Shaare your links...
314 links
Filou fait le GeekNik : Sécurité / libre / p2P / réseaux / bidouilles / no net / etc Home Login RSS Feed ATOM Feed Tag cloud Picture wall Daily
Links per page: 20 50 100
page 1 / 1
6 results for tags https x
  • Comment se faire traquer sur internet sans cookies avec HSTS
    # Autres méthodes
    https://tuxicoman.jesuislibre.net/2018/03/il-ny-a-pas-que-les-cookies-pour-vous-espionner.html
    # Voir aussi les empreintes "digital" ou empreintes digitales numériques
    https://liens.azqs.com/GeekNik/?searchtags=fingerprinting
    Tue Jul 31 04:01:38 2018 - permalink -
    - https://tuxicoman.jesuislibre.net/2015/01/comment-se-faire-traquer-sur-internet-sans-cookies-avec-hsts.html
    HSTS https mouchard pistage traking traçage webstorage
  • Le protocole HTTP/2
    Spécifications techniques de HTTP/2  
    https://tools.ietf.org/html/rfc7540
    Autre article
    http://www.zdnet.fr/blogs/infra-net/http-2-une-evolution-importante-du-protocole-du-web-notamment-pour-les-mobiles-39798198.htm

    # Chiffrement
    Chiffrement TLS; version 1.2 ou plus récente est exigée
    Le standard en lui-même n’impose pas l’usage du chiffrement, mais la plupart des navigateurs l'imposent, rendant de facto obligatoire sont usage

    Pas de chiffrement  opportuniste
    https://fr.wikipedia.org/wiki/Chiffrement_opportuniste
    Des spécifications concernant le chiffrement opportuniste ont été soumises . exemple  : draft-ietf-httpbis-http2-encryption-01
    Tue Jul 11 01:01:04 2017 - permalink -
    - https://fr.wikipedia.org/wiki/Hypertext_Transfer_Protocol/2
    chiffrement chiffré http https internet protocol réseau tls web
  • Pourquoi obliger le SSL par défaut est une grosse connerie | Sam & Max
    <
    "HTTPS fonctionne sur le principe d’autorités centrales. Vous devez obtenir un certificat auprès d’une autorité de confiance ../..
    En clair, forcer SSL partout, c’est donner la main à quelques grosses boites pour décider qui a le droit d’être sur le Web ou pas"

    "Par ailleurs, si un chiffrement généralisé de qualité permettrait d’éviter la surveillance de masse, le chiffrement via SSL ne le permet pas.
    En effet, un gouvernement a juste à générer des certificat validé par les registrars pour chaque site visité. On sait depuis Prism qu’ils le font"

    Dans les commentaires :
    "Faudrait déjà que les navigateurs implémentent DANE (en gros on met le certificat dans le DNS, donc pas besoin de CA). Mais ça implique de déployer DNSSEC, d’où l’argument de la simplicité." explications à la suite

    > "Si l'AC DigiNotar est reconnue comme AC de confiance par un client TLS (exemple Firfox), elle peut signer des certificats pour n'importe quel nom"
    http://www.bortzmeyer.org/6698.html

    > Voir aussi ce billet au sujet proche
    http://liens.azqs.com/GeekNik/?Vykbvg
    Mon Apr 4 03:10:15 2016 - permalink -
    - http://sametmax.com/pourquoi-obliger-le-ssl-par-defaut-est-une-grosse-connerie/
    centralisation certification chiffrement chiffré DNSSEC détournement https internet réseau SSL tls usurpation
  • 0day : Qu’est ce qu’un Zero Day ? + conseils de sécurisation
    # Exemples failles/vers/virus:
    - Heartbleed : faille de la bibliothèque cryptographique OpenSSL
    - POODLE : touche le protocole SSLv3 et permet grâce à une attaque de type Man In The Middle de faire sauter le chiffrement
    - Stuxnet : Menaces sur les environnements informatiques industriels. Attaque des équipement Scada
    http://korben.info/securite-scada.html
    - Regin est un outil de cyber-espionnage (vers furtif) :  Pour s’implanter dans un réseau, Regin utilise des failles zero day
    -  Bios : Exemple de Computrace, trouvé par hasard par Kaspersky
    http://korben.info/computrace-lojack-absolute.html
    #biz
    - TheRealDeal Market : Accessible via Tor, achat de 0days.
    - Des sociétés comme Vupen ( France), ReVuln, Arc4dia ou Zerodium, avec pignon sur rue, en ont fait leur fond de commerce légal.
    et aussi : Amesys/Hacking Team/Trovicor/Gamma >> http://surveillance.rsf.org/category/societes-ennemis-internet/
    Le gouvernement américain, pour le compte de la NSA, a dépensé plus de 25 millions de dollars en achats de 0Day.
    - http://www.zerodayinitiative.com :  permet aux chasseurs de 0Days de se faire rémunérer pour leur découverte tout en divulguant la vulnérabilité de manière responsable et dans un but correctif.
    # Tucs
    - L'article liste quelques outils anti 0day (pour serveurs) : renforcement du contrôle des accès : sous Linux des outils comme SELinux, AppArmor ou encore Grsecurity.  Sous Windows EMET (Enhanced Mitigation Experience Toolkit) sécuriser les environnements Windows.

    #caisses à outils d’espionnages
    kits Angler, Nuclear Pack et Neutrino : Distribuer du malware grâce à des zéro Day
    http://korben.info/les-vulnerabilites-utilisees-par-hacking-team-en-cours-de-correction-et-dexploitation.html
    Remote Control Systems (RCS)de la Hacking Team :  incluant les outils DaVinci et Galileo
    Thu Dec 24 00:23:04 2015 - permalink -
    - http://korben.info/n-0day.html
    attaque attaque bios espionage-industruel espionnage faille https malware OpenSSL securité ssl sécurité vers virus vulnérabilité
  • SSL/TLS is powned | Tuxicoman
    < "En clair, l’Agence nationale de la sécurité des systèmes d’information française peut se faire passer pour Google et écouter/modifier le traffic chiffré par SSL entre vous et Google sans activer aucune alerte (cadenas toujours vert dans Firefox, SSL actif)."
    > Explication du problème technique
    http://tuxicoman.jesuislibre.net/2014/05/openssl-et-la-verification-du-domaine-dans-les-certificats.html
    > Explication du fonctionnement normal ...déjà sujet à caution
    http://tuxicoman.jesuislibre.net/2013/06/le-chiffrement-ssl-inutile-face-a-la-nsa.html

    "Les autorités de certification racine : Ces autorités, point d’ancrage de la chaîne de confiance bâtie par X.509 (le standard derrière les certificats HTTPS), ont généralement toutes connues un problème à un moment de leur vie, que ça soit parce qu’elles se sont fait trouer (Comodo & DigiNotar, Vasco…), parce qu’elles font n’importe quoi (ANSSI), parce qu’elles sont à la fois juges et parties (Visa, Amazon, Wells Fargo Bank…), parce qu’elles sont directement liées à un gouvernement quelconque (ANSSI, CNNIC, TurkTrust…), voire carrément parce qu’elles collaborent avec des dictatures (Microsoft)."
    Ce billet parle aussi de "  DANE/TLSA. DANE/TLSA permet à un administrateur de déclarer dans son DNS (protégé par DNSSec sinon aucun intérêt) ../.. HPKP, HSTS "
    https://blog.imirhil.fr/2015/12/12/letsencrypt-joie-deception.html

    # Tentative de sécurisation
    > Certificate Patrol : vérifie les certificats lorsqu’on arrive sur un site https
    https://addons.mozilla.org/fr/firefox/addon/certificate-patrol/
    > SSL Server Test
    https://www.ssllabs.com/ssltest/
    > SSL Eye
    SSL Eye, un freeware pour Windows capable de comparer les empreintes SSL  des sites de votre choix à partir de différents serveurs dans le monde ET de votre propre connexion internet.
    http://korben.info/comment-detecter-les-attaques-man-in-the-middle.html
    Wed Dec 16 21:06:45 2015 - permalink -
    - http://tuxicoman.jesuislibre.net/2013/12/ssltls-is-powned.html
    attaque certification chiffrement chiffré cryptage cryptographie espion espionnage faille https ssl tls vulnérabilité
  • Installation de certificats (certificats racines et de serveurs) [UFR EILA]
    L'utilisation de certificat se fait en mode non sécurisé (HTTP) et est la première étape utilisée entre un client et un serveur avant l'ouverture d'une connexion en mode sécurisé (HTTPS)
    http://fr.wikipedia.org/wiki/Autorit%C3%A9_de_certification
    https://fr.wikipedia.org/wiki/X.509
    Tue Mar 10 02:04:00 2015 - permalink -
    - http://www.eila.univ-paris-diderot.fr/sysadmin/securite/ca/help
    certification chiffrement chiffré https internet réseau SSL tls X.509
Links per page: 20 50 100
page 1 / 1
Shaarli 0.0.41 beta - The personal, minimalist, super-fast, no-database delicious clone. By sebsauvage.net. Theme by idleman.fr.