Maury Florian

Secure Boot est un composant important de la chaîne de sécurité du démarrage d'un ordinateur. Il vise à assurer que seul du code autorisé s'exécute dans les premiers instants du démarrage. L'ANSSI recommande son utilisation pour tous les systèmes Linux de niveau de sécurité intermédiaire ou plus [1]. Mais à quoi bon ? Cet article propose de rationaliser l'usage de cette technologie, et en évoque ses limites.

Le Domain Name System (DNS) est l’un des protocoles réseau centraux au bon fonctionnement de l’Internet moderne. Ce protocole permet la résolution de noms « symboliques » – les noms de domaine – en des ressources, notamment des adresses IP. Malgré son omniprésence dans notre quotidien, sa sécurisation a été incrémentale et laborieuse.

En avril 2019, l’ANSSI a qualifié les premières sondes pour assurer la supervision de sécurité de réseaux. Les opérateurs d’importance vitale (OIV), les opérateurs de services essentiels (OSE) et, d’une manière générale, les organismes opérant des fonctions sensibles disposent ainsi de produits français de confiance : Cybels Sensor de Thales et Trackwatch Full Edition de Gatewatcher. La méthodologie d’évaluation des sondes n’est, hélas, pas publique. Les ingénieurs sécurité et réseau devant intégrer ces sondes ne disposent donc pas de guides pour effectuer la recette de leur efficacité en production.

À l’heure où de nombreuses applications sont délivrées sous la forme de conteneurs (notamment Docker), peu savent réellement comment ces derniers sont cloisonnés du reste du système. Peut-être encore plus rares sont ceux qui mettent en œuvre ces technologies de leur propre chef, pour réduire l’impact d’une compromission.Cet article s’attache à présenter les namespaces Linux, ainsi que seccomp BPF, puis à les employer à l’aide de systemd pour démontrer, par l’exemple, comment durcir un serveur web applicatif.

Huit ans après le déploiement de DNSSEC par la racine du DNS, cette technologie peine encore à trouver son public et à prouver son utilité. Cet article démontre que la sécurité des échanges de courriers électroniques avec SMTP contre des attaquants actifs ne peut être atteinte en l’absence de DNSSEC, compte tenu des standards et implémentations actuels.

Telegram, WhatsApp, Signal, OTR… et autant de protocoles de messagerie quasi instantanée, de modèles de sécurité et de protocoles cryptographiques : lesquels choisir ? Et si la solution idéale n’était pas dans la liste précédente ? Cet article évoque les limites de plusieurs de ces solutions, et présente le cœur cryptographique de Signal, WhatsApp et du protocole OMEMO. Il met finalement en exergue, par une analyse comparative, certaines limites de Signal et des qualités d’OMEMO.

Standardisé en mai 2015 [RFC7540, RFC7541], HTTP/2 fait depuis l'objet de nombreuses campagnes « marketing » de la part de Google, Cloudflare ou Akamai. En contre-courant de cette vague (trop ?) enthousiaste se dressent des voix tentant de tempérer les prétendues améliorations en performance provenant de bancs de test biaisés. La communauté sécurité n'est pas en reste, soulignant que HTTP/2 n'est pas le remplaçant de HTTP/1.1 [Snort], mais bien un nouveau protocole à part entière dont la complexité est significative et les enjeux encore mal compris. Cet article détaille les défauts de HTTP/1.1 présentés comme justificatifs pour HTTP/2. Il dresse ensuite un portrait de ce nouveau protocole et de certaines réserves à son encontre.

Il y a peu, chacun vivait dans son petit village et n'avait qu'une poignée de pairs à qui devoir faire confiance. Internet a révolutionné ce modèle : nous interagissons tous quotidiennement avec un nombre de tiers, dépassant notre capacité de jugement. Comment alors faire passer à l'échelle d'Internet notre confiance en autrui ? Cet article détaille Certificate Transparency, un mécanisme cryptographique enregistrant les actions critiques effectuées par les autorités de certification. Équipée de cet outil, la société connectée peut alors détecter les erreurs et les trahisons, lorsqu'elles surviennent, améliorer son système de réputation et accroître ses capacités à punir les contrevenants.

Les protocoles ont la vie dure. Certains, comme le DNS, subsistent depuis des décennies. Ils sont enrichis, améliorés, mais aussi incompris, détournés, parfois pour pallier l'ossification lente de l'Internet. Cet article couvre plusieurs attaques DNS récentes, rendues possibles par la complexité cachée du DNS. Il soulève ainsi la question du bien-fondé de la croissance perpétuelle des protocoles.