L’ami Angristan a posté un excellent billet il y a quelques semaines consacré à la configuration HTTPS sur NGinx. Son billet a fini de me convaincre de rédiger un petit mémo expliquant comment mieux sécuriser HTTPS puisque, comme il le dit si bien, « HTTPS ne se résume pas avoir avoir le cadenas vert dans votre navigateur! ». J’ai donc décidé de pousser le vice un peu plus loin.
Les fails VNC reviennent à la mode. Après Aeris qui a récemment scanné l’intégralité de la plage IPv4, et trouvé 2246 serveurs non protégés, c’est au tour de Певольвер de s’y mettre et il ne fait pas non plus les choses à moitié : il a décidé de monter VNC Roulette un site affichant le résultat de ses scans. Flippant…
Après avoir optimisé le blog j’ai décidé de sécuriser WordPress. On trouve pas mal de guides sur ce thème sur internet mais peu d’entre eux recensent toutes les manipulations à effectuer. On est donc parti pour un mémo assez long détaillant comment sécuriser WordPress (efficacement) et sa configuration web / mysql.
L’ANSI et Aeris conseillent de sécuriser SSH avec une authentification par clé Ed25519 lorsque c’est possible (votre version d’OpenSSH doit etre ≥ 6.5). Ubuntu precise et Debian 7 utilisant OpenSSH en version 5 il vous est conseillé d’utiliser des clés ECDSA.
A noter que pour vous connecter, sous Windows, à un serveur SSH avec une authentification par clé Ed25519 ou EDSCA vous devrez utiliser la version development snapshot de PuTTY
Certains constructeurs (qui a dit Lenovo et Dell?) ainsi que des adwares peuvent installer sur votre ordinateur des certificats ssl douteux. Ceux ci peuvent par exemple intercepter les communications SSL pour insérer du contenu de leur choix et augmentent considérablement le risque d’attaque man-in-the-middle.
Microsoft a récemment mis en ligne un outil vous permettant de détecter si des certificats non approuvés par Microsoft ont été installés sur votre machine.
POODLE (Padding Oracle On Downgraded Legacy Encryption) est une faille de sécurité dans la version du protocole SSLv3 pourrait permettre à des pirates de s’insérer entre un serveur et un client pour récupérer des informations chiffrées (pour en savoir plus c’est ici). Cette faille toucherait aussi le protocole TLS (voir ici).
Tenir sa distribution à jour c’est important puisque cela vous permet de vous prémunir des différentes failles de sécurité comblées lors de la mise à jour de vos paquets. Cette « option » n’est pas activée par défaut puisqu’il est préférable de tester une mise a jour avant de la mettre en Lire la suite…
Tout d’abord si vous ne connaissez pas authy je vous conseille de faire un petit tour ici pour les présentations. J’ai pu Installer authy-ssh sur un NAS Synology. Cette installation a été testée et approuvee sur un Syno DS414 et sur un Syno DS3612XS (machine de test vmware).
Afin de pouvoir faire fonctionner votre authentification double facteur sur il vous faudra avoir
OpenVPN est un logiciel libre permettant de créer un réseau privé virtuel (VPN). Utiliser un VPN est entre autre une excellente solution pour contourner les restrictions de certains réseaux (universités, certains pays, etc…). La navigation web au travers d’un VPN est beaucoup plus rapide, confortable et sécurisée en comparaison avec l’utilisation d’un proxy.
Il existe différents protocoles VPN, PPTP IPsec et bien sur OpenVPN qui propose le chiffrement le plus élevé mais aussi de meilleures performances en termes de débit et de stabilité.
Portsentry est une application qui permet a votre serveur de detecter un scan de ports mais aussi d’agir :
– Les attaques seront inscrites dans vos logs
– le scanneur est automatiquement bloque puisque sont ip sera rajouté dans /etc/hosts.deny
– Avec ipchains, toutes les communications venant de l’hôte « attaqueur » seront bloquées
– L’interface de communication peut être coupée en cas d’attaque.