3087 links
  • Liens
  • Home
  • Login
  • RSS Feed
  • ATOM Feed
  • Tag cloud
  • Picture wall
  • Daily
Links per page: 20 50 100
◄Older
page 1 / 10
185 results tagged sécurité x
  • CSP Header Inspector and Validator
    """
    Les en-têtes CSP (content security policy : https://developer.mozilla.org/fr/docs/Web/HTTP/CSP ) permettent de spécifier quels contenus peuvent s’afficher/s’éxécuter dans votre machine.

    Pour vulgariser à l’extrême (ne faites pas ça), ça permettrait à n’importe qui de poster du JS ou du CSS valide dans vos pages (par exemple dans un commentaire) et ce dernier sera bloqué si les en-têtes interdisent le JS inline, ou le CSS inline.
    (faut pas le faire car tous les navigateurs ne supportent pas et il faut partir du principe que le navigateur du visiteur (voire le vôtre) n’a pas forcément ça d’activé).

    Si j’ajoute cette en-tête CSP à une page :

        default-src 'self'; img-src 'self' data:; script-src 'self' 'unsafe-inline'; form-action 'self';

    Cela autorisera par liste blanche :
    – le contenu peu importe son type (default-src) en provenance de votre domaine ('self') seulement
    – les images (img-src) en provenance de votre domaine (self), des liens data-uri (data:)
    – les scripts (script-src) en provenance de votre domaine (self), ainsi que les script inline (unsafe-inline)
    – les POST de formulaires (form-action) en provenance de votre domaine (self)

    Tout le reste sera inutile, bloqué.

    Avec ces règles, si vous mettez une image "src=https://example.com";, alors l’image ne chargera pas : bloqué par les règles CSP : seule une image sur votre site, et une image avec data-uri peuvent s’afficher.

    Dans les outils de dév de Firefox, vous verrez afficher une alerte relative à CSP.

    Le lien que je donne ici permet de tester vos règles CSP (copiez-y mon code ci-dessus, pour tester). Il décortique également tout ça pour y voir clair.

    Enfin, si vous utilisez Apache, voilà comment on ajoute une entête dans un .htaccess :

    # Extra Security Headers
    <IfModule mod_headers.c>
    Header set Content-Security-Policy "<regle csp>"
    </IfModule>

    Remplacez <regle csp> par votre règle, virez les « <> », mais laissez les quotes.

    Comme ça :

    # Extra Security Headers
    <IfModule mod_headers.c>
    Header set X-Content-Type-Options nosniff
    Header set Content-Security-Policy "default-src 'self'; img-src 'self' data:; script-src 'self' 'unsafe-inline'; form-action 'self';"
    </IfModule>
    """
    (LHV)
    January 31, 2020 at 2:04:23 PM GMT+1 - permalink - archive.org - https://cspvalidator.org/#url=https://cspvalidator.org/
    http sécurité web
  • Mozilla SSL Configuration Generator
    Générateur de configuration SSL/TLS pour différents outils :

    Apache
    AWS Elastic Load Balancer
    Caddy
    HAProxy
    lighttpd
    MySQL
    nginx
    Oracle HTTP Server
    Postfix
    PostgreSQL
    July 2, 2019 at 2:05:49 PM GMT+2 - permalink - archive.org - https://ssl-config.mozilla.org/
    configuration générateur ssl sécurité tls
  • image - 1366x768px - Le Hollandais Volant
    J'avais alerté là-dessus en 2014. A priori ça ne choquait personne, et pire : les gens trouvaient ça normal.

    https://famille-michon.fr/links/?eNitkg
    December 5, 2018 at 3:20:10 PM GMT+1 - permalink - archive.org - https://lehollandaisvolant.net/?id=20181205133211
    sécurité windows
  • TestSSL.sh – Un script en ligne de commande pour tester le chiffrement de vos sites web – Korben
    """
    TestSSL.sh est libre et open source et permet de tester les protocoles, les ciphers supportés, et remonte des infos sur la robustesse des PFS (Perfect Forward Secrecy) ainsi que certaines failles cryptographiques connues. Les tests sont effectués directement depuis votre machine (pas d'intermédiaire) et vous pouvez les dérouler en série ou en parallèle avec les paramètres qui vont bien.
    """
    https://github.com/drwetter/testssl.sh
    August 29, 2018 at 3:52:49 PM GMT+2 - permalink - archive.org - https://korben.info/testssl-sh-script-ligne-de-commande-tester-chiffrement-de-vos-sites-web.html
    ssl sécurité tls
  • 40 Linux Server Hardening Security Tips [2017 edition] - nixCraft
    Beaucoup de choses connues, mais ça reste une bonne checklist
    July 23, 2018 at 4:32:55 PM GMT+2 - permalink - archive.org - https://www.cyberciti.biz/tips/linux-security.html
    linux sécurité
  • UACMe - Defeat Windows User Account Control (UAC)
    """
    UACme is a compiled, C-based tool which contains a number of methods to defeat Windows User Account Control commonly known as UAC. It abuses the built-in Windows AutoElevate backdoor and contains 41 methods.
    """
    June 21, 2018 at 2:57:55 PM GMT+2 - permalink - archive.org - https://www.darknet.org.uk/2017/08/uacme-defeat-windows-user-account-control-uac/
    sécurité windows
  • WireGuard: fast, modern, secure VPN tunnel
    Un VPN a priori plus simple à mettre en place qu'OpenVPN
    June 2, 2018 at 11:04:46 AM GMT+2 - permalink - archive.org - https://www.wireguard.com/
    privacy sécurité vpn
  • Calculer la « force » d’un mot de passe | Agence nationale de la sécurité des systèmes d'information
    Force d'un mot de passe en "équivalent en bits d'une clef de chiffrement", en fonction de sa longueur et de sa complexité.

    En substance, il vaut mieux allonger que complexifier un mdp.
    January 3, 2018 at 2:31:01 PM GMT+1 - permalink - archive.org - https://www.ssi.gouv.fr/administration/precautions-elementaires/calculer-la-force-dun-mot-de-passe/
    mdp sécurité
  • How To Tell If Your Linux Server Has Been Compromised
    Comment détecter, et que faire si un serveur linux est compromis
    December 4, 2017 at 4:42:05 PM GMT+1 - permalink - archive.org - https://bash-prompt.net/guides/server-hacked/
    linux sécurité
  • nsjail | A light-weight process isolation tool, making use of Linux namespaces and seccomp-bpf syscall filters (with help of the kafel bpf language)
    Un autre outil d'isolation de processus, comme firejail
    October 20, 2017 at 1:25:48 PM GMT+2 - permalink - archive.org - http://nsjail.com/
    isolation linux sécurité
  • Bulletin d'actualité CERTFR-2017-ACT-030
    Une prise en main de l'outil Nftables, qui est une surcouche à Iptables permettant l'utilisation en espace utilisateur, et l'utilisation de concepts plus avancés.
    August 1, 2017 at 3:31:22 PM GMT+2 - permalink - archive.org - http://www.cert.ssi.gouv.fr/site/CERTFR-2017-ACT-030/CERTFR-2017-ACT-030.html
    firewall linux sécurité
  • Openssh : configuration des algorithmes de cryptographie - LinuxFr.org
    Des outils pour tester la vulnérabilité d'un serveur SSH :
    - Rebex (pour un site accessible publiquement)
    - Cryptcheck (idem)
    - SSHScan.py (https://github.com/evict/SSHScan/blob/master/sshscan.py) (pour test interne en ligne de commande)
    - Cryptcheck est aussi utilisable en interne en ligne de commande : https://github.com/aeris/cryptcheck

    Note : on parle aussi de l'équivalent de SSHScan, pour le SSL/TLS : https://testssl.sh/
    June 19, 2017 at 1:29:44 PM GMT+2 - permalink - archive.org - https://linuxfr.org/news/openssh-configuration-des-algorithmes-de-cryptographie
    ssh sécurité
  • Hygiène numérique pour l’administrateur système - Korben
    Présentation (slides + audio) de principes généraux de sécurité pour un server.
    June 8, 2017 at 4:20:01 PM GMT+2 - permalink - archive.org - https://korben.info/hygiene-numerique-ladministrateur-systeme.html
    linux sécurité
  • yubico-pam
    Un module PAM pour faire de l'authentification à 2 facteurs.
    June 8, 2017 at 4:18:59 PM GMT+2 - permalink - archive.org - https://developers.yubico.com/yubico-pam/
    linux sécurité
  • OpenSnitch - LinuxFr.org
    """OpenSnitch est une tentative de production d'un pare-feu applicatif libre (GPL3) pour les distributions de Linux."""
    June 6, 2017 at 1:45:18 PM GMT+2 - permalink - archive.org - https://linuxfr.org/users/tetraf/journaux/opensnitch
    firewall linux sécurité
  • De la distribution des clefs OpenPGP - LinuxFr.org
    Introduction
        Les serveurs de clefs
            Un peu d’histoire
            Le protocole HKP
            Les serveurs publics
            Les serveurs LDAP
            Utilisation avec GnuPG
                Dirmngr
                Chercher et récupérer une clef
                Publier une clef
                Rafraîchir les clefs
        Publication des clefs dans le DNS
            La méthode moderne : DANE
            Les méthodes historiques
                L’enregistrement CERT
                Les enregistrements PKA
        Le protocole OpenPGP Web Key Service
            Le Web Key Directory
            Le Web Key Directory Update Protocol
        Publication dans les e-mails
        La découverte automatique des clefs avec GnuPG
        Et l’authentification des clefs??
    May 23, 2017 at 1:56:40 PM GMT+2 - permalink - archive.org - https://linuxfr.org/users/gouttegd/journaux/de-la-distribution-des-clefs-openpgp
    privacy sécurité
  • Target="_blank" - the most underestimated vulnerability ever
    """
    Je note pour ne pas oublier: Si vous utilisez targer="_blank", toujours ajouter rel="noopener noreferrer"
    Sinon l'URL appellée aura accès à la page d'origine.
    """
    (SebSauvage)
    April 26, 2017 at 2:50:20 PM GMT+2 - permalink - archive.org - https://www.jitbit.com/alexblog/256-targetblank---the-most-underestimated-vulnerability-ever/
    html sécurité webmaster
  • Lifetimes of cryptographic hash functions
    Date auxquelles les différents algorithmes de hachage ont été considérés comme faibles.
    February 28, 2017 at 10:23:36 AM GMT+1 - permalink - archive.org - http://valerieaurora.org/hash.html
    cryptographie sécurité
  • Firejail | security sandbox
    Un outil pour Linux d'isolation de processus, basé sur les namespaces.
    Peut être utile pour lancer des processus à risque ou peu respectueux de la vie privée (Skype, si tu me vois)
    December 16, 2016 at 1:35:03 PM GMT+1 - permalink - archive.org - https://firejail.wordpress.com/
    linux privacy sécurité todo
  • Google travaille sur des Captcha invisibles - Liens en vrac de sebsauvage
    """
    Soit dit en passant, le fait de devoir sélectionner des images de chats ou de dinde  (https://security.googleblog.com/2014/12/are-you-robot-introducing-no-captcha.html)  ça me semble encore un travail que les bots spammeurs vont très rapidement réussir à résoudre automatiquement, vu que Google lui-même a publié une IA capable de reconnaître les images (http://sebsauvage.net/links/?gG9Vjw).
    """

    Et la prochaine IA de Google saura reconnaître un internaute à ses mouvements.
    Si reCaptcha change de format régulièrement, ce n'est pas que parce qu'il y a le jeu du chat et de la souris...

    ... c'est parce que ça fournit une quantité colossale de données vérifiées à faire avaler à un réseau de neurones.

    Lorsque nous cochons "je ne suis pas un bot", nous travaillons pour Google.
    December 7, 2016 at 10:31:39 AM GMT+1 - permalink - archive.org - http://sebsauvage.net/links/?Fij1EA
    ia sécurité
Links per page: 20 50 100
◄Older
page 1 / 10
Shaarli - The personal, minimalist, super-fast, database free, bookmarking service by the Shaarli community - Help/documentation