-
Pourquoi il ne faut plus utiliser CyanogenMod, ou les dégâts d'un management de cour de récré | {niKo[piK]}
C'est moche. :(24/12/2014 14:12:27 - permalink -
Ce qui m'ennuie, c'est : quelles alternatives à Cyanogen ? Replicant ? Firefox OS ? Trop peu de modèles supportés, partiellement ou en intégralité, des vieux modèles qui n'ont pas toutes les fonctionnalités attendues de nos jours pour un modèle qui dure dans le temps (4G, 4G LTE, ...), un manque de disponibilités des modèles supportés, ...
Je me demande ce qui suit : ok, Cyanogen Inc fait des trucs pas cools et pas éthiques du tout mais si la communauté a encore le code, sous licence libre, qu'elle n'accepte aucune compromission avec des fournisseurs de services (ni avec Cyanogen Inc), qu'on n'achète pas un ordinateur de poche dont des morceaux de code libres ont été adaptés à l'appareil puis mis sous licence privatrice, quel impact cela-a-t-il ? Dit autrement : quelle indépendance la communauté a-t-elle vis-à-vis de Cyanogen ? C'est ça l'important, àmha. Des pilotes/blob proprios, il y'en a déjà dans Cyanogen donc bon...- http://www.nikopik.com/pourquoi-il-ne-faut-plus-utiliser-cyanogenmod-ou-les-degats-dun-management-de-cour-de-recre
-
Operation Socialist: How GCHQ Spies Hacked Belgium’s Largest Telco
« It was in the summer of 2012 that the anomalies were initially detected by employees at Belgium’s largest telecommunications provider, Belgacom. But it wasn’t until a year later, in June 2013, that the company’s security experts were able to figure out what was going on. The computer systems of Belgacom had been infected with a highly sophisticated malware, and it was disguising itself as legitimate Microsoft software while quietly stealing data.24/12/2014 13:49:43 - permalink -
Last year, documents from National Security Agency whistleblower Edward Snowden confirmed that British surveillance agency Government Communications Headquarters was behind the attack, codenamed Operation Socialist. And in November, The Intercept revealed that the malware found on Belgacom’s systems was one of the most advanced spy tools ever identified by security researchers, who named it “Regin.”
The full story about GCHQ’s infiltration of Belgacom, however, has never been told. Key details about the attack have remained shrouded in mystery—and the scope of the attack unclear.
Now, in partnership with Dutch and Belgian newspapers NRC Handelsblad and De Standaard, The Intercept has pieced together the first full reconstruction of events that took place before, during, and after the secret GCHQ hacking operation.
[...]
The origins of the attack on Belgacom can be traced back to 2009, when GCHQ began developing new techniques to hack into telecommunications networks. The methods were discussed and developed during a series of top-secret “signals development” conferences, held annually by countries in the so-called “Five Eyes” surveillance alliance: the United States, the United Kingdom, Australia, New Zealand, and Canada.
Between 2009 and 2011, GCHQ worked with its allies to develop sophisticated new tools and technologies it could use to scan global networks for weaknesses and then penetrate them. According to top-secret GCHQ documents, the agency wanted to adopt the aggressive new methods in part to counter the use of privacy-protecting encryption—what it described as the “encryption problem.”
When communications are sent across networks in encrypted format, it makes it much harder for the spies to intercept and make sense of emails, phone calls, text messages, internet chats, and browsing sessions. For GCHQ, there was a simple solution. The agency decided that, where possible, it would find ways to hack into communication networks to grab traffic before it’s encrypted. [ NDLR : de l'importance du chiffrement de bout en bout (OpenPGP) ou d'autohéberger son serveur (TLS) ]
The Snowden documents show that GCHQ wanted to gain access to Belgacom so that it could spy on phones used by surveillance targets travelling in Europe. But the agency also had an ulterior motive. Once it had hacked into Belgacom’s systems, GCHQ planned to break into data links connecting Belgacom and its international partners, monitoring communications transmitted between Europe and the rest of the world. A map in the GCHQ documents, named “Belgacom_connections,” highlights the company’s reach across Europe, the Middle East, and North Africa, illustrating why British spies deemed it of such high value.
[...]
GCHQ had accomplished its objective. The agency had severely compromised Belgacom’s systems and could intercept encrypted and unencrypted private data passing through its networks. The hack would remain undetected for two years, until the spring of 2013.
[...]
By December 2011, as part of a second “surge” against Belgacom, GCHQ identified other cellphone operators connecting to company’s network as part of international roaming partnerships, and successfully hacked into data links carrying information over a protocol known as GPRS, which handles cellphone internet browsing sessions and multimedia messages.
The spy agency was able to obtain data that was being sent between Belgacom and other operators through encrypted tunnels known as “virtual private networks.” GCHQ boasted that its work to conduct “exploitation” against these private networks had been highly productive, noting “the huge extent of opportunity that this work has identified.” Another document, dated from late 2011, added: “Network Analysis on BELGACOM hugely successful enabling exploitation.” »
Via https://twitter.com/KimZetter/status/547459875588935681- https://firstlook.org/theintercept/2014/12/13/belgacom-hack-gchq-inside-story/
-
3141516... mercis pour votre soutien à La Quadrature du Net ! | La Quadrature du Net
« Philippe Aigrain, cofondateur et président de l'association, sonnait l'alerte dans un billet sur son blog : déplorant le manque de mobilisation citoyenne, il rappelait l'évidence, à savoir que la survie même de l'association était en jeu si nous ne récoltions pas 45 000 euros supplémentaires d'ici la fin de l'année et que 40 000 euros de plus étaient nécessaires pour équilibrer le budget 2014.24/12/2014 09:23:01 - permalink -
[...]
La réponse à cet appel a été magnifique et extrêmement réconfortante : en quatre jours, plus de 150 000 € ont été réunis par 6000 donateurs, dont plus de 400 dons récurrents ! Cette fantastique mobilisation va nous permettre de nous concentrer, pour 2015, sur les combats essentiels de La Quadrature du Net
[...]
Certains d'entre vous, en particulier parmi ceux qui nous soutenaient déjà activement, ont été heurtés par le billet de Philippe : nous le comprenons. Beaucoup nous ont également fait part de leur « réveil » lors de cette publication. Ce n'est pas de gaîté de cœur qu'il a fallu en arriver là, et c'est avec tristesse que nous avons constaté qu'il était nécessaire de dire, haut et fort, que l'existence de l'association était menacée. Nous espérons, après cette expérience, que de notre côté nous saurons vous toucher autrement à l'avenir et que du vôtre, le soutien à apporter aux petites associations citoyennes comme la nôtre vous semblera plus évident et plus crucial. »
La priorité maintenant, c'est la pérennisation du soutien avec des dons récurrents.- http://www.laquadrature.net/fr/3141516-mercis-pour-votre-soutien-a-la-quadrature-du-net
-
Blog Stéphane Bortzmeyer: Pour la libéralisation du chiffrement en France (publié dans Le Monde)
À lire pour l'excellente formulation de l'article et la clairvoyance de SB en 1995.23/12/2014 11:05:11 - permalink -- http://www.bortzmeyer.org/crypto.html
-
Affaire Sony Pictures : la stratégie anti-piratage d'Hollywood révélée
« Selon le site TorrentFreak, les studios chercheraient donc désormais à utiliser la législation existante pour arriver à leurs fins et créer « un précédent juridique pour façonner et élargir la loi », [NDLR : O_O ] à en croire un message envoyé par un dirigeant de la MPAA aux patrons des studios, parmi lesquels Sony Pictures.22/12/2014 11:02:51 - permalink -
[...]
On y apprend notamment que les sites qui hébergent des fichiers dans le but de les partager sont la cible numéro 1 de l'association. Pour les faire tomber, elle compte s'en prendre à « leur infrastructure », en faisant pression notamment sur les hébergeurs de ces sites et les régies y affichant de la publicité. [NDLR : rien de neuf ici]
[...]
Une hypothèse examinée consistait à s'en prendre aux DNS (domain name system). [NDLR : faire mentir les récursifs DNS des FAI, rien de neuf ...]. The Verge explique notamment que des avocats des studios hollywoodiens ont organisé une réunion avec un des principaux ingénieurs du grand groupe de médias Comcast, afin d'examiner des solutions techniques pour contrer le piratage. [ Un début de partenariat ... jusqu'à quel point ?]
[...]
D'un point de vue juridique, l'association compte arguer que les serveurs DNS sont des systèmes d'indexation de contenu, et non pas de routage de données. Ils envisagent ainsi de faire pression sur les fournisseurs d'accès de la même manière qu'ils demandent à Google de retirer les liens problématiques de ses résultats de recherches. [ NDLR : la drogue, c'est mal O_O annuaire volontaire (serveur qui fait autorité = volontaire) qui distribue une info à partir d'un nom versus indexation, vous ne voyez pas la différence ? Le nom ou l'annuaire n'est pas le problème dans ce cas, c'est le contenu accessible par ce nom qui l'est potentiellement. Le jour où on aura une œuvre sans posession des droits diffusée dans un RRset TXT ou un nom litigieux en lui-même (exemple : un nom de domaine qui, par son seul intitulé, incite à la haine raciale) on en reparlera. En attendant cette approche est nulle et non avenue. Mais là encore, rien de neuf : la saisie d'un nom de domaine par les autorités car le contenu qu'il pointe est présumé litigieux, c'pas nouveau. ] »
Bref, rien de nouveau. On prend juste connaisance du niveau de l'adversaire, on voit qu'il tape large mais seule leur idée de créer un précédent juridique pour élargir la loi (jurisprudence uniquement, j'espère ?) m'inquiète et on n'a aucune info sur ça. :/- http://www.lemonde.fr/pixels/article/2014/12/18/affaire-sony-pictures-la-strategie-anti-piratage-d-hollywood-revelee_4542100_4408996.html
-
Pourquoi Signal Spam ne sert à rien (au mieux) - bohwaz
Dans le même genre, je recommande le visionnage du talk de vincb, « Spamker, donner la fessée aux spammeurs francophones » (PSES 2013, voir http://shaarli.guiguishow.info/?seNR1g) pour comprendre les interactions entre les acteurs du spam et pour confirmation de l'inefficacité de Signal Spam.22/12/2014 10:40:32 - permalink -
Via http://sebsauvage.net/links/?-4e19g- http://bohwaz.net/p/Pourquoi-Signal-Spam-ne-sert-%C3%A0-rien-%28au-mieux%29
-
Qui écrit vraiment les horoscopes (et pourquoi c’est n’importe quoi) - 20minutes.fr
C'pas un scoop mais c'est bien exposé, notamment :22/12/2014 10:25:33 - permalink -
« Les horoscopes là aussi pour exercer un contrôle social
Quel mal à publier des billevesées tant que les ventes grimpent et que le lecteur est content? pourrait-on se dire. Le hic, c’est que certains horoscopes, en particulier ceux de la presse féminine, sont rédigés avec une fonction bien précise. Celle d’exercer un «contrôle social», d’assurer «la transmission des normes en adéquation avec les idéologies dominantes»
[...]
Même analyse quelques décennies plus tard de Patrick Perett-Watel sur celui rédigé par Elizabeth Teissier dans Télé 7 Jours. Son bilan: «Télé 7 Jours encourage la soumission aux supérieurs et le conformisme social en présentant sous un jour positif non pas les détenteurs de l’autorité auxquels il faut obéir, mais plutôt l’attitude recommandée au lecteur de garder leur profil bas.»
[...]
Elle étudie la rubrique mot à mot et démontre comment on y déconseille aux lectrices l’impulsivité («Vous risquez de vous enflammer.»), la franchise («Apprenez à ne pas dire trop franchement ce que vous pensez.»), l’esprit critique («Modérez votre esprit critique en société»), alors qu’on y encourage la réserve («Soyez conciliante»), la diplomatie («Soyez plus souple en famille», «N’imposez pas trop votre personnalité»), ou la prudence («Contrôlez-vous»). Laurent Puech en conclut qu’«astrologues et magazines féminins enferment les femmes dans un rapport de soumission et jouent ainsi contre leur public.» »
Via http://sebsauvage.net/links/?BrbJyQ- http://www.20minutes.fr/medias/1253077-20131121-20131121-ecrit-vraiment-horoscopes-et-pourquoi-cest-nimporte-quoi
-
Your Friendly North Korean Network Observer by nknetobserver
« On 17 December 2011, Kim Jong Un became the leader of North Korea. Two days later, on 19 December 2011, I started my first scan of North Korean Internet space. I was curious to see if their new leader would result in change on their Internet. That was three years ago. I've been keeping an eye on that network now and again. »22/12/2014 10:09:30 - permalink -
En complément de : http://bluetouff.com/tags/coree-du-nord/
Via http://reflets.info/piratage-de-sony-pourquoi-est-il-tres-peu-probable-que-la-coree-du-nord-soit-a-lorigine-de-lattaque/- http://nknetobserver.github.io/
-
[Tribune] Ne laissons pas Internet devenir une « zone de non-droit » - Next INpact
« Au milieu des années 1990, Le Grand Secret, le livre de Claude Gubler – docteur de François Mitterrand – dans lequel il expose l'état de santé de l'ancien président, est diffusé sur Internet malgré son interdiction en France. En réaction, le mythe d'un « Internet zone de non-droit » (par exemple l'Expansion, 8 février 1996, ou l'Humanité 25 janvier 1996) apparaît comme élément de langage dans les discours médiatique et politique pour ne plus jamais le quitter, de « l'amendement Fillon » de 1996 (Libération 13 septembre 1996), qui tentait – en vain – d'imposer un filtrage administratif des contenus, à la loi « terrorisme » de Bernard Cazeneuve fraîchement adoptée qui valide leur blocage extra-judiciaire, en passant par « l'Internet civilisé » cher à Nicolas Sarkozy.22/12/2014 09:56:35 - permalink -
[...]
Malheureusement, le mythe s'est progressivement réalisé. L'accumulation de mesures législatives et pseudo-contractuelles imposées par le pouvoir politique pour les premières et par des entreprises privées pour les secondes a réussi à transformer Internet en « zone de non-droit ». Non pas que le citoyen y court un risque accru d'être victime de diffamation, de propos haineux ou de n'importe quel autre crime perpétué en toute impunité par des anonymes, mais que sa capacité à opposer ses droits à des atteintes à ses libertés diminue de manière progressive et persistante.
[...]
Sur le terrain de la liberté d'expression, les mécanismes de censure reposant sur des intermédiaires techniques plutôt que sur des juges ne cessent d'être élargis à des catégories de contenus toujours plus nombreuses. Depuis 2004, elles ont ainsi été étendues des crimes considérés comme les plus graves (apologie de crime contre l'humanité, pédo-pornographie, incitation à la haine raciale…) à des infractions secondaires (homophobie, sexisme, handiphobie…), provoquant la censure arbitraire de toujours plus de contenus [2]. En parallèle, les mesures de blocage et de filtrage administratifs se sont elles aussi développées – sans faire l'objet d'application réelle à ce jour, faute de publication des décrets – permettant théoriquement au pouvoir exécutif de censurer des contenus, là aussi sans contrôle du juge malgré la gravité de ces décisions.
[...]
Alors que, par essence, Internet pourrait être le lieu privilégié et concret de l'application réelle de nos droits fondamentaux, nous assistons peu à peu à leur émiettement et à l'apparition de la « zone de non-droit ». Ironiquement, alors que cette menace était agitée par une puissance publique prétendant défendre l'intérêt général pour justifier ses tentatives de reprise de contrôle sur un outil lui échappant, c'est finalement sous la forme d'un recul de la capacité des citoyens à faire valoir leurs droits face à l'exercice arbitraire du pouvoir qu'elle se réalise. Si ces évolutions vers le contournement systématique du pouvoir judiciaire et la privation de libertés imposées par le pouvoir législatif ou par des acteurs privés n'empêchent pas la création et la diffusion grandissantes d'outils permettant l'émancipation de tous (des licences libres aux outils de chiffrement, en passant par les monnaies virtuelles), elles les ralentissent, sont facteurs d'incertitudes, et pourraient à terme soit les étouffer, soit finir de briser l'idée que la loi est au service de l'intérêt public.
[...]
Les récentes mobilisations en Europe et aux États-Unis en réaction à de tels projets politiques et législatifs (ACTA, SOPA, PIPA, neutralité du Net, etc.) démontrent le niveau d'appropriation et de consensus citoyen autour de ces questions. Il est urgent de réduire le fossé qui sépare les gouvernants des gouvernés, particulièrement palpable sur ces questions, afin de permettre un développement des cadres juridiques favorables à tous. Nous ne pouvons plus nous contenter de ne repousser que les plus dangereux de ces projets tout en assistant à la disparition progressive de nos droits fondamentaux : nous nous devons d'agir pour leur application réelle dans les pratiques numériques, d'une part à travers leur consécration législative, mais surtout par le maintien du pouvoir judiciaire au centre de ces dispositifs.
[...]
Ensemble, faisons comprendre à nos élus que nous ne laisserons pas le contrôle de la loi nous échapper d'avantage, et qu'Internet doit redevenir une « zone de droit », avec ou sans eux. »- http://www.nextinpact.com/news/91498-tribune-ne-laissons-pas-internet-devenir-zone-non-droit.htm
-
On a fait les comptes à La Quadrature du Net - Communs / Commons
« On va fermer boutique. Pas dans un an, dans 2 semaines. S’il n’y a pas au minimum 45.000 € de dons supplémentaires d’ici au 4 janvier 2015, il serait irresponsable pour nous de continuer à faire des dépenses. Et à vrai dire, comme indiqué sur notre jauge, c’est 85.000 € de dons supplémentaires qu’il faut pour qu’on puisse raisonnablement continuer en 2015 et 150.000 € pour qu’on opère dans des conditions vaguement normales. En tant que président de l’association, je n’ai qu’une responsabilité par rapport aux autres membres du collège d’orientation stratégique, c’est de savoir dire « non, là on arrête » quand c’est nécessaire.19/12/2014 11:31:30 - permalink -
[...]
Là, c’est simplement l’annonce d’un fait. Apparemment, à part les 2000 personnes qui ont déjà fait des dons à La Quadrature cette année, quel que soit leur montant, les autres ne sont pas au courant ou bien s’en foutent. Pourtant on a fait des efforts bien plus importants pour que vous le sachiez cette année. »
Via http://korben.info/la-quadrature-du-net-cest-termine.html
ÉDIT DU 24/12/2014 à 9h25 : appel au don réussi : http://shaarli.guiguishow.info/?GexXhw FIN DE L'ÉDIT.- http://paigrain.debatpublic.net/?p=9042
-
Blog Stéphane Bortzmeyer: RFC 7413: TCP Fast Open
« L'idée est ancienne (on la trouve par exemple dans le système T/TCP du RFC 1644, et dans les autres systèmes résumés en section 8) mais le problème est plus difficile à résoudre qu'il n'en a l'air, notamment si on veut garder un bon niveau de sécurité (le problème qui a tué T/TCP). L'idée est ancienne, car devoir attendre trois voyages avant de pouvoir envoyer les données contribue sérieusement à la latence d'applications comme le Web. Si le serveur est à 100 ms de distance, on attendra au moins 300 ms avant que des données ne commencent le voyage. Et, contrairement à la capacité, la latence ne s'améliore pas avec le temps et les progrès de l'électronique. Des mesures faites sur Chrome montre que la triple poignée de mains de TCP est responsable de 25 % de la latence moyenne des requêtes HTTP.19/12/2014 11:13:14 - permalink -
[...]
Et la sécurité ? Le TCP normal présente une vulnérabilité : les paquets SYN n'ayant aucune forme d'authentification, un attaquant peut, en trichant sur son adresse IP, envoyer des paquets SYN sans révéler son identité et ces paquets, s'ils sont assez abondants, peuvent remplir la file d'attente du serveur (attaque dite « SYN flood »). C'est encore pire avec Fast Open puisque ces requêtes en attente comprennent des données, et peuvent déclencher l'exécution de commandes complexes (GET /horrible-page-dont-la-génération-nécessite-10000-lignes-de-Java-ou-de-PHP HTTP/1.1...) Les techniques du RFC 4987 ne sont en général pas appliquables à Fast Open. C'est pour cela que Fast Open ajoute un composant essentiel : un petit gâteau (cookie) généré par le serveur et que le client devra transmettre pour bénéficier du Fast Open.
[...]
La section 3 décrit en termes généraux le protocole. À la première connexion Fast Open d'une machine vers une autre, le client envoie l'option TCP (pour les options TCP, voir la section 3.1 du RFC 793) 34 TCP Fast Open Cookie (désormais dans le registre IANA) avec un contenu vide. Si le serveur gère Fast Open, il répondra (dans le SYN + ACK) avec un gâteau (cookie), généré par lui et imprévisible. Dans les connexions TCP ultérieures, le client renverra l'option Fast Open Cookie avec le même gâteau. Le serveur le reconnaitra alors. Les requêtes SYN comportant ce gâteau pourront inclure des données, elles seront transmises tout de suite aux applications qui le demandent (et on aura alors du beau TCP Fast Open) et le premier paquet de réponse pourra inclure des données (dans les limites données par le RFC 5681). On voit donc que la première connexion entre deux machines ne bénéficiera pas de Fast Open.
[...]
La section 4 de notre RFC plonge ensuite dans les détails compliqués de TCP Fast Open. Le gâteau est un MAC généré par le serveur et est donc opaque au client. Ce dernier ne fait que le stocker et le renvoyer.
[...]
Autre point important lorsqu'on met en œuvre Fast Open : le serveur doit garder une trace en mémoire du nombre de connexions qui ont demandé Fast Open mais n'ont pas encore terminé la triple poignée de mains. Et, au delà d'une certaine limite, le serveur doit refuser de nouvelles connexions Fast Open (en ne renvoyant pas d'option Fast Open dans le SYN + ACK), n'acceptant que le TCP traditionnel. Cette précaution permet de résister à certaines attaques par déni de service.
[...]
D'abord, il peut tenter d'épuiser les ressources du serveur en utilisant des gâteaux valides. Où les obtient-il ? Cela peut être en utilisant plein de machines (un botnet). Bien sûr, vous allez me dire, on peut faire des tas d'attaques par déni de service avec un botnet mais, avec Fast Open, les zombies peuvent faire plus de dégâts pour moins cher (ils ne sont pas obligés d'écouter les réponses ni même de les attendre). [...] On ne peut pas normalement voler des gâteaux à une machine et les utiliser ensuite soi-même puisque le gâteau est (si le serveur a bien fait son boulot) lié à l'adresse IP. Mais ce vol reste possible si plusieurs machines partagent une adresse IP publique (cas du CGN par exemple). Une solution possible serait d'inclure dans le calcul du gâteau, non seulement l'adresse IP mais aussi la valeur d'une option TCP Timestamp.
[...]
Fast Open peut aussi en théorie être utilisé dans des attaques par réflexion. Par exemple (mais le RFC indique aussi d'autres méthodes), si l'attaquant contrôle une machine dans le réseau de sa victime, il peut obtenir des gâteaux valables et ensuite, lancer depuis un botnet des tas de connexions Fast Open en usurpant l'adresse IP source de sa victime. Les serveurs Fast Open vont alors renvoyer des données (potentiellement plus grosses que les requêtes, donc fournissant une amplification, chose bien utile pour une attaque par déni de service) à la victime. C'est idiot de la part de l'attaquant de s'en prendre à une machine qu'il contrôle déjà ? Non, car sa vraie victime peut être le réseau qui héberge la machine compromise. Les réponses des serveurs Fast Open arriveront peut-être à saturer la liaison utilisée par ce réseau, et cela en contrôlant juste une machine (soit par piratage, soit par location normale d'une machine chez l'hébergeur qu'on veut attaquer).
[...]
Dans le doute, une application qui ne pourrait pas gérer le cas de données dupliquées ne doit donc pas activer Fast Open (rappelez-vous qu'il ne doit pas non plus l'être par défaut). [...] Ensuite, même s'il n'a pas de conséquences néfastes, TCP Fast Open n'a pas non plus d'avantages si le temps d'établissement de la connexion est négligeable devant la durée totale de la connexion. Une requête HTTP pour un fichier de petite taille peut sans doute profiter de Fast Open, mais pas le transfert d'une énorme vidéo.
TCP Fast Open est-il utile lorsqu'on a ces connexions persistentes ? Oui, répond notre RFC. [...] Les montrent que le nombre moyens de transactions HTTP par connexion TCP n'est que de 2 à 4, alors même que ces connexions restent ouvertes plusieurs minutes, ce qui dépasse normalement le temps de réflexion d'un être humain. Les mesures effectuées sur Chrome (qui garde les connexions de 5 à 10 minutes) ne voyaient que 3,3 requêtes TCP par connexion.
Qu'est-ce qu'on doit encore étudier et mesurer pour être sûr que Fast Open marche bien ? D'abord, quel est le pourcentage exact de chemins sur l'Internet où les paquets TCP ayant des options inconnues sont jetés ? Pas mal de middleboxes stoppent stupidement tout ce qu'elles ne comprennent pas. [...] Des mesures semblent indiquer que 6 % des chemins Internet seraient dans ce cas. [...] TCP Fast Open réagit à ce problème en réessayant sans l'option (comme le font les résolveurs DNS quand ils n'optiennent pas de réponse lorsque les requêtes sont envoyées avec EDNS). »- http://www.bortzmeyer.org/7413.html
-
Dewhurst Security Blog - How I hacked Facebook
« What I did was execute OS level commands on one of Facebook's acquisition's servers.18/12/2014 18:03:11 - permalink -
[...]
I also started to look at Facebook's acquisitions. Doing the same, port scanning common ports, probing services that looked interesting.
[...]
I decided to do a full port scan with nmap. The results showed another Jenkins service running on a less common port. Accessing it over this less common port it did not prompt me for authentication. Bingo!
For those of you that do not know, Jenkins is a 'continuous integration server'. Once authenticated it allows you to run 'Groovy script' through the 'Jenkins Script Console'.
By using Groovy script and the Jenkins Script Console I was able to execute commands on the server under the 'jenkins' user.
[...]
I reported this issue to Facebook and they patched it very fast. I was awarded $7,500 through their bug bounty program. The payment took a few months to come through and lots of emails back and forth. But it came through in the end.
What's the takeaway? Don't forget the basics. I was able to find a pretty risky bug in one of Facebook's acquisitions from within my bed by just using Nmap. »
Via http://seenthis.net/messages/322264- http://blog.dewhurstsecurity.com/2014/12/09/how-i-hacked-facebook.html
-
BGPexpert.com - Maximum packet sizes on the internet
« After some heated discussions about packet sizes on the mailinglist of the IETF v6ops working group, I decided to do some measurements to find out what maximum packet sizes are supported on today's internet. I did this by capturing two types of packets: the ICMP "too big" messages that routers send to tell a computer to send smaller packets, and the first packet of a TCP session, which contains the MSS option.18/12/2014 11:15:02 - permalink -
[...]
The data showed no fewer than 72 different MTU sizes for IPv4, ranging from 576 to 9198 bytes. However, both of these extremes only showed up once, and other values below 1280 and above 1500 are also quite rare:
I found the 9001 value quite curious; computers really like to work on nice round multiples of 2, 4 or 8 bytes. 9001, on the other hand, is a prime number. Turns out that 9001 bytes is used Amazon's datacenters, where some of the bots that index my website reside.
[...]
These are the results for IPv6 with the < 1% values removed (there were no values below 1280 and above 1500)
1280 and 1480 are probably IPv6-in-IPv4 tunnels and 1428 AYIYA tunnels. 1472 could be IPv6-in-UDP-in-IPv4 tunnels or IPv6-in-IPv4-over-PPPoE.
[...]
The 90th percentile MTU size is 1428 for IPv6 and 1440 for IPv4. Obviously 100% of IPv6 systems support 1280, but 99.7% of IPv4 systems also support this size.
The MSS reflects the maximum size that the systems at both ends of a connection think they can use. However, there may be a bottleneck somewhere along the path. In that case, routers send back an ICMP Packet Too Big message. »
Biais stat : un seul point de mesure (serveur de l'auteur) ... Public pas représentatif : il faut venir sur son site web qu'il faut connaître + site web pas représentatif des sites web populaires d'aujourd'hui
Via https://twitter.com/iljitsch/status/545194367351545856
ÉDIT : deuxième partie : http://www.bgpexpert.com/article.php?article=152
« In almost a week, I received zero IPv4 "too big" messages. So it seems in the IPv4 world, path MTU discovery is dead. Turns out that so many people filter ICMP messages, that if you rely on PMTUD for IPv4, there's just too much breakage. So what (home) routers that sit in front of a reduced-MTU link do is "MSS clamping". They rewrite the value in the TCP MSS option to what's supported on the interface they're about to transmit the packet over.
(Please don't read this as "it's ok to filter ICMP "too big" messages. It could easily be that some users still depend on these.)
[...]
Hopefully, IPv6 won't lose PMTUD to ICMP filtering like IPv4 did. MSS clamping is effective for TCP, but it doesn't work for non-TCP protocols or IPsec-protected communication. It's also a burden on routers.
Stéphane Bortzmeyer replied to yesterday's post with a link to this 20-year-old (to the day!) message, which has results for very similar measurements. The results are different in interesting ways, with the real stunner being that in 1994, 94% of all systems could handle 1500 bytes, but in 2014, this is down to 65%. »- http://www.bgpexpert.com/article.php?article=151
-
~x0r - Mettre en place son propre serveur Minitel
« Je vous ai déjà expliqué comment relier son Minitel comme terminal Linux, ou alors comment le relier à un Raspberry Pi. Mais s'arrêter là, ce serait oublier que le Minitel est initialement conçu pour consulter des pages Vidéotex avec son modem 1200/75 bauds intégré.17/12/2014 14:19:37 - permalink -
À une époque où le terme « Minitel 2.0 » est utilisé de manière péjorative et où la plupart des terminaux Minitel que l'on trouve sont sur eBay, LeBonCoin, à la déchetterie ou oubliés dans un grenier, quelle idée plus saugrenue que de mettre en place, justement, son propre serveur Minitel ? Après tout, les plus jeunes d'entre nous n'ont pas connu le Minitel. En ayant tenu un stand lors de l'événement « 3615 au revoir », j'ai pu me rendre compte que beaucoup de personnes, même plus âgées que moi, n'ont pas eu l'opportunité de voir fonctionner un Minitel, et de ce fait voir comment on faisait dans les années 80-90 pour réserver un billet de train. Outre le désir de préservation ou de fascination pour les technologies obsolètes, faire cela pour la pure prouesse technique me paraît de surcroît tout à fait justifié. »- http://x0r.fr/blog/43
-
Blog Stéphane Bortzmeyer: Un Raspberry Pi en fonctionnement permanent, ça tient ?
« Mon expérience avec la fiabilité du matériel est variable. Il y a clairement des problèmes avec les cartes SD. Souvent, le problème se manifeste dès le départ : certaines cartes ont tout le temps des problèmes (on redémarre, le système de fichiers est corrompu, on fait tourner fsck, il massacre tout). D'autres tiennent le coup longtemps (c'est le cas de celle qui est située dans le Raspberry Pi « de production »). Je n'ai pas trouvé de règles simples, du genre « telle marque est pourrie ».17/12/2014 10:38:36 - permalink -
Parfois, le problème semble lié au Pi. J'en ai un qui est nettement plus pénible que les autres, et qui corrompt son système de fichiers, quelle que soit la carte SD utilisée.
Par contre, une fois éliminés les matériels défaillants, tout peut très bien marcher. Mon Pi de supervision est allumé 24 heures sur 24, sans alimentation électrique sécurisée (les coupures sont parfois violentes, par exemple quand on débranche le Pi pour brancher l'aspirateur...) et il tourne depuis plus de deux ans sans histoires. »
J'en suis arrivé à la même conclusion (http://shaarli.guiguishow.info/?gEtikA) : quand ça foire, ça foire grave, quand ça fonctionne, ça fonctionne dans le temps, le materiel externe (SD, alimentation électrique) constituant la majorité des problèmes rencontrés. Je n'ai eu aucun problème avec les cartes SD, aucune corruption mais mon usage en IO (nginx avec contenu static sans visites, postfix+dovecot, ejabberd principalement) n'est pas comparable à cacti/incinga.- https://www.bortzmeyer.org/raspberry-pi-usage.html
-
Le casse-tête de la vidéo à la demande | Slate.fr
C'pas un scoop mais c'est bien documenté et détaillé comme il faut.17/12/2014 10:11:46 - permalink -- http://www.slate.fr/story/95811/casse--tete-video-demande
-
[CYAN-4522] Keyboard layout cannot be changed when connecting a bluetooth keyboard - CyanogenMod JIRA - Johndescs's mini-recording
« Via un câble USB "OTG" (On The Go), on peut connecter un "périphérique" à un ordinateur-téléphone/tablette/etc, lequel est habituellement lui-même un "périphérique" (mais il faut quand même que ce soit supporté). J'ai testé une clef, ça fonctionne, et le clavier aussi par contre à cause du bug lié ici je peux pas changer la disposition, je suis bloqué en qwerty. »15/12/2014 12:21:31 - permalink -- http://home.michalon.eu/shaarli/?wl-e7Q
-
adb - Android Read recent SMS messages from command line - Android Enthusiasts Stack Exchange - Johndescs's mini-recording
« Quand on a un debian en chroot, facile de voir ses SMS sur un téléphone android : il suffit de taper dans la base de données sqlite qui va bien :) »15/12/2014 12:19:44 - permalink -- http://home.michalon.eu/shaarli/?RLkh-Q
-
Quelles déceptions en ce moment... - Le blog de Genma
« Ma princesse vit loin, séparée de moi. Même si j’ai les appels illimités sur son téléphone fixe et portable (Freebox et numéro favori dans mon abonnement), que je passe une trentaine d’heures voir plus par téléphone avec elle, il manque quelque chose. On a la voix, mais pas le visuel. Et au bout d’un an, même si on voit la personne de façon régulière, on cherche à renouveler la communication au quotidien. L’écrit de la messagerie instantanée apporte une spontanéité que l’on a pas dans l’écrit par mail et permet d’en dire plus que par oral : on ose écrire ce que l’on n’ose pas dire. »15/12/2014 11:41:13 - permalink -- http://genma.free.fr/?Quelles-deceptions-en-ce-moment