Sécurité informatique et "exploits" (failles de sécurité)

Page 2 sur 2 Précédent  1, 2

Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par stv82 le Lun 1 Jan 2018 - 15:08

Merci an.a.co.lu.the Smile
Bon finalement soit c'était Fata dans ce message, soit c'était une autre personne mais le moteur de recherche merdique de phpBB veut le garder pour lui !
avatar
stv82
Rayures apprivoisées
Rayures apprivoisées

Messages : 364
Date d'inscription : 28/01/2015
Age : 36
Localisation : Au calme, en Bretagne

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par Yack le Lun 1 Jan 2018 - 16:57

Bonjour,

Très bonnes explications et mesures !

J'ajouterais les suivantes, ce sont des mesures de base (j'espère ne pas créer de redondances):

Sauvegardes


Effectuer une sauvegarde régulière des documents en appliquant le principe suivant: avoir une copie des données stratégiques / vitales sur un support local et une sur un support distant, de façon à avoir au moins 3 emplacements.

Navigation

Pour Firefox et Chrome, installer le plugin suivant https://www.eff.org/https-everywhere afin de passer les requêtes en HTTPS sur les sites sécurisées

Mots de passe

Utiliser un gestionnaire de mot de passe. Chacun peut être amené à retenir 30, 50 ... 100 mots de passe différents. Difficile de les retenir tous. C'est le rôle du gestionnaire de mot de passe de stocker.
Je préfère celui-ci : KeePass/. Il n'est pas très pratique (pas de synchro native avec le cloud), mais relativement simple et robuste.

Créer une adresse jetable pour se connecter à des sites suspects. Par exemple yopmail.com. Pratique pour faire des tests aussi.

Si je suis motivé, je présenterai la faille XSS en détail ...
avatar
Yack
Rayures apprivoisées
Rayures apprivoisées

Messages : 716
Date d'inscription : 14/04/2011
Age : 33
Localisation : Paris

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par stv82 le Sam 20 Jan 2018 - 18:37

J'ai ajouté un lien sympa dont je me sers souvent pour tester des binaires/archive/URLs ou des zips vérolés que j'avais gardés pour analyse : https://www.virustotal.com
Sinon, je suis tombé sur un livre à la bibliothèque, et il est plutôt cool si vous êtes intéressés par l'inforensics :

Sécurité informatique et Malwares
Analyse des menaces et mise en oeuvre des contre-mesures (2e édition)
Paul RASCAGNERE

Il recense plein d'outils que j'ai mis plusieurs années à trouver en glandant à droite, à gauche.
Par exemple, Cuckoo Sandbox dont j'évoquais le fonctionnement plus haut sans me rappeler du nom.
Il y a même une version online de cet outil : https://malwr.com/

Ces outils finiront bien par émerger ici tôt ou tard mais si vous êtes impatients et que vous en avez l'occasion, donnez-lui une chance !
avatar
stv82
Rayures apprivoisées
Rayures apprivoisées

Messages : 364
Date d'inscription : 28/01/2015
Age : 36
Localisation : Au calme, en Bretagne

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par stv82 le Mar 6 Mar 2018 - 17:37

J'avais lu il y a quelques années un article sympa de Dr Goulu sur les nombres premiers :
https://www.drgoulu.com/2012/04/15/comment-produire-des-nombres-premiers/

La question qui me chiffonnait à l'époque était en somme la suivante :
Si la clé privée d'un chiffrement RSA c'est P*Q avec P et Q deux nombres premiers, cela signifie qu'on sait déterminer que P et Q sont premiers sur x bits. Qu'est-ce qui empêche alors de recenser tous les couples P et Q sur cette largeur de bits, de sorte de trouver toutes les clés privées possibles ?

En substance :
- On sait générer/construire un sous-ensemble de grands nombres premiers selon certaines règles. Mais l'ensemble des nombres premiers est énorme lui !
- Mais en revanche, si on nous donne un grand nombre, on ne sait pas le décomposer en nombres premiers facilement (enfin tant que les ordinateurs quantiques et l’algorithme de Shor ne sont pas utilisés)

Le corollaire de savoir générer de grands nombres par "certaines règles", c'est que si on est capable de prédire comment sont générés ces nombres P et Q lors de la création d'une nouvelle clé, on peut alors recenser ces différents couples P et Q et bye-bye le chiffrage !
Je crois que c'est arrivé il y a une dizaine d'années avec le serveur Linux openssh, toutes les clés étaient caduques il me semble.

Sinon pour revenir au chiffrage, Dr Goulu a fait le boulot de prolonger :
- sur le chiffrement HTTPS : https://www.drgoulu.com/2017/01/11/drgoulu-com-passe-en-https/
- sur les clés asymétriques type RSA : https://www.drgoulu.com/2017/02/15/alice-et-bob-et-les-cles-asymetriques/
- sur l'attaque man in the middle : https://www.drgoulu.com/2017/11/20/alice-bob-et-lhomme-du-milieu/

Super intéressant !
avatar
stv82
Rayures apprivoisées
Rayures apprivoisées

Messages : 364
Date d'inscription : 28/01/2015
Age : 36
Localisation : Au calme, en Bretagne

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par Invité le Mar 6 Mar 2018 - 17:42

rainbow table, c'est ce que tu cherches

Invité
Invité


Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par stv82 le Lun 16 Avr 2018 - 20:26

En passant avant d'oublier, une vidéo de ScienceÉtonnante où il parle de l'algo de Shor, des cryptages basés sur des grands nombres premiers.

Les Ordinateurs Quantiques:
avatar
stv82
Rayures apprivoisées
Rayures apprivoisées

Messages : 364
Date d'inscription : 28/01/2015
Age : 36
Localisation : Au calme, en Bretagne

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par hobb le Mer 18 Avr 2018 - 20:19

Salut,

stv82 a écrit:


quand je vois un post traitant de la sécurité, qui en une image, nous montre :
- windaube
- IE
- gogole

je rigole...

hobb
Rayures apprivoisées
Rayures apprivoisées

Messages : 864
Date d'inscription : 26/05/2015

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par ortolan le Mer 18 Avr 2018 - 20:41

Plutôt que la moquerie, il faut privilégier les infos pertinentes et utiles à visée pédagogique amenant les utilisateurs à mieux se protéger.

Je trouve au contraire que ce premier message recense un certain nombre de failles laissées béantes dans les réglages par défaut d'ordis installés sous Windows (90% du marché des particuliers quand même). En plus de rédiger des articles très construits et fournis, stv82 a eu la bonne idée de placer les éléments les plus accessibles dans ce 'first post' et les infos beaucoup plus techniques (principes de fonctionnement des cracks, virus et attaques) dans les messages suivants.

Après, sur le principe, je t'accorde que dire que l'association de Windows aux paramètres par défaut avec Internet Explorer comme navigateur et Google comme moteur de recherche n'est pas ce qui se fait de mieux en matière de sécurité ni de confidentialité Dent pétée

Mais ça me paraît important d'amener les utilisateurs à réaliser cette transition (hygiène numérique, politique de sécurité renforcée en matière de données et d'usage d'internet) à leur rythme pour que l'informatique un peu plus poussée ne soit pas réservée à une pseudo-élite qui pourrait vite être perçue comme méprisante.
avatar
ortolan
Rayures flamboyantes
Rayures flamboyantes

Messages : 8288
Date d'inscription : 31/07/2016

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par hobb le Mer 18 Avr 2018 - 20:48

ortolan a écrit:Plutôt que la moquerie, il faut privilégier les infos pertinentes et utiles à visée pédagogique amenant les utilisateurs à mieux se protéger.

Certes, c'était sans doutes maladroit.

ortolan a écrit:
Mais ça me paraît important d'amener les utilisateurs à réaliser cette transition (hygiène numérique, politique de sécurité renforcée en matière de données et d'usage d'internet) à leur rythme pour que l'informatique un peu plus poussée ne soit pas réservée à une pseudo-élite qui pourrait vite être perçue comme méprisante.

Je pense que ça fait quelques années maintenant qu'on n'a plus à compiler son kernel pour avoir un linux fonctionnel. Au contraire je trouve meme son installation devenue encore plus simple que macos ou windaube...
Ceux qui restent sous windaube sont soit méconnaissant de ce qu'il se fait à coté, soit fainéant. Dans le second cas, qu'ils se débrouillent (perso je ne mets plus les mains sur un windows, peu importe ce que l'on me demande ou à qui il est).

hobb
Rayures apprivoisées
Rayures apprivoisées

Messages : 864
Date d'inscription : 26/05/2015

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par ortolan le Mer 18 Avr 2018 - 20:56

Oui mais il s'agit plus de lever des inquiétudes ou changer des habitudes ancrées comme par exemple le simple fait d'avoir la touche avec le logo Windows sur le clavier : pas mal de gens penseront qu'il faut que ça tourne sous Windows pour que ça marche bien ou que ce soit compatible. Ils ne seront pas rassurés de voir que les boutons de fermeture de fenêtre sont à gauche au lieu de la droite habituelle et la barre des tâches en haut au lieu d'en bas Non désolé (alors qu'ils ont un smartphone avec barre en haut mais bon ^^' )

Quoique de plus en plus d'utilisateurs sont déjà familiarisés avec Firefox, VLC voire Open Office (Libre Office). Mais ils auront quelques réticences à taper de la ligne de commande dans un terminal (si ça peut les rassurer, on peut très facilement copier-coller ces commandes). C'est vrai que c'est beaucoup plus simple avec une GNU/Linux vu que ces programmes sont intégrés d'office et mis à jour en même temps que le système, le plus souvent sans redémarrage. Très simplifié effectivement Approuve

Je fatigue de plus en plus à essayer de dépanner les installations de Windows, le bon vieux temps de XP est loin derrière. Surtout avec le système des mises à jour qu'ils ont mis en place voilà 2 ans et demi et les passages à Windows X sans crier gare (on force un peu la main, de toute façon les gens cliquent toujours sur "oui" et "accepter" / "OK"). Je ne mets pas les mains dans un ordi qui fait tourner Windows 10 et j'encourage tous ceux que je peux à passer sous Linux (pour mon bien aussi Dent pétée ).
avatar
ortolan
Rayures flamboyantes
Rayures flamboyantes

Messages : 8288
Date d'inscription : 31/07/2016

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par hobb le Mer 18 Avr 2018 - 21:11

On a visiblement le meme point de vue. J'ai arreté d'y toucher depuis millenium (haaa, la FAT16, sesdisques durs qui claquent sans prévenir, etc.) , retourné de temps en temps sousXP, et définitivement arreté à l'arrivée de vista (qui en plus avaient le bon gout d'avoir copié les sources de XGL, à l'époque le moteur de bureau 3D qui venait d'etre fait sous nux, sauf que forcément, meme en copiant/collant du code, ils ont pas été foutu de faire un truc qui marche sans trop ramer).

hobb
Rayures apprivoisées
Rayures apprivoisées

Messages : 864
Date d'inscription : 26/05/2015

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par ortolan le Mer 18 Avr 2018 - 21:19

Ah oui, cette cochonnerie de Millénium, une usine a plantages, j'ai connu. Je ne savais pas pour le bureau de Vista, l'anecdote est assez drôle si on fait abstraction du fait qu'ils ont pompé du code open source pour le revendre sous licence (même pas capables, c'est ce que je me dis avec leurs mises à jour foireuses) Pété de rire
avatar
ortolan
Rayures flamboyantes
Rayures flamboyantes

Messages : 8288
Date d'inscription : 31/07/2016

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par hobb le Mer 18 Avr 2018 - 21:46

Initialement XGL était fait pour tourner avec l'openGL, et comme ils ne savaient pas faire... ben voilà Twisted Evil

hobb
Rayures apprivoisées
Rayures apprivoisées

Messages : 864
Date d'inscription : 26/05/2015

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par stv82 le Mer 18 Avr 2018 - 22:27

Pour répondre à hobb, j'ai souvent pris les premières images qui passaient par là pour illustrer le fonctionnement de tel ou tel truc.

Je crois que j'ai été clair sur IE :
Sous Windows, éviter avec force et conviction d'utiliser le navigateur 'Internet Explorer' ou alors si vraiment mais vraiment ce n'est pas possible, au moins désactiver les composants ActiveX.

IE c'est le pire des logiciels... Chaque année Smile
Après, y-a des vieux trucs (genre routeurs) qu'on ne peut configurer qu'avec cette cochonnerie.
Je n'ai pas retrouvé de graphes plus récents que ceux de 2014 sur NVD
Mais voilà ce que ça donnait à l'époque



J'ai trouvé ça de 2016 mais je ne sais pas la source

https://heimdalsecurity.com/blog/most-vulnerable-software-2016/

L'argument "Je suis sous Linux, donc il peut rien m'arriver" est pour moi fallacieux.
Il y a des vulnérabilités. Des grosses parfois. Après, toutes ne sont pas exploitées. Peu le sont sous Linux.
Comme dit ortolan, les hackers ne sont pas bêtes, ils vont pas s'emmerder à viser un Linux alors que 90% des proies sont sur Windows. Donc, ils ciblent majoritairement du Windows.
De nos jours, tu as du code cross plateforme dans Firefox par exemple (moteur javascript etc.).
On peut très bien se faire piéger même sans ça d'ailleurs.
Un service avec un utilisateur (genre un apache avec user:group www-data) ayant trop de droits sur ton système, devient une porte d'entrée.
Un ajout de repo distant parce qu'on a pas envie de s'emmerder à recompiler un truc qu'un autre zozo met à dispo.
Si un hacker est malin, il targette ce qu'il veut.
Ça peut aller vite... Dire que Linux est mieux est pour moi à nuancer.
Clairement, actuellement, oui c'est le cas mais est-ce que ça durera dans le temps si Linux devient plus populaire ?

Personnellement, je me suis déjà mangé un rootkit sur un de mes Linux, alors que j'essaie de faire gaffe.
Alors, je me garderais bien de déifier à outrance la fée Linux Smile


Dernière édition par stv82 le Mer 18 Avr 2018 - 23:13, édité 1 fois (Raison : typo)
avatar
stv82
Rayures apprivoisées
Rayures apprivoisées

Messages : 364
Date d'inscription : 28/01/2015
Age : 36
Localisation : Au calme, en Bretagne

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par hobb le Mer 18 Avr 2018 - 22:29

stv82 a écrit:
L'argument "Je suis sous Linux, donc il peut rien m'arriver" est pour moi fallacieux.

Complètement d'accord. J'ai la flemme de chercher, mais des distros de nux (par mi les plus populaires) ne sont pas sur le graphique, je présume que mint et ubuntu  sont sensiblement identiques entre elles  (puisque ce sont les memes dépots) ?

hobb
Rayures apprivoisées
Rayures apprivoisées

Messages : 864
Date d'inscription : 26/05/2015

Revenir en haut Aller en bas

Re: Sécurité informatique et "exploits" (failles de sécurité)

Message par ortolan le Mer 18 Avr 2018 - 22:48

Alors là c'est un vaste débat que de savoir si Linux est plus sûr que Windows, pas sûr qu'il existe une réponse simple et univoque. Par exemple, le firewall logiciel sous Debian et ses dérivés que sont Ubuntu et Mint n'est pas activé par défaut (ufw). Dans le graphique que tu donnes, la période 2014-2016 contient notamment 'Dirty Cow' qui affectait tous les noyaux Linux et les failles SSL/TLS que Snowden a révélées. Et par définition, les failles recensées tiennent compte de celles qui sont découvertes et corrigées. Certains te diront qu'il faut en passer par un paramétrage de SE Linux sous noyau BSD pour être en sécurité, mais c'est déjà très technique et pas à la portée d'un utilisateur même un peu avancé (réservé aux informaticiens pour faire court). Qui paramètre ses iptables parmi les linuxiens ou ses fichiers hosts ? Sécurité toute relative donc avec toujours une marge de progression ne serait-ce qu'à cause des nouveaux types d'attaques qu'on découvre au fil du temps (jeu du chat et de la souris). Je pense que l'important est d'inciter les gens à adopter de bonnes pratiques notamment dans leur usage d'internet.
avatar
ortolan
Rayures flamboyantes
Rayures flamboyantes

Messages : 8288
Date d'inscription : 31/07/2016

Revenir en haut Aller en bas

Page 2 sur 2 Précédent  1, 2

Revenir en haut

- Sujets similaires

 
Permission de ce forum:
Vous ne pouvez pas répondre aux sujets dans ce forum