Bonjour à tous

 

La sélection des liens de la semaine. Un peu en retard cette semaine, la mise à jour IPB du forum m'ayant occasionné quelques soucis de mise en page, et je ne l'avais posté que sur le forum ce week-end, pas ici.

 

 

Actus Sécurité Grand public

 

=> SafeHex. 16/06/10. « Mise à jour de la page "SafeHex" (recommandations sécurité pour Windows). La liste des modifications est visible en bas de page (...). » A l'occasion d'une mise à jour, un petit lien pour faire redécouvrir ou découvrir l'indispensable pour tout utilisateur de Windows connecté à internet, de Sebsauvage.

Source : http://sebsauvage.net/safehex.html

 

=> Sécurité informatique : bonne perception, application laborieuse selon le Clusif. 18/06/10. « L'association a livré son édition 2010 de son enquête sur les « menaces informatiques et les pratiques de sécurité ». Entreprises, Hôpitaux et Internautes particuliers sont au menu de cette étude. Si les menaces sont bien comprises, la mise en place de solutions reste faible (...). »

Source : http://www.lemondeinformatique.fr/actualites/lire-securite-informatique-bonne-perception-application-laborieuse-selon-le-clusif-30954.html

Billets en relation :

Menaces informatiques et pratiques de sécurité en France : http://www.clusif.asso.fr/fr/production/sinistralite/docs/CLUSIF-rapport-2010.pdf

 

=> Spam, publicité... la CNIL prend les plaintes en ligne. 19/06/10. « La Commission Nationale de l'Informatique et des Libertés a inauguré le dépôt de plainte en ligne (...). »

Source : http://www.generation-nt.com/cnil-plainte-ligne-spam-publicite-acces-donnees-actualite-1037801.html

Billets en relation :

Plainte en ligne : http://www.cnil.fr/vos-libertes/plainte-en-ligne/

 

 

Actus Sécurité Confirmé(s)

 

 

=> Understanding Man-in-the-Middle Attacks – ARP Cache Poisoning (Part 1). 09/06/10 (updated). « The first part of an article series on some of the most widely used forms of MITM attacks, including ARP Cache Poisoning, DNS Spoofing, HTTP session hijacking, passing the hash and more (...). »

Source : http://www.windowsecurity.com/articles/Understanding-Man-in-the-Middle-Attacks-ARP-Part1.html

Billets en relation :

09/06/10 (updated). Understanding Man-In-The-Middle Attacks – Part2: DNS Spoofing : http://www.windowsecurity.com/articles/Understanding-Man-in-the-Middle-Attacks-ARP-Part2.html

09/06/10 (updated). Understanding Man-In-The-Middle Attacks - Part 3: Session Hijacking : http://www.windowsecurity.com/articles/Understanding-Man-in-the-Middle-Attacks-ARP-Part3.html

09/06/10 (updated). Understanding Man-In-The-Middle Attacks - Part 4: SSL Hijacking : http://www.windowsecurity.com/articles/Understanding-Man-in-the-Middle-Attacks-ARP-Part4.html

 

=> UnrealIrcd 3.2.8.1 – Backdoored. 13/06/10. « UnrealIrcd 3.2.8.1 – Backdoored c’était l’un des titres qu’on pouvait lire sur la liste de diffusion full-disclosure aujourd’hui. Je n’ai pas d’idée sur la popularité et l’usage de ce serveur IRC, mais ce qui est sûr c’est qu’il est connu(portabilité, multi langues, …) et utilisé par plusieurs serveurs de chat connus. Curieux de voir l’ampleur des dégâts je récupère une version sur le net, et réalise un diff (...). »

Source : http://nibbles.tuxfamily.org/?p=1552

Billets en relation :

12/06/10.

Some versions of Unreal3.2.8.1.tar.gz contain a backdoor : http://forums.unrealircd.com/viewtopic.php?t=6562

12/06/10. Le serveur UnrealIRCd contient un cheval de troie : http://www.zataz.com/alerte-securite/20342/Le-serveur-UnrealIRCd-contient-un-cheval-de-troie.html

14/06/10. Un peu plus d’infos sur la backdoor d’UnrealIRCd 3.2.8.1 : http://nibbles.tuxfamily.org/?p=1588

 

=> FantaSSTIC 2010. 15/06/10. « L'édition 2010 du SSTIC est (déjà) terminée, et nous voilà de retour après un week-end de repos bien mérité (voire nécessaire). Sans faire de compte-rendu exhaustif, on peut tout de même noter quelques points : Il n'a échappé à personne qu'il y a un fort besoin de main d'œuvre en ce moment dans le domaine de la sécurité informatique. Le problème vient-il d'un manque de formation dans le domaine, des étudiants qui se détournent du milieu une fois démystifié le cliché du hacker « opération espadon », de la trop grande exigence des recruteurs... ? Nous ne sommes en tout cas pas les seuls à nous poser la question. Par ailleurs, les conférences ont une fois de plus été variées, destinées à un public hétérogène (...). »

Source : http://cert.lexsi.com/weblog/index.php/2010/06/15/387-fantasstic-2010

Billets en relation :

14/06/10. [sSTIC 2010] Day 2 : http://mission-security.blogspot.com/2010/06/sstic-2010-day-2.html

14/06/10. [sSTIC 2010] Day 3 : http://mission-security.blogspot.com/2010/06/sstic-2010-day-3.html

Actes de l'édition 2010, papiers et diaporamas : http://www.sstic.org/2010/actes/

 

=> See you in the Adobe playground…. 16/06/10. « Let’s see how to run an external Adobe Reader process from a pdf file that’s being displayed in a web browser. This *technique* is a derivate of the pdf-into-pdf embedding post. It also uses the GotoE action to jump away to an embed pdf. I just discovered that doing this from a browser viewed pdf it runs a different process of the Adobe Reader. The ability of running a new, fresh and separated process has some interesting exploitability implications. (...). »

Source : http://feliam.wordpress.com/2010/06/16/see-you-in-the-adobe-playground/

 

 

Outils/services à découvrir ou à redécouvrir

 

 

=> Xandora. 12/06/10. « Your online binary analyser (...)Autovin File Analyzer (Code Name “Xandora”) offers a free service whereby its customers may submit sample files containing suspected threats for analysis by the Xandora automated threat analysis system (“Xandora System”). »

Source : http://x.maldb.com/

Billets en relation :

16/01/10. TERMS AND CONDITIONS OF USE : http://xandora.security.net.my/?page_id=326

 

 

Actus généralistes

 

 

=> De l'honnêteté intellectuelle et du HTML5. 13/06/10. « Christopher Blizzard est évangéliste chez Mozilla (pour rappel, évangéliste n’est pas un gros mot). Il a récemment publié un billet coup de gueule sur son blog dont ZDNet et PC Inpact se sont faits l’écho (...). » Traduction Framablog.

Source : http://www.framablog.org/index.php/post/2010/06/13/html5-christopher-blizzard-mozilla

Billets en relation :

04/06/10. intellectual honesty and html5 : http://www.0xdeadbeef.com/weblog/2010/06/intellectual-honesty-and-html5/

 

=> TV-B-Gone : “le pouvoir sur le média”. 13/06/10. « Éteindre une télé à 110 mètres de distance, c'est possible avec le TV-B-Gone ! Son inventeur, Mitch Altman, revient sur sa genèse et son succès. Et, au passage, nous livre sa vision des médias et de la vie (...). »

Source : http://owni.fr/2010/06/13/tv-b-gone-le-pouvoir-sur-le-media/

 

=> Des licences libres pour concilier innovation sociale et économique. 14/06/10. « De nombreux problèmes se posent lorsqu'une institution décide de libérer ses données. Ceux que soulèvent les licences juridiques ne sont pas les moindres (...). » Owni évoque l'Opendata via plusieurs billets.

Source : http://owni.fr/2010/06/14/des-licences-libres-pour-concilier-innovation-sociale-et-economique/

Billets en relation :

14/06/10. Licences libres et informations du secteur public : http://owni.fr/2010/06/14/licences-libres-et-informations-du-secteur-public/

14/06/10. Libération des données: “On ne reviendra pas en arrière” : http://owni.fr/2010/06/14/liberation-des-donnees-on-ne-reviendra-pas-en-arriere/

14/06/10. L’OpenData: bien plus que de la communication politique ! : http://owni.fr/2010/06/14/l%E2%80%99opendata-bien-plus-que-de-la-communication-politique/

 

=> 10 choses à publier sur votre blog pour devenir un VRAI blogueur. 15/06/10. « Du coup, voici 10 choses à faire absolument sur son blog pour combler un manque d’inspiration pesant et d’une pierre deux coups, s’auto-proclamer blogueur Français (...). »

Source : http://www.mangetamain.fr/web-critique/10-choses-a-publier-sur-votre-blog-pour-devenir-un-vrai-blogueur.html

Source initiale :

17/06/10. SebSauvage - En vrac : http://sebsauvage.net/rhaa/index.php?2010/06/17/13/37/22-en-vrac

 

=> Une nouvelle génération de DRM proposée par l'lEEE. 16/06/10. « L'IEEE souhaite mettre au point une norme de DRM qui permettrait aux consommateurs de partager, prêter et de même de vendre les oeuvres les oeuvres qu'ils achètent, mais d'une manière qui les oblige à un comportement responsable (...). »

Source : http://www.numerama.com/magazine/15986-une-nouvelle-generation-de-drm-proposee-par-l-leee.html

 

=> L'internet à plusieurs vitesses est respectueux de la neutralité du net. 16/06/10. « L'internet à plusieurs vitesses est-il vraiment l'épouvantail pour la neutralité du réseau ? Non, il pourrait même être la meilleure solution pour la sauvegarder (...). »

Source : http://www.numerama.com/magazine/15983-l-internet-a-plusieurs-vitesses-est-respectueux-de-la-neutralite-du-net.html

Billets en relation :

18/06/10. Neutralité du net : réguler la charge du réseau par le paiement d'un tarif d'accès ? : http://www.numerama.com/magazine/16006-neutralite-du-net-reguler-la-charge-du-reseau-par-le-paiement-d-un-tarif-d-acces.html

 

=> Conservation des données par les moteurs de recherche: l’Europe s’agite. 16/06/10. « Les eurodéputés retirent les uns après les autres leur soutien à la déclaration 29 qui prévoit de permettre la conservation des données par les moteurs de recherche (...). »

Source : http://owni.fr/2010/06/16/la-conservation-des-requetes-par-les-moteurs-de-recherche/

Billets en relation :

19/06/10. Déclaration 29 adoptée: vers des moteurs d’archives : http://owni.fr/2010/06/19/la-declaration-29-adoptee-conservation-des-donnees-des-moteurs-de-recherche/

19/06/10. Pédopornographie : l'Europe valide le principe de la conservation des données : http://www.numerama.com/magazine/16019-pedopornographie-l-europe-valide-le-principe-de-la-conservation-des-donnees.html

 

=> LE pare-feu OpenOffice. 16/06/10. « Internet ça a du bon. Enfin, pas toujours .. Et en combinant une jolie boulette avec quelques outils, on peut réaliser des choses dont personne n'aurait pensé au début .. En bref, et notamment pour faire suite au challenge que certaines personnes m'ont lancé au SSTIC 2010 (très bonne année d'ailleurs), le voila: LE pare-feu OpenOffice ! Mais attention: pas un truc codé à l'arrache, nan, un vrai pare-feu avec un design toussa (...). »

Source : http://www.wzdftpd.net/blog/index.php?2010/06/16/46-le-pare-feu-openoffice

Billets en relation :

17/06/10. Insolite : il développe vraiment un pare-feu Open Office ! : http://www.numerama.com/magazine/15993-insolite-il-developpe-vraiment-un-pare-feu-open-office.html

 

=> La Russie intégre le réseau Inhope. 17/06/10. « La majorité des sites pédo-pornographiques étant hébergés en Russie ou aux USA, l’arrivée de la Russie au sein du réseau Inhope est un signe fort pour la fédération (...). »

Source : http://www.zataz.com/news/20358/Russie_-reseau-Inhope.html

 

=> Google Street View, Swift et la vidéosurveillance au menu de la Cnil. 17/06/10. « La Commission nationale informatique et libertés (CNIL), le gendarme français de la vie privée, a publié ce jeudi son rapport annuel. Tour d'horizon des principaux dossiers passés et en cours (...). »

Source : http://www.lemonde.fr/technologies/article/2010/06/17/google-street-view-et-le-droit-a-l-oubli_1374601_651865.html

Billets en relation :

CNIL 30e rapport d'activité 2009 : http://www.cnil.fr/fileadmin/documents/La_CNIL/publications/CNIL-30erapport_2009.pdf

 

=> HTML5 résumé en une image. 17/06/10. « L’équipe de Focus.com a synthétisé en une seule image les principes importants du HTML5 ainsi que sa compatibilité avec les navigateurs actuels (...). »

Source : http://www.mikii.fr/blog/2010/06/17/html5-resume-en-une-image/

HTML5 : http://www.focus.com/images/view/11905/

 

=> Tentative d’identification d’Owni. 17/06/10. « Owni, plate-forme de «journalisme digital», et dernier-né des pure players de l’hexagone, veut être le ProPublica (1) français. C’est-à-dire une organisation qui finance des productions journalistiques sans en tirer profit. «L’information ne vaut pas d’argent et n’en rapporte pas, m’explique Nicolas Voisin, 32 ans, à la tête d’Owni. Depuis le temps, on le sait!» (...). »

Source : http://blog.slate.fr/labo-journalisme-sciences-po/2010/06/17/tentative-didentification-downi/

 

=> NDH2010 unofficial party report. 20/06/10. « Unofficial because as a member from the staff I must take some reserve on things, but I like partyreports cause you can say just right now what you found amazing and what you found horribly FAIL. So this blogpost only deals with my personal views and of course not the staff’, communities (hello HZV!), or companies involved in this exciting event (...). »

Source : http://silkcut.wordpress.com/2010/06/20/ndh2010-unofficial-party-report/

 

 

Contrôle du Téléchargement d'Orange, Le fiasco du moment

 

 

Pour finir la série des liens, j'insère à part le fiasco de la semaine, tout droit généré par Orange. Comme il touche à la fois au côté 'actus généralistes' et 'actu sécu', pas facile de le cataloguer, d'où cette partie un peu à part.

 

=> Orange vous sécurise … ayez confiance !. 13/06/10. « On savait que le soft de sécurisation HADOPI allait être un moment bien rock’n roll,et bien voilà, c’est fait ! Les ip de ses clients sont accessibles sur le Net, ca donne vraiment envie qu’Orange vous « sécurise » non ? Il manque plus qu’un OpenOffice en remote et on est bindés (...). »

Source : http://bluetouff.com/2010/06/13/orange-vous-securise-ayez-confiance/

 

=> HADOPI et failware de « sécurisation » Orange. 14/06/10. « La sécurité par l’obscurantisme est de l’avis de tous les spécialistes une erreur stratégique. L’épisode d’hier sur le logiciel de « sécurisation » HADOPI était malheureusement dramatiquement prévisible. D’ailleurs Cédric Blancher, il y a quelques jours, signalait l’important risque qui planait autour de ces solutions de « sécurisation » et rappelait de tristes épisodes où ce genre de failwares se sont illustrés (...). »

Source : http://bluetouff.com/2010/06/14/hadopi-et-failware-de-securisation-orange/

Billets en relation :

14/06/10. Logiciel Hadopi : Orange se dit victime d'une intrusion informatique : http://www.numerama.com/magazine/15966-logiciel-hadopi-orange-se-dit-victime-d-une-intrusion-informatique.html

14/06/10. HADOPI et Orange, unis pour le pire... : http://sid.rstack.org/blog/index.php/413-hadopi-et-orange-unis-pour-le-pire

14/06/10. Hadopi et le verrou Orange, tout était déjà écrit voilà deux ans : http://www.pcinpact.com/actu/news/57632-orange-hadopi-controle-telechargement-henrard.htm

14/06/10. Le logiciel anti-P2P d’Orange met en danger ses clients : http://www.silicon.fr/fr/news/2010/06/14/le_logiciel_anti_p2p_d_orange_met_en_danger_ses_clients

15/06/10. Orange: “Notre logiciel n’a aucun lien direct avec Hadopi” : http://owni.fr/2010/06/15/orange-notre-logiciel-na-aucun-lien-direct-avec-hadopi/

17/06/10. Logiciel Hadopi d'Orange suspendu : une vingtaine de clients seulement : http://www.numerama.com/magazine/15992-logiciel-hadopi-d-orange-suspendu-une-vingtaine-de-clients-seulement.html

17/06/10. Orange “n’envisage pas” un nouveau logiciel anti-p2p : http://owni.fr/2010/06/17/orange-nenvisage-pas-un-nouveau-logiciel-anti-p2p/

18/06/10. Logiciel de sécurisation HADOPI : un point sur le projet : http://bluetouff.com/2010/06/18/logiciel-de-securisation-hadopi-un-point-sur-le-projet/

 

=> Un HADOPIciel qui aurait pu tourner au botnet.... 16/06/10. « Dans mon précédent billet sur le désormais célèbre logiciel de sécurisation proposé par Orange, j'écrivais : "Mais comme atteindre le fond n'empêche pas de creuser, je ne serais malheureusement pas trop étonné de voir sortir des vulnérabilités sur le client lui-même". Et bien c'est fait. Cette piètre prédiction vient de se réaliser (...). » Ce qui me chagrine, c'est de n'avoir rien lu de l'Equipe des Blogs Sécu d'Orange. Que les équipes de développement soient des entités à part dans l'organisation et n'aient rien à voir avec les équipes sécu, je peux le comprendre, mais le sujet a largement débordé l'application commerciale pour toucher au domaine sécuritaire. Le mutisme du Blog Sécu Orange me désolé car ils auraient du en parler. Critiquer son employeur n'est jamais chose aisée sans doute.

Source : http://sid.rstack.org/blog/index.php/415-un-hadopiciel-qui-aurait-pu-tourner-au-botnet

15/06/10. Patriotic botnet with Orange's HADOPI software : http://seclists.org/fulldisclosure/2010/Jun/346

16/06/10. Cult of Dead Hadopi : http://www.zataz.com/news/20350/Cult-of-Dead-Hadopi.html

 

On aurait pu croire que la messe étant dite, ce type de projets ne reviendrait pas sur le tapis de sitôt, mais c'était sans compter sur l'effet HADOPI.

 

=> HADOPI et dérives commerciales. 20/06/10. « C’est donc à qui sortira sa solution « compatible HADOPI »… et là c’est un festival (...). »

Source : http://bluetouff.com/2010/06/20/hadopi-et-derives-commerciales/

 

Fin de l'aparté sur le bide de la semaine.

 

 

--------------------------------------------------------

La Bibliothèque de PDF a été mise à jour : ici.

 

Bonne lecture, à bientôt