Mes Liens en Vrac
1297 shaares
308 résultats
taggé
security
Au début de l’année 2020, alors que l’on commençait à entendre parler de quelques cas de pneumonie atypique dans la ville chinoise de Wuhan, deux chercheurs français, Gaëtan Leurent (Inria) et Thomas Peyrin (Nanyang Technological University, Singapour), publiaient la première collision à préfixes choisis sur l’algorithme de condensation cryptographique SHA-1, et démontraient la faisabilité d’une attaque contre la toile de confiance OpenPGP.
Email is unsafe and cannot be made safe. The tools we have today to encrypt email are badly flawed. Even if those flaws were fixed, email would remain unsafe. Its problems cannot plausibly be mitigated. Avoid encrypted email.
Three researchers from the University of New Mexico and Breakpointing Bad have identified vulnerability in the way Unix and Linux-based operating systems like the macOS handle the TCIP connections.
En complément de ma causerie à Pas Sage En Seine ce 28 juin (et dont les diapos sont ici, je vous conseille d'y jeter un œil avant de lire texte – ou bien lire les RFC 7858, 8310 et 8484 🙂), un billet donc pour parler de ce que je n'ai pas pu placer dans une conférence d'une heure : l'utilisation d'un résolveur DNS sur TLS (DoT) dans la pratique, principalement en tant que client mais aussi quelques billes pour administrer un résolveur complet.
There are several different standards covering selection of curves for use in elliptic-curve cryptography (ECC):
ANSI X9.62 (1999).
IEEE P1363 (2000).
SEC 2 (2000).
NIST FIPS 186-2 (2000).
ANSI X9.63 (2001).
Brainpool (2005).
NSA Suite B (2005).
ANSSI FRP256V1 (2011).
ANSI X9.62 (1999).
IEEE P1363 (2000).
SEC 2 (2000).
NIST FIPS 186-2 (2000).
ANSI X9.63 (2001).
Brainpool (2005).
NSA Suite B (2005).
ANSSI FRP256V1 (2011).
Aujourd’hui je vais vous parler de ce qui représente le point d’entrée de la sécurité informatique, et qui pourtant, d’après mes observations personnelles, n’est pas encore très bien acquis par tout le monde.
WireGuard is a fast and modern VPN protocol.
It is a point-to-point VPN, which means it does not have a client-server architecture, but peers, and does not rely on a PKI, unlike OpenVPN. It is super simple to setup to connect multiple machines together.
It is a point-to-point VPN, which means it does not have a client-server architecture, but peers, and does not rely on a PKI, unlike OpenVPN. It is super simple to setup to connect multiple machines together.
Here are 10 of the most popular WordPress plugins which are still more vulnerable than you might think.
We at AdGuard put a lot of our effort into protecting people's privacy, and many AdGuard users value our products exactly for this reason. One of the biggest challenges has always been not just providing good protection, but doing it for everyone, no matter where the person is and what device do they use.
Aujourd'hui, j'aimerais parler à propos d'OpenVPN. Pour ceux qui ne connaissent pas, OpenVPN est un logiciel libre et avec le code est ouvert et qui implémente des différentes façons de créer des réseaux virtuels (VPN) sécurisés * Wikipedia. L'application est développée par OpenVPN Incorporation et il propose également différents services payants privatetunnel.
Le but de cette page est de synthétiser, clarifier et documenter les raisons techniques, économiques et politiques (passées et présentes) pour lesquelles je ne veux plus remettre les pieds sous Windows et pour lesquelles je n'arrive plus à faire confiance à Microsoft. Chacun des points est argumenté et (quand cela est possible) donne les liens correspondants, tout comme je l'avais fait à l'époque pour Apple.
Cette page n'est sans doute pas exhaustive.
Cette page n'est sans doute pas exhaustive.
[Infographie] Il était une fois l'ours connecté mal sécurisé
Revue stratégique de cyberdéfense 2018
We investigated the top free VPN (Virtual Private Network) apps in Apple's App Store and Google Play and found that over half are run by highly secretive companies with Chinese ownership. Very few of these hugely popular apps, which have hundreds of millions of installs worldwide, do anywhere enough to deserve the trust of consumers looking to protect their privacy.
Outil indispensable à la maitrise de son système d’information (SI) et obligatoire pour les Opérateurs d’importance vitale (OIV), la cartographie du SI permet de connaitre l’ensemble des éléments qui le constituent pour en obtenir une meilleure lisibilité, et donc un meilleur contrôle. Elle s’intègre dans une démarche globale de gestion des risques.
It's been a while since we last wrote about Layer 3/4 DDoS attacks on this blog. This is a good news - we've been quietly handling the daily onslaught of DDoS attacks. Since our last write-up, a handful of interesting L3/4 attacks have happened. Let's review them.
On November 12th, 2018, between 1:00 PM and 2:23 PM PST, ThousandEyes noticed issues connecting to G Suite, a critical application for our organization. Reviewing ThousandEyes Endpoint Agent stats, we noticed this was impacting all users at the ThousandEyes office. The outage not only affected G Suite, but also Google Search as well as Google Analytics.
Google is investigating an unorthodox routing of internet traffic that on Monday sent traffic bound for its cloud services instead to internet service providers in Nigeria, Russia and China.
We use our web browsers to communicate, shop, get directions, research, and ask questions we are too embarrassed to ask a person. It’s no wonder that “How do I protect my web browsing?” is one of the most common questions people ask when they start learning about digital security. The various methods for protecting your browser security can be confusing, and can work together in counterintuitive ways.
Emmanuel Macron doit lancer ce lundi à l’Unesco un appel sur la sécurité du cyberespace. Une initiative qui survient alors que de plus en plus d’Etats ont intégré ce domaine à leur doctrine militaire.
I like VirtualBox and it has nothing to do with why I publish a 0day vulnerability. The reason is my disagreement with contemporary state of infosec, especially of security research and bug bounty.
The UK Public Sector DNS Service is one of the NCSC’s most widely deployed Active Cyber Defence capabilities across the public sector to date, and has been outlined as a top priority for government departments in enabling them to become more cyber resilient.
This is a cross platform python framework which allows you to build custom payloads for Windows, Mac OSX and Linux as well. You are able to select whether the payload binds to a specific IP and port, listens for a connection on a port, option to send an email of system info when the system boots, and option to start keylogger on boot. Payloads created can only run on the OS that they were created on.
We have analyzed the hardware full-disk encryptionof several SSDs by reverse engineering their firmware. In theory,the security guarantees offered by hardware encryption aresimilar to or better than software implementations.
Les fonctions de hachage permettent d’assurer l’intégrité des données. Les signatures numériques, en plus d’assurer l’intégrité, permettent de vérifier l’origine de l’information et son authenticité. Enfin, le chiffrement, parfois improprement appelé cryptage, permet de garantir la confidentialité d’un message.
Une variante du ver Stuxnet plus sophistiquée et dangereuse a ciblé l'infrastructure réseau de l'Iran. L'agence de la défense civile de ce pays ne s'est pas étendue sur d'éventuels dégâts.
This post is about a heap buffer overflow vulnerability which I found in Apple's XNU operating system kernel. I have written a proof-of-concept exploit which can reboot any Mac or iOS device on the same network, without any user interaction. Apple have classified this vulnerability as a remote code execution vulnerability in the kernel, because it may be possible to exploit the buffer overflow to execute arbitrary code in the kernel.
Because computers play such critical roles in our lives, and because we input and view so much personally identifiable information (PII) on them, it’s imperative to implement and maintain computer security. Strong computer security ensures safe processing and storage of our information.
TLS-Scanner is a tool created by the Chair for Network and Data Security from the Ruhr-University Bochum to assist pentesters and security researchers in the evaluation of TLS Server configurations.
A security bug in Systemd can be exploited over the network to, at best, potentially crash a vulnerable Linux machine, or, at worst, execute malicious code on the box.
X.org X Server application is vulnerable to privilege escalation issue. X.org X Server application allows lower privileged user to create or overwrite file anywhere on system , including files owned by privileged users (ex. /etc/shadow).
The attacker needs to have active console session to exploit this issue.
The attacker needs to have active console session to exploit this issue.
En 2012, j'ai été invité par des comparses du Tetalab pour faire une présentation à la toute première cryptoparty de Toulouse. Puis ces mêmes comparses m'ont poussé à en reprendre l'organisation pour monter la seconde, et d'autres encore…
Je croyais qu'on pouvait combattre l'insécurité endémique de nos ordinateurs en formant les utilisateurs autour de nous.
Je croyais qu'on pouvait combattre l'insécurité endémique de nos ordinateurs en formant les utilisateurs autour de nous.
Uses the Mozilla Observatory to scan sites and determine how secure they are.
BGP Filter Guides – BGP Filter Guide – Guidance on BGP Filtering
In this demonstration a client has connection to a server, negotiated a TLS 1.2 session, sent "ping", received "pong", and then terminated the session. Click below to begin exploring.
Chinese cybersecurity researchers have uncovered a widespread, ongoing malware campaign that has already hijacked over 100,000 home routers and modified their DNS settings to hack users with malicious web pages—especially if they visit banking sites—and steal their login credentials.
External pentest tool that performs subdomain enumeration through various techniques. In addition, SubScraper will provide information such as HTTP & DNS lookups to aid in potential next steps.
Accusé par Washington d'être l'œil du Kremlin, l'éditeur de logiciels Kaspersky Lab dénonce une «bataille géopolitique».
Maintenu par l’ANSSI, CLIP OS est un projet de système d’exploitation open source basé sur un noyau Linux et des logiciels libres. C’était une idée depuis dix ans, c’est désormais un projet bien réel.
Dans cet article, je vais vous présenter deux cas de phishing sur lesquels je suis tombé récemment via Phishtank. L’occasion d’en savoir un peu plus sur les méthodes des attaquants.
Leaked? is A Checking tool for Hash codes and Passwords and Emails leaked, uses leakz module from Aidan Holland, and leakz module uses API from Aurelius Wendelken.
With some care, it turns out to be possible to spoof fake DNS responses using fragmented datagrams. While preparing a presentation for XS4ALL back in 2009, I found out how this could be done, but I never got round to formally publishing the technique. The presentation was however made available.
Le protocole 802.1X permet de contrôler l'accès d'équipements informatiques à des réseaux locaux, qu'ils soient filaires ou Wi-Fi. Ce guide présente le protocole de façon succincte, ainsi que les objectifs de sécurité auxquels il permet de répondre.
A new attack named VORACLE can recover HTTP traffic sent via encrypted VPN connections under certain conditions.
The attack was discovered by security researcher Ahamed Nafeez, who presented his findings at the Black Hat and DEF CON security conferences held last week in Las Vegas.
The attack was discovered by security researcher Ahamed Nafeez, who presented his findings at the Black Hat and DEF CON security conferences held last week in Las Vegas.
The best way to scan for weak ssh passwords on your network
Last week, the new DNS resolver Quad9 has been announced. It is a public DNS resolver with the additional benefit that it is accessible in a secure way over TLS (RFC 7858).
Working remotely? It only takes a moment on a free WiFi connection for a hacker to access your personal accounts. While complimentary WiFi is convenient, protecting your connection with a VPN is the best way stay safe on public networks, keeping your data and browsing history secure.
Microsoft a publié une liste des recommandations matérielles à prévoir pour ceux qui souhaiteraient profiter pleinement des nouvelles fonctionnalités de sécurité introduites notamment dans Windows 10.
I recently saw a tweet mentioning the use of an AD account with the password in the description attribute and logon hours set to none. I can’t find that tweet anymore so I apologize for the lack of attribution.
Un mot de passe pour sécuriser un compte en ligne, c’est la base. Un bon mot de passe, c’est mieux. Mais c’est pas toujours simple à retenir.
Nous allons voir dans cette article comment mettre en place de la haute disponibilité sur pare-feu en utilisant CARP et pfsync. Ensuite nous relierons deux sites par un tunnel GRE chiffré en IPSEC. Ce tutoriel est réalisé sous Virtualbox.
Recently, the Chrome developers announced Intent to Deprecate and Remove: Public Key Pinning (via). The unkind way to describe HTTP Public Key Pinning is that it's a great way to blow your foot off, or in our situation have well-meaning people blow it off for us.
Telegram, Whatsapp, Signal, OTR. . .et autant de protocoles de messagerie quasi instantanée, de modèles de sécurité et de protocoles cryptographiques : lesquels choisir ? Et si la solution idéale n’était pas dans la liste précédente ? Cet article évoque les limites de plusieurs de ces solutions, et présente le cœur cryptographique de Signal, Whatsapp et du protocole OMEMO. Il met finalement en exergue, par une analyse comparative, certaines limites de Signal et des qualités d’OMEMO.
While browsing the darknet (Onion websites), it’s quite stunning to see the number of badly configured Hidden Services that will leak directly or indirectly the underlying clearnet IP address. Thus canceling the server anonymity protection that can offer Tor Hidden Services.
Dans cet article et ceux qui suivront, nous allons aborder les techniques et méthodes de scan de port au sein des réseaux. Il existe en effet plusieurs techniques permettant de scanner les IP d’un réseau et les ports des machines, que l’on passe par ICMP, ARP, TCP ou UDP…
Our team has previously posted about DNS vulnerabilities and exploits. Lately, we’ve been busy reviewing the security of another DNS software package: Dnsmasq. We are writing this to disclose the issues we found and to publicize the patches in an effort to increase their uptake.
See here for how to create a mail which looks like it comes from DHL, passes DKIM and DMARC validation, but shows a content which is fully controlled by the attacker. Or see here how DKIM gets broken accidentely in practice, making an innocent message look spoofed.
If you're using the HTTP protocol in everday Internet use you are usually only using two of its methods: GET and POST. However HTTP has a number of other methods, so I wondered what you can do with them and if there are any vulnerabilities.
Ce matin du 20 juin, plein de messages sur les réseaux sociaux pour se plaindre d'une impossibilité d'accéder aux services en ligne de BNP Paribas. Le CM a bien du mal à répondre à tout le monde. À l'origine de cette panne, un problème DNS. Que s'est-il passé et pourquoi ?
Aujourd’hui je vous présente un petit outil que j’ai écrit en Python. Il fait suite à diverses expériences autour du pentest web.
Pour celles et ceux qui suivent le dossier Open Bar Microsoft/Défense, la rentrée est assez dense en informations : un renouvellement de contrat, l'éditeur de logiciel Nexedi qui annonce vouloir l'attaquer, divers articles de presse sur le sujet, et un responsable du contrat nommé DSI des armées.
Last year, almost exactly to the day, I declared HPKP effectively dead. I believed then—and I still do—that HPKP is too complex and too dangerous to be worth the effort. The biggest problem lies in the fact that there is no sufficient margin of safety; pinning failures are always catastrophic. That’s always bothered me and I wondered if it was possible to somehow fix HPKP without starting from scratch. That’s what this blog post is about.
L’ARP est un protocole qui, de par sa conception, expose les réseaux informatiques et leurs composants à des vulnérabilités et des dangers qui sont faciles à exploiter lorsque l’on connaît bien son fonctionnement. Nous allons ici étudier le fonctionnement des attaques utilisant le protocole ARP puis essayer de donner des pistes pour s’en protéger.
A collection of scripts to initialize a windows VM to run all the malwares!
This penetration testing tool allows an auditor to intercept SSH connections. A patch applied to the OpenSSH v7.5p1 source code causes it to act as a proxy between the victim and their intended SSH server; all plaintext passwords and sessions are logged to disk.
Securing your Linux server is important to protect your data, intellectual property, and time, from the hands of crackers (hackers). The system administrator is responsible for security of the Linux box. In this first part of a Linux server security series, I will provide 40 hardening tips for default installation of Linux system.
In general, reverse engineering of malware is done on Windows systems. That's because despite recent inroads by Linux and the Mac OS, Windows systems still comprise over 90% of all computing systems in the world. As such, well over 90% of malware is designed to compromise Windows system. For this reason, it makes sense to focus our attention to Windows operating systems.
Yesterday I changed the SSL Labs rating criteria to stop penalizing sites that do not implement server-side mitigations for the BEAST attack. That means that we now consider this attack sufficiently mitigated client-side, but, there are still some things you should now.
A flaw was recently found in OpenSSL that allowed for an attacker to negotiate a lower version of TLS between the client and server (CVE-2014-3511). While this vulnerability was quickly patched, an attacker that has control of your traffic can still simulate this attack today. Let’s explore how this is possible through looking at man-in-the-middle attacks and how browsers handle SSL/TLS connections. In addition, we will see the implications of the attack on cryptographic security.
Un problème fréquemment rencontré avec OpenPGP est celui de la distribution des clefs publiques : comment Alice peut-elle transmettre sa clef publique à Bob, étape préalable indispensable à toute communication sécurisée ?
Depuis les premières versions de PGP, plusieurs méthodes ont été élaborées pour tenter de résoudre ce problème. Cet article les passe en revue.
Depuis les premières versions de PGP, plusieurs méthodes ont été élaborées pour tenter de résoudre ce problème. Cet article les passe en revue.
OpenVPN 2.4.0 Security Assessment
Face à ces constats, la seule voie praticable semble être de devenir capables d’imaginer et de mettre en place des politiques de sécurité adéquates. Tout l’enjeu de ce guide est de fournir cartes, sextant et boussole à quiconque veut cheminer sur cette route.
Un guide à lire, relire, pratiquer, en solitaire ou à plusieurs, à faire découvrir et à partager… ou comment affiner l’art de la navigation dans les eaux troubles du monde numérique.
Un guide à lire, relire, pratiquer, en solitaire ou à plusieurs, à faire découvrir et à partager… ou comment affiner l’art de la navigation dans les eaux troubles du monde numérique.
Un petit billet pour parler d’une initiative que je trouve sympathique : un guide de survie Tails. Comme indiqué sur le site,
Vendredi 7 juillet, nous vous informions qu’une connexion frauduleuse chez l’un de nos partenaires techniques avait entraîné la modification des serveurs de noms [NS] de 751 domaines et renvoyé leur trafic vers un site malveillant.
Google has warned that all certificates issued by Chinese company WoSign and subsidiary StartCom will be distrusted with the release of Chrome 61.
Linux users need to check out their distributions to see if a nasty bug in libgcrypt20 has been patched.
Le monde a peur…Car il semblerait que nous soyons désormais entrés dans l’ère de la cyberinsécurité. Deux attaques informatiques : Wannacry et Petya, des rançongiciels c’est-à-dire un virus qui bloque les ordinateurs et exige de l’argent en échange d’une clé de déblocage.
Upgrading simple shells to fully interactive TTYs
For years, two-factor authentication has been the most important advice in personal cybersecurity — one that consumer tech companies were surprisingly slow to recognize.
Le niveau de complexité des attaques informatiques implique de renforcer en continue les capacités de défense.
Why traditional password managers are flawed
Il ressemblait à un rançongiciel. En réalité, il détruit purement et simplement les données. Les entreprises et les autorités vont tenter de remonter la piste de ce virus, qui a causé des dégâts très importants.
Since June 27th we have been investigating the outbreak of the new Petya-like malware armed with an infector similar to WannaCry. Since day one, various contradicting theories started popping up. Some believed that this malware is a rip-off of the original Petya, while others think that it is another step in Petya’s evolution.
Microsoft is making some interesting security-related changes to Windows 10 with the next Fall Creators Update, expected to debut in September. Windows 10 testers can now access a preview of the changes that include a new controlled folder access feature.
Comme annoncé, la plateforme d’assistance aux victimes d’actes de cybermalveillance est lancée aujourd’hui par l’ANSSI, d’abord dans les Hauts-de-France avant sa généralisation dans les autres régions.
It is a rare law enforcement officer or intelligence agent who doesn't want access to more information. Yet total information awareness, to use a term from the George W. Bush administration era, has never been possible.
Campagne de logiciels malveillants aux capacités de propagation multiples prenant l’apparence d’un rançongiciel
As many in the tech community will know, the DNS is a core part of the Internet’s infrastructure. It provides the vital function of mapping human-readable names (such as www.surf.nl) to machine readable information (such as 2001:610:188:410:145:100:190:243).
projet dnsprivacy-monitoring
I’ve discovered 4 important security vulnerabilities in OpenVPN. Interestingly, these were not found by the two recently completed audits of OpenVPN code. Below you’ll find mostly technical information about the vulnerabilities and about how I found them, but also some commentary on why commissioning code audits isn’t always the best way to find vulnerabilities.
Open DNS resolvers that answer queries coming from anyone have been the main component of a large number of DDoS attacks in recent years.
Le 10 mai, Cedexis a subi une large attaque DDoS. Plusieurs médias français, qui s'appuient sur ses services, étaient inaccessibles une partie de la journée. Un baptême du feu pour la jeune pousse, qui revient pour nous sur cet événement.
Fast, free and open-source spam filtering system
DNSSEC Trace & Analyzer Tool
Maybe Skip SHA-3
Aeris, que vous suivez peut-être sur Twitter et qui s'occupe entre autres des Cafés Vie Privée a mis en ligne sa conf sur l'Hygiène numérique à destination des administrateurs système.
HTTPS Everywhere is a Firefox, Chrome, and Opera extension that encrypts your communications with many major websites, making your browsing more secure.
This is a new and revised version of the classic PF tutorial, with added content covering more topics related to networking, and with additional exercises to put the knowledge in practice.
On vient de nous proposer d’écrire un court texte pour le Mobile Ecosystem Forum à propos de l’attaque Wannacry, ce virus qui chiffre votre disque dur et demande une rançon en échange. L’article vient d’être publié en anglais, mais nous nous sommes dit qu’une version un peu plus étoffée et en français pourrait intéresser la communauté Cozy Cloud.
This penetration testing tool allows an auditor to intercept SSH connections. A patch applied to the OpenSSH v7.5p1 source code causes it to act as a proxy between the victim and their intended SSH server; all plaintext passwords and sessions are logged to disk.