6 results for tags
https x
-
Comment se faire traquer sur internet sans cookies avec HSTS
# Autres méthodesTue Jul 31 04:01:38 2018 - permalink -
https://tuxicoman.jesuislibre.net/2018/03/il-ny-a-pas-que-les-cookies-pour-vous-espionner.html
# Voir aussi les empreintes "digital" ou empreintes digitales numériques
https://liens.azqs.com/GeekNik/?searchtags=fingerprinting- https://tuxicoman.jesuislibre.net/2015/01/comment-se-faire-traquer-sur-internet-sans-cookies-avec-hsts.html
-
Le protocole HTTP/2
Spécifications techniques de HTTP/2Tue Jul 11 01:01:04 2017 - permalink -
https://tools.ietf.org/html/rfc7540
Autre article
http://www.zdnet.fr/blogs/infra-net/http-2-une-evolution-importante-du-protocole-du-web-notamment-pour-les-mobiles-39798198.htm
# Chiffrement
Chiffrement TLS; version 1.2 ou plus récente est exigée
Le standard en lui-même n’impose pas l’usage du chiffrement, mais la plupart des navigateurs l'imposent, rendant de facto obligatoire sont usage
Pas de chiffrement opportuniste
https://fr.wikipedia.org/wiki/Chiffrement_opportuniste
Des spécifications concernant le chiffrement opportuniste ont été soumises . exemple : draft-ietf-httpbis-http2-encryption-01- https://fr.wikipedia.org/wiki/Hypertext_Transfer_Protocol/2
-
Pourquoi obliger le SSL par défaut est une grosse connerie | Sam & Max
<Mon Apr 4 03:10:15 2016 - permalink -
"HTTPS fonctionne sur le principe d’autorités centrales. Vous devez obtenir un certificat auprès d’une autorité de confiance ../..
En clair, forcer SSL partout, c’est donner la main à quelques grosses boites pour décider qui a le droit d’être sur le Web ou pas"
"Par ailleurs, si un chiffrement généralisé de qualité permettrait d’éviter la surveillance de masse, le chiffrement via SSL ne le permet pas.
En effet, un gouvernement a juste à générer des certificat validé par les registrars pour chaque site visité. On sait depuis Prism qu’ils le font"
Dans les commentaires :
"Faudrait déjà que les navigateurs implémentent DANE (en gros on met le certificat dans le DNS, donc pas besoin de CA). Mais ça implique de déployer DNSSEC, d’où l’argument de la simplicité." explications à la suite
> "Si l'AC DigiNotar est reconnue comme AC de confiance par un client TLS (exemple Firfox), elle peut signer des certificats pour n'importe quel nom"
http://www.bortzmeyer.org/6698.html
> Voir aussi ce billet au sujet proche
http://liens.azqs.com/GeekNik/?Vykbvg- http://sametmax.com/pourquoi-obliger-le-ssl-par-defaut-est-une-grosse-connerie/
-
0day : Qu’est ce qu’un Zero Day ? + conseils de sécurisation
# Exemples failles/vers/virus:Thu Dec 24 00:23:04 2015 - permalink -
- Heartbleed : faille de la bibliothèque cryptographique OpenSSL
- POODLE : touche le protocole SSLv3 et permet grâce à une attaque de type Man In The Middle de faire sauter le chiffrement
- Stuxnet : Menaces sur les environnements informatiques industriels. Attaque des équipement Scada
http://korben.info/securite-scada.html
- Regin est un outil de cyber-espionnage (vers furtif) : Pour s’implanter dans un réseau, Regin utilise des failles zero day
- Bios : Exemple de Computrace, trouvé par hasard par Kaspersky
http://korben.info/computrace-lojack-absolute.html
#biz
- TheRealDeal Market : Accessible via Tor, achat de 0days.
- Des sociétés comme Vupen ( France), ReVuln, Arc4dia ou Zerodium, avec pignon sur rue, en ont fait leur fond de commerce légal.
et aussi : Amesys/Hacking Team/Trovicor/Gamma >> http://surveillance.rsf.org/category/societes-ennemis-internet/
Le gouvernement américain, pour le compte de la NSA, a dépensé plus de 25 millions de dollars en achats de 0Day.
- http://www.zerodayinitiative.com : permet aux chasseurs de 0Days de se faire rémunérer pour leur découverte tout en divulguant la vulnérabilité de manière responsable et dans un but correctif.
# Tucs
- L'article liste quelques outils anti 0day (pour serveurs) : renforcement du contrôle des accès : sous Linux des outils comme SELinux, AppArmor ou encore Grsecurity. Sous Windows EMET (Enhanced Mitigation Experience Toolkit) sécuriser les environnements Windows.
#caisses à outils d’espionnages
kits Angler, Nuclear Pack et Neutrino : Distribuer du malware grâce à des zéro Day
http://korben.info/les-vulnerabilites-utilisees-par-hacking-team-en-cours-de-correction-et-dexploitation.html
Remote Control Systems (RCS)de la Hacking Team : incluant les outils DaVinci et Galileo- http://korben.info/n-0day.html
-
SSL/TLS is powned | Tuxicoman
< "En clair, l’Agence nationale de la sécurité des systèmes d’information française peut se faire passer pour Google et écouter/modifier le traffic chiffré par SSL entre vous et Google sans activer aucune alerte (cadenas toujours vert dans Firefox, SSL actif)."Wed Dec 16 21:06:45 2015 - permalink -
> Explication du problème technique
http://tuxicoman.jesuislibre.net/2014/05/openssl-et-la-verification-du-domaine-dans-les-certificats.html
> Explication du fonctionnement normal ...déjà sujet à caution
http://tuxicoman.jesuislibre.net/2013/06/le-chiffrement-ssl-inutile-face-a-la-nsa.html
"Les autorités de certification racine : Ces autorités, point d’ancrage de la chaîne de confiance bâtie par X.509 (le standard derrière les certificats HTTPS), ont généralement toutes connues un problème à un moment de leur vie, que ça soit parce qu’elles se sont fait trouer (Comodo & DigiNotar, Vasco…), parce qu’elles font n’importe quoi (ANSSI), parce qu’elles sont à la fois juges et parties (Visa, Amazon, Wells Fargo Bank…), parce qu’elles sont directement liées à un gouvernement quelconque (ANSSI, CNNIC, TurkTrust…), voire carrément parce qu’elles collaborent avec des dictatures (Microsoft)."
Ce billet parle aussi de " DANE/TLSA. DANE/TLSA permet à un administrateur de déclarer dans son DNS (protégé par DNSSec sinon aucun intérêt) ../.. HPKP, HSTS "
https://blog.imirhil.fr/2015/12/12/letsencrypt-joie-deception.html
# Tentative de sécurisation
> Certificate Patrol : vérifie les certificats lorsqu’on arrive sur un site https
https://addons.mozilla.org/fr/firefox/addon/certificate-patrol/
> SSL Server Test
https://www.ssllabs.com/ssltest/
> SSL Eye
SSL Eye, un freeware pour Windows capable de comparer les empreintes SSL des sites de votre choix à partir de différents serveurs dans le monde ET de votre propre connexion internet.
http://korben.info/comment-detecter-les-attaques-man-in-the-middle.html- http://tuxicoman.jesuislibre.net/2013/12/ssltls-is-powned.html
-
Installation de certificats (certificats racines et de serveurs) [UFR EILA]
L'utilisation de certificat se fait en mode non sécurisé (HTTP) et est la première étape utilisée entre un client et un serveur avant l'ouverture d'une connexion en mode sécurisé (HTTPS)Tue Mar 10 02:04:00 2015 - permalink -
http://fr.wikipedia.org/wiki/Autorit%C3%A9_de_certification
https://fr.wikipedia.org/wiki/X.509- http://www.eila.univ-paris-diderot.fr/sysadmin/securite/ca/help