FRsAG

frsag@frsag.org

4 participants
2599 discussions

La mise à jour automatique des certificats LE est un cheval de Troie.
by Laurent Barme 22 Mar '24

22 Mar '24

DON'T PANIC. (Je suis en train de lire "The hitch-hiker's guide to the galaxy" de Douglas Adams, livre que j'ai rapporté de mon séjour à Londres le weekend dernier ; je me régale.) Le sujet de ce post reprend une communication qui m'a valu de vives réactions pour certaines très sympathiques. Ce commentaire était mal formulé, il fallait lire "La mise à jour automatique des certificats LE est /potentiellement/ un cheval de Troie". Alors non, les certificats LE ne sont pas dangereux, évidemment ! Je m'en suis d'ailleurs beaucoup servi dès que c'était disponible ou presque (début 2017) mais uniquement sur des blogs WordPress installés tout seuls sur des VPS, c'est à dire pour des informations publiques sans données sensibles et dans un contexte sans importance. De toute façon les mises à jour automatiques de WordPress sont à peine moins fiables :-) Hé, pas taper si vous n'êtes pas d'accord ! A lire mes notes, la mise en œuvre des certificats LE était effectivement super simple sauf qu'il y avait dans le crontab : 32 6 * * 0 /root/certbot-auto renew -q Apparemment, il n'est plus nécessaire de renouveler le certificat avec root (et peut-être est-ce que cela a toujours été le cas) quoique sinon je ne vois pas comment concilier ça avec la gestion d'un serveur web qui appartiennent à root. Oui, je sais qu'il serait possible de configurer un serveur apache hors root mais ce n'est pas standard, notamment parce que seul root peut accéder aux ports 80 ou 443. Quoiqu'il en soit, avoir un script obscur qui revoit potentiellement la configuration de mon serveur toutes les semaines, cela ne me plait pas. Je n'ai pas cherché plus loin et j'ai profité des certificats LE pour des contextes sans conséquences. Ce qui ne veut pas dire que l'on ne peut pas utiliser les certificats LE pour des cas autres que ceux où il n'y a pas d'enjeu… J'ai aussi une préférence et une grande confiance a priori dans les produits du logiciel libre (mais pas parce qu'ils sont "revus"). Je les utilise évidemment le plus possible mais j'ai suffisamment d'expérience en développement logiciel (à peu près 40 ans…) pour savoir à quel point il est plus facile de produire du code malveillant que des traitements fiables et robustes y compris pour les cas limites. Donc pour le cas de l'alternative entre un certificat d'une dizaine d'euros annuel et l'hébergement d'un processus hebdomadaire et /potentiellement/ faillible, personnellement, le choix est vite fait. D'autant que je n'ai qu'une petite poignée de certificat SSL à gérer. Oui, cela change tout. Pour ce qui est de chiffrer les échanges avec un serveur web, tous les certificats se valent qu'ils soient auto-signés, wildcards, gratuits ou payants, même très chers. A la base, une clé publique c'est juste le produit de deux nombres premiers si grands que sa factorisation prendrait a priori un temps infini par rapport aux calculs modulo n dans un corps Z/nZ avec n premier qui sont faits pour chiffrer et déchiffrer les échanges… d'une clé symétrique qui sera exploité ensuite. Le recours aux clés asymétriques a simplement déplacé le problème : au lieu d'avoir à assurer le partage confidentiel d'une clé symétrique, il faut s'assurer qu'une clé publique appartient bien à celui qui prétend en être le propriétaire. C'est là où les CA interviennent et l'opportunité d'en faire un racket. Racket soutenu par l'obligation artificielle de tout chiffrer. Pour cela la disponibilité des certificats LE est effectivement une bénédiction ! Car non, en vrai cela ne sert à rien de chiffrer une recette d'Irish coffe partagée sur un blog, à part pour lui éviter d'être totalement ostracisée par ggl. Quant à chiffrer une librairie JS publique, je n'y avais jamais pensé mais je n'en vois pas non plus l'intérêt, d'autant moins que sous couvert de minimisation (mais en vrai pour les protéger d'une réutilisation) la plupart des librairies JS sont quasiment illisibles :-) Par contre conforter l'origine d'une librairie externe par la validation d’authenticité d'un CA est effectivement intéressant mais ce n'est pas le certificat du site qui l'utilise qui le fait. Ah et sinon, pour répondre à la remarque du petit jeune qui m'a gentiment dit d'arrêter de raconter n'importe quoi sur des sujets que je ne connais manifestement pas, je dirais qu'il a au moins à moitié tort. L'expérience a ceci de particulier qu'il ne me rattrapera jamais pour ce qui est de la durée sur laquelle je l'ai accumulée ; je serai certainement mort avant :-))

15 42

API SMS des opérateurs tel
by Théo VARIER 21 Mar '24

21 Mar '24

Hello la liste, Je sais que le sujet a déjà été abordé à propos des prestataire de distribution de SMS. Mes questions d'aujourd'hui sont sur les API de notifications SMS fournies par les fournisseurs telephone. Free fourni une API qui permet de s'envoyer sur son propre mobile (forfait free) autant de SMS que l'on veut. C'est gratuit, et c'est hyper pratique pour se faire envoyer les alertes via cette API (https). Je l'utilise depuis des années avec un forfait à 19.99 ou 15.99 euros. Questions : Est ce que quelqu'un sait si cette option existe avec les forfait à 2euros de Free ? Est ce que Orange propose un truc similaire ? payant ? Chez d'autres opérateurs ? Merci les colistiers pour vos retours d'expériences, -- Théo

5 5

Gérer les versions de ses cafetières ?
by nicolas.frsag＠ecarnot.net 21 Mar '24

21 Mar '24

Bonjour, Comme bon nombre d'entre vous, je m'efforce de garder à jour les versions de tout ce qui constitue notre infrastructure systèmes et réseaux, et je garde trace de toutes ces montées de versions de manière artisanale, ce qui ne facilite pas le reporting. En effet, le types d'éléments que j'entretiens comprends des applicatifs, des firmwares de matériel (switchs, routeurs, onduleurs, imprimantes, sondes, cartes variées...), des machines physiques ou virtuelles, des containers, jusqu'à certains plugins de certaines applications. Pour conserver trace de toutes ces actions de maintenance, je ne dispose pas d'un outil spécifique et je suis bien persuadé que cela doit exister mais mes recherches aboutissent souvent à des outils qui sont trop spécifiques : - soit trop orientés logiciel - soit trop orientés matériel - soit trop orientés gestion de maintenance physique et ticketing Et puisque la grande variété de cas ruine tout espoir d'automatisation (que j'assume), je suis plutôt à la recherche d'un outil simple qui permettrait de simplement prendre note de toute action d'upgrade, de consulter les versions les plus anciennes, et d'estimer le nombre d'actions par période. Évidemment, si quelqu'un connaît ce genre de chose en open source, qu'il soit bénit, mais restons ouverts d'esprit. Merci pour vos suggestions. -- Nicolas

6 5

[MISC] Mails bloqués par Free.fr depuis Tenant Office365 Microsoft.
by frsag＠sparfel.net 20 Mar '24

20 Mar '24

Bonjour, Depuis plus d'une semaine, quasi plus aucun de nos mail n'arrivent chez free.fr depuis notre tenant Microsoft Office 365 (Au moins un centaine de mails quotidiens). Les IP de M$ sont refusées : LED=451 too many errors detected from your IP, depuis les IP M$ 40.107.XXX.XXX entre autre. Bien entendu, de notre côté, tout est correctement configuré : SPF, DKIM, DMARC Le support de Microsoft est, comme souvent, inutile et ne veux rien comprendre. Quelqu'un aurait il un contact chez Free pour voir ce qu'il est possible de faire pour dé-blacklister ces IP's ? Sachant que nous ne sommes certainement pas les seuls puisque les IP de sortie M$ sont mutualisées... Frédéric.

2 1

Audit ordinateur ecole
by Ilyass RAITI 20 Mar '24

20 Mar '24

1 0

Clavier non fonctionnel au démarrage d'un HP Proliant DL360 gen7
by nblesgaz 12 Mar '24

12 Mar '24

Bonjour à tous, J'ai récemment fait l’acquisition d'un hp proliant dl360 gen7 via lbc. Il est dans un très bon état, néanmoins, lorsque je veux accéder au bios de la machine, pas de clavier, on dirait que l'usb est désactivé dans le bios... J'ai beau appuyer sur des touches, il ne se passe rien. Par contre, une fois que l'os de l'ancien propriétaire est démarré, le clavier fonctionne. J'ai essayé plusieurs ports de la machine, de changer de clavier, de débrancher la pile de bios pendant 30 min, démarrer le serveur avec l'interrupteur 6 du sw1 pour vider la NVRAM, mais rien, j'ai toujours le problème. Les forums sur Google sont assez succincts, donc à chaque fois la discussion tourne en boucle. Et RAS dans les journaux de Ilo.Donc je me sens dépassé. Je suis débutant en hardware de ce genre de serveur donc s'il y a des personnes qui connaissent ce problème ou cette machine, je suis preneur. BIOS : P68 Bon lundi ! Noah

2 1

Recherche consultant ou société pour auditer des devices après un hack
by Christophe BAILLON 12 Mar '24

12 Mar '24

Hello, Je suis a la recherche d'un consultant ou d'une boite pour intervenir sur Paris suite a un hack de boite mail. Suite a la découverte les devices (5) ont été stoppé et remisé Le hack concerne une boite mail o365, on cherche a savoir quel device a été compromis et comment avant de les cleaner Me contacter en MP

1 0

Serveur S3
by David Touitou 11 Mar '24

11 Mar '24

'jour les gens. Je voudrais faire des tests (et peut-être un peu plus) en interne de backup vers du S3. Le serveur qui va héberger le service existe déjà, c'est du ZFS, l'idée serait d'avoir un dataset qui est servi en S3. Du coup, pas besoin de distribution géographique (ou locale), pas besoin de contrôle de parité ou EC, juste un serveur S3. J'ai trouvé Minio et Garage (qui font aussi tout ce dont je n'ai pas besoin). Est-ce que vous auriez d'autres outils à proposer ? Merci, David

7 10

[jobs] CDD Ingénieur-e systèmes Linux pour l'Université Clermont Auvergne à Clermont-Ferrand
by David GRIMBICHLER 08 Mar '24

08 Mar '24

Bonjour à tous, Le Mésocentre Clermont Auvergne et la DSI de l'Université Clermont Auvergne recrutent un ingénieur ou une ingénieure systèmes Linux pour un CDD de 18 mois. Il ou elle intégrera une équipe d'une quinzaine de personnes au sein du Mésocentre et du Pôle Infrastructures. Plus de détails : [ https://www.linuxjobs.fr/jobs/1457/ingnieur-e-systmes-linux-pour-l-universi… | https://www.linuxjobs.fr/jobs/1457/ingnieur-e-systmes-linux-pour-l-universi… ] Bon week-end !

1 0

Appel à présentation - HS'R 2024 - 29 mars 2024 - Reims
by Florent Nolot 07 Mar '24

07 Mar '24

Bonjour, Dans le cadre de la 7ème édition du HS'R, anciennement appelé HackSecuReims, nous organisons, en parallèle de notre salon sur les métiers de la cybersécurité et des conférences grands publics sur le thème de la cyber, des conférences techniques. Si vous souhaitez présenter durant 30 à 45 min vos travaux sur le thème de la sécurité informatique, sur l'usage de nouveaux outils, sur des vulnérabilités récentes, sur le fonctionnement de derniers vers ou virus ou bien sur l'usage de l'IA dans le domaine de la sécurité, vos propositions sont les bienvenues. Plus d'informations sur https://hacksecureims.eu/ Contact : Florent NOLOT : florent.nolot(a)univ-reims.fr Louis BAES : louis.baes(a)protonmail.com Soumission de votre proposition de présentation inclus un titre et un résumé de quelques lignes : 17 mars 2024 Cordialement

1 0

← Newer
1
...
6
7
8
9
10
11
12
...
260
Older →

Jump to page:

2025

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG