Testons votre crypto !

 

Où l’on ne parle pas de crypto-monnaie, mais bien de cryptographie. Tester des primitives cryptographiques non pas pour vérifier leur conformité à une spécification donnée, mais bien pour s’assurer de leur sécurité est une tâche ardue. Voyons comment aborder ce problème. Lire la suite

Analyses des configurations SSL/TLS de serveurs SMTP

 

La messagerie électronique est une des applications les plus utilisées d’Internet. Il est donc naturel de s’intéresser à la sécurité des protocoles servant à l’acheminement des courriers électroniques. En première approche, il existe deux éléments à regarder : la sécurité des communications, qui est généralement assurée par SSL/TLS, et la protection des contenus, qui peut être assurée par S/MIME ou OpenPGP. C’est sur le premier point que porte cet article.

Lire la suite

MAC Address Randomization : tour d’horizon

 

Depuis fin 2014, différents constructeurs d’appareils mobiles, et en particulier de smartphones, annoncent avec fierté l’ajout et l’amélioration progressive d’une nouvelle technique de protection contre le traçage des téléphones : le changement aléatoire d’adresse MAC (MAC address randomization). Il était effectivement temps de s’attaquer au problème du traçage physique, attaque triviale devenue extrêmement problématique depuis la prolifération massive de ce genre d’appareils. Lire la suite

Découvrez l’édito du hors-série spécial « Machine Learning & sécurité » !

De l’hermétisme au marketing

Qu’il s’agisse de lessive lavant plus blanc que blanc ou d’une énième vulnérabilité cataclysmique, la résultante invariable du marketing est de produire, à un moment, du faux. Prenons le quotidien de quiconque ferait un minimum de veille du côté des vulnérabilités : dans les méthodes à l’ancienne, suivre les listes de diffusion comme full-disclosure, bugtraq ou oss-sec par exemple n’est pas chose aisée tant la pluie de CVE est quasi-permanente et l’information toujours partielle (même si quelques advisory et discussions de qualité sont là pour rattraper l’ensemble). Du côté de Twitter, si l’on arrive à mettre de côté les petites querelles du moment, on y trouve une quantité intéressante d’informations, bon nombre d’experts en sécurité francophones et anglophones l’utilisant au quotidien. Jusque-là, faire la part des choses, distinguer ce qui est pertinent ou non, se faisait dans un flux permanent avec ces hauts (POC sur full-disclosure) et ces bas (hoax). Puis est arrivé le marketing : nom, site, logo, script/outil, vidéos, raz de marée sur Twitter, papiers dans les journaux grand public, annonce d’une demi-fin du monde, et cela pour une vulnérabilité (dans certains cas même quasi inexploitable). Et voilà que l’on a basculé dans le rythme infernal de la course à la célébrité pour les vulnérabilités. Certes, pour l’initié (toi, lecteur de MISC), tout cela s’apparente essentiellement à une dégradation du rapport signal/bruit dans la veille quotidienne. Lire la suite

L’édito de MISC n°100 !

Et de 100 !

Lecteur de GNU/Linux Magazine depuis le 1er numéro, j’ai passé grâce à ce magazine des dizaines d’heures à expérimenter les merveilles parfois incongrues des langages Scheme, les perles de Mongueurs, le ray tracing avec POV, ou encore les bases de l’administration système. J’ai parfois été dérouté par l’enthousiasme du rédacteur en chef pour GNU Hurd comme j’avais pu l’être à la lecture des articles sur Amiga ou BeOS par la rédaction de Dream mais, sans flagornerie, une très grande partie des compétences informatiques dont je disposais à la sortie d’école d’ingénieur, je la devais à la lecture de la presse spécialisée. Lire la suite