Cette dépêche est tirée du journal de booga.
La version 0.3 du cadriciel d'espionnage/gestion de témoin de connexion evercookie est sortie.
L'auteur, Samy Kamkar, décrit son logiciel comme étant « conçu pour rendre des données persistantes et juste ça, persistantes. En stockant ces données dans divers endroits auquel un navigateur peut accéder, si une des données était perdue (par exemple en effaçant les cookies), les données peuvent être néanmoins récupérées et réutilisées. »
Le code source est disponible. L'auteur parle en anglais d'« open source », semble-t-il dans le sens « code source ouvert » (pas spécialement libre suivant les 4 libertés donc). Il est très court (et dépourvu de licence explicite d'ailleurs, seules celles de SWFObject (MIT) et JQuery (MIT/GPL) sont précisées dans le dépôt des sources Git).
booga explique que le logiciel « est capable d’utiliser jusqu’à 10 méthodes différentes pour stocker dans le navigateur de vos visiteurs un identifiant unique, du classique, mais néanmoins délicieux cookie, à la moderne, mais lente webdatabase, en passant par le sympathique LSO.
Le cadriciel est capable de détecter lorsque l’un des mouchards a été effacé, et de le recréer. »
Wireshark 1.4.0, Ostinato et TCPReplay
Ce dernier mois, quelques outils liés à l'analyse du trafic réseau ont bien évolué. Regardons cela d'un peu plus près.
À tout seigneur tout honneur, commençons par le plus connu : Wireshark. Cet analyseur de protocole, certainement le plus complet, vient de paraître dans une nouvelle version stable, plus d'un an après la précédente. Dans le changelog, quelques nouveautés, quelques corrections de bogues, et bien sûr, plein de nouveaux protocoles.
Après avoir parlé du vénérable, évoquons le tout dernier : Ostinato. Cet outil permet de modifier du trafic réseau, avant de le rejouer. Projet récent, mais actif, la dernière version est sortie début août.
Et puisque l'on parle de rejeu, profitons de cette dépêche pour mentionner que la suite d'outils tcpreplay, permettant de capturer et rejouer du trafic réseau, vient de modifier sa licence : auparavant sous licence BSD, le code est maintenant sous licence GPLv3.
À tout seigneur tout honneur, commençons par le plus connu : Wireshark. Cet analyseur de protocole, certainement le plus complet, vient de paraître dans une nouvelle version stable, plus d'un an après la précédente. Dans le changelog, quelques nouveautés, quelques corrections de bogues, et bien sûr, plein de nouveaux protocoles.
Après avoir parlé du vénérable, évoquons le tout dernier : Ostinato. Cet outil permet de modifier du trafic réseau, avant de le rejouer. Projet récent, mais actif, la dernière version est sortie début août.
Et puisque l'on parle de rejeu, profitons de cette dépêche pour mentionner que la suite d'outils tcpreplay, permettant de capturer et rejouer du trafic réseau, vient de modifier sa licence : auparavant sous licence BSD, le code est maintenant sous licence GPLv3.
Le prix de l'innovation des assises de la sécurité est attribué à un logiciel libre
Depuis 2001, les Assises de la Sécurité et des Systèmes d’Information réunissent un millier de professionnels : 600 DI, DSI, RSSI, Risk managers et experts sont présents, soit la quasi-totalité des décisionnaires grands comptes stratégiques des secteurs publics et privés.
Le Lauréat 2010 est le logiciel Digital Forensics Framework développé par la société ArxSys spécialisée dans l'informatique légale.
L'article bien documenté de l'AFUL insiste particulièrement sur le fait que c'est la première fois en près de dix ans qu'un logiciel libre est primé par cette institution. Cela montre non seulement que les logiciels libres sont performants (nous le savions déjà !) mais aussi que leur crédibilité a atteint les milieux d'affaires privés et publics.
NdM : on peut traduire le nom du logiciel par « ensemble d'outils numériques pour la criminalistique », donc l'étude après-coup des fichiers après erreur ou plantage, la recherche et l'analyse d'éléments de preuves.
Le Lauréat 2010 est le logiciel Digital Forensics Framework développé par la société ArxSys spécialisée dans l'informatique légale.
L'article bien documenté de l'AFUL insiste particulièrement sur le fait que c'est la première fois en près de dix ans qu'un logiciel libre est primé par cette institution. Cela montre non seulement que les logiciels libres sont performants (nous le savions déjà !) mais aussi que leur crédibilité a atteint les milieux d'affaires privés et publics.
NdM : on peut traduire le nom du logiciel par « ensemble d'outils numériques pour la criminalistique », donc l'étude après-coup des fichiers après erreur ou plantage, la recherche et l'analyse d'éléments de preuves.
Rencontres des Solutions de Sécurité et d'Informatique Libre
Pour la cinquième années, ACISSI organise le Salon Informatique de Maubeuge, qui grandit et change de nom, pour devenir les RSSIL, Rencontres des Solutions de Sécurité et d'Informatique Libre.
En 2009, les RSSIL ont eu l'immense plaisir d'accueillir pas moins de 2000 visiteurs, 36 exposants, 300 concurrents pour les challenges.
Alors, en 2010, la recette reste la même, mais les quantités augmentent, comme pour un gâteau que l'on veut partager avec plus de monde.
Au programme :
Le logiciel libre, la sécurité, les challengers, les visiteurs, les exposants et les conférenciers de haut vol... tous les ingrédients d'un rendez-vous à ne surtout pas manquer !
Où ça ?
À l'Espace Sculfort
Rue Jean-Jaurès / N39
59600 MAUBEUGE
Quelques dates :
Pour plus d'infos, rendez-vous sur le site officiel rssil.org.
En 2009, les RSSIL ont eu l'immense plaisir d'accueillir pas moins de 2000 visiteurs, 36 exposants, 300 concurrents pour les challenges.
Alors, en 2010, la recette reste la même, mais les quantités augmentent, comme pour un gâteau que l'on veut partager avec plus de monde.
Au programme :
- La partie exposition, avec cette année pas moins de 60 stands disponibles pour des présentations et des démonstration afférentes au Libre. Comme pour les éditions précédentes, des LUGs et des association vous présenterons, vous expliquerons et vous aiderons dans l'utilisation de nombreux logiciels Libres !
- Les conférences sur divers sujets du Libre, de l'économie du Logiciel Libre aux lois liberticides, en passant par la présentation des outils par les développeurs eux-même !
- Le challenge de sécurité Hacknowledge, avec la participation de membres de divers projets (dont BackTrack 4) pour la création des épreuves ;
- Le challenge des IUT de France, et ses trois épreuves (Applicative - Web - Sécurité) ;
- La nuit de Jeux en réseau (LAN) ;
- Et tant d'autres animations ...
Le logiciel libre, la sécurité, les challengers, les visiteurs, les exposants et les conférenciers de haut vol... tous les ingrédients d'un rendez-vous à ne surtout pas manquer !
Où ça ?
À l'Espace Sculfort
Rue Jean-Jaurès / N39
59600 MAUBEUGE
Quelques dates :
- Date limite de soumission : 10 Avril 2010 ;
- Déroulement des conférences : 4 & 5 Juin 2010.
Pour plus d'infos, rendez-vous sur le site officiel rssil.org.
Les distributions GNU/Linux sécurisées
L'écosystème des distributions GNU/Linux est saturé. Le site Distrowatch en recense plus de 300 et ce chiffre est sans doute une sous-estimation.
On trouve bien entendu les "grandes" que tout le monde connaît (Red Hat/Fedora, Debian GNU/Linux, Ubuntu, Mandriva Linux, etc) mais il existe une multitude de petits projets spécialisés, de forks plus ou moins amicaux, d'expérimentations diverses et variées.
Certaines de ces distributions ont choisi de se spécialiser dans le secteur de la sécurité et il m'a semblé intéressant de regarder d'un peu plus près ce qu'elles avaient à proposer.
Il n'est pas question ici des live-CD spécialisés qui permettent de vérifier la sécurité d'un réseau ou d'un poste local (du type Network Security Toolkit ou bien HoneyWall). Ces distributions sont incontestablement intéressantes mais ce n'est pas le sujet de cette dépêche. Ce qui va être examiné ce sont les distributions installables qui veulent proposer une sécurité au dessus de la moyenne. Seront également examinés certains patchs ou paquets spéciaux pour des distributions préexistantes.
La niche écologique de ces distributions spéciales, ou de ces variantes, c'est la promesse d'une sécurité supérieure par le biais de diverses améliorations techniques.
Dans la suite de la dépêche nous examinerons donc :
On trouve bien entendu les "grandes" que tout le monde connaît (Red Hat/Fedora, Debian GNU/Linux, Ubuntu, Mandriva Linux, etc) mais il existe une multitude de petits projets spécialisés, de forks plus ou moins amicaux, d'expérimentations diverses et variées.
Certaines de ces distributions ont choisi de se spécialiser dans le secteur de la sécurité et il m'a semblé intéressant de regarder d'un peu plus près ce qu'elles avaient à proposer.
Il n'est pas question ici des live-CD spécialisés qui permettent de vérifier la sécurité d'un réseau ou d'un poste local (du type Network Security Toolkit ou bien HoneyWall). Ces distributions sont incontestablement intéressantes mais ce n'est pas le sujet de cette dépêche. Ce qui va être examiné ce sont les distributions installables qui veulent proposer une sécurité au dessus de la moyenne. Seront également examinés certains patchs ou paquets spéciaux pour des distributions préexistantes.
La niche écologique de ces distributions spéciales, ou de ces variantes, c'est la promesse d'une sécurité supérieure par le biais de diverses améliorations techniques.
Dans la suite de la dépêche nous examinerons donc :
- OpenWall
- EnGarde Secure Linux
- Grsecurity/Pax
- NetSecL
- Bastille Unix
- Hardened Gentoo/Hardened Debian
Rugby et cryptographie : Shabal est en demi-finale !
Bien entendu ce n'est pas de Sébastien Chabal dont il est question ici mais bien de la fonction de hachage SHABAL qui participe à la compétition SHA-3.
Les 14 algorithmes sélectionnés pour participer au second tour de la compétition ont été annoncés avant-hier 24 juillet par le NIST.
Les 14 algorithmes sélectionnés pour participer au second tour de la compétition ont été annoncés avant-hier 24 juillet par le NIST.
Une interview de Brad Spengler
Brad Spengler, le mainteneur du projet grsecurity et l'auteur du dernier exploit en date dans le noyau Linux, a accepté de répondre à quelques questions pour LinuxFr.org.
Sous le pseudonyme de "Spender", Brad s'est rendu célèbre en découvrant de nombreuses vulnérabilités du noyau Linux et en prouvant, à l'aide d'exploits, que ces trous de sécurité étaient exploitables. Il est le mainteneur principal du patch externe grsecurity, qui vise à renforcer la sécurité du noyau en ajoutant divers mécanismes qui restreignent l'impact des vulnérabilités ou qui les bloquent complètement. Après la publication de son dernier exploit plusieurs questions lui ont été envoyées par mail (en une seule fois) et il a eu la gentillesse d'y répondre. Qu'il en soit remercié.
Sous le pseudonyme de "Spender", Brad s'est rendu célèbre en découvrant de nombreuses vulnérabilités du noyau Linux et en prouvant, à l'aide d'exploits, que ces trous de sécurité étaient exploitables. Il est le mainteneur principal du patch externe grsecurity, qui vise à renforcer la sécurité du noyau en ajoutant divers mécanismes qui restreignent l'impact des vulnérabilités ou qui les bloquent complètement. Après la publication de son dernier exploit plusieurs questions lui ont été envoyées par mail (en une seule fois) et il a eu la gentillesse d'y répondre. Qu'il en soit remercié.
nftables, successeur d'iptables
Patrick Mac Hardy, chef du projet Netfilter, travaille depuis l'été 2008 à une ré-écriture d'iptables sous un nouveau nom : nftables. Or, depuis le 18 mars dernier, nftables est officiellement disponible en version alpha. C'est le moment d'en refaire le tour.
NdM : Un grand merci à switcher pour son journal dont est tiré la dépêche.
NdM : Un grand merci à switcher pour son journal dont est tiré la dépêche.
La nuit OpenWRT au FOSDEM (samedi soir 7 Février)
Hacker Space Brussels (HSB) vous invite a une nuit de hacking autour d'OpenWRT ce samedi 7 Février. OpenWRT est la meilleure distribution Linux pour l'embarqué. De nombreux développeurs d'OpenWRT seront présents au FOSDEM et cette nuit de hacking sera l'occasion de tester la dernière version RC2 :
Date
Début : Samedi soir 7 Février @ 18:00
Fin : Dimanche 8 Février @ 12:00
Objectifs
HackerSpace Brussels
Void*Pointer
Av princesse elisabeth 46
1030 Bruxelles
Transport
L'espace étant limité, nous vous demandons de vous inscrire en avance en effectuant les deux actions suivantes :
Benjamin Henrion +32-484-566109
Date
Début : Samedi soir 7 Février @ 18:00
Fin : Dimanche 8 Février @ 12:00
Objectifs
- Présentation des nouvelles fonctionnalités de la RC2 ;
- Test de la RC2 sur des routeurs Asus WL-HDD, foneras, etc. ;
- Dégustation de bières belges.
- Un frigo plein de bières ;
- Espace, électricité, internet ;
- Rafraîchissements et snacks.
HackerSpace Brussels
Void*Pointer
Av princesse elisabeth 46
1030 Bruxelles
Transport
- Le tram 23 part de l'ULB et arrive a notre porte (arrêt 'prinses elisabeth').
- Le bus de nuit Noctis s'arrête à 'verboekhoven', qui est à 100m à pied.
L'espace étant limité, nous vous demandons de vous inscrire en avance en effectuant les deux actions suivantes :
- Envoyez un email à zoobab at gmail.com
ET
- Enregistrez-vous sur Doodle
Benjamin Henrion
D-Link DIR-655, le routeur déroutant
La dernière version du « firmware » (microcode) pour le routeur D-link DIR-655 introduirait une nouvelle « fonctionnalité » : le détournement de trafic à des fins de sécurité (sic). Lorsqu'un internaute se promène sur le web, le routeur prendrait l'initiative de l'envoyer sur un site commercial pour lui vendre des produits commercialisés par D-Link (abonnement à une fonctionnalité de sécurité baptisée SecureSpot).
Cette fonctionnalité serait désactivable, mais activée par défaut. Cela semble douteux pour dire le moindre (les mots interception et détournement de communication privée viennent à mon esprit). Par ailleurs, d'un point de vue éducation et sécurité, prétendre améliorer la sécurité en faisant du détournement de trafic semble un peu antinomique.
Ce n'est pas une nouveauté sur le principe, la société Belkin l'avait appris à ses dépens en 2003.
Et la partie « amusante », D-Link publie son (ou une partie de son) code sous GPL...
Cette fonctionnalité serait désactivable, mais activée par défaut. Cela semble douteux pour dire le moindre (les mots interception et détournement de communication privée viennent à mon esprit). Par ailleurs, d'un point de vue éducation et sécurité, prétendre améliorer la sécurité en faisant du détournement de trafic semble un peu antinomique.
Ce n'est pas une nouveauté sur le principe, la société Belkin l'avait appris à ses dépens en 2003.
Et la partie « amusante », D-Link publie son (ou une partie de son) code sous GPL...
Comment matériel numérique et données peuvent s'envoler dans un aéroport...
Ceci est susceptible d'intéresser les développeurs et utilisateurs de logiciels libres qui souhaiteraient se rendre aux États-Unis (et d'autres pays en train de mettre en place la même législation). Le Département états-unien de la sécurité intérieure (DHS) a publié un texte autorisant les douaniers à saisir n'importe quel appareil électronique (portables, mobiles, disques durs portables, smartphones, CD, DVD, tous supports numériques, etc.) au nom de la sécurité, pour permettre la « découverte d'informations relatives au terrorisme, aux trafics de stupéfiants ou à l'immigration illégale. » Cela comprend donc une éventuelle confiscation et analyse du contenu (avec traduction et/ou tentative de déchiffrement si nécessaire). Les mesures sont déjà en vigueur et selon « IDG News Service, plusieurs voyageurs ont rapporté s'être faits saisir leur ordinateur portable sans que leur bien leur soit restitué par la suite. »
Ce texte fait partie de l'Anti-Counterfeiting Trade Agreement (ACTA, littéralement « Traité commercial anti-contrefaçon ») , entre les États-Unis, l'Union européenne, le Japon, la Suisse, l'Australie, le Canada et la Nouvelle Zélande (voir les détails sur le blog de Laurent Guerby). Vous aurez noté que l'ACTA concerne plus la contrefaçon que la (traditionnelle excuse de la) sécurité nationale...
L'EFF (Electronic Frontier Foundation) craint que « les ordinateurs [ne] renferment des informations familiales, médicales, financières, qui pourraient facilement être copiées et se retrouver dans les bases de données gouvernementales ».
On pourrait bien entendu évoquer des solutions techniques (le déni plausible, apprendre par coeur sa clé SSH et télécharger ses données une fois sur place, etc.), mais c'est bien l'adoption d'une telle législation et ses conséquences qui devraient faire réfléchir, et pas les hypothétiques et tortueux contournements techniques possibles.
Ce texte fait partie de l'Anti-Counterfeiting Trade Agreement (ACTA, littéralement « Traité commercial anti-contrefaçon ») , entre les États-Unis, l'Union européenne, le Japon, la Suisse, l'Australie, le Canada et la Nouvelle Zélande (voir les détails sur le blog de Laurent Guerby). Vous aurez noté que l'ACTA concerne plus la contrefaçon que la (traditionnelle excuse de la) sécurité nationale...
L'EFF (Electronic Frontier Foundation) craint que « les ordinateurs [ne] renferment des informations familiales, médicales, financières, qui pourraient facilement être copiées et se retrouver dans les bases de données gouvernementales ».
On pourrait bien entendu évoquer des solutions techniques (le déni plausible, apprendre par coeur sa clé SSH et télécharger ses données une fois sur place, etc.), mais c'est bien l'adoption d'une telle législation et ses conséquences qui devraient faire réfléchir, et pas les hypothétiques et tortueux contournements techniques possibles.
Concours sécurité Insomni'hack 08
Le 8 février prochain se déroulera la première édition du concours Insomni'hack.
Le concours, gratuit et ouvert à tous, se déroulera en Suisse (Préverenges à côté de Lausanne) est composé d'une série d'épreuves de tous niveaux (faciles à difficiles) orientées sécurité.
Le concours repose entièrement sur des développements spécifiques autour de logiciels libres (dont aucun produit commercial), le but du concours n'étant pas d'utiliser des exploits/failles mais plutôt de mettre en oeuvres des concepts généraux relatifs à la sécurité informatique.
Les épreuves toucheront à divers domaines :
Le concours, gratuit et ouvert à tous, se déroulera en Suisse (Préverenges à côté de Lausanne) est composé d'une série d'épreuves de tous niveaux (faciles à difficiles) orientées sécurité.
Le concours repose entièrement sur des développements spécifiques autour de logiciels libres (dont aucun produit commercial), le but du concours n'étant pas d'utiliser des exploits/failles mais plutôt de mettre en oeuvres des concepts généraux relatifs à la sécurité informatique.
Les épreuves toucheront à divers domaines :
- Sécurité Web
- Reverse engineering / rétro-ingénierie
- Forensics / informatique légale (à l'image de la médecine légale)
- ...
Logprotect et la protection des enfants
Internet offre à chacun le meilleur comme le pire et les enfants sont trop souvent concernés par le pire. La protection des enfants se fait essentiellement par le filtrage des URL et par la détection des informations sensibles que sont l'identité et l'adresse que les enfants peuvent donner en toute innocence à des prédateurs, le plus souvent des pédophiles.
Logprotect est un logiciel qui permet de lutter très efficacement contre la divulgation du nom et de l'adresse à des inconnus. Une version Windows existe depuis près de trois ans et est maintenant tout à fait opérationnelle. La version Linux existe aussi, mais bien que parfaitement utilisable, elle est toujours en cours de validation. Le développeur de la version Linux a besoin de testeurs, ayant si possible une bonne connaissance Linux et/ou Python pour valider son code ainsi que de contributeurs pour réaliser la documentation ainsi que le packaging pour les différentes distributions.
Pour la protection sur les URL, les principaux fournisseurs d'accès à Internet proposent des logiciels de protection des enfants ou contrôle parental, mais ceux-ci ne sont prévus que pour Windows. Pour Linux, il faut utiliser squid et les listes noires ou blanches, ce qui est quand même une solution assez lourde.
Logprotect est donc une protection simple, utile et efficace en complément de la surveillance active des parents.
Logprotect est un logiciel qui permet de lutter très efficacement contre la divulgation du nom et de l'adresse à des inconnus. Une version Windows existe depuis près de trois ans et est maintenant tout à fait opérationnelle. La version Linux existe aussi, mais bien que parfaitement utilisable, elle est toujours en cours de validation. Le développeur de la version Linux a besoin de testeurs, ayant si possible une bonne connaissance Linux et/ou Python pour valider son code ainsi que de contributeurs pour réaliser la documentation ainsi que le packaging pour les différentes distributions.
Pour la protection sur les URL, les principaux fournisseurs d'accès à Internet proposent des logiciels de protection des enfants ou contrôle parental, mais ceux-ci ne sont prévus que pour Windows. Pour Linux, il faut utiliser squid et les listes noires ou blanches, ce qui est quand même une solution assez lourde.
Logprotect est donc une protection simple, utile et efficace en complément de la surveillance active des parents.
L'État français se dote d'une autorité de certification racine
Cette information, parue au Journal officiel de la République française n°41 du 17 février 2007, est passée presque inaperçue, même pour la plupart des administrations. Elle est pourtant essentielle, Il s'agit du fondement du RGS (Référentiel Général de Sécurité).
Une autorité de certification a pour but de s'assurer de l'identité du correspondant. Il s'agit d'un "tiers de confiance" qui assure à chacun que son correspondant est bien celui qu'il prétend être.
Avec cette autorité racine, l'administration n'a plus besoin de faire appel à des organismes privés tels que Thawte, Certinomis, Baltimore, Certplus, Entrust.net, Verisign, GlobalSign, Certificate Center, Cybertrust... On trouvera dans le lien securite.teamlog cette liste non exhaustive des principaux organismes reconnus nativement par les navigateurs. Il faudra donc que tous les navigateurs reconnaissent maintenant ce nouvel organisme de certification de façon à éviter la mésaventure de l'ASSEDIC.
En plus de la sécurité et de l'indépendance, c'est une économie non négligeable pour l'administration française. Il s'agit d'une démarche cohérente avec le RGI dont nous attendons avec impatience les arrêtés d'applications.
Une autorité de certification a pour but de s'assurer de l'identité du correspondant. Il s'agit d'un "tiers de confiance" qui assure à chacun que son correspondant est bien celui qu'il prétend être.
Avec cette autorité racine, l'administration n'a plus besoin de faire appel à des organismes privés tels que Thawte, Certinomis, Baltimore, Certplus, Entrust.net, Verisign, GlobalSign, Certificate Center, Cybertrust... On trouvera dans le lien securite.teamlog cette liste non exhaustive des principaux organismes reconnus nativement par les navigateurs. Il faudra donc que tous les navigateurs reconnaissent maintenant ce nouvel organisme de certification de façon à éviter la mésaventure de l'ASSEDIC.
En plus de la sécurité et de l'indépendance, c'est une économie non négligeable pour l'administration française. Il s'agit d'une démarche cohérente avec le RGI dont nous attendons avec impatience les arrêtés d'applications.
Programme du SSTIC 2007
Le SSTIC est une conférence francophone traitant de la sécurité de l'information. Ce thème comprend à la fois les vecteurs d'information (comme les systèmes informatiques ou les réseaux) et l'information elle-même (cryptographie ou guerre de l'information). Le symposium se déroulera à Rennes du 30 mai au 1er Juin 2007.
Le programme de cette cinquième édition est en ligne et les inscriptions sont ouvertes.
Cette année le programme est comme à son habitude très varié et très dense: rootkits et exploitation en mode noyau sous Linux, fuzzing WiFi, sécurité d'OpenDocument (OpenOffice.org), la cryptographie dans la pratique (vote électronique, protection de documents, etc), et bien sûr du réseau, de l'assembleur, de l'analyse hardware, etc.
Le programme de cette cinquième édition est en ligne et les inscriptions sont ouvertes.
Cette année le programme est comme à son habitude très varié et très dense: rootkits et exploitation en mode noyau sous Linux, fuzzing WiFi, sécurité d'OpenDocument (OpenOffice.org), la cryptographie dans la pratique (vote électronique, protection de documents, etc), et bien sûr du réseau, de l'assembleur, de l'analyse hardware, etc.
Network Security Toolkit, version 1.5.0
Network Security Toolkit (NST) est un LiveCD sorti en version 1.5.0 mi février. Ce LiveCD, basé sur une Fedora Core (FC) 5, a pour but de fournir un accès simple à des applications de sécurité réseaux libres. Il devrait fonctionner sur la plupart des plates-formes x86.
Le site insecure.org avait publié en 2006 une liste de 100 outils plébiscités par les chercheurs en sécurité informatique participant à une mailing-liste de nmap. La plupart de ces outils sont présents sur la distribution NST.
NST fournie un certain nombre de fonctionnalités via une interface Web. Parmi les améliorations de celle-ci, on notera notamment :
Par ailleurs, avec cette version, la base de NST est passée de FC4 à FC5. On remarquera également l'intégration des paquets Inprotect (pour Nessus) et Zabbix (similaire à Nagios).
Pour terminer, signalons que ce week-end un wiki a été ouvert pour permettre aux utilisateurs de partager leur expérience ou de dispenser de précieux conseils.
Le site insecure.org avait publié en 2006 une liste de 100 outils plébiscités par les chercheurs en sécurité informatique participant à une mailing-liste de nmap. La plupart de ces outils sont présents sur la distribution NST.
NST fournie un certain nombre de fonctionnalités via une interface Web. Parmi les améliorations de celle-ci, on notera notamment :
- Plus de possibilités pour la surveillance du trafic réseau ;
- Possibilité de configurer et surveiller des imprimantes (NST peut se transformer en un serveur d'impression) ;
- Possibilité de monter facilement plusieurs types de systèmes de fichiers ;
- Possibilité d'uploader des fichiers sur le système NST.
Par ailleurs, avec cette version, la base de NST est passée de FC4 à FC5. On remarquera également l'intégration des paquets Inprotect (pour Nessus) et Zabbix (similaire à Nagios).
Pour terminer, signalons que ce week-end un wiki a été ouvert pour permettre aux utilisateurs de partager leur expérience ou de dispenser de précieux conseils.
Bitfrost : Un nouveau modèle de sécurité
Le projet One Laptop Per Child (OLPC) se propose de construire des ordinateurs portables (utilisant Linux) d'un coût de 100 dollars afin que les enfants scolarisés des pays moins riches puissent profiter de la révolution informatique.
Ce projet est innovant sur plusieurs points, les principaux étant son écran transmissif et réflectif original, son absence totale de pièces mobiles (disque dur flash), ses fonctions wifi avec possibilité de créer un noeud-relais et son rechargement par câble à tirer du type "tondeuse à gazon".
Un problème restait néanmoins à résoudre : comment sera conçu le modèle de sécurité du portable ?
Cette question est critique car l'ordinateur sera sans doute vendu à des dizaines de millions d'exemplaires, sera relié au réseau internet et sera utilisé par des jeunes enfants incapables de gérer une politique de sécurité. Le risque d'une infection massive et d'une transformation en un réseau géant de machine zombies est réel.
La réponse est Bitfrost, un nouveau modèle de sécurité pour les ordinateurs.
Ce projet est innovant sur plusieurs points, les principaux étant son écran transmissif et réflectif original, son absence totale de pièces mobiles (disque dur flash), ses fonctions wifi avec possibilité de créer un noeud-relais et son rechargement par câble à tirer du type "tondeuse à gazon".
Un problème restait néanmoins à résoudre : comment sera conçu le modèle de sécurité du portable ?
Cette question est critique car l'ordinateur sera sans doute vendu à des dizaines de millions d'exemplaires, sera relié au réseau internet et sera utilisé par des jeunes enfants incapables de gérer une politique de sécurité. Le risque d'une infection massive et d'une transformation en un réseau géant de machine zombies est réel.
La réponse est Bitfrost, un nouveau modèle de sécurité pour les ordinateurs.
Sortie de IPCop 1.4.13
IPCop se veut une distribution firewall avec une interface conviviale fonctionnant sous Linux pour protéger vos réseaux.
Administrable comme la distribution Smoothwall dont elle est issue via une interface web, IPCop fait office de pare-feu et de routeur permettant de gérer plusieurs "zones" : un intranet (zone verte), l'accès internet (zone rouge), une DMZ (zone orange) et des accès Wifi (zone bleue). Elle propose un certain nombre de services, comme le support des VPN, des serveurs DHCP, DNS et mandataire (proxy), une QdS, etc. Le tout est disponible sous licence GPL.
Les besoins en matériels peuvent être très réduits et augmentent avec le nombre de services utilisés. Cette version met à jour des paquets pour des questions de sécurité, corrige des bugs et met à jour quelques pilotes (ADSL et gigabits) et le noyau Linux (pour plus de détails, voir le texte de l'annonce).
Administrable comme la distribution Smoothwall dont elle est issue via une interface web, IPCop fait office de pare-feu et de routeur permettant de gérer plusieurs "zones" : un intranet (zone verte), l'accès internet (zone rouge), une DMZ (zone orange) et des accès Wifi (zone bleue). Elle propose un certain nombre de services, comme le support des VPN, des serveurs DHCP, DNS et mandataire (proxy), une QdS, etc. Le tout est disponible sous licence GPL.
Les besoins en matériels peuvent être très réduits et augmentent avec le nombre de services utilisés. Cette version met à jour des paquets pour des questions de sécurité, corrige des bugs et met à jour quelques pilotes (ADSL et gigabits) et le noyau Linux (pour plus de détails, voir le texte de l'annonce).
S2LOW homologué par la Direction générale des collectivités locales
ADULLACT (Association des Développeurs et des Utilisateurs de Logiciels Libres pour les Administrations et les Collectivités Territoriales) vient de franchir un nouveau cap, son logiciel S2LOW vient d'être homologué par la direction générale des collectivités locales (DGCL).
De quoi s'agit-il ?
Lorsqu'une collectivité territoriale doit transmettre des actes à la préfecture pour en faire valider la légalité, il faut sécuriser les protocoles de façon à assurer l'authentification des intervenants et la sécurité des échanges. Ce protocole préconisé par le ministère de l'intérieur se nomme ACTES.
Un autre protocole, nommé HELIOS, sera bientôt utilisé par le ministère des finances. D'autres protocoles adaptés aux métiers (Etat-Civil, Urbanisme, etc.) sont en cours d'élaboration.
S2LOW (Service Sécurisé Libre inter-Opérable pour la Vérification et la Validation) est un tiers de télétransmission multiprotocoles. Associé au parapheur électronique, S2LOW est une pièce majeure de l'architecture que met en place Adullact pour permettre la dématérialisation des actes.
Ces logiciels sont fournis sous licence libre (CeCILL v.2) compatible GPL.
De quoi s'agit-il ?
Lorsqu'une collectivité territoriale doit transmettre des actes à la préfecture pour en faire valider la légalité, il faut sécuriser les protocoles de façon à assurer l'authentification des intervenants et la sécurité des échanges. Ce protocole préconisé par le ministère de l'intérieur se nomme ACTES.
Un autre protocole, nommé HELIOS, sera bientôt utilisé par le ministère des finances. D'autres protocoles adaptés aux métiers (Etat-Civil, Urbanisme, etc.) sont en cours d'élaboration.
S2LOW (Service Sécurisé Libre inter-Opérable pour la Vérification et la Validation) est un tiers de télétransmission multiprotocoles. Associé au parapheur électronique, S2LOW est une pièce majeure de l'architecture que met en place Adullact pour permettre la dématérialisation des actes.
Ces logiciels sont fournis sous licence libre (CeCILL v.2) compatible GPL.
SSTIC 2007 : Appel à proposition
Le Symposium sur la Sécurité des Technologies de l'Information et des Communications est une conférence francophone traitant de la sécurité de l'information. Ce thème comprend à la fois les vecteurs d'information (comme les systèmes informatiques ou les réseaux) et l'information elle-même (cryptographie ou guerre de l'information).
La cinquième édition se déroulera à Rennes du 30 mai au 1er Juin 2007.
Nous avons publié l'appel à contribution et comme les années précédentes, toutes les soumissions seront examinées avec intérêt, qu'elles soient techniques, académiques, juridiques, organisationnelles, etc.
La cinquième édition se déroulera à Rennes du 30 mai au 1er Juin 2007.
Nous avons publié l'appel à contribution et comme les années précédentes, toutes les soumissions seront examinées avec intérêt, qu'elles soient techniques, académiques, juridiques, organisationnelles, etc.
NTT s'implique dans la cryptographie libre
La compagnie NTT (Nippon Telegraph and Telephone Corporation) vient de faire une importante contribution aux logiciels libres en publiant l'algorithme de chiffrement Camellia sous plusieurs licences libres (BSD, GPL, MPL, OpenSSL License pour l'implémentation en C et BSD, GPL pour l'implémentation en Java).
Le projet européen NESSIE avait comme objectif d'établir de nouvelles primitives cryptographiques et avait sélectionné deux algorithmes pour le chiffrement symétrique par bloc de 128 bits : AES (Rijndael) et Camellia.
NTT permet ainsi d'ajouter l'algorithme Camellia à différents projets libres : OpenSSL, Kernel Linux, Ipsec, GnuPG.
Il faut noter que le patch à GnuPG n'a que peu de chances d'être inclus dans la branche officielle car Camellia n'est pas l'un des standards de communication de PGP. En revanche, l'équipe de NTT est en train de le porter dans libgcrypt.
Il est à souhaiter que les autres algorithmes sélectionnés par le projet NESSIE puissent être également portés dans différents projets libres et intégrés dans les versions stables.
Cet article a été écrit grâce au concours de Régis Couraud
Le projet européen NESSIE avait comme objectif d'établir de nouvelles primitives cryptographiques et avait sélectionné deux algorithmes pour le chiffrement symétrique par bloc de 128 bits : AES (Rijndael) et Camellia.
NTT permet ainsi d'ajouter l'algorithme Camellia à différents projets libres : OpenSSL, Kernel Linux, Ipsec, GnuPG.
Il faut noter que le patch à GnuPG n'a que peu de chances d'être inclus dans la branche officielle car Camellia n'est pas l'un des standards de communication de PGP. En revanche, l'équipe de NTT est en train de le porter dans libgcrypt.
Il est à souhaiter que les autres algorithmes sélectionnés par le projet NESSIE puissent être également portés dans différents projets libres et intégrés dans les versions stables.
Cet article a été écrit grâce au concours de Régis Couraud
TCPA/TPM : la déferlante silencieuse
Sujet d'actualité il y a quelque temps sur linuxfr, TCPA ( https://www.trustedcomputinggroup.org/about/ ) est aujourd'hui assez peu présent dans les sujets de discussion abordés sur ce site, et même ailleurs. Cela n'empêche pas cette initiative de se développer, voire de croître d'une manière surprenante si l'on regarde les modèles d'ordinateurs équipés de puces TPM commercialisés dernièrement par les constructeurs.
M'intéressant aux machines sorties récemment, j'ai parcouru les sites de différents constructeurs afin de voir quels sont les modèles disposant de telles puces, pour voir l'ampleur de la diffusion de cette technologie. Je me suis uniquement dirigé vers les ordinateurs portables, qui représentent pour moi aujourd'hui le marché le plus large et intéressant. Cela m'a permis de me rendre compte que c'est surtout avec la nouvelle plateforme Core Duo d'Intel que ces puces se mettent à envahir les étals virtuels des marchands.
[Cet article est issu du journal de benoar .]
M'intéressant aux machines sorties récemment, j'ai parcouru les sites de différents constructeurs afin de voir quels sont les modèles disposant de telles puces, pour voir l'ampleur de la diffusion de cette technologie. Je me suis uniquement dirigé vers les ordinateurs portables, qui représentent pour moi aujourd'hui le marché le plus large et intéressant. Cela m'a permis de me rendre compte que c'est surtout avec la nouvelle plateforme Core Duo d'Intel que ces puces se mettent à envahir les étals virtuels des marchands.
[Cet article est issu du journal de benoar .]
SSTIC 2006
Le Symposium sur la Sécurité des Technologies de l'Information et des Communications (SSTIC) qui s'est déroulé début Juin à Rennes fût cette année encore un succès avec près de 400 participants.
Nous sommes heureux d'annoncer la mise en ligne des actes de cette édition ainsi que de différents comptes-rendus.
Les sujets présentés sont variés : virus sous OpenOffice.org, fonctionnalités de ptrace, étude de Skype, sécurité ADSL, contournement d'IDS, outil de détection de tunnels, contournement de securelevel, faiblesses d'IPv6 et d'IPsec, RFID, RPC et BitLocker, etc.
Nous sommes heureux d'annoncer la mise en ligne des actes de cette édition ainsi que de différents comptes-rendus.
Les sujets présentés sont variés : virus sous OpenOffice.org, fonctionnalités de ptrace, étude de Skype, sécurité ADSL, contournement d'IDS, outil de détection de tunnels, contournement de securelevel, faiblesses d'IPv6 et d'IPsec, RFID, RPC et BitLocker, etc.
Sortie de John the Ripper version 1.7
John The Ripper est un logiciel de “cassage” de mot de passe, permettant aux administrateurs de sensibiliser les utilisateurs au bon choix de leurs mots de passe, disponible pour de nombreux systèmes Unix, DOS, Windows, BeOS et OpenVMS. Son principal objectif est de repérer les mauvais mots de passe.
Après plusieurs années de développement pendant lesquelles seules des “snapshots” ont été publiés, la version 1.7 vient d’être livrée [1].
John the Ripper permet aussi bien les attaques en force brute (recherche d’un mot de passe par le test de l’ensemble des combinaisons possibles) que les attaques par dictionnaire (test des différents mots présents dans une liste). Il est aussi possible de réaliser une attaque par dictionnaire étendue : utilisation des mots d’un dictionnaire et de variantes de ces mots fabriquées par des règles simples (passage majuscule/minuscule, insertion de chiffres, etc.).
Dans l'optique du "cassage" d'un mot de passe, une solution encore plus rapide peut être l’utilisation des “Rainbowtables”. Ces tables, bien que non exhaustives, contiennent un grand nombre de hashs précalculés, ce qui facilite grandement la recherche. C’est bien entendu très gourmand en espace mémoire, mais le gain en temps de recherche est considérable. Plus de détails sur les compromis temps/mémoire sont accessibles ici : [4]. Bien entendu, chacune de ces tables n’est valable que pour une longueur maximale et un jeu de caractère donné. De plus, certains systèmes (typiquement, les OS Unix/Linux) utilisent un “grain de sel”, c’est à dire une fonction simple choisie aléatoirement avec laquelle est traitée le hash du mot de passe. L’utilisation des Rainbowtables devient inefficace sur ces systèmes et le recours à John the Ripper ou un logiciel similaire est alors la seule solution.
On peut en profiter pour citer APG [3], un générateur de “bon” mot de passe, qui donne aussi un moyen mnémotechnique pour les retenir.
Après plusieurs années de développement pendant lesquelles seules des “snapshots” ont été publiés, la version 1.7 vient d’être livrée [1].
John the Ripper permet aussi bien les attaques en force brute (recherche d’un mot de passe par le test de l’ensemble des combinaisons possibles) que les attaques par dictionnaire (test des différents mots présents dans une liste). Il est aussi possible de réaliser une attaque par dictionnaire étendue : utilisation des mots d’un dictionnaire et de variantes de ces mots fabriquées par des règles simples (passage majuscule/minuscule, insertion de chiffres, etc.).
Dans l'optique du "cassage" d'un mot de passe, une solution encore plus rapide peut être l’utilisation des “Rainbowtables”. Ces tables, bien que non exhaustives, contiennent un grand nombre de hashs précalculés, ce qui facilite grandement la recherche. C’est bien entendu très gourmand en espace mémoire, mais le gain en temps de recherche est considérable. Plus de détails sur les compromis temps/mémoire sont accessibles ici : [4]. Bien entendu, chacune de ces tables n’est valable que pour une longueur maximale et un jeu de caractère donné. De plus, certains systèmes (typiquement, les OS Unix/Linux) utilisent un “grain de sel”, c’est à dire une fonction simple choisie aléatoirement avec laquelle est traitée le hash du mot de passe. L’utilisation des Rainbowtables devient inefficace sur ces systèmes et le recours à John the Ripper ou un logiciel similaire est alors la seule solution.
On peut en profiter pour citer APG [3], un générateur de “bon” mot de passe, qui donne aussi un moyen mnémotechnique pour les retenir.
Sortie d'un utilitaire de fuzzing Bluetooth BSS v0.6
Dans le cadre d'un dossier d'une dizaine de pages, vous trouverez un tutoriel sur la sécurité du protocole de communication sans-fil Bluetooth reprenant les attaques déjà connues (Helomoto, Bluebug, etc etc ...). Vous y trouverez également la première version diffusée par Secuobs d'un utilitaire (BSS - Bluetooth Stack Smasher) destiné à tester la sécurité de ce protocole.
D'après les tests effectués par l'équipe de ce site, plusieurs éléments mobiles sont faillibles aux opérations de fuzzing. Cet utilitaire développé par Pierre Betouin de la société Infratech a été placé sous licence GPL.
On notera parmi les résultats la présence d'un Déni de Service dans la version 1.29 de hcidump, mais également dans la pile Bluetooth de plusieurs téléphones portables des marques Sony/Ericsson, Samsung et Nokia. Les fonctions Bluetooth avaient été activées, ce qui n'est pas le cas par défaut sur ces appareils.
D'après les tests effectués par l'équipe de ce site, plusieurs éléments mobiles sont faillibles aux opérations de fuzzing. Cet utilitaire développé par Pierre Betouin de la société Infratech a été placé sous licence GPL.
On notera parmi les résultats la présence d'un Déni de Service dans la version 1.29 de hcidump, mais également dans la pile Bluetooth de plusieurs téléphones portables des marques Sony/Ericsson, Samsung et Nokia. Les fonctions Bluetooth avaient été activées, ce qui n'est pas le cas par défaut sur ces appareils.