Et oui je suis de retour après pas mal d'activités diverses. Mais j'ai aussi eu le temps de m'énerver sur l'actualité récente.
Je ne m'avancerai pas sur le fait de savoir si Dan Kaminsky a trouvé une faille sérieuse dans le protocole DNS ou l'une de ses utilisations (contrairement à d'autres [
1][
2]). Mais en lisant les blogs, il est amusant de constater que tout le monde prétend avoir trouvé cette faille (
D.J.Bernstein,
Amit Klein, et même un stagiaire du
SANS) ... alors qu'on ne sait même pas encore de quoi il s'agit !
Been there, done that.
- La "qualité" de l'Open Source
Ou comment laisser un bug
33 ans dans un logiciel que tout le monde a utilisé au moins une fois (ne serait-ce qu'à l'école), à savoir YACC.
Un bon opus, même si la virologie reste un sujet de laboratoire, assez loin des préoccupations actuelles des RSSI. Du coup la diversité des auteurs s'en ressent. Notez bien qu'on pourrait dire la même chose du dernier SSTIC. Mais je ne l'ai pas dit :)
Il faudra quand même que je me fasse confirmer (ou infirmer) que la traduction de l'anglais
malicious est "malveillant", et non pas "malicieux". En tout cas d'après Google Translate.
Ceci dit, je n'ai jamais compris non plus la différence entre une "problématique" et un "problème", entre "un écart qui nécessite des mesures correctives rapides" et "un projet complètement planté", et toutes ces subtilités de la Novlangue.
Je réserve mon avis sur Hakin9 pour plus tard (je ne l'ai pas encore ouvert).
En complément à la technique du
Grey Listing, la technique de l'Early Abort : si au bout de 3 secondes votre interlocuteur n'a pas dit "allo" et que vous n'entendez qu'un bruit de fond continu, RACCROCHEZ C'EST UN PIEGE ! En effet la numérotation dans les Call Centers est automatique ; lorsque la ligne décroche l'appel est transféré vers un télévendeur - ce qui induit un
lag (perceptible) de 3-4 secondes.
- La sécurité des présidents
Et oui c'est le sommet de l'Union pour la Méditérannée ce week-end. 18,000 policiers sont mobilisés. Et j'ai pris 2 PV de stationnement en 1h30. A ce prix là les terroristes vont avoir du mal à garer une voiture piégée s'ils n'ont pas pris le stationnement résidentiel !
Vive le mois d'août et sa gratuité ...
5 commentaires:
Newsoft: Et j'ai pris 2 PV de stationnement en 1h30.
Moi c'etait 5mm de voiture qui debordait sur une place payante (premiere fois en 3 ans).
Si on prend une place de 2m, donc 400 * 5mm, 400 euro de l'heure, 288000 pour le mois, si j'arrondis...
300k euros par mois pour un 2m` sans murs et assez bruyant. C'est vraiment la merde Paris.
Hehe pas mal le coup des PV. Ca bosse dure attention !
Sinon pour la faille DNS, on m'as fait passer un lien sur full disclosure bien marrant (Kostya appréciera ;)):
http://seclists.org/fulldisclosure/2008/Jul/0150.html
Je ne suis pas un expert en DNS (pas du tout) mais bon ce cache poisonning sent grave le sapin. De source officielle, c'est très très dure à reproduire, so wait & see.
J'ai lu que le serveur DNS de Bernstein, djbdns, n'a pas la faille relevée par Dan Kaminsky. À ce que j'ai compris, il y deux problèmes : le générateur de nombres aléatoires ne l'est pas (ils passent d'un mélange de deux générateurs congruentiels au bon vieux RC4, pourtant c'était déjà changé de BIND8 à BIND9), et le port UDP est maintenant obligatoirement aléatoire. Avant c'était optionnel (et désactivé par défaut). Par de quoi enculer une mouche.
mxatone: De source officielle, c'est très très dur à reproduire, so wait & see.
Qu'est-ce qui est dur a reproduire ?
@haypo: Ca c'est le patch, pas ce qu'il a decouvert.
Tyop?: La faille DNS cache poisonning report par Dan K. Le patch d'entropie ne fait qu'améliorer le précédent bulletin.
Enregistrer un commentaire