Veille - Normalisation des PenTests

==============================================================================================================================================

Cette semaine les articles qui ont retenus mon attention sont :

- L'initiative de standardisation des processus de PenTest. A mon sens c'est une bonne idée tant de gens se targuant de faire du PenTest alors qu'ils ne font que dérouler quelques scripts téléchargés sur Internet. Il est nécessaire de mettre un peu de méthodologie, de déontologie aussi et de standardiser a minima la pratique. Cela permettra, je l'espère, de réhausser le niveau et donc aussi de réhausser la sécurisation des systèmes d'informations. Car c'est quand même le but affiché : identifier les failles pour les combler et accroître le niveau de sécurité.

- Les attaques assez nombreuses de ces derniers jours contre la commission européenne, PHP, les certificats SSL de chez Comodo, et l'affaire RSA qui risque de coûter très cher à RSA. A force de ne rien dire, quelques acteurs du marché (dont des concurrents) en profitent pour flinguer en bonne et due forme RSA et remettre en question la sécurité intrinsèque de la solution. Comment RSA va-t-il s'en remettre? Difficile à dire. De son côté, le logiciel SCADA a vu un bon nombre de failles publiées. Après un douloureux Stuxnet, il va y avoir des suites. Bref, il y a eu des périodes plus clémentes.

- Microsoft qui a eu un petit coup de flip pour racheter 666 624 adresses IPv4 à Nortel en dépit des règles de bonne conduite sur Internet. Les instances comme l'ARIN ne devraient pas laisser passer cela sans intervenir. Il y a du règlement de compte au tribunal en perspective. J'ai donc ajouté quelques liens sur IPv6. Car sans s'affoler, il va vraiment falloir s'y intéresser de près en entreprise. Et mieux vaut le faire tant que le besoin n'est pas encore clairement présent.

- Quelques rachats

- Un marché de l'informatique qui bouge vite avec des innovations sur les pays émergeants, mais aussi sur notre vieux continent et un article qui sort du lot sur la loi de Moore. Le fond du problème soulevé n'est pas inintéressant et avait été soulevé par Moore lui-même. Qaund nous ne pourrons plus doubler les capacités tous les deux ans, que deviendra le monde de l'informatique s'il ne se réinvente pas?

- Le piratage d'une voiture avec un CD de mp3 !!! Ca fait un petit peu peur quand même et ça me rappelle une histoire loufoque à l'époque de piratage d'avion par le réseau de diffusion de vidéo. Sauf que dans les avions les réseaux sont distincts.

- Le PC 100% GNU de Richard Stallman. Bon ben j'avoue bien aimé la philosophie Open Source, mais il ne faut pas éxagérer quand même. Si c'est pour avoir un bouzin, je ne suis pas sûr d'adhérer complètement ;-))

- La CNIL qui a illustré assez brillamment le principe de juge et partie. En effet, la CNIL autorise la CNIL à utiliser un contrôle biométrique. Nonsense !!

- Un petit coup de chapeau à GNU Free Call (Skype like mais Open Source)

Bonne lecture
Tristan

==============================================================================================================================================


A LIRE SECURITE
---------------

White hat standard to out lazy testers
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40664
http://www.zdnet.com.au/white-hat-standard-to-out-lazy-testers-339311763.htm
http://www.pentest-standard.org/index.php/Main_Page

The Only Secure Password Is The One You Can’t Remember
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40673
http://www.lifehacker.com.au/2011/03/the-only-secure-password-is-the-one-you-can’t-remember/

La Commission européenne victime d'une cyberattaque « sérieuse »
http://www.01net.com/editorial/530511/la-commission-europeenne-victime-dune-cyberattaque-serieuse/

Espionnage et infiltration : les Anonymes découvrent le pot aux roses
http://www.01net.com/editorial/530547/espionnage-et-infiltration-les-anonymes-decouvrent-le-pot-aux-roses/

HTTPS is more secure, so why isn't the Web using it?
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40589
http://arstechnica.com/web/news/2011/03/https-is-more-secure-so-why-isnt-the-web-using-it.ars?utm_source=rss&utm_medium=rss&utm_campaign=rss

10 building blocks for securing the internet
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40632
http://computerworld.co.nz/news.nsf/security/10-building-blocks-for-securing-the-internet

Anti-Virus Vendor Accused of Installing Viruses Onto Mobile Phones [J'ai toujours aimé cette théorie de la conspiration. Et les docteurs créent les

maladies....et la marmotte elle met le chocolat...dans le papier d'alu]
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40685

Sécurité : l'Enisa s'interroge sur la menace botnets
http://www.clubic.com/antivirus-securite-informatique/virus-hacker-piratage/botnet-pc-zombie/actualite-402944-securite-enisa-interroge-menace-botnets.html

Uncovering Spoken Phrases in Encrypted Voice over IP Conversations
http://portal.acm.org/citation.cfm?doid=1880022.1880029

DOSSIERS
--------

IPv4 : Microsoft achète plus de 650 000 adresses pour 7,5 millions de dollars
http://www.journaldunet.com/solutions/systemes-reseaux/microsoft-achete-plus-de-650-000-adresses-ipv4-0311.shtml

Bien négocier son passage à IPv6 (par Mohsen Souissi, Afnic)
http://www.journaldunet.com/solutions/systemes-reseaux/questions-reponses-sur-ipv6/

Brocade utilise ses répartiteurs de charge pour migrer vers IPv6
http://pro.01net.com/editorial/530482/brocade-utilise-ses-repartiteurs-de-charge-pour-migrer-vers-ipv6/

Brocade lance un pont entre IPv4 et IPv6
http://pro.clubic.com/it-business/actualite-406326-brocade-pont-ipv4-ipv6.html

IPv6 Théorie et Pratique
http://livre.g6.asso.fr/index.php/Main_Page

ACTUALITE
---------

La radioactivité en France à suivre sur le Web
http://www.01net.com/www.01net.com/editorial/530458/la-radioactivite-en-france-a-suivre-sur-le-web/?r=/rss/actus.xml

Un moteur de recherche humanitaire pour les disparus du Japon
http://pro.01net.com/editorial/530467/un-moteur-de-recherche-humanitaire-pour-les-disparus-du-japon/

INSOLITE
--------

Pirater une voiture avec un CD de MP3
http://www.presence-pc.com/actualite/piratage-voiture-42907/

Man finds divorce files, tax docs on 'new' laptop
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40682

La CNIL autorise la CNIL à utiliser un contrôle biométrique
http://www.pcinpact.com/actu/news/62614-cnil-biometrie-doigt-autorisation-controle.htm

UN PETIT GESTE POUR LA PLANETE
------------------------------

Ce 26 mars, éteignez la lumière (et votre PC) pendant 1 heure
http://www.01net.com/editorial/530574/ce-26-mars-eteignez-la-lumiere-(et-votre-pc)-pendant-1-heure/

Avant/après : les monuments éteints pendant l'«Earth hour»
http://www.lefigaro.fr/environnement/2011/03/26/01029-20110326DIMWWW00421-earth-hour-les-images-avantapres-des-villes-qui-s-eteignent.php

Adoptez un livre pour financer sa numérisation
http://www.01net.com/editorial/530504/adoptez-un-livre-pour-financer-sa-numerisation/

FACEBOOK
--------

A BOOKMARKER
------------

SALONS / CONFERENCES / EVENEMENTS
---------------------------------

PRODUITS
--------

RIM adds Android app support to BlackBerry PlayBook via 'optional app player'
http://www.engadget.com/2011/03/24/rim-adds-android-app-support-to-blackberry-playbook/

Le point sur les 2 nouvelles tablettes Samsung Galaxy Tab 8.9 et 10.1?
http://www.blogeee.net/2011/03/le-point-sur-les-2-nouvelles-tablette-samsung-galaxy-tab-8-9-et-10-1/

Découvrir la Boogie Board en vidéo…
http://www.blogeee.net/2011/03/decouvrir-la-boogie-board-en-video

Confirmed: FaceTime for iPad 2 works with video out
http://www.tuaw.com/2011/03/15/confirmed-facetime-for-ipad-2-works-with-video-out/

La sécurité en boîte proposée par SFR Business Team
http://www.reseaux-telecoms.net/actualites/lire-la-securite-en-boite-proposee-par-sfr-business-team-23099.html

BON A SAVOIR
------------

Un DRH écoeuré raconte les (sales) dessous de l'entreprise
http://eco.rue89.com/2011/03/23/un-drh-ecoeure-raconte-les-sales-dessous-de-lentreprise-196577

Le .xxx devient réalité sur fond de polémique
http://www.01net.com/www.01net.com/editorial/530317/le-xxx-devient-realite-sur-fond-de-polemique/?r=/rss/actus.xml

Le DNS chaperon de l'industrie du X
http://blogs.orange-business.com/securite/2011/03/le-dns-chaperon-de-lindustrie-du-x.html

Microsoft et Octo Technology entreprises où il fait bon travailler
http://pro.01net.com/editorial/530282/microsoft-et-octo-technology-entreprises-ou-il-fait-bon-travailler/

Impôt sur le revenu 2011 : ce qui attend les internautes
http://www.01net.com/editorial/530556/impot-sur-le-revenu-2011-ce-qui-attend-les-internautes/

Censure : l'Iran obtient le blocage de Tor
http://www.clubic.com/antivirus-securite-informatique/virus-hacker-piratage/reseau-tor-the-onion-router/actualite-406088-censure-iran-obtient-fermeture-

tor.html

SCIENCES
--------

CONSOMMATION
------------

TVA : 10 millions de foyers victimes d'une hausse abusive de leur forfait
http://www.01net.com/editorial/530553/tva-10-millions-de-foyers-victimes-dune-hausse-abusive-de-leur-forfait/

RACHAT / UNION
--------------

Avec Snaptu, Facebook continue sa moisson de jeunes pousses
http://www.01net.com/www.01net.com/editorial/530423/avec-snaptu-facebook-continue-sa-moisson-de-jeunes-pousses/?r=/rss/actus.xml

Vivendi prêt à payer 7 milliards pour le contrôle total de SFR
http://www.reseaux-telecoms.net/actualites/lire-vivendi-pret-a-payer-7-milliards-pour-le-controle-total-de-sfr-23087.html

AT&T to Buy T-Mobile for $39 Billion
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40588

Avec CoolPlanetBioFuels, Google investit dans le biocarburant
http://www.clubic.com/internet/google/actualite-406072-coolplanetbiofuels-google-biocarburant.html

DROIT
-----

Il faut encadrer l’utilisation des biens personnels sur le lieu de travail
http://pro.01net.com/editorial/530593/il-faut-encadrer-l-utilisation-des-biens-personnels-sur-le-lieu-de-travail/

L’UFC-Que Choisir fait condamner Free pour pratiques illicites
http://www.01net.com/editorial/530477/l-ufc-que-choisir-fait-condamner-free-pour-pratiques-illicites/

La Cnil condamne Google à une amende de 100 000 euros
http://www.clubic.com/internet/univers-google/google-maps/actualite-405654-cnil-prononce-amende-100-000-google.html

MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

Création d'un réseau 4G à 100 Mbit/s en Malaisie par ZTE et U Mobile
http://www.reseaux-telecoms.net/actualites/lire-creation-d-un-reseau-4g-a-100-mbit-s-en-malaisie-par-zte-et-u-mobile-23093.html

Cofidis tourne le dos à Cisco pour son SAN
http://www.reseaux-telecoms.net/actualites/lire-cofidis-tourne-le-dos-a-cisco-pour-son-san-23107.html

Signature en mobilité pour les trésoriers d'entreprise chez Natixis
http://www.reseaux-telecoms.net/actualites/lire-signature-en-mobilite-pour-les-tresoriers-d-entreprise-chez-natixis-23104.html

Vilogia bâtit son PRA dans un Data Center de secours
http://www.reseaux-telecoms.net/actualites/lire-vilogia-batit-son-pra-dans-un-data-center-de-secours-23097.html

Sunnco tire le bilan de 3 ans de Centrex IP
http://www.reseaux-telecoms.net/actualites/lire-sunnco-tire-le-bilan-de-3-ans-de-centrex-ip-23094.html

Telcité atteint 18 millions d'euros de chiffre d'affaires avec la fibre noire
http://www.reseaux-telecoms.net/actualites/lire-telcite-atteint-18-millions-d-euros-de-chiffre-d-affaires-avec-la-fibre-noire-23095.html

La loi de Moore enterrée dans dix ans ?
http://www.reseaux-telecoms.net/actualites/lire-la-loi-de-moore-enterree-dans-dix-ans-23112.html

Système U Ouest déménage ses 450 serveurs sans interrompre l'informatique
http://www.reseaux-telecoms.net/actualites/lire-systeme-u-ouest-demenage-ses-450-serveurs-sans-interrompre-l-informatique-23110.html

Mazars centralise les sauvegardes de 23 sites distants
http://www.reseaux-telecoms.net/actualites/lire-mazars-centralise-les-sauvegardes-de-23-sites-distants-23109.html

La Société Générale lance un appel pour concevoir la banque du futur
http://www.reseaux-telecoms.net/actualites/lire-la-societe-generale-lance-un-appel-pour-concevoir-la-banque-du-futur-23108.html

Motorola may be developing its own OS for mobile devices
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40680

Private cloud can prevent end runs around IT
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40639

CARRIERE
--------

L'Institut Télécom recrute 400 collaborateurs en 2011
http://www.reseaux-telecoms.net/actualites/lire-l-institut-telecom-recrute-400-collaborateurs-en-2011-23090.html

La DPSD recrute des ingénieurs en SSI
http://www.zataz.com/news/21093/dpsd--ingenieur-informatique--Direction-de-la-protection-et-de-la-securite-de-la-Defense.html

MICROSOFT
---------

MMS 2011 : Concero met l’informatique dans les mains des métiers
http://pro.01net.com/editorial/530466/mms-2011-concero-met-l-informatique-dans-les-mains-des-metiers/

MMS 2011 : System Center 2012 facilitera le déploiement de clouds privés
http://pro.01net.com/editorial/530464/mms-2011-system-center-2012-facilitera-le-deploiement-de-clouds-prives/

MMS 2011 : Microsoft administrera aussi l’iPhone et les bureaux Citrix
http://pro.01net.com/editorial/530509/mms-2011-microsoft-administrera-aussi-l-iphone-et-les-bureaux-citrix/

MMS 2011 : les PC des PME seront réparés en ligne
http://pro.01net.com/editorial/530508/mms-2011-les-pc-des-pme-seront-repares-en-ligne/

Quand un simple hack améliore le multitâche de Windows Phone 7
http://www.01net.com/www.01net.com/editorial/530454/quand-un-simple-hack-ameliore-le-multitache-de-windows-phone-7/?r=/rss/actus.xml

GOOGLE
------

Google devine la date de sortie des films et des jeux vidéo
http://www.01net.com/editorial/530492/google-devine-la-date-de-sortie-des-films-et-des-jeux-video/

Larry Page Wants to Return Google to Its Startup Roots
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40594

Google’s $10K Employee Startup Referral Program
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40587

APPLE / IPHONE
--------------

Could future iPhones charge with the power of the sun?
http://www.tuaw.com/2011/03/23/could-future-iphones-charge-with-the-power-of-the-sun/

Iphone 5 rumors
http://www.nowhereelse.fr/wp-content/uploads/2011/03/iPhone-5-Rumor-RoundUp.jpg

PALM / PRE
----------

FREE
----

Free ouvre des magasins dans le monde réel
http://www.reseaux-telecoms.net/actualites/lire-free-ouvre-des-magasins-dans-le-monde-reel-23082.html

GEEK POWER
----------

LIBRE / OPEN SOURCE
-------------------

Et voici l'ordinateur de Richard Stallman
http://www.presence-pc.com/actualite/richard-stallman-42937/

GNU Free Call - An Open Source Skype Alternative
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40622

GNU Free Call Announced, SIP-based VoIP
http://news.slashdot.org/story/11/03/15/1552216/GNU-Free-Call-Announced-SIP-based-VoIP

Firefox 4.0 : la version finale est arrivée [MAJ]
http://www.01net.com/editorial/530416/firefox-4-0-la-version-finale-est-arrivee-maj/?r=/rss/actus.xml

Dix extensions pour Firefox 4.0 recommandées par Mozilla
http://www.01net.com/www.01net.com/editorial/530496/dix-extensions-pour-firefox-4-0-recommandees-par-mozilla/?r=/rss/actus.xml

ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

Browsers are updated after fraudulent SSL certs issued
http://www.silicon.com/technology/security/2011/03/24/browsers-are-updated-after-fraudulent-ssl-certs-issued-39747192/

Forged Certificates: Five Steps To Secure Your Enterprise
http://threatpost.com/en_us/blogs/forged-certificates-five-steps-secure-your-enterprise-032411

Experts weigh in on Comodo SSL certificate fraud
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40672
http://www.scmagazineus.com/experts-weigh-in-on-comodo-ssl-certificate-fraud/article/199109/

Phony SSL Certificates issued for Google, Yahoo, Skype, Others
http://threatpost.com/en_us/blogs/phony-web-certificates-issued-google-yahoo-skype-others-032311

PHP.net victime d'une intrusion sur son wiki
http://www.clubic.com/antivirus-securite-informatique/virus-hacker-piratage/hackers/actualite-405926-php-net-victime-faille-serveurs.html

Avec Sendoid, le partage de fichiers en P2P devient simple et discret
http://www.01net.com/www.01net.com/editorial/530438/avec-sendoid-le-partage-de-fichiers-en-p2p-devient-simple-et-discret/?r=/rss/actus.xml

Une variante du malware ZeuS identifiée sur BlackBerry
http://www.clubic.com/smartphone/blackberry/actualite-402586-ver-identifie-blackberry-zeus.html

ATTAQUE RSA
-----------

Trust is the foundation of security
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40586
http://www.fiercecio.com/techwatch/story/trust-foundation-security/2011-03-18

RSA CTO Speaks of APT, Before the Attack
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40623
http://blogs.govinfosecurity.com/posts.php?postID=913

RSA won't talk? Assume SecurID is broken
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40671
http://www.channelregister.co.uk/2011/03/24/rsa_securid_news_blackout/

FAILLES
-------

Désactivez Javascript sur vos BlackBerrys !
http://www.reseaux-telecoms.net/actualites/lire-desactivez-javascript-sur-vos-blackberrys-23085.html

Dozens of SCADA Exploits, Proof-of-concept Code Published
http://threatpost.com/en_us/blogs/dozens-scada-exploits-proof-concept-code-published-032211

Researcher Exposes SCADA Software Vulnerabilities
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40661

Le Cert émet une alerte de sécurité sur les systèmes SCADA
http://www.clubic.com/antivirus-securite-informatique/actualite-406458-cert-emet-alerte-securite-systemes-scada.html

DATA LEAKAGE
------------

Assange says India Wikileaks cables are true beyond doubt
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40647

Sensitive data easily swiped from eBayed mobiles
http://www.theregister.co.uk/2011/03/22/sensitive_data_ebayed_mobiles/

La France, terrain de jeu d'évasion fiscale pour UBS ?
http://eco.rue89.com/2011/03/24/la-france-terrain-de-jeu-devasion-fiscale-pour-ubs-195531

OUTILS
------


------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1