Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

@  — 

Chez Samsung, à un moment, je pense qu’ils vont perdre leur sens de l’humour. Après les Galaxy Note 7 qui prend feu, le spot de pub qui nous explique que maintenant, ça y est, ils ont compris et ils font les meilleurs tests qualité possibles sur leur matos, voici que la sécurité de déverrouillage par l’iris présente dans le Galaxy S8 et le Galaxy S8 Plus est mise à mal.

En effet, les hackers du CCC (Chaos Computer Club) ont réussi à déjouer la reconnaissance de l’iris avec un appareil photo, une imprimante et une lentille de contact. Comme la caméra du Galaxy scanne l’iris en infrarouge, les hackers du CCC ont pris la photo en activant le mode infrarouge de leur appareil photo. Puis ils ont imprimé en taille réelle l’oeil de la personne (sur une imprimante Samsung, pour le plaisir du lol), ont positionné une lentille de contact sur la feuille pour lui donner un peu de relief et roule ma poule.

Le Galaxy S8 reconnait alors instantanément l’iris pris en photo et déverrouille le téléphone, donnant ainsi accès à l’intégralité du contenu présent dans le téléphone.

Bien joué non ?

Bon, par contre, maintenant va falloir qu’ils changent 2 ou 3 trucs sur leur site

Scanner d'iris du Samsung Galaxy S8
Source

@  — 

Vous ne le savez peut-être pas, mais depuis la dernière mise à jour officielle, le firmware du routeur NightHawk R7000 de Netgear embarque des fonctionnalités de collecte de données. Données qui sont ensuite envoyées à la maison mère sur leurs serveurs pour les aider à « débugger et améliorer leurs produits ».

Bouuuuh !

Alors quelles sont ces données ? Et bien Netgear récupère :

  • Le nombre total d’appareils connectés à votre routeur
  • L’adresse IP du routeur
  • Les adresses MAC des machines connectées
  • Le numéro de série du routeur
  • Le statut de fonctionnement du routeur
  • Les types de connexions activées
  • Le statuts du réseau WAN/LAN
  • La fréquence et les canaux utilisés pour le wifi
  • Ainsi que des tas de détails techniques concernant les usages et les fonctionnalités du routeur et du réseau wifi

Pour le moment, cela ne concerne que le NightHawk R7000, mais il y a fort à parier que cette mise à jour arrive aussi sur d’autres modèles du constructeur.

Si vous êtes attaché à votre vie privée, sachez qu’il est possible de désactiver cette collecte de données. Connectez-vous à l’interface d’administration de votre routeur, allez dans le menu « Advanced -> Administration -> Router Update », descendez en bas de la page, et désactivez l’option « Router Analytics Data Collection ». Puis cliquez sur « Apply » pour enregistrer vos modifications.

J’ai aussi jeté un oeil sur un routeur de marque TP-Link et je n’ai rien trouvé de tel dans les options.

Bon, pis sinon, vous pouvez toujours aussi installer un firmware libre comme DD-WRT

Source

@  — 

Les permissions de WordPress, ce n’est pas toujours simple à gérer quand on n’y connait pas grand-chose en Linux. Mais rassurez-vous, je vais vous aider à mettre tout ça au carré.

En effet, il se peut qu’en cas de mise à jour via l’interface WordPress, vous rencontriez le souci suivant :

La mise à jour ne peut pas être installée parce que nous n’allons pas pouvoir copier certains fichiers. Ce problème est généralement dû à des incohérences dans les permissions de fichiers.

Échec de l’installation

La mise à jour de WordPress ne peut pas se faire, car votre serveur web n’a pas d’accès en écriture pour copier les fichiers contenus dans le zip récupéré sur le site officiel de WordPress. Évidemment pour contourner le problème, il suffit d’ouvrir une session SSH sur son serveur et de copier manuellement les fichiers en écrasant les anciens.

Mais si vous voulez faire ça proprement en passant par l’interface de WordPress, voici comment faire. Ouvrez une session sur votre serveur et entrez les lignes de commande suivante.

Première étape, déterminer quel utilisateur du système fait tourner votre serveur web.

ps -ef | grep apache2 | grep -v `whoami` | grep -v root | head -n1 | awk ‘{print $1}’

Vous pouvez aussi remplacer « apache2 » par « httpd » ou « nginx » si votre serveur web porte ce nom.

Si vous êtes sous Ubuntu, ce sera probablement www-data.

Placez vous ensuite dans le dossier racine de votre WordPress, là où se trouve votre fichier wp-config.php et entrez la commande suivante, qui va donner la propriété à www-data de tout ce qui est contenu dans ce répertoire WordPress. (Pensez bien à remplacer www-data:www-data par le user et le groupe qui fait tourner votre process de serveur web. Sur certaines installations, ça peut être apache:apache)

sudo chown www-data:www-data -R *

Ensuite, toujours dans le même répertoire, lancez cette commande qui va rechercher tous les sous-répertoires de votre WordPress et leur donner les permissions 755.

find . -type d -exec chmod 755 {} \;

Capture d'écran de la page de gestion des utilisateurs dans l'administration de WordPress

Même chose avec cette commande qui va donner les permissions 644 à tous les fichiers contenus dans votre installation de WordPress.

find . -type f -exec chmod 644 {} \;

Illustration montrant les différentes options de permissions pour les utilisateurs de WordPress

Et voilà. Logiquement, toute votre installation WordPress sera aux bonnes permissions pour faire la mise à jour via l’interface web d’administration.

Image montrant la section des mises à jour de WordPress dans l'administration

Toutefois, si vous tombez sur un écran qui vous demande de renseigner vos informations FTP pour pouvoir faire la mise à jour, même après cette modif…

Capture d'écran montrant la page de gestion des permissions pour les utilisateurs de WordPress

… ouvrez votre fichier wp-conf.php et ajoutez à la fin du fichier la ligne suivante :

 define(‘FS_METHOD’,’direct’);

Normalement, tout devrait rentrer dans l’ordre.

@  — 

Si vous mangez, respirez et dormez SQL, voici un outil qui va vous aider à survivre dans ce monde de brutes. Cet outil c’est FSQL, qui fonctionne en ligne de commande et qui vous permet d’effectuer des recherches sur votre système de fichiers en utilisant la syntaxe SQL.

Démonstration :

Capture d'écran de l'interface utilisateur de FSQL

Pour l’installer ouvrez un terminal et entrez les commandes suivantes :

git clone https://github.com/kshvmdn/fsql.git $GOPATH/src/github.com/kshvmdn/fsql
cd $_ # $GOPATH/src/github.com/kshvmdn/fsql
make install && make
./fsql

C’est un peu gadget mais c’est marrant 🙂

@  — 

Si vous utilisez nginx pour votre site web, sachez qu’une mauvaise configuration peut conduire à d’éventuels problèmes de sécurité. Heureusement, pour contrer cela, il y a Gixy.

Gixy est un script Python qui analyse votre fichier nginx.conf à la recherche de problèmes éventuels comme :

Pour installer gixy, entrez ceci dans votre terminal :

pip install gixy

Et voici comment l’utiliser :

$ gixy /etc/nginx/nginx.conf

==================== Results ===================

Problem: [http_splitting] Possible HTTP-Splitting vulnerability.
Description: Using variables that can contain « \n » may lead to http injection.
Additional info: https://github.com/yandex/gixy/blob/master/docs/ru/plugins/httpsplitting.md
Reason: At least variable « $action » can contain « \n »
Pseudo config:
include /etc/nginx/sites/default.conf;

server {

location ~ /v1/((?<action>[^.]*)\.json)?$ {
add_header X-Action $action;
}
}

==================== Summary ===================
Total issues:
Unspecified: 0
Low: 0
Medium: 0
High: 1

Vous trouverez plus d’infos ici.