Sécurité info - Page 68

Toujours sympa :/

-_-

Il semblerait que OpenSSH soit à l’abri, c'est rassurant.

Psy être mon cerveau pas matinal, mais je suis pas sûr de quel clé ils parlent ?

Et quand est-il de DropBear par exemple ?

Alphv a depuis annoncé qu'ils avaient dé - saisi les serveurs préalablement saisis par le fbi et qu'en retour ils faisaient sauter l'interdiction d'attaquer les hosto et orphelinats...

Que voilà de charmantes personnes.

magnifique

Je comprends pas tout, mais ça m'inquiète là 😵‍💫

Je ne sais même pas concrètement ce qu'on peut faire pour éviter le soucI ?

Nil (./1288) :
En même temps, niveau cybersécurité, il n'y a rien de plus sûr que de ne jamais avoir utilisé un ordi, donc c'est plutôt un cador dans son domaine !

ne jamais toucher à un ordinateur serait sûrement la solution la plus sûre, mais avouons-le, un peu extrême, non ? parce que, dans ce cas, les master en cybersécurité ne ça serviront à rien

(spam incoming)

(non, tu crois ? )

N'empêche qu'en termes de point penpen, il assure

Mon ex boîte voulais tout passer dans le cloud avant qu’ils virent 20% des effectifs “parceque c’est plus secure que faire en interne sur un réseau privé” errr comment dire.

https://openwall.com/lists/oss-security/2024/03/29/4

SSH n'est probablement pas le seul programme affecté. Et vu le mode opératoire utilisé, il y a malheureusement une possibilité (pour ne pas dire plus) que l'un des mainteneurs officiels de la lib soit responsable, ou au minimum complice.

C'est mauvais, en effet, même si heureusement, les versions vulnérables sont récentes, et n'ont pas encore atteint la plupart des utilisateurs. Debian unstable a été vulnérable pendant 1 mois environ.
Je n'ai pas encore vu passer d'analyse complète du code obfuscated qui est injecté.

En effet.

Il y a des commentaires intéressants sur Hacker News, par exemple celui-ci. Plusieurs d'entre eux mentionnent des éléments que laissent penser que c'est une opération qui était planifiée à long terme : il y a eu plusieurs actions de l'un des mainteneurs sur ces dernières années qui, rétrospectivement, avaient vraisemblablement pour but de rendre possible/faciliter l'attaque, ou de rendre plus difficile sa détection. Certains pensent même qu'il n'existe pas, et que ce n'est qu'une identité fictive créée exprès pour compromettre le projet.

Je n'envie pas ceux qui vont devoir désormais vérifier s'il n'y a pas d'autres backdoors similaires planquées ailleurs

EDIT : des résumés mis à jour régulièrement ici :
https://boehs.org/node/everything-i-know-about-the-xz-backdoor

C’est moche et (malheureusement?) un bon coup de pied sur “l’open source c’est secure parceque le code est dispo”

Si ce genre de modification abscons passe au travers des review, c’est super mauvais.

J'ai pas eu l'impression qu'il y ait eu de code review, justement... et même s'il y en a eu, en général on cherche les bugs "honnêtes", pas les backdoors délibérément planquées (dans ce cas présent, dans un fichier autogénéré et des fichiers binaires, qui plus est non commités dans Git ; autant dire qu'à moins de savoir qu'il y a anguille sous roche, ça serait probablement passé inaperçu).

Le fait que d'assez nombreux logiciels open source largement utilisés soient maintenus par des gens de bonne volonté sur leur temps libre, sans recevoir de soutien financier qui permettrait de le faire dans de meilleures conditions, revient une nouvelle fois sur le tapis. Cependant, comme les fois précédentes, parier qu'un tel épisode (a priori très rare, heureusement) n'entraînera aucun changement sérieux dans les pratiques de longue date, et qui arrangent bien les faiseurs de logiciel commercial, ne serait pas un pari risqué, hélas.

lionel

Lionel Debroux (./2038) :
(a priori très rare, heureusement)

On n'en est même pas sûr, en fait. Pour une attaque de ce genre détectée (et encore, uniquement par coup de chance, pour ainsi dire), combien on pu avoir lieu sans éveiller les soupçons ?