C’est Valentin, un fidèle lecteur de Korben.info qui m’a fait par de cette news et je pense qu’il est important de vous la relayer.

Une faille touchant OpenSSL a été découverte. Mais celle-ci concerne uniquement le système Debian versions 0.9.8c-4etch2 et antérieures et évidement les systèmes dérivés comme Ubuntu.

En effet, toutes les clées SSL générées sous Debian sont potentiellement « devinables » car les équipes de développement ont merdé avec l’algo d’OpenSSL…

Bref, on ne va pas pleurer mais sachez tout de même que cette faille est très grave car elle met potentiellement tous les serveurs en péril.

Une mise à jour s’impose donc…

Mais avant de commencer, faites une petite sauvegarde de votre config SSH et si possible de vos clés SSH actuelles (à vous de trouver ou elles se trouvent mais le plus souvent, c’est dans /root/.ssh ou /home/.ssh ou encore /etc/ssh/)

cp /etc/ssh/ssh_config /home/user/ssh_config.bak
cp /etc/ssh/sshd_config /home/user/sshd_config.bak

Une fois que ça c’est ok, il faut d’abord mettre à jour les paquets SSH

sudo apt-get update && sudo apt-get dist-upgrade

Puis pour vérifier que vos clés ne font pas parties de la « liste noire », lancez la commande suivante :

sudo ssh-vulnkey -a

Si vous voyez un truc du style

Not blacklisted: 1024 xxxxxxxxxxxxxxx /chemin/vers/laclé.pub

Vous pouvez vous détendre… Néammoins, la mise à jour est censée (d’après ce que j’ai compris) regénérer vos clés SSH, donc suite à l’update, redémarrez votre serveur pour être sûr de tout remettre d’aplomb…

Extrait du Wiki Debian :

Installing these packages on hosts with weak keys will cause the ssh server to regenerate its keys. Weak user keys being used for a connection will also be rejected where possible.

Attention quand même à conserver un accès « autre » que SSH en cas de souci (ça peut toujours arriver). Prévoyez donc un accès en recovery mode, ou autre…

Ma science s’arrête là… Si vous voulez en savoir plus sur cette faille, je vous invite à lire les sites suivants :

• http://www.us.debian.org/security/2008/dsa-1571
• http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-239/CERTA-2008-AVI-239.html
• http://metasploit.com/users/hdm/tools/debian-openssl/

et surtout le wiki Debian

http://wiki.debian.org/SSLkeys

Et à vous rapprocher des forums d’utilisateurs que vous fréquentez comme Ubuntu-fr.org pour avoir plus de conseils avisés.

Evidement, je trouve abusé que le mainteneur Debian de ce package se soit amusé à modifier le code originel pour un bug non prioritaire en plus mais bon, l’erreur est humaine (même si elle emmerde des milliers de personnes) et il ne faut pas perdre de vue que ces gens (des humains pour la plupart :-)) passent quand même des heures et des heures à faire avancer les OS libres…

Good luck en tout cas, si vous êtes touché par la faille !

Vous êtes une bande de petits veinards car Trend Micro m’a envoyé une licence d’un an pour leur logiciel phare Trend Micro Internet Security PRO 2008 qui fait tout un tas de chose (sauf la mayonnaise):

Antivirus

Anti-programmes espions

Scans de sécurité de la messagerie

Protection contre les rootkits

Système proactif de blocage des intrusions

Anti-spam

Pare-feu double sens

Protection du réseau domestique

Authentification des sites Web

Contrôle parental

Prévention du vol de données

Protection contre l’usurpation d’identité

Vérification des points d’accès Internet sans fil

Réglage des performances du PC

Je trouve assez intéressantes les fonctionnalités de vérification de hotspots wifi afin d’éviter de se faire piéger dans les lieux publics (faudra m’expliquer quand même comment ça fonctionne) et surtout le cryptage du clavier qui permet de contrer les keyloggers…

Alors évidement, c’est sous Windows Vista ou XP que ça fonctionne donc je n’ai pas testé mais je lègue cette petite licence (qui peut couvrir jusqu’à 3 PC) à celui qui se rapprochera le plus du nombre de visites (pas de visiteurs) qu’il y aura eu aujourd’hui… (de 00h00 ce matin à 23h59 ce soir)

Je n’en ai pas encore la moindre idée, donc à vous de jouer… Vous avez jusqu’à ce soir 23h59 pour participer… Et pas la peine de me poster des tonnes de messages genre 3500, 3501, 3502, 3503, j’ignorerai ceux qui donneront plus de 4 réponses (par IP, par pseudo ou à vue de pif)

Allez good game les amis ! C’est Google analytics qui vous départagera !

Encore merci à Trend Micro pour la petite licence !

D’ailleurs si vous voulez en savoir plus sur Trend Micro Internet Security PRO 200, la fiche descriptive du bidule se trouve là…

J’ai trouvé cette invention plutôt amusante pour le hardcore gamer qui sommeille en vous, même si « maman » ne risque pas d’apprécier la place que ça prend dans le salon !

Il s’agit du JDome qui est en fait un genre de demi-bulle sur laquelle est projeté votre jeu vidéo. Vous vous placez ensuite à demi-l’intérieur de votre demi-bulle et à vous le frag à gogo avec les yeux dans les coins…

John Nilsson, son concepteur, qui m’a l’air un peu cramé de la tête, pense vendre son invention entre 125 et 200 $ dès qu’il aura réuni assez d’argent pour lancer la fabrication industrielle…

Farfelue mais sympathique non ?

+ d’infos ici si vous voulez, je ne sais pas moi…l’acheter ?

La bonne surprise que voilà ! La première version alpha de Mozilla Thunderbird 3 (nom de code : Shredder), le célèbre client mail vient de voir le jour…

Le moteur utilisé est celui de Gecko 1.9 qui est le même que pour Firefox 3… C’est donc une bonne nouvelle et j’espère que les performances seront autant au rendez-vous qu’avec Firefox 3.

Au rayon nouveautés, un gestionnaire d’extensions (Add-ons manager) a fait son apparition et vous permettra de télécharger et d’installer des centaines de plugins pour améliorer votre productivité, le carnet d’adresse peut maintenant lire celui de Mac OSX (la fonctionnalité est désactivée dans cette alpha), le moteur de recherche interne a largement été amélioré pour éviter les faux positifs, l’optimisation des javascripts a rendu aussi tout cela plus fiable et pour terminer, sur Mac, l’application sera « Cocoa native » (A tes souhaits !)

Par contre, l’intégration de Lightning, l’extension calendrier idéale pour remplacer définitivement Outlook n’a pas encore été intégrée mais on croise les doigts pour que ça soit fait sur cette version.

Bref, si ça vous tente d’expérimenter cette nouvelle version (je sais que vous adorez ça) voici les liens pour vous la procurer…

• Thunderbird 3 Alpha 1 pour Windows
• Thunderbird 3 Alpha 1 pour Mac OS X
• Thunderbird 3 Alpha 1 pour Linux

Attention quand même il s’agit d’une alpha donc je serai vous, je ferai une sauvegarde de mes emails avant, on ne sait jamais…

L’alpha 2 est prévue pour Juillet 2008.

Source

Voici un petite vidéo humoristique inspirée de la vie d’un Call Center (SAV) indien, le tout en R’n’B sauce là bas… Du bon délire 🙂