Le « Challenge-SecuriTech » est un concours de sécurité informatique en ligne, gratuit et ouvert à tous, organisé par le mastère « Sécurité de l'information et des systèmes » de l'ESIEA. Sa quatrième édition commencera le samedi 29 avril 2006.

À partir du samedi 29 avril 2006 à 00h00, plus de 15 épreuves de sécurité vous seront proposées. Vous aurez alors trois semaines pour les résoudre. Elles couvriront de nombreux aspects de la sécurité tels que les failles web et applicatives, l'analyse réseau, la rétro-ingénierie, la cryptanalyse, la stéganographie, l'analyse forensique, etc... Chaque épreuve résolue vous apportera un certain nombre de points, permettant d'effectuer un classement. De nombreux lots récompenseront les meilleurs.

Cette édition sera marquée par plusieurs nouveautés : un site web entièrement refait pour mieux répondre à vos attentes, des challenges plus variés et un concept différent. Vous pourrez trouver plus d'informations sur le site du challenge.

Les inscriptions sont d'ores et déjà ouvertes sur le site du challenge. Venez tester, améliorer et comparer vos connaissances en sécurité avec plusieurs milliers d'autres participants !

La branche 1.0 de Nuface, l'interface web de gestion de pare-feu, est à présent disponible.
Nuface utilise une modélisation XML de haut niveau pour représenter les objets réseaux, les utilisateurs, les protocoles... et permet d'agglomérer ces objets en ACLs.
Cette modélisation permet à Nuface d'être extensible au delà de Netfilter ou NuFW (pare-feu qui "voit" les utilisateurs).
Les nouveautés de la branche 1.0 sur 0.9 sont :

• Support du NAT ajouté
  
• Nuface gère à présent les règles concernant le pare-feu lui-même, pas seulement pour les paquets qui traversent le pare-feu.
  
• Amélioration de l'ergonomie de l'interface
  
• Anti-spoofing intégré

Lasso est la première implémentation sous licence GNU GPL permettant d'intégrer le Single Sign On (SSO voir seconde partie) et les spécifications Liberty Alliance dans une application.
Elle permet notamment de :

• Sécuriser les accès aux applications sur tous les réseaux, publics et privés
  
• Simplifier l'accès aux applications par l'utilisation des technologies Single Sign On
  
• Garantir le respect de la vie privée des utilisateurs grâce à Liberty Alliance.

Contrairement aux autres implémentations de Liberty Alliance, Lasso n'est pas une plate-forme Java / J2EE. Le travail d'intégration s'en trouve facilité. Un site existant peut l'intégrer en quelques jours de développement, sans remettre en cause son architecture.
Lasso est une bibliothèque écrite en C. Elle fonctionne sur GNU/Linux (et fait partie en particulier de la distribution Debian), Windows et UNIX. Elle s'interface avec les langages C, C++, ColdFusion, Java, PHP, Perl et Python. Elle repose sur des bibliothèques XML performantes (libxml2, XMLSec) ce qui lui permet de supporter des montées en charge importantes.

La version 0.6.5 apporte son lot de nouveautés. La compatibilité avec les versions précédentes a été assurée aussi bien pour l'API que pour l'ABI, tous les utilisateurs sont donc encouragés à passer à cette nouvelle version.
Elle comprend un support des fonctionnalités ID-WSF essentielles (Interaction service, signature des messages) et implémente 70 % du protocole SAML 2.0 (Web SSO et Single Logout). La version 0.6.5 affine également la détection des erreurs, supporte SWIG 1.3.28 et améliore plus généralement la qualité des bindings et la gestion de quelques cas particuliers.

À propos : Entr'ouvert est spécialisée dans les solutions libres de E-administration et d'identification numérique. Elle fait partie du réseau Libre-entreprise, réseau de sociétés de service en logiciel libre, dans lequel les entreprises fonctionnent de manière démocratique.

Philip Zimmermann, le créateur de PGP vient de créer Zfone, un projet de protocole et de logiciel visant à sécuriser les communications VoIP basées sur le protocole standard ouvert SIP. La première version beta fonctionne uniquement sous Linux et Mac OS X.

Basé sur un système de clés, Zfone détecte quand la communication est initialisée et génère une paire de clés entre les deux parties. Le chiffrement et le déchiffrement de la communication sont effectués à la volée. De plus, une petite interface graphique ayant pour but d'informer l'utilisateur sur la sécurité de la communication a été créée.

Zfone devrait fonctionner avec la plupart des clients VoIP compatibles SIP tels que Ekiga, WengoPhone ou Gizmo. Le protocole Zfone devrait apparaître peu à peu en standard dans certains clients VoIP pour autant que la licence le permette. En effet, si les sources sont disponibles pour Linux (il faut fournir une adresse email pour pouvoir télécharger), la licence n'est pas encore déterminée. Certaines parties de code sont soumises à un copyright détenu par Phil Zimmermann & Associates LLC.

Note : La version Windows est annoncée pour mi-avril.

NdM : Merci à jcs d'avoir proposé une dépêche complémentaire.

Utilitaire pour l'exploration des réseaux, AutoScan est une application GTK+2 affichant la liste des équipements connectés au réseau.

Les principales fonctionnalités sont :

• La détection du système d'exploitation
  
• La découverte automatique du réseau
  
• Un scanneur de ports
  
• Un client Nessus
  
• Possibilité d'enregistrer et de restaurer l'état du réseau
  
• Navigateur de partages Samba

Des paquets existent pour Ubuntu, Mandriva, Debian et Fedora. Une version pour le nokia 770 existe aussi.

John The Ripper est un logiciel de “cassage” de mot de passe, permettant aux administrateurs de sensibiliser les utilisateurs au bon choix de leurs mots de passe, disponible pour de nombreux systèmes Unix, DOS, Windows, BeOS et OpenVMS. Son principal objectif est de repérer les mauvais mots de passe.

Après plusieurs années de développement pendant lesquelles seules des “snapshots” ont été publiés, la version 1.7 vient d’être livrée [1].

John the Ripper permet aussi bien les attaques en force brute (recherche d’un mot de passe par le test de l’ensemble des combinaisons possibles) que les attaques par dictionnaire (test des différents mots présents dans une liste). Il est aussi possible de réaliser une attaque par dictionnaire étendue : utilisation des mots d’un dictionnaire et de variantes de ces mots fabriquées par des règles simples (passage majuscule/minuscule, insertion de chiffres, etc.).

Dans l'optique du "cassage" d'un mot de passe, une solution encore plus rapide peut être l’utilisation des “Rainbowtables”. Ces tables, bien que non exhaustives, contiennent un grand nombre de hashs précalculés, ce qui facilite grandement la recherche. C’est bien entendu très gourmand en espace mémoire, mais le gain en temps de recherche est considérable. Plus de détails sur les compromis temps/mémoire sont accessibles ici : [4]. Bien entendu, chacune de ces tables n’est valable que pour une longueur maximale et un jeu de caractère donné. De plus, certains systèmes (typiquement, les OS Unix/Linux) utilisent un “grain de sel”, c’est à dire une fonction simple choisie aléatoirement avec laquelle est traitée le hash du mot de passe. L’utilisation des Rainbowtables devient inefficace sur ces systèmes et le recours à John the Ripper ou un logiciel similaire est alors la seule solution.

On peut en profiter pour citer APG [3], un générateur de “bon” mot de passe, qui donne aussi un moyen mnémotechnique pour les retenir.

Dans le cadre d'un dossier d'une dizaine de pages, vous trouverez un tutoriel sur la sécurité du protocole de communication sans-fil Bluetooth reprenant les attaques déjà connues (Helomoto, Bluebug, etc etc ...). Vous y trouverez également la première version diffusée par Secuobs d'un utilitaire (BSS - Bluetooth Stack Smasher) destiné à tester la sécurité de ce protocole.

D'après les tests effectués par l'équipe de ce site, plusieurs éléments mobiles sont faillibles aux opérations de fuzzing. Cet utilitaire développé par Pierre Betouin de la société Infratech a été placé sous licence GPL.

On notera parmi les résultats la présence d'un Déni de Service dans la version 1.29 de hcidump, mais également dans la pile Bluetooth de plusieurs téléphones portables des marques Sony/Ericsson, Samsung et Nokia. Les fonctions Bluetooth avaient été activées, ce qui n'est pas le cas par défaut sur ces appareils.

Une nouvelle version majeure de nmap est disponible depuis ce lundi 30 janvier. Securityfocus en a profité pour interviewer son principal auteur, Fyodor.

nmap [1] est un outil distribué sous licence GPL permettant d'explorer et d'auditer la sécurité d'un réseau.

La dernière version importante était la 3.50, et le nombre de modifications/ajouts/corrections apportés depuis donne une taille très impressionnante au changelog [2].

Damien Miller accorde une interview pour Security Focus et nous parle des nouveautés pour openSSH 4.3 à venir ainsi que de protocoles de cryptologie.

La grosse nouveauté de cette version est le support d'un protocole VPN.

Damien Miller donne aussi une illustration du problème posé par les brevets logiciels qui "protègent" les protocoles basés sur la théorie des courbes elliptiques.

Authentic, sous licence GNU GPL, est un fournisseur d'identité Liberty Alliance. Il permet de créer un cercle de confiance au sein duquel les échanges sont facilités et sécurisés. Il fournit le Single Sign-On (SSO), le Single Logout (SLO), l'échange d'attribut et il se paramètre aisément.

Ses principales fonctionnalités :

• Support des protocoles ID-FF 1.2, ID-WSF et SAML 2.0
• Support de bases d'utilisateurs variées : LDAP V3, Postgresql, MySQL
• Proxy : Authentic peut se comporter comme un proxy, redirigeant les requêtes des fournisseurs de services vers d'autres fournisseurs d'identités.
• Partage d'attributs : il permet le partage d'attributs d'identité en utilisant ID-WSF.

Sa compatibilité Liberty Alliance repose sur Lasso, bibliothèque certifiée par le consortium en mai 2005. Authentic implémente toutes les fonctionnalités requises par la matrice de compatibilité de Liberty Alliance.

Le laboratoire LACO (Laboratoire d'Arithmétique, de Calcul Formel et d'Optimisation), dans le cadre de ses formations Cryptis (masters en cryptologie et sécurité de l'information de l'Université de Limoges), organise sa 6ème journée sur le thème de la sécurité de l'information.

Cette manifestation, organisée à Limoges le 25 novembre, aura lieu sur le campus de La Borie. Le colloque est d'accès libre mais sur inscription.

La journée technique orientée sécurité est organisée par le département ASI (Architecture des Systèmes d'Information) de l'INSA de Rouen. Cette manifestation aura lieu le Mardi 22 Novembre 2005, à partir de 09h00 dans le Grand Amphithéâtre de l'INSA-ROUEN sur le site du Madrillet.
Il s'agit à la fois de sensibiliser les entreprises mais aussi de leur présenter des solutions techniques.

Nessus, le scanner de vulnérabilité bien connu, avait déjà connu un changement de licence en janvier, passant de la GPL à la « GPL plus quelques restrictions » (concernant notamment le délai de mise à disposition et la réutilisation des plugins).

Aujourd'hui, on apprend que la nouvelle version 3, qui arrive dans quelques jours, sera binaire uniquement, et sa redistribution interdite. L'argument principal des auteurs, c'est qu'en fait pratiquement personne n'a jamais contribué au développement du moteur de Nessus. Ce qui fait dire à Fyodor, l'auteur de Nmap, que si les logiciels libres sont censés pouvoir bénéficier de nombreuses contributions, ceci n'est pas forcément le cas dans la réalité, et qu'il y a de quoi sérieusement s'inquiéter pour leur avenir face aux logiciels propriétaires.

Le Netfilter Workshop 2005 a commencé ce matin à Séville : les discours d'introduction et la présentation du programme se sont terminés juste au moment de l'Eclipse solaire.

Cet atelier devrait permettre de définir les orientations du projet Netfilter, et également d'avancer sur les mises à jour de technologies à venir.

Sponsor de l'évènement, INL a mis en place un site qui permet de suivre les activités de l'atelier en temps réel.

Rule Set Based Access Control (RSBAC) 1.2.5 vient de sortir !

Le noyau 2.6 propose un module de modèles de sécurité qui permet ainsi de s'affranchir du modèle de sécurité classique d'Unix basé sur le triplet (user, group, other). Par exemple, des modèles de sécurité basés sur les ACL (Access Control List), et MAC (Mandatory Access Control) sont déjà disponibles via le module SELinux développé par la NSA (National Security Agency aux Etats Unis).

RSBAC se positionne comme une alternative aux solutions telles que SELinux. De par sa structure, RSBAC permettra d'utiliser les règles et le modèle de sécurité SELinux et GrSecurity dans un futur proche.

Afin de tester la chose, un Live CD basé sur Debian à été concocté, il est disponible sur le site.

Tout test ou commentaire est le bien venu :-)

Secuobs.com propose un tutoriel sur un ensemble de logiciels libres (Tor, Privoxy, Switchproxy) permettant d'assurer le respect de votre privée. Cet anonymat peut être assuré pour l'ensemble des applications reposant sur le protocole TCP (Transport Control Protocol) sous GNU/Linux.

Vous y trouverez également des informations sur la conférence tenue par Roger Dingledine (mainteneur du projet Tor) lors du Woodstock numérique What The Hack qui a réuni plus de 3000 participants (hackers et geeks) en juillet dernier près de Eindhoven aux Pays-Bas.

Ce tutoriel fait parti d'un dossier sur ce rassemblement, vous y trouverez notamment un article sur la pétition commune de XS4ALL et l'EDRI contre la rétention des données de connexion.

L'acceptation du projet de directive se joue en ce moment même au parlement européen, votre soutien est plus que le bienvenu.

Privacy is not a crime...

NFWS2005, le Netfilter Workshop aura lieu cette année du 3 au 8 octobre à Séville.

Cet événement comportera :
- L'atelier des développeurs avec un programme impressionnant : support IPv6, support de nouveaux protocoles (VoIP, H.323, PPTP), support de la Haute Disponibilité...
- Une conférence des utilisateurs : outils d'aide au déploiement, projets tiers (avec notamment une présentation de NuFW, le pare-feu authentifiant), et bien sûr quelques mots sur les violations récentes de la GPL par des fabricants de boîtes noires.
- Et deux jours supplémentaires de codage intensif.

Événement incontournable pour ceux qui s'intéressent de près au filtrage IP sous Linux, l'atelier Netfilter est avant tout un lieu de rencontre et de partage, qui permettra aux développeurs, comme les années précédentes, de faire connaissance avec les "nouveaux" et de définir les développements à venir.

Une série de failles ont été découvertes dans le protocole ICMP (et non pas ses implémentations) par l'argentin Fernando Gont, professeur, administrateur système et chercheur en réseau. Il a tenté dès le début, en août 2004, d'en informer tous les auteurs d'implémentation du protocole ICMP avant de publier les failles sur Internet. Il a commencé par écrire un document qu'il a envoyé à l'IETF. Il a également contacté CERT/CC et NISCC, les auteurs de systèmes d'exploitation libre (OpenBSD, NetBSD, FreeBSD, Linux, etc.), ainsi que Microsoft, Cisco et Sun Microsystems. Il a décrit chaque faille pour leur permettre de corriger les implémentations avant de publier ses découvertes.

Fernando a alors commencé à recevoir des e-mails de Cisco demandant des informations techniques précises. Deux mois plus tard, il a reçu un e-mail d'un avocat de Cisco disant que Cisco allait breveter son travail ! L'avocat n'a pas voulu donner plus de détails. Encore deux mois plus tard, il y a eu un échange de mails entre Cisco, Linus Torvalds et David Miller où Fernando a été mis en copie. David a fait remarquer que Linus Torvalds utilisait déjà depuis plusieurs années le « sequence tracking » dans Linux et par là même, le brevet ne pouvait être déposé pour cause d'antériorité du travail de Linus.

Cisco a alors accusé Fernando de coopérer avec les terroristes alors qu'en même temps Cisco voulait breveter son travail. Plus tard Cisco a aussi demandé à Fernando qu'il travaille pour CERT/CC.

Aujourd'hui Cisco a abandonné son idée de brevet, mais ça laisse quand même réfléchir sur le fait de publier anonymement ses failles ou non !

La précédente version majeure (0.9.7) datait de fin 2002. Depuis, les sorties de versions mineures concernaient principalement des corrections de bugs et de sécurité. Après que l’évolution des fonctionnalités ait été bloquée et qu’une première version Bêta soit publiée au mois de mai, voici enfin une nouvelle version majeure.

Les changements notables depuis la dernière version majeure sont :
- implémentation du protocole DTLS permettant la sécurisation des échanges par datagrammes (UDP)
- implémentation d’algorithmes de cryptographie par courbe elliptique (ECDH et ECDSA)
- amélioration du traitement des grands nombres
- ajout d'un mini compilateur ASN.1 en ligne de commande
- SHA-1 devient l’algorithme de hachage par défaut à la place de MD5
- support des adresses IPv6 dans les certificats
- support d’architectures 64 bits
- amélioration des performances

Pour ceux qui ne connaissent pas, OpenSSL est un composant de sécurité Open Source intégré dans beaucoup d’applications. Par exemple, Apache l’utilise pour les connexions sécurisées du type https ; on peut encore citer OpenSSH, OpenPGP, OpenCA, Samba, Bind, Sendmail, Postfix, QMail...

Whoppix, le Live-CD spécialisé dans les tests d'intrusion, nous a quitté à sa version 2.7.1 final. Son auteur a annoncé ce week-end la mort du Live-CD basé sur Knoppix au profit d'un nouveau, basé sur SLAX (le Live-CD de Slackware) et baptisé logiquement WHAX (en majuscules, s'il vous plaît).

Les récents déboires de Fortinet avec la licence GPL ont poussé de nombreuses personnes à s'interroger sur la manière dont les autres éditeurs travaillent avec les composants open source.

Heureusement, certaines entreprises (trop peu nombreuses ?) jouent le jeu de l'open source et n'hésitent pas, tant que possible, à partager le fruit de leurs développements. C'est notamment le cas de la société Arkoon Network Security, décrit à travers une récente interview donnée au portail Vulnerabilite.com, qui base un tiers de ses développements sur des composants open source et qui contribue en parallèle aux projets « Freeswan/Openswan », « Linux Kernel », « BusyBox » et « jftpgw ».

Le collectif GPL-Violations.org, à l'origine de la plainte contre Fortinet, a le mérite d'avoir provoqué une réelle prise de conscience des entreprises et à l'heure qu'il est, il est fort probable que de nombreuses sociétés travaillent discrètement pour mettre en conformité leurs solutions avec les licences open source.

La reconnaissance de l'open source est en marche. Il est simplement dommage qu'elle ait dû passer par des voies juridiques pour se faire entendre.

Voici Nuface, une interface web intuitive pour administrer les pare-feux EdenWall/NufW. Cet outil de haut niveau d'abstraction permet également d'administrer des pare-feux Netfilter non authentifiants.

La philosophie de l'outil est de définir et de manipuler des objets de haut niveau (tels que des protocoles, des ressources et des sujets), et de les combiner pour créer aisément des listes d'accès (ACLs). Ces ACLs sont alors interprétées par l'outil et déclinées en règles Netfilter. Pour ce qui concerne les pare-feux EdenWall/NuFW, Nuface met également à jour les listes d'accès dans l'annuaire LDAP pour satisfaire à la politique de sécurité choisie.

Le site Secuobs.com, notamment sponsor du concours de sécurité Challenge-Securitech qui se déroule en ce moment même et cela jusqu'au 1 juillet, met à votre disposition un dossier spécial sur la conférence de sécurité CanSecWest 2005 qui a eu lieu à Vancouver au début du mois de mai.

Au programme vous trouverez notamment un article sur la présentation par Philippe Biondi de l'utilitaire Scapy dont il est le créateur et qui s'impose progressivement comme le couteau suisse de la manipulations de paquets (IP, ARP).

Vous trouverez également dans ce dossier un article sur la présentation de HD Moore et SpoonM à propos de la sortie de la version 2.4 de l'environnement de travail Metasploit qui permet entre autre de tester des exploits (code permettant d'exploiter une faille) sur vos propres serveurs.

A voir également parmi les autres articles de ce dossier :

- le système métrique d'évaluation de la criticité des failles CVSS (Common Vulnerability scoring system) basé sur les propos de Mike Schiffman (Packetfactory),

- une réflexion menée par Brian Martins & Jake Kouns (Opensource Vulnerabilities DataBase - OSVDB) sur la qualité du service offert aujourd'hui par les VDB et son rapport à la vitesse de diffusion.

- et finalement une synthèse des conférences de Maximillian Dornseif (LDDS) & David Maynor (ISS) sur les failles qui émergent de l'accès à la mémoire centrale via DMA (Direct Memory Access) par les périphériques de type USB/PCMCIA/Firewire de plus en plus nombreux, supportés et usités par les utilisateurs de système libre (cf. Open Host Controller Interface - OHCI).

INTRINsec annonce deux outils open source pour la sécurité : VultureNG et Owl.

VultureNG est une solution de proxy inverse basée sur Apache et mod_perl intégrant la gestion de l'authentification et sa propagation sur les applications (SSO) sans modifications. Vous pouvez également vous en servir localement vers des sites distants pour profiter de l'authentification unique et accéder à vos différents comptes (webmail, banque, linuxfr, intranet, etc.) directement.

VultureNG est dans les contribs de Mandriva et l'arbre Portage de Gentoo, et des RPMs pour d'autres distributions sont disponibles sur le site.

Pour sa part, Owl est un outil de gestion de bande passante. Il permet d'utiliser simultanément plusieurs connexions Internet. Owl assure également l'optimisation de la bande passante en s'appuyant sur le shaper HTB.init (NdM : HTB="Hierachical Token Bucket").

Une interface d'administration permet de configurer le tout et de consulter les graphiques des statistiques d'utilisation par connexion et par protocole.

Le jeudi 2 juin, le Cetic organise un groupe de discussion sur l'utilisation des critères communs en sécurité.

La certification Common Criteria (ou CC) est une norme mondialement reconnue (ISO-IEC 15408) pour l’évaluation de la sécurité des produits et des systèmes informatiques.

Eric Gheur, de Galaxia, fera une introduction aux Common Criteria. Jean-François Molderez, du Cetic, présentera l’utilisation et la modélisation des concepts Common Criteria en vue d’une meilleure maitrise du processus de certification.

Enfin, Yann Droneaud, de Mandriva, présentera les rapports entre Linux et les Common Criteria. Il abordera la signification des certifications EAL3 de SuSE et Red Hat Linux ainsi que le développement en cours d'un système à base de noyau Linux et visant la certification EAL5.