Spécial sécurité - Beast : un bon lien vaut mieux que deux tu l’auras

Sommaire
1 - Beast : un bon lien vaut mieux que deux tu l’auras
2 - Les aphorismes du RSSI, ou comment sourire du malheur informatique

1 - Beast : un bon lien vaut mieux que deux tu l’auras
Le temps des émois est passé, vient celui des conseils réfléchis : le Sans, revient sur la présentation de MM Duong et Rizzo, qui rappelle le principe de l’attaque contre SSL 1.0 que ces deux chercheurs ont élaboré, et fournit une liste de conseils et d’avis destinés aux administrateurs anxieux. SSL n’est pas techniquement mort, la migration vers TLS 1.1 ou 1.2 doit être effectuée avec prudence, un déploiement hâtif risquant de provoquer plus de mal que de bien.

Sur le site Bugzilla, l’on peut trouver, outre une impressionnante collection de documents informatifs, la quasi-totalité des échanges entre l’équipe Duong-Rizzo et le team sécurité de Mozilla (Daniel Veditz, Adam Langley notamment).

Mais la synthèse la plus complète en la matière est celle de Thierry Zoller, qui a patiemment collecté tous les articles techniques gravitant autour de la naissance de la «bête ». Moins de trois pages écran, mais de la lecture pour une bonne journée au moins.

2 - Les aphorismes du RSSI, ou comment sourire du malheur informatique
Le Sans, en mars dernier, lançait une sorte de concours humoristique auprès de ses lecteurs : donnez un conseil de sécurité résumé en 140 caractères (ou moins). Cette cyberprotection SMS, cet ISO 27001 façon Reader’s Digest ou Twitter vient d’être remise à jour. L’occasion de découvrir de véritables perles d’humour et de sagesse. On notera au passage :

- If you don't need it, turn it off (un classique)
- Never trust a host you can't trust (adage de banquier)
- Product certification does not mean it has been deployed correctly (dicton pour Lead Auditor)
- Sachez protéger les vrais points sensibles : ceinture et bretelles ne servent à rien si vous n’avez pas de pantalon
- A backup is not a backup until you do a restore (Si Gates m’était compté)
- setting up any new system, Step 1: Change default admin password (La raison du DAB)
- Physical access trumps most security measures (deux intellectuels assis vont moins loin qu’une brute qui marche)
- Telnet, FTP, and any other clear-text protocol developed in simpler, more naive times has no business on a modern network (juré, demain, j’arrête Finger et Motd)
- Unencrypted WiFi is never secure. WEP = Unencrypted WiFi (une version Hadopi est en cours de traduction)