Liste des liens
Bonjour,
Votre conseiller (...), après examen de votre fiche de contact, vous propose de rédiger votre (...).
Connectez-vous sur le site du CNAM, pour renseigner ce (...) .
(...)
Pour toute question ou demande d'information, vous pouvez contacter votre conseiller.
Rappel de vos identifiants de connexion au site :
- identifiant : (...)
- mot de passe : (...)
Le service Compétences, expérience et validation
Direction nationale des formations
Le Cnam
Ces lignes utilisent le protocole SIP. Or il n’est jamais indiqué que ces lignes ne sont pas sécurisées… ce qui est problématique quand les communications passent par le Wifi et Internet.
En effet le protocole SIP ne chiffre ni l’authentification au service, ni les communications.
PS : j'ai oublié de préciser que c'est les communications par SIP chez OVH...
Une classe de mon cru pour gérer les mots de passe.
API utilisable sans transmettre le mot de passe en clair.
On envoie seulement les 5 premiers caractères du hash du mot de passe en SHA1, et l'API renvoie la liste de tous les hash SHA1 qui débutent par ces 5 caractères (tronqués de ces 5 caractères). Cela permet de ne pas alourdir la requête.
Il faut ensuite comparer le reste des caractères du hash du mot de passe aux éléments de cette liste. Si on les y retrouve, c'est que le mot de passe a été piraté.
Voir également : https://blog.cloudflare.com/validating-leaked-passwords-with-k-anonymity/
Attention avec cette application : voir https://bookmarks.ecyseo.net/?1Sd-1g
Attention de ne pas l'utiliser tel quel.
Il logue par défaut l'utilisation de l'application
- https://github.com/prasathmani/tinyfilemanager/issues/164
- https://github.com/nahidacm/tinyfilemanager/blob/master/authentication.php ligne 74
et sa gestion des mots de passe n'est pas claire. Il faut générer un hash du mot de passe en php (ok) mais il propose de le faire via une seconde application dédiée hébergée ailleurs : pourquoi ne pas l'avoir directement utilisée dans ce projet là ? Que deviennent les mots de passe qui ont été saisis via cette deuxième appli ?
Et je ne parle pas de l'utilisation des variables globales...
Clairement, ça pue.
Il va falloir désactiver le css aussi alors ???
Non seulement ce ne sera pas efficace, mais en plus on sera encore plus fliqué que l'on ne l'est. Cela permettra d'augmenter l'efficacité des moyens de reconnaissance faciale dans les lieux publics ou de détection d'empreintes. Bref, on sera surveillé en permanence même dans des endroits où l'on pensera ne pas l'être...
Bref, arrêtez d'utiliser windows...
Résumé
Le 22 janvier 2019, Debian a publié un avis de sécurité indiquant que leur gestionnaire de paquets était vulnérable à une injection de code.
Par défaut, les mises à jour sont récupérées en HTTP. Toutefois des vérifications sont effectuées en local afin de vérifier l'intégrité des fichiers récupérés.
Un attaquant en position d'intercepteur actif (Man In The Middle) peut injecter un paquet malveillant qui sera considéré comme valide. Cette vulnérabilité n'est présente que dans le cadre de l'utilisation de redirections par APT.
Le logiciel APT s'exécute avec un niveau de privilège élevé, une attaque réussie garanti donc à l'attaquant une compromission totale du système.
Il s'agit donc d'une vulnérabilité sérieuse, d'autant plus qu'elle impacte directement le mécanisme de mise à jour. Il est nécessaire d'appliquer le correctif tout en minimisant les risques d'exploitation.
Contournement provisoire
Uniquement dans le cadre de cette mise à jour, Debian recommande de désactiver les redirections par les commandes suivantes :
apt -o Acquire::http::AllowRedirect=false update; apt -o Acquire::http::AllowRedirect=false upgradeToutefois, cela peut ne pas fonctionner lorsque l'on est placé derrière un proxy et que l'on cherche à atteindre le miroir security.debian.org.
Dans ce cas, il est possible d'utiliser la source suivante : http://security-cdn.debian.org/debian-security/
Si la mise à jour d'APT sans la désactivation des redirections est impossible, il est alors recommandé de télécharger manuellement le paquet. Il convient ensuite d'effectuer la vérification d'intégrité avant de l'installer.
SimpleSAMLphp is an award-winning application written in native PHP that deals with authentication. The project is led by UNINETT, has a large user base, a helpful user community and a large set of external contributors.
Utilisé par FileSender de Renater
Le dépôt Github : https://github.com/simplesamlphp
Une autre méthode que celle proposée par Timo.
Le site web accessible depuis l’adresse « http://localhost » correspond à la boucle local : si votre ordinateur est accessible sur le port 80 dans votre navigateur, alors le site qui s’affiche correspond à votre ordinateur.
Ceci est vrai pour chaque internaute : par conséquent, obtenir un certificat SSL/TLS pour localhost est impossible (vu que le certificat sert justement à identifier un site unique).
Généralement, on utilise localhost pour avoir un serveur sur son propre ordinateur, pour pouvoir coder en local, par exemple. Aussi, il est parfois nécessaire d’avoir du https en local (surtout maintenant que les navigateurs considèrent tous les sites sans https comme dangereux).
Pour ça : mkcert.
Ce petit programme très simple va créer un certificat, non pas auto-signé (ce que les navigateurs n’aiment pas), mais signé par votre certificat personnel ! Par conséquent, les navigateurs le verront toujours comme valide !
Pour activer tout ça sous Apache, sous Linux Mint, on va :
- télécharger et installer
mkcert - produire un certificat
- activer le https dans apache (le serveur web)
- l’activer pour localhost
Télécharger mkcert
Ça se passe ici. Perso je prends le fichier binaire directement (ici) : je prends le mkcert-v1.2.0-linux-amd64 et je l’enregistre sous le nom « mkcert » dans le dossier « ~/.mkcert ».
En ligne de commande ça donne (on crée le dossier, on récupère le fichier, on le marque comme exécutable) :
mkdir ~/.mkcert && cd ./.mkcert
wget -O mkcert h ttps://github.com/FiloSottile/mkcert/releases/download/v1.2.0/mkcert-v1.2.0-linux-amd64
chmod +x mkcertMkcert a aussi besoin de certutils, un outil tiers, qui (sous Linux Mint) se trouve dans les dépôts :
sudo apt install libnss3-toolsProduire un certificat
Là, c’est tout con, on va produire un certificat avec mkcert. Juste deux commandes.
On créer un certificat local, puis on l’applique à un certificat pour localhost :
./mkcert -install
./mkcert localhostSi vous rencontrez l'erreur `Enter Password or Pin for "NSS Certificate DB"`, c'est que votre navigateur possède un mot de passe principal (typiquement, Firefox qui demande un mot de passe principal pour sécuriser la base de données dans lesquels sont enregistrés tous les autres mots de passe qu'il enregistre).
Pour supprimer le message, il suffit donc de rentrer le mot de passe principal du navigateur.
Cela va créer deux fichiers, localhost.pem et localhost-key.pem.
Activer le HTTPS dans Apache
Ensuite, on active le site HTTPS (sur le port 443) dans Apache.
On active SSL :
sudo a2enmod sslOn configure le site dans le fichier de conf (remplacez xed par gedit sur Ubuntu) :
sudo xed /etc/apache2/sites-available/default-ssl.confTrouvez la ligne suivante :
DocumentRoot /var/www/htmlEt mettez-y la racine de votre site (perso c’est /var/www).
Allez ensuite sur la ligne où l’on désigne les certificats, puis remplacez les chemins vers les chemins des deux fichiers créés par mkcert (attention, mettez bien le chemin complet, sans le « ~/ », donc avec /home/$user ») :
SSLCertificateFile /etc/ssl/certs/ssl-cert/snakeoil.pem
SSLCertificateKeyFile /etc/ssl/certs/ssl-cert/snakeoil.key
SSLCertificateFile /home/timo/.mkcert/localhost.pem
SSLCertificateKeyFile /home/timo/.mkcert/localhost-key.pemEnregistrez le fichier et fermez Xed (ou gedit).
Activer le site
Il reste à activer le site dans Apache.
cd /etc/apache2/sites-available/
sudo a2ensite default-ssl.confPuis on relance le service Apache. Selon que vous utilisiez systemd ou pas, c’est l’un ou l’autre de ces deux commandes (prenez la première qui fonctionne) :
sudo systemctl restart apache2sudo service apache2 restartSi tout s’est bien passé, votre site est désormais actif sur le port 443, en HTTPS, et avec un certificat détecté comme valide (en vert et sans erreurs) : localhost:443 :
Voilà voilà !
Sources de l’info
Faites ce que je dis, ne faites pas ce que je fais (ou mes copains font, ou ceux qui me filent un paquet de blé font)
Le Fax comme talon d'Achille d'un réseau...
La vie privée sur l'Internet fait aujourd'hui l'objet d'innombrables attaques et l'une des techniques de défense les plus efficaces contre ces attaques est le chiffrement des données. Il protège également contre une autre menace, la modification des données en transit, comme le font certaines FAI (par exemple Orange Tunisie). Il y a de nombreuses campagnes de sensibilisation pour promouvoir le chiffrement (voir par exemple le RFC 7258), avec des bons résultats. Évidemment, ce chiffrement gène ceux qui voudraient espionner et modifier le trafic, et il fallait donc s'attendre à voir une réaction. Ce RFC est l'expression de cette réaction, du côté de certains opérateurs réseau, qui regrettent que le chiffrement empêche leurs mauvaises pratiques.
Les méthodes pour récupérer un mot de passe root
Guide to develop secure applications with Rust