Sécurité info - Page 14

Faille dans la gestion FTP de Java et Python :
https://www.theregister.co.uk/2017/02/21/java_python_ftp_code_vulnerable/

moui

Ça date mais j'avais raté ça :
https://nakedsecurity.sophos.com/2015/11/19/forget-badbios-here-comes-badbarcode/

C'est évident mais il fallait y penser

As a result, your app might wander into trouble.

Understatement of the year.

L'explication est débile. filtrer l'input ne sert a rien si tu peux faire taper control-r

ce qu'il faut surtout c'est que les lecteurs de barcodes refusent l'envoi de codes < ascii 32.

Ils disent de prendre le keyboard lock et filtrer les touches à bas niveau, à mon avis (même si ça fait longtemps, la dernière fois que j'ai fait du Win32), ça pourrait marcher. Mais c'est sûr qu'il vaudrait mieux filtrer ça déjà bien avant, mais si le matériel est con…

Le souci c'est qu'il y a des applications pour lesquelles ce comportement est une feature et non un bug.

Les scanners à codes-barres sont le plus souvent configurables pour filtrer certains caractères, utiliser une émulation de port série (donc non vulnérable à ce genre de choses si l'application n'a pas été codée avec les pieds) plutôt qu'une émulation de clavier, etc.

Mais le deuxième effet kiss-cool, c'est que ces appareils sont le plus souvent configurés en... scannant des codes-barres spéciaux. Donc même en changeant la configuration pour que la faille ne soit plus exploitable, il suffit que l'attaquant scanne le code "restauration des paramètres d'usine", et pouf. Certains fabricants permettent de customiser les codes spéciaux pour éviter ce risque, mais pour autant que je sache, ils ne le font pas tous.

squalyl (./395) :
L'explication est débile. filtrer l'input ne sert a rien si tu peux faire taper control-r

ce qu'il faut surtout c'est que les lecteurs de barcodes refusent l'envoi de codes < ascii 32.

Le \n est pourtant bien pratique !

c'est plus compliqué, si ca émule un clavier, ca envoie des scan codes en fait.

flanker (./398) :

squalyl (./395) :
L'explication est débile. filtrer l'input ne sert a rien si tu peux faire taper control-r

ce qu'il faut surtout c'est que les lecteurs de barcodes refusent l'envoi de codes < ascii 32.

Le \n est pourtant bien pratique !

sur un code barres ?

mouaisbof.

mais le souci relevé par zero est bien plus grave, mais j'ai eu la flemme de le relever hier soir.

vince (./400) :

flanker (./398) :

squalyl (./395) :
L'explication est débile. filtrer l'input ne sert a rien si tu peux faire taper control-r

ce qu'il faut surtout c'est que les lecteurs de barcodes refusent l'envoi de codes < ascii 32.

Le \n est pourtant bien pratique !

sur un code barres ?

Les douchettes (en tant qu'émulateur clavier) tapent les chiffres du code-barre et rajoutent automatiquement \n à la fin , vu que dans 99% des cas, les interfaces attendent une validation des chiffres entrés.

Effectivement, enfin on pourrait accepter ca comme exception.

The Git developers know their priorities well. pic.twitter.com/ThbFu6tsCz

— Hector Martin (@marcan42) February 23, 2017

J'ai bien une solutiom opur eux, mais ils vont me retorquer que leur terminaux sont ne sont meme pas des VT110 mais des teletypes

le plus propre est encore de les débrancher

Ça peut toujours être utile ^^

Pour un PC connecté à Internet, cette technique ne sert à rien, c'est juste une manière de sortir des informations d'un PC déconnecté. Donc ça ne sert à rien de masquer toutes les diodes electroluminescentes d'un PC classique.

Ça tombe bien, j'ai aussi des machines qui ne sont pas connectées ^^

Hum, j'ai du mal la, le voyant indique juste de l'activité, il ne clignote pas au bit pret

Ils parlent de la piloter, justement

Oui ok mais tu peux aussi faire flasher l'écran aussi hein si on y va par la.

Oui, mais c'est un poil moins discret.

Flan > masque aussi les LEDs du clavier et de la carte réseau, et profites-en pour débrancher le haut-parleur interne, tant qu'à faire

Dans le même genre mais en beaucoup plus dangereux, il y avait ça (heureusement, ça ne s'applique plus trop aux matos modernes) :
http://www.applied-math.org/optical_tempest.pdf

enfin, ce n'est pas pour rien que quand on a des infos vraiment sensibles, seule la cage de Faraday est viable (tout comme les diodes optiques) : la seule façon d'être sûr est d'avoir des garanties *physiques*.

D'ailleurs, le papier correspondant à la vidéo du post ./406 (https://arxiv.org/ftp/arxiv/papers/1702/1702.06715.pdf) résume d'autres techniques pour faire fuiter les données d'une machine isolée, il y a des choses assez dingues (genre la communication bidirectionnelle entre deux machines via la dissipation thermique et les capteurs de température).

flanker (./411) :
Ça tombe bien, j'ai aussi des machines qui ne sont pas connectées ^^

Parles-tu de machines à laver?

Des ordinateurs déconnectés chez un particulier, je ne pensais pas que ça existe encore!

Eh oui, comme quoi, hein !