And remember...

On a beau utiliser du SSL de la mort qui tue, si le noeud final du lien sécurisé est compromis (même que partiellement, sachant que lors d'un pentest, un lien partiellement compromis finit par l'être totalement, ce n'est qu'une question de temps), les données qui ont transité seront tout de même accessible (autant avoir des convoyeurs de fonds ultra armés qui déposent l'argent à un endroit en libre accès et sans gardiens, sur une table).
Une possibilité étant de chiffrer les données avant de les envoyer (via un lien sécurisé (ssl par exemple), ou non), comme ça, une personne "malveillante" aura plus de mal à en faire quelque chose si elle parvient à s'en emparer.
L'insécurité informatique a encore de beaux jours devant elle.

The modem which steals the Internets !

C'est un peu le genre de bidouilleur qui nous manque en France ça...

Et pendant ce temps, de l'autre côté de la Manche

...On leur prépare la télé-perquisition. Nos chers dirigeants en parlaient aussi il y a peu de temps. Avec un peu de chance, ils seront formés par Zi H4ckademY (CEH 4evar). Non pas que je doute des compétences dans le domaine de certaines personnes, mais au delà d'un certain niveau, cela relève quand même un peu plus de la science-fiction.
A moins qu'on nous fasse passer quelques lois obligeant les intégrateurs de matériel et autres fabriquants de pc à installer des trojans sur les pc neufs, ou quelques backdoors hardware (de toutes façons, dans tous les cas, il y aura une frange non négligeable de gens qui s'en seront débarassé d'une manière ou d'une autre). D'ailleurs, c'est la piste du keylogger hardware qui est envisagée là bas. En France aussi, serrurier et installation du keylogger sur le pc. Je ne doute pas sur le fait que les plus paranos ont des webcams avec un soft style "motion" (que j'utilisais déjà il y a 6 ans, mais avec des résultats assez pourris il y a quelques années, mais c'était dû à ma webcam de l'époque). D'autres ont juste des alarmes. Enfin de quoi avertir (attention, 99% des gens s'en rendront même pas compte). Une alternative étant d'utiliser un laptop avec un disque entièrement chiffré (TrueCrypt & co font ça). Bon, encore que j'ai vu des cartes mini-pci capables de faire du keylogging sur laptop, mais le but du laptop c'est de l'embarquer avec soi. Cela dit, avec un peu de chance ce genre de cartes apparait dans un "lspci", donc détectable...).
Ensuite, ça sera la porte ouverte à un ministère de la pensée (vu qu'on en est à créer des nouveaux ministères à chaque remaniement hein). Ouh, j'ai hâte.
Enfin, bonne chance hein.

Et ça va changer quoi ?

Je parle bien évidemment de la n-ième annonce de la fin du monde, ou du moins de l'Internet multimédia interactif. Les papers ont été balancés y'a quelques jours déjà, mais je n'ai pas encore eu le temps de lire les détails, je me suis contenté de me renseigner sur la nature du souci, et ... finalement, c'est pas si mortel que ça. Du moins, pour le moment. On savait déjà que md5 était foireux depuis un paquet de temps. Enfin au moins on a une belle application pratique d'un problème de crypto appliqué à la vraie vie avec les vrais gens pouvant poser de vrais problèmes.

Bon, dans la pratique  je relève juste le chiffre de netcraft faisant état de 14% des certificats existants pouvant poser problème (utilisant md5). Ce que je note aussi, c'est que finalement dans la vraie vie, un certificat invalide est quand même accepté par les gens qui cliquent bêtement sur OK (j'en fais partie, ayant affaire régulièrement à un certificat ssl auto-signé pour un serveur imap ayant expiré fin aout 2008 et qui n'a toujours pas été changé depuis, j'ai acquis le réflexe de cliquer sur "OK" dans mon client mail sans réfléchir). Et même quand y'a un méchant message d'erreur disant que le certificat est invalide (ceux de Firefox et de Chrome en tout cas, celui d'IE à l'époque ressemblait plus à une pseudo page 404 et je n'ai jamais utilisé Opera) eh bien les gens cliquent quand même sur OK sinon ça les empeche de browser sur l'internet multimédia.

Mais je préfère me dire que ce genre de travaux est bon pour faire avancer la sécurité, car il permet de foutre un gros coup de pied au cul de ceux qui se reposent sur des trucs antiques (sans parler de md5 uniquement, de toutes façons un jour ça sera au tour de SHA-1 et les suivants de subir ce genre de travaux, mais le résultat sera moins frappant parce qu'on y aura déjà eu droit)

A part ça, bonne année.

FireFTP et FireGPG

Quelques infos utiles pour ceux qui comme moi auront rencontré un crash de Firefox, ou un message d'erreur disant que gpg est introuvable, lors de l'utilisation de FireGPG lorsque FireFTP est installé (non, ne me parlez pas de sécu, j'ai installé FireFTP sur mon eeepc uniquement comme client ftp d'appoint, je ne l'utilise pas dans la vraie vie sinon)

Plus de jeunesse

Un article sur les gens qui traffiquent leurs notes à l'université. Ca vaudra jamais un bon vieux site web avec une section "membres" (étudiants) que l'on peut nommer "intranet de l'école", (mal) codé par des gens n'ayant aucune notion en sécu-web et permettant un accès total aux ressources pédagogiques et administratives via un vieux hack (hint: un fichier de log en 0644 contenant des mots de passe (dont ceux de l'équipe pédagogique) en clair accessible via une sorte de directory traversal).
A moins que ça soit déjà de ça qu'il s'agit...

Le retour de la vengeance des chinois

Et on en remet une couche avec les chinois. Bon, bien que la tentation d'accuser ces chinois puisse être la plus forte, quand ils disent qu'ils ont tracé les IP et que ça menait jusqu'en chine, on devrait leur rappeller qu'un serveur en chine a peut-être été r00té (ou plusieurs) par des "hackers" d'une autre nation avant de lancer des attaques depuis ce/ces dernier(s) , avec le but de discréditer un peu la chine (ou pas).
En fait on devrait surtout se demander qui, dans un gouvernement, et pourquoi, utilise gmail pour des mails plutôt sensibles. Non pas que l'on ne sait pas qui fait quoi sur les serveurs, mais à peine. Bon tout ça me rappelle un type avec des mails "confidentiels" sur son compte chez Orange. Bon c'était un vieux. Enfin bref, supposons. Mais alors on peut espérer qu'il y a chiffrement des mails (nevar 4get: gnupg is good for you), mais en fait pas du tout. Puis manque de bol, ils ont pas d'argent pour embaucher des mecs un peu compétents dans le domaine (bon en même temps, vu les boulets qui sortent des écoles d'info/telco et qui préfèrent être payés un peu plus cher pour faire du php, pour une grosse SSII pour frimer devant les potes plutôt que faire des trucs plus intéressants, avec un salaire moindre, dans le public...(exemple réel, mais je ne devrais pas généraliser))
Notez cependant dans l'article, le passage faisant état de programmes chinois capables de faire du déchiffrement, et contourner les systèmes de sécurité. Comme ils sont forts ces chinois.

Bon à part ça, The Shield c'est fini. Le season finale était génial. Beaucoup de spéculations sur comment ça finira auparavant (mort ? pas mort ?), et en fait, la manière dont ça finit est parfaite. Vlà une série qui me manquera un peu.