Mes Liens en Vrac
1297 shaares
82 résultats
taggé
cryptographie
Au début de l’année 2020, alors que l’on commençait à entendre parler de quelques cas de pneumonie atypique dans la ville chinoise de Wuhan, deux chercheurs français, Gaëtan Leurent (Inria) et Thomas Peyrin (Nanyang Technological University, Singapour), publiaient la première collision à préfixes choisis sur l’algorithme de condensation cryptographique SHA-1, et démontraient la faisabilité d’une attaque contre la toile de confiance OpenPGP.
Le HTTPS est au centre de pratiquement toute notre utilisation régulière de l’internet mondial. Facebook, Google, Amazon, Twitter, le présent blog et sûrement votre site de cuisine préféré utilisent le HTTPS. Dans un écosystème où les mesures de sécurité les plus élémentaires sont parfois négligées, voyons ensemble comment et pourquoi mettre en place le HTTPS sur votre propre site web.
Le principe de Kerckhoffs a été énoncé par Auguste Kerckhoffs à la fin du XIXe siècle dans un article en deux parties « La cryptographie militaire » du Journal des sciences militaires (vol. IX, pp. 5–38, Janvier 1883, pp. 161–191, Février 1883). Ce principe exprime que la sécurité d'un cryptosystème ne doit reposer que sur le secret de la clef. Autrement dit, tous les autres paramètres doivent être supposés publiquement connus.
La surveillance de masse viole nos droits fondamentaux et fait planer un risque sur la liberté d'expression. Ce guide vous apprendra les bases d'une méthode d'autodéfense contre la surveillance : le chiffrement du courriel.
In this talk, I’ll present several attacks that leak the plaintext of OpenPGP or S/MIME encrypted emails to an attacker. Some of the attacks are technically interesting, i.e. the two different efail attacks, some are somewhat silly, yet effective. Some abuse HTML emails, some also work with plain ASCII emails. Furthermore, I’ll discuss our lessons learned and describe the efail-related changes to mail clients and the OpenPGP and S/MIME standards.
Whether you're a software developer or a sysadmin, I bet you're using SSH keys. Pushing your commits to Github or managing your Unix systems, it's best practice to do this over SSH with public key authentication rather than passwords. However, as time flies, many of you are using older keys and not aware of the need to generate fresh ones to protect your privates much better. In this post I'll demonstrate how to transition to an Ed25519 key smoothly, why you would want this and show some tips and tricks on the way there.
Aujourd'hui, j'aimerais parler à propos d'OpenVPN. Pour ceux qui ne connaissent pas, OpenVPN est un logiciel libre et avec le code est ouvert et qui implémente des différentes façons de créer des réseaux virtuels (VPN) sécurisés * Wikipedia. L'application est développée par OpenVPN Incorporation et il propose également différents services payants privatetunnel.
ProtonMail is an online email service that claims to offer end-to-end encryption such that "even [ProtonMail] cannot read and decrypt [user] emails." The service, based in Switzerland, offers email access via webmail and smartphone applications to over five million users as of November 2018. In this work, we provide the first independent analysis of ProtonMail's cryptographic architecture. We find that for the majority of ProtonMail users, no end-to-end encryption guarantees have ever been provided by the ProtonMail service and that the "Zero-Knowledge Password Proofs" are negated by the service itself. We also find and document weaknesses in ProtonMail's "Encrypt-to-Outside" feature. We justify our findings against well-defined security goals and conclude with recommendations.
You have probably heard “encryption” used in several contexts and with different words around it. Generally, encryption refers to the mathematical process of making a message unreadable except to a person who has the key to “decrypt” it into readable form. Encryption is the best existing technology we have to protect information from government,
In this article I'll tell you how to set up hidden crypto-container using regular means of Linux OS (LUKS and cryptsetup). Standard features of LUKS (such as using external headers and placing actual data by predefined offset) allow user to access hidden data within existing container and deny existence of such data.
We use our web browsers to communicate, shop, get directions, research, and ask questions we are too embarrassed to ask a person. It’s no wonder that “How do I protect my web browsing?” is one of the most common questions people ask when they start learning about digital security. The various methods for protecting your browser security can be confusing, and can work together in counterintuitive ways.
A revised edition in which we dissect the new manner of secure and authenticated data exchange, the TLS 1.3 cryptographic protocol.
We have analyzed the hardware full-disk encryptionof several SSDs by reverse engineering their firmware. In theory,the security guarantees offered by hardware encryption aresimilar to or better than software implementations.
TLS-Scanner is a tool created by the Chair for Network and Data Security from the Ruhr-University Bochum to assist pentesters and security researchers in the evaluation of TLS Server configurations.
There are tons of VPN options out there, and the field is confusing enough that I did a post on the topic a while back to help people pick one of the better ones and avoid the scams.
Firefox Nightly now supports encrypting the TLS Server Name Indication (SNI) extension, which helps prevent attackers on your network from learning your browsing history. You can enable encrypted SNI today and it will automatically work with any site that supports it. Currently, that means any site hosted by Cloudflare, but we’re hoping other providers will add ESNI support soon.
In this demonstration a client has connection to a server, negotiated a TLS 1.2 session, sent "ping", received "pong", and then terminated the session. Click below to begin exploring.
Dans le précédent épisode, nous avons montré comment se connecter en ligne de commande à un serveur distant, parfois par l'intermédiaire d'un — ou potentiellement plusieurs — serveur relais. Pour chaque serveur et à chaque connexion, un mot de passe différent est requis. Outre la nécessité rébarbative d'avoir à taper des mots de passe, il ne s'agit peut-être pas de la méthode la plus sécurisée. Une seule compromission suffit ; toute personne ayant connaissance du mot de passe peut se connecter.
Le 18 septembre l’ICANN publiait une décision de son Board. Elle met un terme à plus de 2 ans de tergiversations sur le remplacement de la clé KSK (Key Signing Key) de la zone racine. Ce remplacement aura lieu le 11 octobre 2018.
L'informatique quantique en est à ses débuts, ils sont aujourd'hui peu fiables, peu "rapides", mais prometteurs. Leur méthode pour résoudre un problème est fondamentalement différente que les ordinateurs classiques, ce qui les rend plus efficaces.
OpenSSH is the implementation of the SSH protocol. OpenSSH is recommended for remote login, making backups, remote file transfer via scp or sftp, and much more.
Automate Let's Encrypt certificate issuance, renewal and synchronize with CleverCloud.
Le Bitcoin et les crypto-monnaies ont demeuré longtemps inconnu du grand public. En fin 2017, une très forte exposition médiatique a engendré une augmentation conséquente des investissements dans le Bitcoin de la part de nombreux investisseurs institutionnels et de particuliers.
Si vous utilisez votre propre autorité de certification (Active Directory par exemple) il peut-être utile de générer une demande de signature de certificat (CSR) autorisant plusieurs noms communs (common name) dans le but d'obtenir un certificat HTTPS (X.509).
Nous allons voir dans cette article comment mettre en place de la haute disponibilité sur pare-feu en utilisant CARP et pfsync. Ensuite nous relierons deux sites par un tunnel GRE chiffré en IPSEC. Ce tutoriel est réalisé sous Virtualbox.
Last year, almost exactly to the day, I declared HPKP effectively dead. I believed then—and I still do—that HPKP is too complex and too dangerous to be worth the effort. The biggest problem lies in the fact that there is no sufficient margin of safety; pinning failures are always catastrophic. That’s always bothered me and I wondered if it was possible to somehow fix HPKP without starting from scratch. That’s what this blog post is about.
nginx configuration w/ Mozilla modern compatibility · GitHub
Abstract: We have formalized the functional specification of HMAC-DRBG (NIST 800-90A), and we have proved its cryptographic security -- that its output is pseudorandom -- using a hybrid game-based proof.
Yesterday I changed the SSL Labs rating criteria to stop penalizing sites that do not implement server-side mitigations for the BEAST attack. That means that we now consider this attack sufficiently mitigated client-side, but, there are still some things you should now.
A flaw was recently found in OpenSSL that allowed for an attacker to negotiate a lower version of TLS between the client and server (CVE-2014-3511). While this vulnerability was quickly patched, an attacker that has control of your traffic can still simulate this attack today. Let’s explore how this is possible through looking at man-in-the-middle attacks and how browsers handle SSL/TLS connections. In addition, we will see the implications of the attack on cryptographic security.
Le vice-président de la Commission européenne et ex-premier ministre estonien Andrus Ansip a plaidé pour un chiffrement fort et sans aucune porte dérobée. Une prise de position sans doute influencé par sa nationalité, son pays dépendant très fortement des nouvelles technologies de l'information et de la communication.
Maybe Skip SHA-3
Cette année, le chiffrement a pris une place importante dans l’actualité. Et cela va continuer avec la période électorale qui nous attend. Nous avons donc décidé de faire le point sur les concepts de la cryptologie, qui semblent parfois tenir du mystère pour les internautes comme pour nos élus.
I found on Twitter an interesting blog post on breaking (EC)DSA and was writing a lengthy comment when some weird combination of keystrokes shutdown my browser and ate my comment, so I thought I'd write a blog post instead.
Linus Torvalds, Git and SHA1 collisions
Si KeePass peut être utilisé pour stocker les mots de passe de vos volumes chiffrés, il permet aussi parfois d'automatiser leur montage. Dans le cas de VeraCrypt, il suffit d'utiliser le plugin open source KeePassVeraCryptMount.
Colloque Chiffrement OLN Assemblée Nationale 21/11/2016 - YouTube
La cryptologie expliquée à mon voisin qui n'y connait rien mais qui voudrait savoir... Comme dans toutes mes rubriques "Le coin du cryptologue", un conseil pratique se trouve à la fin.
La cryptologie expliquée à mon voisin qui n'y connait rien mais qui voudrait savoir... Comme dans toutes mes rubriques "Le coin du cryptologue", un conseil pratique se trouve à la fin.
I have used non-standard RSA key size for maybe 15 years. For example, my old OpenPGP key created in 2002. With non-standard key sizes, I mean a RSA key size that is not 2048 or 4096.
Infographie : les usages de la cryptographie
L’ANSSI propose un nouveau web-documentaire consacré à la cryptologie. Un format innovant qui présente de manière simple et interactive quelques-unes des nombreuses facettes de la cryptologie.
Dans le terme cryptologie résonnent intrigues policières et espionnage militaire. Coder, décoder, intercepter, autant d’expressions qui renvoient aux heures noires de la Guerre Froide. Et pourtant, cette science du secret est plus que jamais d’actualité! Transmettre des données confidentielle de façon sécurisée et efficace est devenu une nécessité incontournable de notre siècle.
En tant que développeurs, mathématiciens et autres, nous souhaitons que vous compreniez pourquoi on dit "chiffrer", mais pas "crypter". Partout, dans les médias classiques et sur Internet, les gens se trompent. Il est temps d'informer. D'ailleurs, merci Canal+ de parler de chaines cryptées, ça n'aide pas notre cause.
The encrypted Internet is about to become a whole lot snappier. When it comes to browsing, we’ve been driving around in a beat-up car from the 90s for a while. Little does anyone know, we’re all about to trade in our station wagons for a smoking new sports car.
Une nouvelle étude confirme un constat devenu manifeste depuis 1 an : 75 % des entreprises dilapident leurs budgets sécurité, puisqu’elles s’avèrent incapables de déceler les agissements de pirates qui se camouflent derrière du trafic crypté !
In November 2015 SEC Consult released the results of our study on hardcoded cryptographic secrets in embedded systems. It's time to summarize what has happened since.
Riffle: An Efficient Communication System With Strong Anonymity
Je tiens à ne jamais perdre mes données, surtout les photos de ma progéniture, et pour ça, je suis du genre "ceinture et bretelles" (+airbag).
Those of you who know what public-key cryptography is may have already heard of ECC, ECDH or ECDSA. The first is an acronym for Elliptic Curve Cryptography, the others are names for algorithms based on it.
Our study finds that the current real-world deployment of Diffie-Hellman is less secure than previously believed. This page explains how to properly deploy Diffie-Hellman on your server.
La génération d'une clé asymétrique GPG sous un système Unix / Gnu/Linux est particulièrement simple (une fois que l'on sait le faire ;-)), et c'est justement ce que nous allons voir ici. Si les détails vous intéressent, ou si vous avez besoin d'explications plus détaillées, vous pouvez aller voir sur gnupg.org (le site officiel), wikipedia.fr (qu'est ce que GPG), ou encore wikibooks.org (pour quelques détails). La commande man gpg est bien entendu toujours disponible en cas de besoin. via shkaen
For a while now, I’ve pointed out that cryptography is singularly ill-suited to solve the major network security problems of today: denial-of-service attacks, website defacement, theft of credit card numbers, identity theft, viruses and worms, DNS attacks, network penetration, and so on.
Face à une migration plus ou moins forcée vers le Cloud Public, décision parfois prise au plus haut niveau, les équipes sécurité se retrouvent à devoir accompagner un changement qu’elles ne peuvent empêcher. Contraintes de devoir limiter les dégâts dans l’une des pires situations envisagées, l’envoi des données dans un Cloud « étranger », la cryptographie apparait comme l’un des meilleures options.
Face à la généralisation du HTTPS, qui se déploie maintenant sur des services grands publics tels que Youtube, de nombreuses entreprises déploient des scénarios de déchiffrement du trafic HTTPS afin de conserver une visibilité minimale sur ces flux de données. L’Anssi avait d’ailleurs publié en octobre 2014 un rapport technique sur cette question, mais la Cnil vient maintenant donner son propre son de cloche sur les légitimes interrogations juridiques liées à cette pratique.
L'algorithme de signature russe GOST R 34.10-2001 ayant été spécifié en anglais dans le RFC 5832, plus rien ne s'opposait à son utilisation dans DNSSEC. Ce RFC marque donc l'arrivée d'un nouvel algorithme dans les enregistrements DNSSEC, algorithme portant le numéro 12. via @bortzmeyer
Le mécanisme de sécurité DNSSEC permet évidemment de choisir entre plusieurs algorithmes de signature cryptographique, à la fois pour pouvoir faire face aux progrès de la cryptanalyse et pour pouvoir choisir en fonction de critères particuliers (taille des clés, temps de signature et de vérification, etc). La palette de choix s'agrandit avec ce RFC qui normalise l'usage d'ECDSA, un algorithme à courbes elliptiques (le deuxième dans DNSSEC après le RFC 5933). via @bortzmeyer
Il se fait passer pour Microsoft et dérobe un certificat SSL auprès de Comodo. Au cas où vous en douteriez encore, les Finlandais sont pleins d'humour. Dernier exemple en date avec cet informaticien finlandais qui s'est amusé, il y a 2 mois, à enregistrer une adresse hostmaster@live.fi sur le service de messagerie Live de Microsoft, pour faire une bonne blague. via korben
L'algorithme de signature Ed25519 ayant été mis en œuvre dans OpenSSH, ce nouveau RFC permet d'utiliser cet algorithme dans les enregistrements DNS SSHFP (SSH fingerprint). via @bortzmeyer
OpenSSL Cookbook
Émission france culture sur le chiffrement
Most IT people are somewhat familiar with Wireshark. It is a traffic analyzer, that helps you learn how networking works, diagnose problems and much more.
The Founder of Shodan John Matherly was revamping the SSH banner when discovered a large number of devices that share same SSH keys.
OpenSSL Cookbook is a free ebook built around two OpenSSL chapters from Bulletproof SSL and TLS, a larger work that teaches how to deploy secure servers and web applications.
Cette note a été élaborée pour la Commission parlementaire de réflexion et de propositions sur le droit et les libertés à l'âge numérique de l'Assemblée nationale. Elle défend le besoin d'une reconnaissance forte du droit à l'anonymat de l'expression sur internet, inséparable du droit au secret des communications.
Darkredman a écrit un billet intitulé Tor, un projet (presque) inutile !. Il y a plusieurs choses intéressantes dans son billet, qui sous un titre un peu provocateur, apporte pas mal de notions et concepts qu’il faut approfondir et pour lesquels il faut aller plus loin. Ce sont sur ces différents points sur lesquels je voudrais apporter ma contribution.
Alors que les révélations de Snowden continuent de pleuvoir et qu’elles sont de moins en moins l’apanage des spécialistes, un « article » du D. Michael Wertheimer a été publié sur le net la semaine passée. via @manhack
ProtonMail est un service email qui est en pleine phase de financement participatif et qui s'est donné pour mission de protéger les correspondances privées avec du chiffrement de bout en bout. AES, RSA et OpenPGP sont de la partie et ProtonMail intégrera même une fonctionnalité d'auto-destruction sécurisée pour les emails envoyés. via @korben
Le directeur de l'ANSSI est revenu sur les débats autour du chiffrement sur Internet. À ses yeux, il est indispensable qu'un accès puisse être aménagé pour permettre aux autorités, lorsqu'elles ont le feu vert de la justice, de connaître la teneur de certaines conversations, même chiffrées. via @Numerama
Thomas Ptacek laid out a number of arguments against DNSSEC recently (and in a follow up). We don't fully agree on everything, but it did prompt me to write why, even if you assume DNSSEC, DANE (the standard for speaking about the intersection of TLS and DNSSEC) is not a foregone conclusion in web browsers.
Ces derniers jours, j’entends la presse généraliste nous parler des "darknet", ces réseaux dans le réseau Internet, qui permettent de communiquer plus ou moins anonymement sur Internet.
Tor, le premier de ces réseaux dans le réseau, est en fait un outil que j’utilise au quotidien, qui permet de surfer en utilisant une autre adresse IP que celle que vous donne votre FAI, et d’éviter par exemple que les sites ou services que vous utilisez sur Internet vous traquent contre votre gré.
Tor, le premier de ces réseaux dans le réseau, est en fait un outil que j’utilise au quotidien, qui permet de surfer en utilisant une autre adresse IP que celle que vous donne votre FAI, et d’éviter par exemple que les sites ou services que vous utilisez sur Internet vous traquent contre votre gré.
Plusieurs personnes, côté LDN comme Neutrinet, utilisent déjà ce boîtier comme principal accès à Internet, depuis plusieurs semaines. Les applications Hotspot Wifi et Client VPN pour YunoHost sont fonctionnelles (mais encore à traduire en français).
Il ne reste plus qu’à finir d’intégrer le logiciel dnsmasq à la version stable de YunoHost (l’application Hotspot a été modifiée pour prendre en compte ce futur changement), et modifier YunoHost pour qu’il ajoute correctement les enregistrements AAAA au fichier DNS qu’il génère pour l’autohébergement. Les contributeurs de YunoHost sont sur le coup.
Il ne reste plus qu’à finir d’intégrer le logiciel dnsmasq à la version stable de YunoHost (l’application Hotspot a été modifiée pour prendre en compte ce futur changement), et modifier YunoHost pour qu’il ajoute correctement les enregistrements AAAA au fichier DNS qu’il génère pour l’autohébergement. Les contributeurs de YunoHost sont sur le coup.
A en croire le document confidentiel qui a filtré sur le net ce weekend datant de 2012, il semblerait que la NSA ait travaillé sur une modification du processus SSHD du package OpenSSH pour permettre à « n’importe qui » de pouvoir prendre le contrôle root d’un serveur ayant ce fameux processus de lancé. Par n’importe qui, nous entendons ceux qui possèdent la bonne paire de clés d’authentification (pubkey). via @TiChou
Cryptocat is a fun, accessible app for having encrypted chat with your friends, right in your browser and mobile phone. Everything is encrypted before it leaves your computer. Even the Cryptocat network itself can't read your messages.
Il y a trois jours, alors que je prenais un café dans l’aéroport de Hambourg au retour du 31e congrès du Chaos Computer Club (sur lequel je reviendrai, more to come comme on dit) et que je consultais ma messagerie, j’ai pris connaissance d’un commentaire succinct et assez péremptoire à mon billet « Facebook “caché” dans Tor : pourquoi c’est une très bonne nouvelle ». via @amaelle_g
Suite à la découverte des failles sur OpenSSL, les développeurs d’OpenBSD ont publié les premières versions de leur fork LibreSSL : d’abord la 2.0.0 le 11 juillet 2014, puis la 2.1.0 le 12 octobre et la 2.1.1 le 16 octobre. Elles sont disponibles sur leur site FTP. via @fasm3837
via @bayartb
Sslscan c'est beau et magique, mais depuis que les distributions GNU/Linux packagent des versions d'OpenSSL sans support sslv2, une partie des fonctionnalités de sslscan ne fonctionnent plus.
Evidemment, Internet regorge de tutos expliquant comment recompiler et packager la libssl sous diverses distributions Linux de warlordz (j'ai rien contre Kali, au contraire) pour ajouter le support sslv2 et recompiler sslscan. via @jbfavre
Evidemment, Internet regorge de tutos expliquant comment recompiler et packager la libssl sous diverses distributions Linux de warlordz (j'ai rien contre Kali, au contraire) pour ajouter le support sslv2 et recompiler sslscan. via @jbfavre
MitM attacks are a class of security attacks that involve the compromise of the authentication of a secure connection. In essence, an attacker builds a transparent tunnel between the client and the server, but makes sure that the client negotiates the secure connection with the attacker, instead of the intended server. via @Dinosn
Document PDF complet de l'AFNIC sur la mise en place de DNSSEC sur un serveur DNS faisant autorité utilisant Bind 9.9 ou NSD
via @_Quack1
The Cost of the "S" in HTTPS via @pbeyssac, @JoeBeOne, @sleevi_