[3615Mavie] : Chroniques de geeks (tome 6)

[Oupsman]

Dans mon cas, suite à la publication de cette faille, j'ai commencé par identifier les systèmes à risques. Il n'y en avait pas car les versions d'Openssl utilisées étaient bien plus anciennes que la 1.0.1. Du moins dans ma boite. Et les services basés sur des logiciels propriétaires sont réputés être non affectés par cette faille.

N'empêche que je surveille quand même les mises à jour de sécurité pour les logiciels propriétaires.

Au niveau personnel, il n'y a que mes emails qui étaient à risques. Et donc la seule chose qui soit à risque ici étaient les mots de passes root des machines que j'administre, mots de passe qui sont envoyés par mail par le fournisseur, et aussitôt changés après la livraison du serveur.

Mais par principe, j'ai renouvellé le certificat SSL (gratuit) que j'utilise pour mon groupware (SOGo), et j'ai regénéré les certificats (auto signés) que j'utilise pour mon serveur IMAPS.

[El_Goretto]

@guilc: merci pour ces pointeurs que je vais regarder religieusement
Je vais regarder si le contenu des informations qui peuvent fuiter sont prises en compte dans ce score (parce que je reste persuadé qu'une faille qui pourrait (chance, etc) permettre de récupérer un mdp admin est plus grave que "normal" ).

[Dominique_71]

Le suivi des logs au quotidien est très important. Ce qui pose deux questions. La première est qu'avec une faille comme celle-ci, ils ne remarqueront rien à moins d'une attaque massive. La deuxième est de savoir dans le cadre d'une grosse infrastructure, comment assurer ce suivi des logs pour qu'il soit efficace et fiable, tout en tenant compte des priorités financières.

Il faut aussi voir que des failles, il y en a dans tous les systèmes. J'ai eu un client qui était directeur dans une des plus grosses sociétés de Suède. Ils venaient de refaire l'infrastructure informatique de la société. Il a téléphoné à un de ses amis qui développe un firewire-antivirus bien connu, il lui a expliqué la chose et lui a demandé d'essayer de renter dans le nouveau système et de le rappeler quand ce serait fait. Deux minutes après le téléphone sonnait et son pote lui a expliqué en riant: "J'avais oublié les mots de passe, c'est pour ça que ça m'a pris aussi longtemps."

Il y a même des fois des bugs qui sont connus de tous mais que personne ne corrige car cela représenterait trop de travail. Par exemple dans les VAX des années 80, il n'était pas possible de lire d'autres fichiers que les tiens, mais tu pouvais faire des trucs comme

Code: Select all

cp /les_fichiers_de_la_direction/*.* .

et ils te copiaient tout ce que tu voulais dans le répertoire courant, et après tu avais tout ton temps pour les lires ou les copier plus loin. ça marchait même à travers les réseaux de l'époque. Ils n'ont jamais corrigé cette faille, et je n'ai pas été du tout surpris d'apprendre 10 ans plus tard que des étudiants allemands avaient piraté des VAX du Pentagone.

On pourrait aussi parler des "bugs" hardware comme les portes dérobées dans les puces des firewalls. Ce qui fait qu'un firewall logiciel est plus fiable, mais qu'il a le désavantage que quand il agit, l'assaillant présumé est déjà dans le système. Des agences comme la CIA développent d'ailleurs leurs propres firewall avec des composants discrets pour leurs applications les plus critiques comme les sniffers de réseaux chez les FAI. ça c'était il y a 10 ans, maintenant ils ont tout un arsenal de virus quasiment indétectables qui leur permettent de compromettre n'importe quel système.

[kopp]

Bon y a une autre info : https://forums.gentoo.org/viewtopic.php ... 84#7534884

[Dominique_71]

Tout autre chose. Je suis tombé sur 3 jeux online sur le site du Joven Club Sancti Spiritus, un club d'informatique pour les jeunes de Cuba:

Súper Bola
Galaxia
Tasilany

Ils font aussi des "festivals" d'installation de logiciels libres

[boozo]

'lo

une tite question partitionnement pour un dualboot siouplait - là, avec les nouveautés à la mode gpt/secureboot et tutti quanti je ne m'y retrouve plus à faire un truc simple (hè oui on vieilli ) -

Là, avec un bios activé en mode legacy et un win$7 installé dessus qui me mange 3 partitions avec leur recovery machinchose, je peux toujours mettre la gentoo sur la 4ème qui reste en étendue ou il faut tout convertir en gpt ? on peut pas faire de mix non ? quid du secureboot alors ? (marche pas avec win$7 non si j'ai bien compris)

Bref, comment qu'on fait maintenant ?
(btw, ai remis le museau dans la doc à ce sujet... n'est plus ce qu'elle était... avec le wiki en plus c'est manifique )

[El_Goretto]

Mmmmm, pouet?
Oracle's victory over Google Android could kill the software industry

[Oupsman]

Je pense cependant que le journaliste s'est un peu emballé : Google n'est pas attaqué pour avoir utilisé l'API Java, mais pour avoir rendu Dalvik compatible avec l'API Java. Ce qui n'est pas du tout la même chose.

Cette décision vient simplement de "tuer" tous les projets Opensource visant à produire des réimplémentations libres de bibliothèques propriétaires. OpenJDK, Mesa, on vous aimait bien.

[El_Goretto]

@Oupsman: Tu joues sur les mots
Implémenter le code derrière une API ou faire appel aux fonctions de l'API, c'est dans les 2 cas "utiliser l'API" (mais depuis différents points de vue).

[k-root]

I imagine that some Gentoo folks may be interested to see what difference their compile-time optimisations make to the speed of bc. FWIW, my distro of choice is Arch Linux.

Code: Select all

time echo "scale=5000; 4*a(1)" | bc -l -q

[Oupsman]

@Oupsman: Tu joues sur les mots
Implémenter le code derrière une API ou faire appel aux fonctions de l'API, c'est dans les 2 cas "utiliser l'API" (mais depuis différents points de vue).

Justement, tout est une question de point de vue dans ce cas : si une société éditrice d'une bibliothèque attaque en justice les développeurs qui font appel aux fonctions de l'API, ils tuent purement et simplement le développement de logiciels.

Si ils attaquent en justice les sociétés qui développent des bibliothèques présentant une API compatibles avec la leur, ils attaquent le """""parasitisme""""" (notez les guillements autour de parasitisme, ils montrent que je partage guère le fait que cela soit du parasitisme) et protègent leurs revenus.

En matière de Justice, le diable se cache dans les détails, alors oui, on joue sur les mots

[El_Goretto]

Un grosse envie de hurler. Ça fait un moment que j'essaie de faire fonctionner l'OCSP stapling "à la maison" sur du nginx.
J'a tout ce qu'il faut... des vhosts avec de vrais certifs qui vont bien... la config en place... mais non. Ca veut toujours pas.
Au passage, une chouette page pour tester sans passer par ssllabs: https://raymii.org/s/tutorials/OCSP_Sta ... nginx.html
Et je tombe finalement sur ceci:

> > Additionally, while looking into this I've found that due to
> > OpenSSL bug the OCSP stapling won't work at all if it's not
> > enabled in the default server.

RAAAAAAAHHHH.
Mais c'est que moi je n'ai rien sur mon vhost default, et j'entends bien continuer à ne rien y mettre (et surtout pas un certificat juste pour... ben, rien)

Bref, coincé.
Joie.

[El_Goretto]

Mmmmm, pouet?
Oracle's victory over Google Android could kill the software industry

C'est maintenant devant la court surprême américaine.

[k-root]

switching from no-multilib to multilib ... internet is still working

[xaviermiller]

Des blobs à installer ?

[k-root]

oui , du google seulement 32b



je me suis inspiré de cette methode , finalement ca marche bien , même pas besoin de rebooter


edit : ah si , faut rebooter pour vmware , il est pas content que je change les modules

http://boycottsystemd.org/

roh liked

[kwenspc]

Mmmmm, pouet?
Oracle's victory over Google Android could kill the software industry

C'est maintenant devant la court surprême américaine.

Si ça pouvait au moins faire couler android...

[Oupsman]

Si ça pouvait au moins faire couler android...

Si jamais cette action en justice coule Android, c'est une bonne partie des projets Open source qui sont basés sur des API de bibliothèques propriétaires qui vont mourir.

Adieu Openjdk, adieu Mesa, et bien d'autres.

Danger

[kwenspc]

Si jamais cette action en justice coule Android, c'est une bonne partie des projets Open source qui sont basés sur des API de bibliothèques propriétaires qui vont mourir.

Adieu Openjdk, adieu Mesa, et bien d'autres.

On est bien d'accord, c'est le vrai soucis (pas la mort d'android... )

[boozo]

[mylife]
Viens de recevoir un routeur ERL-3 que j'envisageais depuis un bail... tout semblait normal jusqu'au moment ou j'ai ouvert l'animal pour voir la bête avant de l'installer aux petits oignons et : bien (mal) m'en a pris !

Bestiole bricolée avec IGNOMINIE ; très mais alors très très salement en plus

• (*) le capot en alu d'un des connecteurs ethernet (n°1) a été ouvert (?) et ses 2 "pattes" qui permettent son repli ont été écrouies dans l'affaire (normal c'est pas fait pour les bouger) et mieux encore, REFIXÉES (si si!) avec de 2 points de soudures comme un vulgaire composant (le gars devrait revoir quelques cours de matériaux : apprendre ce qui se soude ou pas, et avec quoi ou non, etc...
  (*) ça ne devait pas suffire : au dos, des soudures refaites sur la plaque pour cette nic notamment...
  (*) le dissipateur collé sur le MIPS : pas droit (pourtant c'est bien des robots qui font çà ? )
  (*) des marques de colle genre sticks de protections enlevés
  ...

Bon, je ne vire pas pour autant dans la paranoµïa (quoique... made in ? non mais là, qd même... /me avais jamais vu çà ) m'enfin refourguer en douce du matos pourtant "neuf" et malmené ainsi c'est franchement moche (sans parler du boulot fait par le "retoucheur" en lui-même... pas grand'chose à dire là )

Vàla... /me déçu... plus qu'en rogne (c'est pas pour son prix)

ps: @El_goretto : pourtant t'avais raison hein c'est un chouette bidule le truc-là ^^ p'tèt juste pas eu de chance avec un mauvais filou ou... c't(un truc plus "organisé" va savoir...
Enfin de toute façon, je persiste. Retour du produit et je signale le pb au vendeur + la plateforme de distrib => to be continued !
[/mylife]

[El_Goretto]

@boozo: je pense que c'est probablement lié à une sale pratique côté revendeur. Parce que sur le forum de la marque/modèle qui n'est pas spécialement modéré côté critiques (ex: ça a bien râlé quand le modèle est passé sur boîtier plastique au boîtier métal sans prévenir), personne n'a parlé de ce genre de truc overcrade
Désolé pour toi, j'espère que tu as un exemplaire pourri, et que ce n'est pas de série
(si jamais c'était le cas, je serais le premier à me joindre à toi pour gueuler, sois-en sûr )

Bon courage pour le SAV et bonne chance pour la suite

[boozo]

Newnews : Nouvelle bestiole reçue sans délais - conforme - et en version v2 (ben... oui, là j'ai honte ne plus... avais même pas vu avant ton post qu'ils avaient changé le coffre entre temps, /me en étais resté au boitier en plymouth avec le double méga chanfrein). Donc pas de soucis \o/ tu peux éteindre le feu sous l'huile, rentrer les chevaux et la catapulte ; c'est juste un coup de pas d'bol qui finit sans accros. Et sinon c'est bien joli qd même le machin... je regrette pas du tout

Reste encore "The" question : l'OS

1°) rester sur cet "edge"Os - car de prime abord il a vraiment l'air propre ce truc-là je trouve
2°) passer sur Vyos ?
3°) builder le hack de pfsense-2.2/3 pour mips ?
4°) un revival wrt54GL : openwrt en version "Barrier Breaker" ?
5°) monter une gentoo-mips en uclibc ?
6°) continuer avec OBSD en 5.6 now ?

red pils... blue pils... red pils... bl...

Faisait longtemps que je jouais plus tient ! Ahaaaa çà fait du bien !!

ps: Btw, tu va te marrer mais j'ai pris aussi un netgear manageable en 8 ports aussi du coups...(toute ressemblance avec un topolographie réseau déjà existante est parfaitement probable ^^) mais heu, vu la chose-là p'têtre allé un peu fort non ? /me sens âprement que je vais avoir grandement besoin de cours de rattrapage en réseau (... je savais bien que j'avais raté pas mal de cours de ce côté là à une époque mais là ouch... ça pique !! 'tain y'a un man de 300 pages (sic!) mais qqc'est que c'machin de ouf ??!)

[El_Goretto]

@boozo:
Tout plein de fun en perspective !

En toute honnêteté, l'OS de base est pas mal du tout (EdgeOS, un fork de Vyatta pour les gens qui nous regardent). Je n'ai des reboot spontanés qu'un fois tous les 2 mois en moyenne. Si je n'étais pas fainéant et que ça m'inquiétais vraiment, je laisserai tourner une session de minicom avec le câble console branché dessus 24/24 dans un screen.
En complément, la version sortie ya qq jours (v1.6) change complètement la base de l'OS (équivalent d'un dist-upgrade debian-mips), donc ya sûrement qq pains qui vont être détectés/réparés dans les semaines qui viennent. Mais sur un setup de base, ça doit passer tranquille, ça fait qq mois que le bestiau est beta testé.

Pourquoi rester avec EdgeOS? L'accélération hardware (et par facilité )
Pourquoi essayer autre chose? Ben parce que tout ce que tu as cité est génial, et qu'il y a des scénarios où l'accélération hardware ne peut pas être activée dans EdgeOS (en particuliers en cas de QoS ou de NetFlow...).
Je te laisserai parcourir leur forum (on demande toujours sans succès un post-it avec les scénarios qui empêchent l'accélération de fonctionner), mais les infos sur le sujet ne sont pas cachées, juste fragmentaires.

Avant de commencer à jouer avec des OS alternatifs, vérifie bien que tu as trouvé le post sur leur fofo "comment tout réinstaller edgeOS from scratch quand yen a tout être paytay".

Have fun!
(NB: si tu fais un bridge avec, je viens personnellement te péter les rotules )

[boozo]

c'tai des options pour la suite... dans qq mois sinon je suis d'accords avec toi mes préférences vont aussi sur rester avec la base actuelle (question support aussi) mais c'est en ayant refait un tour chez openwrt par curiosité... ben, ça m'a remis le feu tout d'un coups

De toute façon là pour l'instant c'est pour un usage/besoin tout simple en soho et qui doit être "utilisable" au quotidien par le commun des mortels donc je vais pas trop jouer avec la poudre côté stabilité et j'ai pas réellement de besoin exotiques ni plus "pro" que tu cites. L'Alix board qui est en place roule très bien mais j'aimerai le réserver en plan B plug'n'playable en cas de panne (et avec le switch en plus c'était aussi pour faire enfin une segmentation propre avec vlan, wlan, etc ... mais c'est toujours un vieux pieux si çà se trouve ? )

/off: ahaa!! naaan quelle idée ? mais pourquoi donc ??!?
Je vois que depuis l'initiative ludique et la traditionnelle sanction sur félidés, tu en es passé a des méthodes plus coercitives (:mrgreen: et je souscris ; avec l'âge je perds aussi moins de temps en ronds de jambes)

[/off-off - et noobisme à mon égard autorisé] : faut appliquer tout les upgrades du firmware en série ou on peut faire direct v1.2 -> v1.6 (d'ailleurs GPL/or not GPL ? et pourquoi y'a pas les hashs pour ces patch-là ? oO j'ai cherché hier soir mais sans doute mal rassure moi...)

[El_Goretto]

(et avec le switch en plus c'était aussi pour faire enfin une segmentation propre avec vlan, wlan, etc ... mais c'est toujours un vieux pieux si çà se trouve ? )

Pas du tout, c'est direct la première application que j'en voyais aussi: avoir des DMZs pour les services accessibles, et coller le WIFI isolé dans son coin pour la tranquillité de l'esprit.

[/off-off - et noobisme à mon égard autorisé] : faut appliquer tout les upgrades du firmware en série ou on peut faire direct v1.2 -> v1.6 (d'ailleurs GPL/or not GPL ? et pourquoi y'a pas les hashs pour ces patch-là ? oO j'ai cherché hier soir mais sans doute mal rassure moi...)

A vue de nez, le seul point critique serait les "upgrade path" de la config (assez rare, il y a souvent des nouveaux mots-clés de config en plus pour de nouvelles fonctionnalités, je ne crois pas avoir vu de changement de mots clés (comme chez ces abru... de mikrotik)), et non des binaires/systèmes en eux-mêmes. Car chaque système est sur sa partoche (avec sa conf aussi), ce ne sont pas des patchs. D'où le fait que tu peux toujours reparamétrer le boot pour retourner sur la version N-1 si tu veux mettre en évidence un plomb sur la nouvelle version. (edit: on peut avoir 2 versions de systèmes en parallèle, par défaut une installe de MAJ se fait à la place du système sur lequel on n'a pas booté).
Mais en faisant la MAJ d'emblée avec une conf minimale (donc sans risque de config exotique aucun), c'est zen.
Essaie de mettre la main sur un cable console cisco-like (suivant les possibilités, ça peut se négocier éventuellement avec les équipes réseau au taff, vu qu'ils en ont des brouettes ), pour avoir toujours la main et aider au troubleshoot durant tes expérimentations de config
Quant aux hashes... je ne sais pas. Je crois que je suis en mode fainéant et que je ne les ai jamais vérifié (le système fait lui-même un check d'intégrité avant de l'appliquer, il me semble).

[off] et ouais, apparemment les chatons ça suffisait pas, il y a encore trop de bridges ) [/off]