Sensibilisation SSI : Des idées pour une campagne d'affichage

Vous avez beau faire des efforts pour mettre en œuvre les bonnes pratiques de sécurité dans votre infrastructure, le maillon faible reste souvent l’utilisateur et son poste de travail. Pour travailler là-dessus, rien de tel que la sensibilisation. Pour vous aider aux campagnes d’affichage, un certain nombre de ressources sont disponibles en ligne : Posters et autres ressources du CERN Posters de l’ENISA pour le mois de la cybersécurité 2014 Posters du SANS (en anglais et pour informaticiens)   »

Quelques sites pour votre veille SSI

Autant vous prévenir tout de suite : Francophones unilingues, passez votre chemin ! Pour les autres, voici un panaché des sites que j’utilise pour ma veille en sécurité informatique :   Sites/blogs sur la sécurité : Securelist par Kaspersky Security Blog de Google Krebs on security Le blog du Hacker   Sites recensant les CVE (failles de sécurité officiellement reconnues) : CVE details par le MITRE : Liste les CVE mais tous les éditeurs n’y figurent pas. »

Mitre ATT&CK – Une base de connaissance des cyber-attaques

Le Mitre, une association américaine à but non lucratif a mis en ligne une base de connaissance classifiant et documentant les différents risques et leur place dans les différentes phases d’une attaque. Toutes les principales plateformes sont inclues dans cet inventaire d’attaques connues (Windows, Mac, Linux). Il y a également une matrice spécifique pour les plateformes mobiles. Une bonne référence pour faire le point sur la sécurité de votre parc informatique. »

Sécurité : Commencer par quel commencement ?

Si vous venez du monde de la technique, plutôt que celui du management et que vous commencez à prendre en compte les problématiques de sécurité dans votre structure, vous risquez peut-être d’être noyé par la masse de projets à mener de front : Cartographie des risques Rédaction d’une charte ou d’une politique de sécurité Mise en place d’un système de management de la sécurité Mise en œuvre de mesures techniques Audit de sécurité   »

ROCA : l'autre grosse faille qui passerait presque inappercue

Avez-vous entendu parler de krack attack ? Oui ! Avez-vous entendu parler de ROCA ? Peut-être pas. Bien qu’éclipsée par l’actualité chargée de cette semaine, cette faille est pourtant monumentale. Elle concerne l’implémentation du protocole RSA par Infineon, un constructeur de TPM et un éditeur de bibliothèque RSA. Les clés ayant été générées par un équipement utilisant Infineon sont vulnérables. Cela concerne notamment Bitlocker, les certificats TLS, PGP ou SSH. »

Ce qu'il faut savoir sur Krack attacks (faille WPA2)

  De quoi parle-t-on ? On parle d’une faille de sécurité sur le protocole WPA2, un système de chiffrement et d’authentification de la connexion réseau Wifi. C’est un chiffrement de couches basses (proche du matériel) quand il est inexistant, on compte sur les couches supérieures pour chiffrer (VPN et/ou TLS et/ou autres).   Cible principale : les particuliers WPA2 associé à CCMP/AES est le système d’authentification et de chiffrement qui est censé être utilisé sur tous les équipements Wifi personnels actuels. »

Serveur de SSO CAS sous Debian – Épisode 4

  Cet article fait partie de la série Serveur SSO CAS sous Debian. Vous pouvez toujours revenir au premier épisode.   Épisode 4 : Testons le bouzin avec Apache   Les clients CAS (c’est à dire les serveurs qui vont chercher une authentification sur Cas) sont nombreux. Ils existent pour plusieurs langages de programmation, pour Apache avec le mod_auth_cas et pour plein d’autres logiciels.   Ici on va faire le test avec un Apache : »

Serveur de SSO CAS sous Debian – Épisode 3

    Épisode 3 : Authentification sur l’annuaire LDAP Pour cet épisode je considère que ma boite utilise un serveur LDAP avec les paramètres suivants : Hôte : ldap.esiee.fr Protocole : LDAPS Port : 636 Base DN : ou=Users,dc=maboite,dc=fr Champs de login : uid   Configuration du backend LDAP :   Au début du fichier /var/lib/tomcat8/webapps/cas/WEB-INF/deployerConfigContext.xml, dans la balise beans, ajouter :   Plus bas, dans la balise , ajouter le handler LDAP : »

Serveur de SSO CAS sous Debian – Épisode 2

Cet article fait partie de la série Serveur SSO CAS sous Debian. Vous pouvez toujours revenir au premier épisode.   Épisode 2 : Construction de CAS Overlay avec Maven   Nous en étions restés aux pré-requis, voici maintenant l’installation par la méthode Maven.   Préparation d’un serveur Web de frontend (Nginx)   Cette étape est facultative mais préférable à mon avis. Nous allons configurer Nginx en tant que reverse proxy pour ne pas exposer Tomcat directement. »

Serveur de SSO CAS sous Debian – Épisode 1

Central Authentication System de Apereo (anciennement Jasig) est un service Web permettant de fournir un serveur d’authentification unique (SSO). Le but du jeu est de ne pas redemander l’authentification des utilisateurs pour les différents services Web internes de l’entreprise. Par exemple, un utilisateur qui s’authentifie au portail Intranet n’aura pas à s’authentifier aux autres applications. Pour cela, CAS utilise un système de tickets valables pour un certain temps un peu sur le même principe que Kerberos. »