@maliciarogue Ça y est, on àa la réponse à la question "qui utilise cacert depuis let's encrypt ?" : @bortzmeyer

@ScriptFanix @maliciarogue Let's Encrypt, le Facebook des geeks ? Tout le monde l'utilise, personne ne s'inquiète de la concentration.

@bortzmeyer @maliciarogue Tu as un public de culturés du digital, du coup tu peux te permettre de dire "installe le root de cacert" et "dis à ton navigateur d'implanter DANE". Mais dès que tu vises un public incluant la famille Michu, c'est compliqué.

@ScriptFanix @maliciarogue Disons que c'est une façon de montrer l'absurdité de X.509 (et des navigateurs, qui mettent un message *plus* effrayant quand l'AC n'est pas connue que quand le site Web est servi en clair).

@bortzmeyer
Certes, le modèle basé sur la multiplication des autorités de certification atteint ses limites.
Par contre, je ne trouve pas absurde que le navigateur émette une alerte "ce site cherche à vous faire croire qu'il est authentifié".
Si l'éditeur d'un site a jugé inutile de mettre en œuvre https, je ne vois pas pourquoi le navigateur devrait grogner.

@maliciarogue @ScriptFanix

@MarcFramboisier @ScriptFanix @maliciarogue Résultat, les webmestres restent en clair et ne passent pas à HTTPS. Bien joué.

@bortzmeyer
Ma conclusion, l'éditeur du navigateur a le choix entre de considérer que tous les webmestres qui ne passent pas à https :
- sont de grosses feignasses et grogner, ou,
- se sont intelligemment posés la question, sont restés sciemment en http.

@maliciarogue @ScriptFanix

@bortzmeyer @ScriptFanix @maliciarogue Yep je suis inquiet, j'ai commencé à utiliser LE quand même, mais à mon avis un jour ils vont capoter, ou devenir payants. Probablement le jour ou les brouteurs empêcheront de voir des sites non-HTTPS. Ce jour-là on aura l'air bien malins…

@bortzmeyer il y a d'autres solutions? @ScriptFanix @maliciarogue

@monolecte @ScriptFanix @maliciarogue J'utilise CAcert http://www.bortzmeyer.org/https-blog.html et DANE http://www.bortzmeyer.org/6698.html

@maliciarogue AC inconnue. Sans doute parce que tu n'as pas #DANE dans ton navigateur, et pas #CAcert dans ton magasin. (Paquetage ca-cacert sur Debian.)

@Shaft ho c'est de la bonne :)
@bortzmeyer

@bortzmeyer @maliciarogue Je pense qu'il a plagié ce truc : http://www.bluecom.fr/2017/05/15/wanna-cry-proteger-entreprise-cyber-attaques/

:)

@Shaft @bortzmeyer @maliciarogue

J'ose espérer que ce grand chef n'est pas le boss de l'informatique (enfin, des cerveaux électroniques)

@maliciarogue @bortzmeyer @cedesguin Non, c'est le DG :)

@Shaft @bortzmeyer @maliciarogue @cedesguin
Bon ben je vais peut être pas ouvrir le mail de la DSI intitulé Reprise OTRS on est jamais trop prudent...

@shaft Il se prend pour un médecin-biologiste ? @maliciarogue @bortzmeyer

@sb_51_ Seulement pour aller parader sur les cours (de tennis) je pense ^^

@Shaft @bortzmeyer @maliciarogue Il existe bien des démo Atari qui se modifient eux même, alors pourquoi pas des virus ? Par exemple pour qu'au prochain boot, il change de signature. On pourrait parler d'évolution, même si c'est tiré par les cheveux ?

@maliciarogue @bortzmeyer @Shaft Trouvé: https://fr.wikipedia.org/wiki/Virus_polymorphe

@Madgui @Shaft @bortzmeyer @maliciarogue effectivement j'avais moi-même écrit un virus de ce type sur Atari ST en proof of concept, les antivirus de l'époque étaient complètement impuissants face à ça (la seule signature fixe faisait 6 ou 8 octets sur les ~450 utilisables du secteur d'amorçage). Le "chiffrement" était un simple xor avec une valeur aléatoire.

@maliciarogue @bortzmeyer @Shaft @Madgui cependant aujourd'hui c'est déjà plus compliqué à cause des mécanismes de protection mémoire et d'exécution (à l'époque c'était open bar, aucune protection/pagination) même si le premier but d'un virus est précisément de contourner ces protections.

@fenarinarsa @maliciarogue @Shaft @Madgui Mouais. StackClash a montré les limites de ces mécanismes (je recommande d'ailleurs l'article de Qualys, très bien fait).

@bortzmeyer @fenarinarsa @maliciarogue @Shaft @Madgui même ASLR peut être contourné (et l'implémentation de Windows laisse à désirer d'ailleurs)

@Keltounet @bortzmeyer @fenarinarsa @maliciarogue @Shaft La théorie, c'est que les antivirus construisent les signatures des programmes en utilisant leur comportement, et par leurs entrailles, en les faisant tourner dans des sandboxes. Ain't nobody got ressources for that.

@Madgui et la pratique, c'est que les antivirus sont inopérants...
@Keltounet @bortzmeyer @fenarinarsa @Shaft

@maliciarogue @Madgui @Keltounet @bortzmeyer @Shaft Ouaip les mises à jour sont plus efficaces

@cedesguin @maliciarogue Ça obligera les marketeux à écrire en texte seul et plus en Word-de-10-gigas-attaché :-) #soutine

@cedesguin @maliciarogue @bortzmeyer J'ai reçu un PDF d'une recette de terrine de lapin de la part d'un ami d'ami, je vais quoi du coup ? J'ouvre ? J'ouvre pas ?

@LaurentChemla @cedesguin @maliciarogue Tu deviens végétarien. #solution #jeSuisLapin

@LaurentChemla @bortzmeyer @maliciarogue

Oui, tu ouvres. Avec un couteau et une fourchette.

@LaurentChemla @cedesguin @maliciarogue @bortzmeyer tu demande d'envoyé par la poste avc un lapin

@LaurentChemla c'est douteux, dirait France Inter. @cedesguin @bortzmeyer

@LaurentChemla
Excellent, je garde cet exemple pour sensibilisation SSI.
Dans ce cas tu dois te poser des questions du genre :
- est-ce la saison ?
- ai-je évoqué récemment être à la recherche d'une telle recette ?
- je regarde sur un moteur de recherche si l'émetteur n'est un hacktiviste végétarien.
- ai-je froissé un vegan récemment ?
-...
D'autres questions ?

@cedesguin @maliciarogue @bortzmeyer

@MarcFramboisier @cedesguin @maliciarogue @bortzmeyer C'est envoyé par le frêre d'une très détestée psychologue radiophonique. Mais je sais pas si c'est discriminant.

@LaurentChemla

Désole, de tarder, hier soir j'avais une urgence : confiture de cassis. On peut continuer le questionnement :
- As-tu fais part de ton dédain à la psy ? (contexte / motivation)
- Le frère est-il charcutier ou hacker ? (compétences de la menace)
- Y a t-il un indice dans le mail indiquant une éventuelle usurpation (écart entre le profil de l'émetteur et le contenu du mail ?

@cedesguin @maliciarogue @bortzmeyer

@MarcFramboisier @cedesguin @maliciarogue @bortzmeyer Trop tard, j'ai abattu le lapin.