amount of internet traffic, the question inevitably turns to: what are internet engineers going to do about it ?

There have been rumors for years that the NSA can decrypt a significant fraction of encrypted Internet traffic. In 2012, James Bamford published an article quoting anonymous former NSA officials stating that the agency had achieved a “computing breakthrough” that gave them “the ability to crack current public encryption.”

Certain members of Congress and the FBI want to force companies to give the government special access to our data—such as by building security vulnerabilities or giving the government a “golden key” to unlock our encrypted communications. But security experts agree that it is not possible to give the government what it wants without creating vulnerabilities that could be exploited by bad actors.

Le gouvernement encourage le chiffrement des courriels et des données personnelles

Le projet Tor vise à construire un réseau d’anonymisation, géré par la communauté et donc très robuste à la plupart des attaques courantes.

Own-Mailbox est une solution se présentant comme « La boîte mail 100% confidentielle ». Surf sur la vague de la vie privée, quitte à faire du bullshit ou vraie solution de protection, une petite analyse rapide de ce nouveau projet.

Le SSH tout le monde le sait, c’est magique. Mais malheureusement ça ne marche pas OOTB.

Recent research on web security and related topics. Provided and maintained by members and friends of the Chair for Network and Data Security, Horst Görtz Institute, Ruhr-University Bochum.

Encrypted key transport with RSA-PKCS#1 v1.5 is the most com-
monly deployed key exchange method in all current versions of the
Transport Layer Security (TLS) protocol, including the most re-
cent version 1.2.

Bruce Schneier: "If encryption is designed to be broken by the FBI, it can be broken by anybody."

Le bras de fer se poursuit entre les défenseurs du chiffrement et les gouvernements américains et anglais. Mardi 7 juillet, une quinzaine d’ingénieurs et de cryptographes mondialement réputés ont publié un article approfondi critiquant la volonté de ces gouvernements d’accéder aux données chiffrées.

J’ai du mal à concevoir qu’on puisse enseigner quelque chose sans l’avoir expérimenté par soi-même auparavant. Non seulement parce que tester est la seule manière viable de se faire sa propre idée sur un sujet, mais aussi parce que c’est l’unique moyen d’avoir un minimum de crédibilité par rapport à un auditoire. Comment est-il possible de s’exprimer sur un sujet, quand personnellement, et d’autant plus quand ceci est parfaitement visible et public, on n’applique aucune des choses dont on est en train de parler et dont on cherche à convaincre son public ?

La plaie de DNSSEC, comme celle de tous les systèmes de cryptographie, est la gestion des clés. Avec DNSSEC, la clé de signature des autres clés, la KSK (Key Signing Key) est censée être remplacée (rolled over) régulièrement. Si un résolveur a une KSK dans sa configuration, cela oblige l'administrateur du résolveur à effectuer le remplacement à la main, ce qui peut être contraignant. Notre RFC 5011 propose une autre solution : le domaine signe la nouvelle KSK avec l'ancienne et le résolveur accepte alors automatiquement cette nouvelle clé.

Lorsque j’ai lu le titre de votre texte, ma première réaction a été positive. Rue89, média pour lequel j’ai aussi écrit, publiait un article sur les CryptoParties ! Un mouvement citoyen a besoin de presse, de présence, pour pouvoir se développer. Au moment même où je voyais les CryptoParties s’envoler en France, l’article tombait à pic.

Et revoici le "darknet" ! D'après France Inter, le réseau TOR, conçu pour protéger la vie privée des internautes, permettrait d'accéder à un "marché noir" fréquenté par des millions d'internautes venus y acheter de la drogue ou des faux papiers, mater des photos pédo-pornographiques ou encore recruter un tueur à gages. C'est vrai. Mais TOR n'en est pas moins, aussi, un système conçu par l'US Army pour pouvoir protéger l'anonymat des internautes, dont les valeurs et technologies sont recommandées par les Nations Unies, Amnesty, la FIDH et Reporters sans frontières (entre autres).