42. Ça fait rire mais ça fait peur…

9 commentaires

• Merci pour l’invitation, j’en profite aussi pour ajouter ce lien qui traite du délais que Visa va accorder aux détaillants pour améliorer la sécurité : https://krebsonsecurity.com/2016/12/visa-delays-chip-deadline-for-pumps-to-2020/
  En terminant, si la sécurité et l’accent Québécois vous intéressent, beaucoup de mes références, idées et arguments proviennent du podcast «Les chiens de garde» du site : https://crypto.quebec/
  Bon temps des fêtes et surtout bonne année 2017!

  Répondre

• La nes mini est de conception française, on ne peut pas reprocher aux nippons les câbles trop courts.
  La Nintendo Mini Classic, la console rétro venue de France
  http://www.lemonde.fr/pixels/article/2016/11/10/la-nintendo-mini-classic-la-console-retro-venue-de-france_5028913_4408996.html
  via Le Monde

  Répondre

  • Hé hé, le reproche adressé aux japonais, c’était surtout de l’humour.
    En revanche, tu vas un peu vite en besogne : l’équipe française a bien travaillé sur la NES mini mais uniquement sur la partie logicielle !
    Je crois surtout que la présence des câbles courts pour les manettes, ça a été fait comme ça pour des raisons de coût et dans un soucis de se rapprocher au plus près de l’idée de la NES originale.
    Evidemment, dans un premier temps, car ça va vite évoluer.

• Ah le retour de profDuWeb 😉
  @ulrich Pour la sécurité: dans le domaine financier, nous sommes habitué à faire auditer nos applications web par des sociétés tierces dont c’est le métier.
  Cette pratique coute assez cher et demande aux developpeurs d’avoir une bonne vision de la sécurité (ce qui est rarement le cas),
  1. de votre coté, le faites vous ?
  2. sinon n’avez vous pas peur qu’un hackeur « passe » par le serveur de frandroid pour
  – infecter le reste du réseau ?
  – « juste » faire de l’écoute de données (récupération des login/pass des utilisateurs… en mode silencieux )
  – publie de messages sur le site,
  – ajoute des exploitations de faille XSRF pour attaquer d’autres sites… ?
  -…
  Pour info, j’avais publié un article sur le sujet sur developpez: http://imikado.developpez.com/tutoriels/php/la-securite-web-avec-le-mkframework/
  L’histoire du ransomware qui demande d’infecter un proche pour etre sauvé, fait un peu penser aux chaines de mail qui menacaient d’avoir des sanctions/malheurs si on ne partageait pas le mail avec N personnes.

  Répondre

  • Bien sûr que c’est un risque. Nous avons cloisonné les données dans machines virtuelles bien séparées mais le risque est bien présent ! Nous faisons auditeur nos infra de temps en temps mais ça reste encore trop léger

  • Auditer l’infra c’est bien, auditer les applications web en risque « frontal » c’est mieux.
    Pour avoir vu pas mal d’audits depuis des années, vous n’imaginez pas ce qu’ils savent faire avec une simple faille web…
    note: votre audit infra a « oublié » de vous signaler de cacher vos entêtes apache
    frandroid: »Server:Apache/2.4.10 (Debian) »
    humanoid: »nginx/1.2.1″
    numerama: la c’est mieux « Server:nginx » 😉
    http://imikado.developpez.com/tutoriels/php/la-securite-web-avec-le-mkframework/#LIII-D
    Pour info, ce type d’audit dure une bonne semaine en boite noire (aucune info) et blanche (avec au minimum deux comptes pour vérifier)
    La boite blanche est la plus pertinente pour moi, elle permet en plus des habituelles failles de vérifier:
    – que la gestion de droits est efficace
    – l’isolation des données (qu’un utilisateur A ne voit pas les infos de B)

  • ERRATUM pour frandroid:
    Server:nginx/1.10.0 (Ubuntu) pour images.frandroid.com (les technophiles.com pour etre exact)
    Fait en quelques minutes et c’est pas mon métier, vous comprenez pourquoi c’est important 😉
    Pour vous aider sur nginx: https://blog.adminrezo.fr/2015/02/cacher-version-apache-nginx-php-fcgi/

• Pour les « catchers », n’oubliez pas que cette pratique est beaucoup utilisé par les hackeurs dans les lieux publics pour le wifi:
  Il faut savoir que les devices cherchent toujours un ID wifi « connu », (en mode simplifié) ils broadcast une « recherche » d’id wifi, en écoutant ce broadcast les hackeurs créé un hostpot avec ce nom sans mot de passe pour vous faire un man in the middle 🙁
  Idem pour les « simples » reseaux ouverts:
  Vous allez à carrefour/fnac/ikea/aeroport et appréciez de pouvoir vous connecter « gratuiement » sur le reseau wifi de la marque… (c’est pas toujours le cas…)
  D’ailleurs dernièrement j’ai du envoyé un mail à un serieux service d’impression de photo pour leur signaler une erreur de certificat: un des elements de leur page paypal (on peut les faire en « personnalisé »)
  on avait une erreur , une des url n’étaient pas en https, en effet ils avaient donné l’adresse http de leur logo…
  Mais j’ai du batailler par mail pour leur expliquer le problème, j’avais toujours une réponse du type « ne vous inquietez pas, le site est sécurisé … SSL tout ça…)
  Un article « rappel » http://wikifra.xyz/questions-de-scurit/9208-qu-est-ce-qu-un-man-in-the-middle-attaque-expliqu.html

  Répondre

• +1 pour prof du web et Linux Mint
  De plus à une heure où on grogne sur Microsoft qui nous impose ses mises à jour sans nous demander notre avis provoquant trop souvent des soucis (perte de réseau pour la dernier fail en date)
  J’en profite pour signaler une série de billet comparatif (screenshot à l’appui) d’une comparaison W10 / Linux Mint (edition kde)
  http://www.developpez.net/forums/blogs/130750-imikado/b1412/windows-10-vs-linux-mint-18-edition-kde-1-6/
  Merci mat’ de ce partage d’expérience, c’est avec des gens comme vous que d’autre un peu plus « frilleux » sur le manchot decideront à minima de tenter la live dvd/live usb/machine virtuelle voir le double boot 😉

  Répondre