Veille - SSL and the cloud

==============================================================================================================================================

Cette semaine les sujets d'actualité concernent SSL et le Cloud.

Et si vous m'autoriser ce jeu de mots (vaseux) de circonstances avec les journées qui se réchauffent, ça sent mauvais sous l'SSL (signé papa schultz ;-))). Bon rien de bien nouveau, tout le monde était conscient des problématiques du tiers de confiance indispensable pour assurer la sécurité globale du système, mais la confiance s'effrite un peu en ce moment avec l'affaire COMODO, les problèmes liés à Stuxnet (certificats falsifiés). Beaucoup de personnes ont été prises au dépourvu et ont mieux compris leur dépendance vis-à-vis de SSL. SSL est à la base de tous les mécanismes de sécurité actuels (DNSSEC en plein déploiement mondial, les VPN SSL servant de plus en plus de moyen d'accès distants au SI), il y a du boulot pour, si ce n'est redorer le blason du SSL, valider que toutes les précautions ont été prises. Car après tout, personne ne vérifie jamais les certificats et autorités approuvés dans les navigateurs. Aucune autorité indépendante ne valide les entrées des navigateurs, chacun décide d'inclure ou non telle out telle CA. Avec les problèmes en cours, chaque éditeur y va donc de sa solution, de sa réflexion en cours. Donc, d'ici quelques mois ou années, il n'est pas impossible de voir de nouveaux produits, de nouveaux services, et pourquoi pas des mécanismes d'assurance sur la délivrance des certificats? Ce milieu va encore plus se professionaliser. Mais en attendant, je ne saurais trop vous conseiller de bien regarder le petit cadenas en bas de vos navigateurs et pourquoi pas de faire une petite vérification des certificats de temps en temps. Il existe un grand nombre de plugins Firefox pour cela.

Le deuxième sujet Hype, c'est le cloud bien sûr. Par contre, ce n'est pas trop de saison, les week-ends étant plutôt sunny que cloudy. Il y a quelques articles assez intéressants, certains qui décrivent bien les limites des équipement de sécurité réseau (IPS) sur des architectures ultra mutualisées avec des environnements virtualisés. D'autres articles donnent quelques billes pour mieux gérer le passage au cloud. Car qu'on le veuille ou non il va falloir passer par le cloud, qu'il soit public, privé, ou qu'il faille faire dialoguer un cloud public avec un cloud privé. Et c'est d'ailleurs là que toute la problématique se pose pour moi. Car dans un monde ultra connecté où Internet est très présent, certaines entreprises feront le choix du cloud privé, d'autre celui du cloud public et il faudra que les deux communiquent pour faire du business. Mais si rien n'est prévu pour gérer le dialogue entre les deux, cela risque fort de dégénérer assez vite. Le modèle de sécurité devra s'adapter. Peut-être qu'il sera nécessaire de remettre de la sécurité côté Host et non côté Network ? Peut-être qu'il faudra accepter de prendre plus de risques ? Peut-être que de nouvelles façon de faire de la sécurité vont apparaitre ? peut-être que les aspects réglementaires vont impulser le modèle de sécurité à retenir. Je n'ai pas la solution mais c'est sûr, il va y avoir des changements profonds. On voit d'ailleurs déjà des solutions arriver comme CENTRIFY... A voir...

Sinon, dans un contexte où certains acteurs de la sécurité subissent des attaques assez importantes, leurs concurrents en profitent pour faire de la publicité sur leurs solutions. C'est moyennement fair, mais bon, c'est le jeu de la concurrence.

Pour finir, quelques news insolites assez sympa, d'autres plus effrayantes et un outil très sympa de chez Sysinternals.

Bonne lecture
Tristan

==============================================================================================================================================


A LIRE SECURITE
---------------

SSL And The Future Of Authenticity
http://blog.thoughtcrime.org/ssl-and-the-future-of-authenticity

SSL and the Future of Authenticity
http://threatpost.com/en_us/blogs/ssl-and-future-authenticity-041111

The real security issue behind the Comodo hack
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40820
http://www.infoworld.com/d/security/the-real-security-issue-behind-the-comodo-hack-811

Comodo hack may reshape browser security
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40797
http://news.cnet.com/8301-31921_3-20050255-281.html?part=rss&subj=news&tag=2547-1_3-0-20

Les utilisateurs de mobiles et le phishing
http://cupofsecurity.blogspot.com/2011/04/les-utilisateurs-de-mobiles-et-le.html

Record battu... À tous points de vue...
http://sid.rstack.org/blog/index.php/475-record-battu-a-tous-points-de-vue

Le cloud, une banque sans possibilité de virement
http://pro.01net.com/pro.01net.com/editorial/531483/le-cloud-une-banque-sans-possibilite-de-virement

Le challenge du cloud computing pour les IDS & IPS
http://blogs.orange-business.com/securite/2011/04/le-challenge-du-cloud-computing-pour-les-ids-ips.html
Extrait : Les coûts d'un projet IDS/IPS sont très souvent "plombés" par la gestion des équipements.... quand cela est fait... souvent les équipements sont

achetés, déployés et configurés.... pour ensuite être "oubliés"... [Tout lien avec ma vie professionnelle serait purement fortuit ;-)]

les changements du cloud computing dans la sécurité
http://blogs.orange-business.com/securite/2011/04/les-changements-du-cloud-computing-dans-la-securite.html

Faut-il prendre le risque du Cloud ?
http://www.reseaux-telecoms.net/actualites/lire-faut-il-prendre-le-risque-du-cloud-23147.html

A Security Practitioner's Guide to the Cloud
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40757

Making An Application Security Program Succeed
http://threatpost.com/en_us/blogs/making-application-security-program-succeed-040711

Biometric authentication: the key to keeping businesses and users
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40921
http://www.itpro.co.uk/632776/biometric-authentication-the-key-to-keeping-businesses-and-users-happy

Is a secure, firewall-less network possible?
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40796
http://www.scmagazineuk.com/is-a-secure-firewall-less-network-possible/article/199890/

Deux puces pour la prochaine génération de carte d’identité ?
http://www.01net.com/www.01net.com/editorial/531677/deux-puces-pour-la-prochaine-generation-de-carte-d-identite/?r=/rss/actus.xml

RAPPELS
-------

les 5 minutes du professeur Audenard - épisode 7 : La DMZ sortante
http://blogs.orange-business.com/securite/2011/03/les-5-minutes-du-professeur-audenard---episode-7-la-dmz-sortante.html

La sécurité en entreprise
http://blogs.orange-business.com/securite/2011/04/la-securite-en-entreprise.html

la sécurité et les contrats fournisseurs
http://blogs.orange-business.com/securite/2011/04/les-contrats-fournisseurs.html

DOSSIERS
--------

Fiche métier - Responsable de la sécurité des systèmes d'information
http://www.zdnet.fr/actualites/fiche-metier-responsable-de-la-securite-des-systemes-d-information-39759658.htm

Trophées RSSI 2011 : Enjeux d'un métier aux mille facettes
http://pro.01net.com/pro.01net.com/editorial/530888/trophees-rssi-2011-enjeux-dun-metier-aux-mille-facettes

Il est important de séparer la DSI de la sécurité des systèmes d’information pour ne pas être juge et partie.

Grand Prix : Mylène Jarossay
http://pro.01net.com/editorial/530902/grand-prix-mylene-jarossay/

Egalement DSI adjointe, cette RSSI a mené un chantier complet de sécurité en partant de rien

INSOLITE
--------

12 year old rewrites Einsteins theory of relativity
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40713

Des contrefacteurs inventent le stockage USB illimité !
http://www.blogeee.net/2011/04/des-contrefacteurs-inventent-le-stockage-usb-illimite/

Biopunk: Hack Your DNA
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40709

Ecoutez en ligne le bruit du séisme japonais depuis la mer
http://www.01net.com/www.01net.com/editorial/531314/ecoutez-en-ligne-le-bruit-du-seisme-japonais-depuis-la-mer/

UN PETIT GESTE POUR LA PLANETE
------------------------------

FACEBOOK
--------

Les profils Facebook des sites de presse spammés par des pubs porno
http://www.01net.com/www.01net.com/editorial/531440/les-profils-facebook-des-sites-de-presse-spammes-par-des-pubs-porno/?r=/rss/actus.xml

Cyber attacks on social networks and mobiles on the increase
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40812

Facebook : Après les jumeaux Winklevoss, Ceglia réclame Facebook et il a des preuves …
http://www.presse-citron.net/facebook-apres-les-jumeaux-winklevoss-ceglia-reclame-facebook-et-il-a-des-preuves-%E2%80%A6

A BOOKMARKER
------------

CNRS : lancement d’Isidore, la plateforme web des sciences humaines et sociales
http://www.les-infostrateges.com/actu/11041173/cnrs-lancement-disidore-la-plateforme-web-des-sciences-humaines-et-sociales
http://www.rechercheisidore.fr/

SALONS / CONFERENCES / EVENEMENTS
---------------------------------

Culture G(eek) : Pirat@ge, Éthique et hack
http://www.journaldugeek.com/2011/04/13/culture-geek-piratge-ethique-et-hack/

B-Sides Vienna welcomes hackers in June
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40890

Participez au prix de l’innovation avec les Assises de la sécurité
http://pro.01net.com/pro.01net.com/editorial/531644/participez-au-prix-de-l-innovation-avec-les-assises-de-la-securite/
http://www.les-assises-de-la-securite.com/Accueil/Prix.aspx

PRODUITS
--------

Comparatif : huit caméscopes de poche à partir de 99 euros
http://www.01net.com/www.01net.com/editorial/531403/comparatif-huit-camescopes-de-poche-a-partir-de-99-euros

C’en est fini des caméras Flip de Cisco
http://www.01net.com/www.01net.com/editorial/531527/c-en-est-fini-des-cameras-flip-de-cisco

Comparatif : dix clés USB 2.0 de 32 Go
http://www.01net.com/www.01net.com/editorial/531612/comparatif-dix-cles-usb-2-0-de-32-go

VMware lance sa plateforme de cloud en open-source
http://pro.clubic.com/it-business/cloud-computing/actualite-411394-vmware-plateforme-cloud-open-source.html

Un disque dur ultra-protégé chez Toshiba
http://www.journaldugeek.com/2011/04/13/disque-dur-toshiba/

Dell rafraîchit toute sa gamme PME
http://pro.01net.com/pro.01net.com/editorial/531668/dell-rafraichit-toute-sa-gamme-pme

Stockage : Isilon à la conquête des entreprises avec une solution de niche
http://pro.01net.com/pro.01net.com/editorial/531649/stockage-isilon-a-la-conquete-des-entreprises-avec-une-solution-de-niche

The reviews are in: PlayBook not an iPad killer, its biggest hurdle is software
http://www.9to5mac.com/61408/the-reviews-are-in-playbooks-biggest-hurdle-is-software/

Instant cloud server security
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40815
http://www.networkworld.com/newsletters/dir/2011/040411id2.html

BON A SAVOIR
------------

FBI Releases Document Confirming Roswell UFO
http://science.slashdot.org/story/11/04/10/1429243/FBI-Releases-Document-Confirming-Roswell-UFO

Guy Hottel Part 1 of 1
http://vault.fbi.gov/hottel_guy/Guy%20Hottel%20Part%201%20of%201/view

Dropbox authentication: insecure by design
http://dereknewton.com/2011/04/dropbox-authentication-static-host-ids/

Internet probe can track you down to within 690 metres
http://www.newscientist.com/article/dn20336-internet-probe-can-track-you-down-to-within-690-metres.html

Le retour de Morris
http://www.zataz.com/news/21137/Morris-worm--virus--dhclient.html

Un hacktiviste en prison après être passé sur France 2
http://www.zataz.com/news/21145/prison--hacker--hacktiviste.html

Gavin King unveils Red Hat's Java killer successor: The Ceylon Project
http://blog.talawah.net/2011/04/gavin-king-unviels-red-hats-top-secret.html

La reconnaissance de forme pour faciliter la prise de commande mobile
http://www.reseaux-telecoms.net/actualites/lire-la-reconnaissance-de-forme-pour-faciliter-la-prise-de-commande-mobile-23174.html

Découvrir les villes en vue immersive enrichie grâce à UrbanDive
http://www.reseaux-telecoms.net/actualites/lire-decouvrir-les-villes-en-vue-immersive-enrichie-grace-a-urbandive-23176.html

SCIENCES
--------

Scientists use mind power to control computers
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40859

CONSOMMATION
------------

Un diagnostic pour évaluer la connexion Internet d’un logement
http://www.01net.com/www.01net.com/editorial/531525/un-diagnostic-pour-evaluer-la-connexion-internet-d-un-logement

RACHAT / UNION
--------------

Sécurité dans le cloud : VMware reprend Mozy à EMC
http://pro.clubic.com/it-business/securite-et-donnees/actualite-409270-securite-cloud-vmware-reprend-mozy-emc.html

Musique sur mobile : Google s’empare de PushLife
http://www.01net.com/www.01net.com/editorial/531463/musique-sur-mobile-google-s-empare-de-pushlife

EMC buys NetWitness to boost RSA's security offerings
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40803

DROIT
-----

Les activités de Google vues par le prisme du Droit
http://www.reseaux-telecoms.net/actualites/lire-les-activites-de-google-vues-par-le-prisme-du-droit-23173.html

CNIL : comment effacer vos traces sur un moteur de recherche
http://www.pcinpact.com/actu/news/62897-guide-cnil-traces-moteur-de-recherche-vie-privee.htm

Les noms de domaine disposent enfin d’un vrai cadre juridique
http://pro.01net.com/pro.01net.com/editorial/531629/les-noms-de-domaine-disposent-enfin-d-un-vrai-cadre-juridique

Une députée propose de couper Internet aux auteurs de "violences numériques"
http://pro.clubic.com/legislation-loi-internet/actualite-410004-deputee-couper-internet-auteurs-attaques-ddos.html

Neutralité du Net : le rapport parlementaire à consulter
http://www.01net.com/www.01net.com/editorial/531516/neutralite-du-net-le-rapport-parlementaire-a-consulter

MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

Inde : le chiffrement du Blackberry serait compromis
http://www.clubic.com/smartphone/blackberry/actualite-409550-inde-chiffrement-blackberry-compromis.html

Cisco : John Chambers avoue sa déception
http://pro.clubic.com/entreprises/cisco/actualite-409678-cisco-john-chambers-avoue-deception.html

Alcatel-Lucent pourrait se séparer de son activité Entreprises
http://pro.01net.com/editorial/531661/alcatel-lucent-pourrait-se-separer-de-son-activite-entreprises

Franche reprise pour les petites SSII
http://pro.01net.com/pro.01net.com/editorial/531344/franche-reprise-pour-les-petites-ssii

L'IaaS est encore immature selon le Gartner
http://www.reseaux-telecoms.net/actualites/lire-l-iaas-est-encore-immature-selon-le-gartner-23170.html

CARRIERE
--------

Mots et maux du management
http://www.les-infostrateges.com/actu/11041171/mots-et-maux-du-management

MICROSOFT
---------

Microsoft diffuse une préversion d'Internet Explorer 10
http://www.01net.com/www.01net.com/editorial/531490/microsoft-diffuse-une-preversion-dinternet-explorer-10

Avec IE 10, les applications web ressembleront à celles de Windows
http://pro.01net.com/pro.01net.com/editorial/531492/avec-ie-10-les-applications-web-ressembleront-a-celles-de-windows

Objectif pour Internet Explorer 6 : 1% de parts de marché
http://blogs.orange-business.com/securite/2011/04/objectif-pour-internet-explorer-6-1-de-parts-de-marche.html

Ultimate guide to Windows 7 security
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40717
http://features.techworld.com/security/3221198/ultimate-guide-to-windows-7-security/

GOOGLE
------

Chrome teste un début de protection contre les malwares
http://www.pcinpact.com/actu/news/62910-google-chrome-protection-malwares.htm

Google ne prendra plus de photos pour Street View en Allemagne
http://www.01net.com/www.01net.com/editorial/531343/google-ne-prendra-plus-de-photos-pour-street-view-en-allemagne

Le lent décollage de la Google TV : un problème de sécurité ?
http://pro.01net.com/pro.01net.com/editorial/531646/le-lent-decollage-de-la-google-tv-un-probleme-de-securite

YouTube allume sa télévision en direct
http://www.01net.com/www.01net.com/editorial/531342/youtube-allume-sa-television-en-direct

Panda, le nouvel algorithme de Google fait déjà parler de lui
http://www.01net.com/www.01net.com/editorial/531637/panda-le-nouvel-algorithme-de-google-fait-deja-parler-de-lui/?r=/rss/actus.xml

APPLE / IPHONE
--------------

PALM / PRE
----------

HP's keyboard-less webOS phone and Verizon Pre 3 leaked?
http://www.engadget.com/2011/04/06/hps-keyboard-less-webos-phone-and-verizon-pre-3-leaked/

FREE
----

Iliad : un nouveau data center en région parisienne dans 12 mois
http://www.pcinpact.com/actu/news/62865-free-ilia-data-center-iaas-cloud.htm

4G : Free demande un report de l'attribution des licences
http://www.01net.com/www.01net.com/editorial/531435/4g-free-demande-un-report-de-lattribution-des-licences/

Les premières antennes de Free Mobile recensées sur une carte
http://www.01net.com/www.01net.com/editorial/531462/les-premieres-antennes-de-free-mobile-recensees-sur-une-carte

GEEK POWER
----------

BlueStacks – Une solution pour virtualiser Android sous Windows
http://android-france.fr/2011/04/05/bluestacks-virtualiser-android-windows/

Le nouveau Commodore 64 joue la carte de la nostalgie
http://www.01net.com/www.01net.com/editorial/531441/le-nouveau-commodore-64-joue-la-carte-de-la-nostalgie

The Commodore 64 is back from the dead
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40819

LIBRE / OPEN SOURCE
-------------------

Firefox 5 attendu fin juin
http://www.01net.com/www.01net.com/editorial/531333/firefox-5-attendu-fin-juin

CentOS 5.6, enfin un Red Hat 5.6 en version gratuite
http://pro.01net.com/pro.01net.com/editorial/531438/centos-5-6-enfin-un-red-hat-5-6-en-version-gratuite

Top Five 2011 Linux Gurus announced
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40766
http://www.desktoplinux.com/news/NS7431569578.html?kc=rss

ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

USPS.gov Website Infected with Blackhole Exploit Kit
http://research.zscaler.com/2011/04/uspsgov-website-infected-with-blackhole.html

Vulnerability Note VU#668220
IPComp encapsulation nested payload vulnerability
http://www.kb.cert.org/vuls/id/668220

Safran touchée par une affaire d'espionnage
http://www.20minutes.fr/article/705355/economie-safran-touchee-affaire-espionnage

Analysis of the New Adobe Flash Attacks
http://threatpost.com/en_us/blogs/analysis-new-adobe-flash-attacks-041311

Adobe to Patch Flash Zero Day on Windows, Mac on Friday
http://threatpost.com/en_us/blogs/adobe-patch-flash-zero-day-windows-mac-friday-041411

Le stack grouping permet de contourner les mécanismes de protection du kernel Linux
http://www.secuobs.com/news/13042011-stack-grouping-hackito-ergo-sum.shtml

European Parliament Disables Webmail After Cyber-Attack
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40744

IEEE member database hacked
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40753
FAILLES
-------

Mise à jour mineure pour VLC Media Player, avec la version 1.1.9
http://www.01net.com/www.01net.com/editorial/531486/mise-a-jour-mineure-pour-vlc-media-player-avec-la-version-1-1-9

Cinq pare-feu menacés par une vieille attaque réseau
http://pro.01net.com/pro.01net.com/editorial/531519/cinq-pare-feu-menaces-par-une-vieille-attaque-reseau

DATA LEAKAGE
------------

Etats-Unis : une importante base de données de courriels piratée
http://www.lemonde.fr/technologies/article/2011/04/04/etats-unis-une-importante-base-de-donnees-de-courriels-piratee_1502551_651865.html

OUTILS
------

5 of the Best Free Linux Disk Encryption Tools
http://www.linuxlinks.com/article/2011040308270275/DiskEncryption.html

Make Windows Sysinternals work better for you
http://www.hackinthebox.org/index.php?name=News&file=article&sid=40762
http://www.betanews.com/article/Make-Windows-Sysinternals-work-better-for-you/1301594069

Opera 11.10 disponible en téléchargement
http://www.01net.com/www.01net.com/editorial/531477/opera-11-10-disponible-en-telechargement/

------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1