Cet article fait suite à un précédent tutoriel - installer la dernière version d'OpenSSL sous Debian. Cela fait un petit moment que je voulais mettre à jour ma configuration TLS et je me suis dit que la Toussaint serait parfaite pour cela. Aujourd'hui, le serveur passe donc à TLS 1.3, ce qui nécessite une mise à jour d'OpenSSL et la mise à jour des ciphers sous NginX. Mise à jour d'OpenSSL Je n'avais pas mis OpenSSL à jour depuis le […]
Voici un moyen très simple de créer une liste de mots de passe en utilisant le terminal sous Linux ou MacOS par exemple : for i in `seq 1 8`; do mktemp -u XXXXXXXXXXXXXXXXXXXXXXXX; done Explications sur le fonctionnement de la commande: seq 1 8 va nous créer 8 mots de passe différents, mktemp -u XXXXXXXXXXXXXXXXXXXXXXXX va nous créer des mots de passe alphanumériques dont le nombre de caractères dépend du nombre de X. Ici, j'ai mis 24 X donc […]
Au début du mois de février, l'université de Graz et Google Project Zero ont annoncé avoir découvert deux failles de sécurité importantes s'appuyant sur les mécanismes de fonctionnement interne des processeurs. Trois vulnérabilités permettant d'accéder à de la mémoire privilégiée ont été publiées, qui ont pour point commun d'exploiter les mécanismes d'exécution spéculative et les timings des caches mémoires. Meltdown La première faille, Meltdown (CVE-2017-5754), permet de bypasser les mécanismes d'isolation mémoire entre mémoire classique (utilisée par les applications) et […]
Aujourd'hui, nous allons voir comment héberger un nouveau domaine sur le serveur, en simplifiant au maximum les procédures. Le nom de domaine sera réservé chez OVH et le site hébergé sur notre serveur Debian. Nous allons servir le site avec NginX en HTTPS grâce à un certificat SSL fourni gratuitement par Let's Encrypt. Enfin, on utilisera le serveur email existant et on ajoutera la configuration OpenDKIM pour signer et authentifier tous les emails sortants du domaine. Nom de domaine J'achète […]
Aujourd'hui, le serveur passe à PHP 7.2 ! PHP 7.2 accroît fortement les performances des versions précédentes, notamment au travers de plusieurs améliorations en matière de sécurité. Ainsi, l'algorithme Argon2 qui sert au hachage sécurisé des mots de passe corrige les défauts des algorithmes actuels. Celui-ci permet notamment un taux de remplissage plus élevé de la mémoire. PHP 7.2 intègre désormais dans son noyau la bibliothèque de cryptographie Sodium, utilisée pour le chiffrement authentifié, est désormais une extension de base […]
Aujourd'hui, je vous montre comment j'ai mis en place un certificat ECDSA avec Let's Encrypt, que j'utilise depuis l'année dernière. Let's Encrypt a annoncé il y a quelques mois qu'il sera possible au courant de l'année 2018 de créer des certificats ECDSA, pour plus de sécurité et de rapidité. L'algorithme ECDSA L'algorithme ECDSA (abbréviation d'Elliptic Curve Digital Signature Algorithm) a été proposé pour la première fois par Scott Vanstone en 1992. Les signatures basées sur l'algorithme d'ECS, l'ancêtre de ECDSA, […]
Si vous possédez une boutique en ligne et que vous acceptez PayPal comme moyen de paiement, vous n'êtes pas sans savoir qu'à partir du 30 juin 2017, PayPal exigera une connexion TLS version 1.2 pour gérer la transaction entre votre boutique et PayPal. Concrètement, votre serveur ou votre hébergement doit être configuré pour servir les pages en https (certificat SSL obligatoire) et avec une version d'OpenSSL qui donne la priorité au protocole TLS version 1.2. Chez OVH, la version d'OpenSSL […]
Notre serveur de mail possède une identification SPF, Sender-ID et DKIM et est sécurisé par un certificat TLS. Nous allons aujourd'hui voir comment lui adjoindre l'authentification DMARC. Aux origines de l'authentification des emails Les technologies d'authentification des emails SPF et DKIM ont été développées afin de fournir une plus grande assurance sur l'identité de l'expéditeur d'un message. L'adoption de ces technologies a augmenté régulièrement mais le problème des emails frauduleux et trompeurs n'a pu etre réglé. Il existe une multitude […]
Internet est basé sur une architecture bien réelle, avec des serveurs hébergés dans des datacenters dans le monde entier. Les cybercriminels aussi utilisent des serveurs pour archiver les données qu'ils volent ou pour maintenir toute une infrastructure comme l'envoi de spams ou scams. Dans les années 2000, des hébergeurs appelés "bulletproof hosters" (l'équivalent internet des banques suisses) offraient de stocker des données sans poser de questions et surtout sans répondre à celles des autorités - devenant ipso facto les repaires […]
Maintenant que votre site est servi en HTTPS à l'aide d'un certificat SSL/TLS et sécurisé par DNSSEC et DANE, il est maintenant temps de l'ajouter à la liste HSTS preload. HSTS (HTTP Strict Transport Security) est un entête de réponse qui demande au navigateur de toujours utiliser SSL/TLS pour communiquer avec votre site. Qu'importe si l'utilisateur ou le lien qu'il clique spécifie HTTP, HSTS forcera l'usage d'HTTPS. Toutefois, cela laisse l'utilisateur vulnérable lors de sa toute première connexion à un […]
Aujourd'hui, Jac m'envoie un message pour m'informer que sa redirection email ne fonctionne plus. Je lance donc un terminal et vérifie les logs de Postfix, qui chargent des dizaines de lignes d'erreurs de ce type: Dec 15 16:30:33 mail postfix/smtpd[5912]: connect from static-68-236-203-102.nwrk.east.verizon.net[68.236.203.102] Dec 15 16:30:34 mail postfix/smtpd[5912]: lost connection after AUTH from static-68-236-203-102.nwrk.east.verizon.net[68.236.203.102] Dec 15 16:30:34 mail postfix/smtpd[5912]: disconnect from static-68-236-203-102.nwrk.east.verizon.net[68.236.203.102] Dec 15 16:30:34 mail postfix/smtpd[5908]: connect from static-68-236-203-102.nwrk.east.verizon.net[68.236.203.102] Dec 15 16:30:34 mail postfix/smtpd[5908]: lost connection after AUTH from […]
Vous avez sécurisé votre domaine avec DNSSEC et DANE ? Très bien ! Il a cependant quelques petites choses à garder à l'esprit pour anticiper les difficultés et bien gérer la maintenance. De la rigueur dans la gestion des enregistrements DS (DNSSEC) et TLSA (DANE) Les enregistrements au niveau du DNS sont à manipuler avec précaution, ce ne sont pas le genre de choses que l'on peut configurer une bonne fois pour toute. On ne publie pas des enregistrements DS […]
