Sécurité info - Page 60

Tu es en IPv4 ou IPv6?

Je doute que sinology soit con au point de par default faire sortit l'interface de configuration via UPnP.

Sinon ce n'est pas un "part feu" qui fait la translation, mais un NAT, si tu es en IPv4 sur internet. Le routeur peux par contre être piraté et prit a contrôle a distance et donc avoir accès a ton réseau, mais en dehors du cas ou c'est une faille commune, tu es un nobody. personne ne va te cibler toi personnellement.

Si tu es en IPv6 c'est une autre histoire, tout tes appareils ont une IP publique et routable. Je ne sais pas quelle est la configuration par défaut des routeurs de FAI pour l'IPv6 mais la oui il faut un part feu pour ne pas laisser passer n'importe quoi.

ça sent l'UPnP a plein nez ça

le seul port que j'ai ouvert perso c'est le 22 et c'est une instance d'endlessh, si je veux mon vrai port j'ai une séquence de port knocking à faire et c'est dans un script que je garde bien au chaud. je sais pas si tu peux faire un truc similaire sur un nas, après tu peux changer les ports, mais rien n'empêche quelqu'un d'utiliser nmap et de trouver les bons ports ...

Brunni (./1768) :
Tain pis ça me rend toujours fou la notion de sécurité à la Japonaise.

Mon abo de téléphone je me rappelle plus de mon MDP (j'ai probablement dû le noter à la main à la conclusion sur le contrat, sisi c'est comme ça que ça marche ici) ils me le renvoient en clair par SMS. Je le change, ils me renvoient un SMS avec mon nouveau mdp en clair pour confirmer. Mais gggnnnnggg…………

peut-être que le SMS part avant qu'il soit stocké hashé en base

Vu la sécurité autour des SMS…

Au boulot on envoie des SMS via orange, y a pas d'endpoint pour récupérer les contenus (ou alors on n'y a pas accès sur le frontend) mais je suis persuadé que c'est archivé quelque part et c'est honteux

Heu. Les sms sont en clair sur le réseau, et sniffer est relativement simple. C’est pour ça que certains n’aiment pas les 2FA par code SMS.

Le token par SMS sera à usage unique, s'il ne fonctionne pas immédiatement quand tu l'utilises c'est qu'il y a anguille sous roche.

Pas vraiment la meilleur façon de voir les choses, et si ca t'arrive c'est trop tard, ton compte n'est plus sous ton contrôle.

Oh bien sur, dans l'état actuel des choses, toi pékin moyen tu ne risque pas ce genre d'attaques, car ca demande quand meme un peu d'effort, mais si ca se généraliste, ca risque de devenir bien plus problématique.

A vrai dire il est probablement moins facile de sniffer un email qu'un SMS..

Godzil (./1778) :A vrai dire il est probablement moins facile de sniffer un email qu'un SMS..

Je me demande quand même à quel point c'est facile d'intercepter un SMS sans des moyens étatiques (alors qu'un courriel est facilement sujet à des mots de passe perdus…)

Clone de SIM est le premier moyen, le second simplement pouvoir écouter la cellule entre le portable cible et le(s) relais

Un email par contre, sans un MITM, ce qui est peut être pas mal compliqué, c'est dur a intercepter, ou alors il faut s'introduire dans le serveur de reception.

Godzil (./1780) :
Clone de SIM est le premier moyen, le second simplement pouvoir écouter la cellule entre le portable cible et le(s) relais

Un email par contre, sans un MITM, ce qui est peut être pas mal compliqué, c'est dur a intercepter, ou alors il faut s'introduire dans le serveur de reception.

C’est ce que je dis : ça se fait beaucoup moins qu’aller récupérer des courriels quand tu as le mot de passe…

Et tu n’écoutes pas les communications entre l’antenne et le relais facilement, loin de là.

C'est plus simple qu'il n'y parait... Et apriori cloner une SIM n'est pas si compliqué non plus.

Tout dépends de ta cible bien sur, comme dit Mr Grand public que ca soit SMS ou email, le risque est de zero ou presque. Si tu est une cible qui a de la valeur, t'inquiète il y arriveront sans trop de soucis.

Et pour les email, le mot de passe faut-il encore l'avoir. Tout le monde n'utilise pas "password123"..

La liste splash data fait peur quand meme:




...

Godzil (./1782) :
C'est plus simple qu'il n'y parait...

En 2G, ce n'est pas trop compliqué, ok. À partir de la 3G, ça devient beaucoup moins simple et abordable.
Et dans tous les cas, ça demande d'être à proximité de la victime (ce qui complique énormément le défi).

Et apriori cloner une simple n'est pas si compliqué non plus.

Je n'en suis pas sûr (mais je connais moins).

Tout dépends de ta cible bien sur, comme dit Mr Grand public que ca soit SMS ou email, le risque est de zero ou presque. Si tu est une cible qui a de la valeur, t'inquiète il y arriveront sans trop de soucis.

Bah oui, c'est sûr.

Et pour les email, le mot de passe faut-il encore l'avoir. Tout le monde n'utilise pas "password123"..

Je maintiens ce que je dis : le courriel est souvent le point de plus faible ; entre ceux qui utilisent un mot de passe simple et ceux dont le mot de passe a fuité via un autre site, ça représente beaucoup de monde.

Je pense que ça s’applique juste a des cas différents.
Pour de l'attaque aveugle en masse a moindre frais, l’e-mail est certainement plus accessible. Le téléphone sera probablement un meilleur vecteur pour de l'espionnage où l'on a plus de moyens et où l'on vise généralement une cible précise, physiquement localisée.

Warpten (./1773) :
si je veux mon vrai port j'ai une séquence de port knocking à faire et c'est dans un script que je garde bien au chaud.

Juste par curiosité ça tourne sous quoi ton script ? Je suis en train de revoir mon infra et notamment la partie routeur et FW et c’est le genre de fonctionnalités qui pourrait m'intéresser.

Personnellement, j'aime beaucoup fail2ban qui bannit automatiquement les IP qui sont trop insistantes.

Jonas (./1785) :

Warpten (./1773) :
si je veux mon vrai port j'ai une séquence de port knocking à faire et c'est dans un script que je garde bien au chaud.

Juste par curiosité ça tourne sous quoi ton script ? Je suis en train de revoir mon infra et notamment la partie routeur et FW et c’est le genre de fonctionnalités qui pourrait m'intéresser.

Surement le classique portknockd ou une alternative.

https://wiki.archlinux.org/title/Port_knocking

f2b depend fortemetn des logs et peut etre trop aggressif ou pas assez.

Perso il est super agressif pour SSH et le ban time est tres long

zikzak (./1787) :

Jonas (./1785) :

Warpten (./1773) :
si je veux mon vrai port j'ai une séquence de port knocking à faire et c'est dans un script que je garde bien au chaud.

Juste par curiosité ça tourne sous quoi ton script ? Je suis en train de revoir mon infra et notamment la partie routeur et FW et c’est le genre de fonctionnalités qui pourrait m'intéresser.

Surement le classique portknockd ou une alternative.

bincker/portknockdGitHubHidden port knocking service that spawns a reverse UDP shell. - bincker/portknockd

https://wiki.archlinux.org/title/Port_knocking

la mise en place est faite via iptables, pour knocker c'est un bête script qui tape dans l'ordre

./1787 Oui c'est ce que je pensais mais je voulais bien une confirmation : )

./1789 Donc tu as un script qui écoute les drop sur les ports concernés et qui fait un ALLOW quand la condition est remplie ?

nonon c'est fait via iptables, sans knockd (même si c'est plus simple)



tu as un bon tuto ici qui t'explique bien comment le mettre en place. ça te donne même le script qui invoque nmap pour taper dans l'ordre.

tu peux même mettre une limite de temps entre les knock sur les différents ports, je crois qu'ils ne font que laisser le port ssh accessible x secondes

Merci !

bien stylé tout en iptables

je suis passé de fail2ban à sshguard depuis qq temps, rien à y reprocher jusqu'ici et il est écrit en C

Lecture très intéressante dans le cadre de l'affaire Pegasus

Most recently, a successful “zero-click” attack has been observed exploiting multiple zero-days to attack a fully patched iPhone 12 running iOS 14.6 in July 2021.

Ça tempère le côté classique de l’atraque dont on a parlé plus haut.

Ce genre de problème est généralement par he très vite

*patché*, je suppose ?

En effet, il faut patcher le post de Godzil pour corriger l'erreur.

Godzil (./1796) :
Ce genre de problème est généralement par he très vite

Quand c’est connu.

Oué patcher. Satané téléphone.


Sinon quand ce genre d’info est divulgé ça ne devrait pas trop leur prendre de temps à trouver ce qui casse.