A cause d'une mauvaise gestion des arguments trop longs, la fonction d_path() des noyaux Linux jusqu'au 2.2.20 et 2.4.18 permettent l'execution des processus avec des privilèges usurpés. Pensez à mettre à jour !
Les ministres des 15 ont officiellement lancé Galiléo cet après-midi en débloquant 450 millions d'euros pour le lancement du projet. A terme, le projet coûtera 3,4 milliards d'euros (hors dépassement de budget ;-)).
Le premier lien pointe vers la brève de Yahoo!, le second vers un article déjà paru ici concernant les pressions américaines.
NdM: Galileo est (sera) un système de radionavigation par satellite européen qui permettra de ne plus dépendre de l'armée américaine comme pour le GPS.
Une faille, affectant le daemon X Display Management Console Protocol (XDMCP) vient d'être relayée par le CERT sous le numéro VU#634847.
Cette faille n'affecte pas tous les systèmes UNIX mais quelques déclinaisons. La distribution Linux Mandrake serait affectée (jusqu'à la version 8.0) ainsi que les systèmes Solaris 2.6 (Intel et Sparc) et Solaris 7 Sparc.
En revanche, RedHat 7.2 ne serait pas vulnérable...
Cette faille permet une connexion en root sur le système attaqué.
Avant que la faille ne soit corrigée, il est recommandé de désactiver les connexions à distance et de filtrer le port 177.
SecurityFocus nous propose une évaluation de la distribution IPCop.
IPCop est une distribution spécifique destinée à tourner sur une passerelle/firewall/proxy. Elle dérive du projet SmoothWall.
L'article nous explique que le support de SmoothWall est trop axé sur la version commerciale de cette distribution, voila pourquoi IPCop n'existe qu'en GPL.
On y trouve:
* firewall basé sur IPChains
* interface externe qui peut être un modem analogique, RNIS ou ADSL, et peut supporter les connexions PPtP ou PPPoE ADSL vers des modems USB ou Ethernet.
* support DMZ
* système d'administration par page web
* serveur SSH pour accès ditant
* serveur DHCP
* cache DNS
* TCP/UDP port forwarding
* système de détection d'intrusion (Snort)
* support VPN basé sur IPSec (FreeSWAN)
A découvrir d'urgence pour ceux que SmoothWall ont déçu, ou ceux qui cherchent une solution simple à mettre en oeuvre pour sécuriser un réseau.
Galileo est un projet de l'Union concurrent du GPS américain.
Rappelons que le GPS permet de connaître une position au mètre prés sur toute la surface de la terre.
Au mètre prés, ou au kilomètre prés quand les Américains le décident.
Et ils ne s'en privent pas pour faire pression sur la diplomatie française. Car le GPS est massivement utilisé par l'Armée.
On imagine sans mal les problèmes qu'une précision kilométrique peut entrainer pour certaines applications.
C'est donc un élément stratégique indispensable à un pays souverain.
De plus Galileo n'est pas très coûteux à mettre en place, et il rapportera de l'argent.
Après les bugs "off by one" & "zlib double free", l'équipe d'OpenSSH est en train de travailler à une nouvelle version qui la rendrait insensible à ce type de bug, grâce à une séparation des privilèges.
De l'avis des développeurs :
"Previously any corruption in the sshd could lead to an immediate remote root compromise if it happened before authentication, and to local root compromise if it happend after authentication. Privilege Separation will make such compromise very difficult if not impossible."
Le code est actuellement utilisable sur OpenBSD, mais le portage vers d'autre *nix ne sera pas difficile.
(réécrite et réaffectée suite à une purge de compte)
Le HOWTO « post-link-time code modification of ELF executables under Linux/i386 » indique diverses manières d'interférer dans des binaires ELF pour un système GNU-Linux.
Pour le moment, pour mettre en place un pont filtrant sous Linux, on n'avait pas beaucoup le choix : en attendant quelque chose de propre et documenté avec le kernel 2.4 et NetFilter, il fallait se résigner à revenir en kernel 2.2 et lire le HOWTO Bridge+Firewall+DSL. Mais ce temps est révolu ! A nous les joies des ponts filtrants avec NetFilter !
Pour ceux qui ne comprennent pas ce que cela représente, imaginez que votre firewall Linux devienne "invisible" et qu'il puisse s'intercaler entre deux équipements (serveurs, routeurs, modems...) sans changer aucune configuration sur le reste de votre réseau (même plan d'adressage, rêgles de routage inchangées sur tous les équipements...). Si Si, c'est possible !
En gros, votre firewall Linux devient un switch mais il ne laisse passer que ce que vous autorisez... Pour ceux qui souhaitent intégrer un firewall dans un réseau déjà en place, c'est la solution idéale.
Markus G. Kuhn, qui s'était déjà fait remarquer pour le déshabillage de cartes à puces, vient de présenter ses dernières études : il est possible de reconstituer l'affichage de votre écran à partir de senseurs optiques rapides, même à une certaine distance et après reflexion !
En effêt, ce qui nous semble être une image n'est qu'un spot se promenant sur des points de phosphore, une analyse dans le domaine optique permet de reconstituer la trame.
Joe Loughry propose aussi une application aux LEDs, de même que l'image d'un écran, la lumière d'une LED nous semble fixe alors qu'elle peut très bien clignoter (en général pour des raisons de basse consommation). Et dans le pire des cas, cette LED peut clignoter au rythme binaire de Rx ou Tx...
Des programmeurs ont trouvé un point de vulnérabilité dans Linux qui pourrait permettre à des utilisateurs malveillants d'accéder à un réseau sécurisé par le firewall.
Cette faille, qui affecte les version de Linux allant des versions 2.4.14 à 2.4.18-pre9, est située dans une composante du logiciel pare-feu Netfilter. Cette composante est impliquée quand deux utilisateurs d'ordinateurs discutent entre eux via le sytème "Internet Relay Chat (IRC)".
Une news fait beaucoup de bruit dans le monde de la cryptographie depuis quelques jours. En effet, le mathématicien DJ Berstein a publié un article de recherche donnant une technique théorique sur la factorisation de nombres entiers en facteurs premiers, permettant de "casser" le RSA 4x plus vite qu'actuellement.
Dans son article, il propose aussi une application pratique permettant de construire un "RSA breaker" 4x plus performant à coût égal. En conséquence, les clés PGP/RSA de taille plus petite que 2048 bits seraient cassables "facilement".
Et certains en profitent pour ajouter que "nos amis" de la NSA ont déjà ça dans leur carton (gravés dans le silicium) depuis un moment :-(
OpenSSH.org a "scanné" 2,4 millions d'IP entre décembre et février sur l'utilisation des produits ssh. D'après les stats, OpenSSH obtient 59.4% de "part de marché", contre 37.3% pour SSH.
Commentaire de Theo : "Most major Linux distributions install OpenSSH by default."
Vous pensez que la Terre entière va vouloir attaquer votre ordinateur? Piller vos ressources ô combien confidentielles? Le camion de plombier en bas de chez vous est à la solde du projet TEMPEST? Le livreur de pizzas est un espion venu du froid? =)
Alors Tinfoil Hat Linux est faite pour vous! Cette distribution se dit sûre, tient sur une seule disquette et pourra s'occuper de vos clefs PGP, du chiffrement et de la signature de vos fichiers.
Pleins d'autres fonctionnalités sont à découvrir sur leur site (compilation statique des binaires, tous les fichiers temporaires sont créés dans un RAMdisk chiffré et détruit à l'extinction de la machine, ...)
Assurément c'est *la* distrib' pour paranoïaques avertis ;)
Un groupe de développeurs issus de l'OpenSource s'échine à mettre au point un standard industriel en ce qui concerne les tests de sécurité. Leur laborieux travail, le OSSTMM (Open Source Security Testing Methodology Manual) ou Manuel de Méthodologie de Tests de sécurité OpenSource, sortira dans sa nouvelle version courant du mois.
Ideahamster.org (nom de leur groupe/organisation) a commencé à travailler sur ce manuel l'année dernière. Ils en avaient assez de lire des descriptions de méthodologies de tests sans intérêt ou trop superficielles.
Le groupe, qui comprend en outre les experts en sécurité et des développeurs, prone le fait que l'établissement d'un standard industriel en terme de sécurité sera un premier pas pour évaluer les produits de sécurité.
NdR: la version 1.5 est disponible en téléchargement (.ps, .pdf, .rtf, .html), tandis que la version 2.0 draft n'est disponible qu'au format .rtf et .html.
Après avoir montré l'existence d'une faille de sécurité sur le site de tati.fr, kitetoa se voit poursuivi en justice. Bilan, le TGI de paris condamne avec sursis kitetoa à payer 1000 pour fraude informatique.
Moralité : si vous découvrez une faille, gardez-vous bien de faire quoi que ce soit. Kitetoa prévient toujours les admins du serveur avant de publier quoi que ce soit sur leur site.
Le fameux site Samag dédié à l'administration des Unices, propose un très intéressant article sur la mise en oeuvre des VPN IPsec sous Linux avec FreeS/Wan.
Au menu bien évidemment, les détails des fichiers de configuration et surtout des exemples de configurations selon le mode que l'on désire mettre en place (transport, tunnel avec ou sans identification, ... )
A lire pour tous ceux que l'acces sécurisé à distance via un réseau non sécurisé intéresse.
Lu sur Wired News "Beaucoup de matériel réseau et Internet depuis les desktop jusqu'aux systèmes de gestion de traffic ont un trou de sécurité que des hackers pourraient exploiter pour les arrêter ou prendre leur contrôle, d'après un groupe de recherche financé par le gouvernement américain.
Le problème est très sérieux pour les ISPs, qui utilisent des routeurs."
Le problème est lié à SNMP. Tous les patchs ne sont pas prêts.
Note du modérateur : Linux Weekly News revient assez en détail sur le problème.
" Le gros problème avec NFS c'est que cela repose sur le protocole UDP qui est, par nature, non-sécurisé; les transactions circulent en clair sur le réseau. De plus, les utilisateurs et les machines ne peuvent pas être facilement identifiés. Enfin, ce système est très difficile à sécuriser par un firewall.
L'article de Samag fournit une solution à la plupart de ces problèmes pour des serveurs et clients tournant sous Linux.
Ces principes peuvent bien sur être appliqués à n'importe quel serveur UNIX disposant de ssh."
Voici un super article sur le site de l'excellent magazine "Samag" des SysAdmins qui présente une approche unique pour améliorer la sécurité de réseaux.
"Exécutez votre firewall dans un état d'exécution stoppé sur votre linux, c'est à dire en runlevel 0 : aucune exécution de processus et aucun disque monté, mais le filtrage de paquets IP est toujours en fonction!"
Cela protège des tentatives d'introduction de vers sur le firewall, puisque le hacker n'a plus d'espace disque pour poser ses
programmes de surveillance et d'intrusion. Mais cela ne protège évidemment pas des attaques de type "denial of service".
L'auteur a entendu une rumeur de cette capacité d'exécution arrétée sur les noyaux Linux 2.0, il est parvenu à obtenir ce fonctionnement aussi bien sur une 2.2. Reste à tester sur un noyau 2.4...
Ce long article technique en anglais, avec de nombreux schémas, prend l'exemple d'un serveur web Linux/Apache et montre l'intérêt des graphiques pour résumer et expliquer les choix de contrôle d'accès.
Il suggère aussi que la conception du contrôle d'accès nécessite des compétences à la fois en matière d'architecture, de fonctions techniques dans les produits, et de méthode en sécurité.
Il y aura une version en français dans quelques semaines.
Le journal de la banque et du commerce sur Internet (Journal of Internet banking and commerce: JIBC) nous présente un bref comparatif des outils de cryptage des messageries.
On y retrouve MOSS, MSP, PGP, PGP/MIME et S/MIME
En conclusion: "Tous les moyens proposés peuvent être utilisés pour sécuriser les messages. [...]" Mais l'auteur s'interroge, car selon lui aucun ne peut être largement déployé à moins de l'adapter à la particularité de la messagerie. Il espère donc de nouvelles propositions plus adaptées.
Pour ceux qui ne connaissent pas, je voulais vous signaler la sortie d'une nouvelle distribution Linux sécurisée et dédiée aux passerelles et firewalls. Bien qu'étant très jeune, cette distribution nommée IPCop, est néanmoins très intéressante car elle est la seule à proposer certaines fonctionnalités.
Etant similaire en de nombreux points à la distribution Smoothwall, elle intègre également le support du système de fichiers EXT3 et de l'ADSL en PPtP. De plus, elle permet de mettre en place très facilement des VPN (Réseaux privés virtuels) entre sites distants par le biais d'une interface de configuration web.
Cette distribution est déjà très avancée puisque le leader du projet n'est autre que Mark Wormgoor, un ancien développeur de Smoothwall qui a eu quelques divergences de point de vue avec Richard Morell qui supervise le développement de Smoothwall. Il semble avoir compris les problèmes rencontrés par certains utilisateurs français de Smoothwall au niveau de l'adaptation PPtP, que l'équipe de smoothwall refuse de prendre en compte.
A découvrir vite ... ;-)
Selon un récente étude de Riptech (Cabinet de conseil en sécurité), la France fait partie du peloton de tête des pays à l'origine du plus grand nombre d'attaques informatiques dans le monde.
Que ce soit en volume total ou par rapport à son nombre d'internautes.
Notre passé de pirates, de corsaires et de flibustiers ressortirait-il? ;)
NdR: je précise que pirates et corsaires sont deux choses différentes. Les corsaires agissaient pour le compte du roi, les pirates pour leur propre compte...
Le Chicago Tribune propose un article conseillant d'utiliser un firewall et de préférence sur Linux, ceci afin d'empêcher les intrusions.
Il conseille l'utilisation d'une sonde de détection etc..
Pronant qu'un vieux PC et 2 cartes réseau font l'affaire.
Il précise le fait que certaines distributions proposent par défaut l'option "Nothing is allowed in by default -- providing the safest option.".