OpenSSH, un protocole ouvert au chiffrement mais fermé aux attaques !

Magazine
Marque
MISC
HS n°
Numéro
3
Mois de parution
avril 2011
Domaines


Résumé

Avant 1995, les connexions distantes et les échanges de fichiers entre deux machines s'effectuaient forcément en clair à l'aide des programmes telnet et ftp. Cela signifie que toute personne en état d'écouter le réseau entre ces deux machines était capable de compromettre la confidentialité des informations transmises. Ce problème, toujours existant aujourd'hui, est d'autant plus grave lors de la phase de login, puisque ce sont les mots de passe qui peuvent ainsi être connus par un attaquant écoutant le réseau. Pour répondre à cette menace, un nouveau protocole de connexion distante et d'échange de fichiers sécurisé fut développé en 1995 et appelé SSH pour Secure Shell. SSH permet de chiffrer l'intégralité des communications, empêchant ainsi une personne écoutant passivement le réseau d'obtenir des informations sur les échanges.


Cette première version de SSH était un logiciel propriétaire, vendu par une société : http://www.ssh.com. SSH a évolué par la suite en une version 2. On parle alors de SSHv1 et SSHv2. La version 1 est aujourd'hui considérée comme obsolète, et SSH signifie généralement aujourd'hui SSHv2. Un ensemble de RFC définissent la manière dont SSHv2 doit être implémenté : RFC 4250, 4251, 4252, 4253, 4254, 4255, 4256, 4335, 4344, 4345 et amendé par les RFC 4419, 4432, 4462, 4716 et 5656 (ces RFC sont disponibles à l'adresse : http://tools.ietf.org/html/rfcXXXX, où XXXX est remplacé par le numéro de RFC). 

L'équipe développant OpenBSD (http://www.openbsd.org) a entièrement réécrit un programme se conformant aux normes SSH. Le code source est disponible sous une licence libre (licence type BSD). Le site web d'OpenSSH est : http://www.openssh.com/. OpenSSH est un ensemble de logiciels comprenant un serveur SSH, un client SSH et plusieurs outils annexes permettant...

Cet article est réservé aux abonnés. Il vous reste 98% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Introduction au dossier : Tour d’horizon de la sécurité de la 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Le présent dossier est consacré à un tour d’horizon de la sécurité de la cinquième génération de téléphonie mobile, la fameuse 5G. Au-delà des promesses usuelles avec l’arrivée d’un nouveau réseau, plus de débit, moins de latence, plus de service, on notera également l’avalanche de buzzwords et de polémiques qui a entouré sa promotion. On pourrait aussi se pencher sur les questions politiques et économiques sous-jacentes au déploiement de cette technologie, mais MISC n’a pas encore de corner géopolitique (il faut, pour cela, savoir lire entre les lignes).

Sécurité des infrastructures 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Les réseaux 5G allient encore plus de technologies différentes que les réseaux 4G, ce qui entraîne une complexité de réseau rarement égalée, et donc une sécurité bien difficile à assurer pour les opérateurs comme pour les clients. Malgré les améliorations de sécurité sur le service mobile 5G, il reste de nombreuses manières d’attaquer (et de défendre) les infrastructures 5G de l’opérateur.

Retours d’un hackathon 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Encore insouciant de la crise qui allait frapper le monde fin 2019, un hackathon de 24h a eu lieu à l’université d’Oulu [1] en Finlande afin d’anticiper les attaques sur les futures installations 5G de manière pratique. Nous verrons dans cet article comment il a été possible d’avoir la main sur la quasi-totalité d’un réseau 5G privé comme celui du campus d’Oulu à partir d’une carte USIM et d’un téléphone 5G. Puis, nous verrons d’autres perspectives en termes de tests d’intrusion avec les outils publics actuels.

mod_md : quand Apache se met à parler couramment Let's Encrypt

Magazine
Marque
Linux Pratique
Numéro
125
Mois de parution
mai 2021
Domaines
Résumé

L’autorité de certification (AC) Let’s Encrypt a ouvert son service au public le 12 avril 2016. La part du trafic web chiffré ne cessa alors d'augmenter pour représenter actuellement près de 90% du trafic total. Sur le plan technique, Let’s Encrypt a pu réaliser un tel exploit notamment grâce à ACME, son protocole normalisé par l’IETF d’obtention automatisée de certificats. De nombreux clients ACME en ligne de commandes ont été développé et ont répondu à beaucoup de cas d’usage. Plus récemment, une étape supplémentaire a été franchie avec l’intégration de l’obtention de certificats Let’s Encrypt directement au sein de composants d'infrastructures comme HAProxy, Traefik ou les serveurs web Caddy et Apache et son module mod_md. C’est de ce dernier dont nous allons parler ensemble aujourd’hui.