[FRnOG] [BIZ] OVH - incident de sécurité
Curieux. Personne nen a parlé sur la liste. -- SAS OVH - http://www.ovh.com 2 rue Kellermann BP 80157 59100 Roubaix Bonjour, Récemment, nous avons relevé un incident de sécurité sur notre réseau interne au siège social d'Ovh. Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons relevé que la base de données des clients Europe aurait pu être illégalement copiée. Cette base comporte les données suivantes : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par OVH. Même si le chiffrement du mot de passe de votre identifiant est très fort, nous vous conseillons de changer le mot de passe dans les plus brefs délais. En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=detailsid=8998 Cordialement, Support Client OVH Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min) Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min) Fax : 03.20.20.09.58 Contact : http://www.ovh.com/fr/contact Du lundi au vendredi : 8h00 - 20h00 Le samedi :9h00 - 17h00 --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
+1 Le 2013-07-23 12:50, Olivier Kerfant a écrit : Curieux. Personne n’en a parlé sur la liste. -- SAS OVH - http://www.ovh.com 2 rue Kellermann BP 80157 59100 Roubaix Bonjour, Récemment, nous avons relevé un incident de sécurité sur notre réseau interne au siège social d'Ovh. Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons relevé que la base de données des clients Europe aurait pu être illégalement copiée. Cette base comporte les données suivantes : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par OVH. Même si le chiffrement du mot de passe de votre identifiant est très fort, nous vous conseillons de changer le mot de passe dans les plus brefs délais. En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=detailsid=8998 Cordialement, Support Client OVH Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min) Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min) Fax : 03.20.20.09.58 Contact : http://www.ovh.com/fr/contact Du lundi au vendredi : 8h00 - 20h00 Le samedi :9h00 - 17h00 --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Je lis : Le chiffrement du mot de passe est salé et basé sur SHA512, afin d'éviter le bruteforce. Ne serait-il pas plus pertinent de passer à un algorithme tel que scrypt pour le mode parano supérieur ? 2013/7/23 solt...@imad.fr +1 Le 2013-07-23 12:50, Olivier Kerfant a écrit : Curieux. Personne n’en a parlé sur la liste. -- SAS OVH - http://www.ovh.com 2 rue Kellermann BP 80157 59100 Roubaix Bonjour, Récemment, nous avons relevé un incident de sécurité sur notre réseau interne au siège social d'Ovh. Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons relevé que la base de données des clients Europe aurait pu être illégalement copiée. Cette base comporte les données suivantes : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par OVH. Même si le chiffrement du mot de passe de votre identifiant est très fort, nous vous conseillons de changer le mot de passe dans les plus brefs délais. En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=**detailsid=8998http://travaux.ovh.net/?do=detailsid=8998 Cordialement, Support Client OVH Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min) Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min) Fax : 03.20.20.09.58 Contact : http://www.ovh.com/fr/contact Du lundi au vendredi : 8h00 - 20h00 Le samedi :9h00 - 17h00 --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
On Tue, Jul 23, 2013 at 07:21:15PM +0800, Étienne KASPERCZYK wrote: Je lis : Le chiffrement du mot de passe est salé et basé sur SHA512, afin d'éviter le bruteforce. Ne serait-il pas plus pertinent de passer à un algorithme tel que scrypt pour le mode parano supérieur ? Oui, bcrypt ou mieux scrypt sont plus forts. Ceci dit, en sécurité, tout est question de temps. Un hachage sha512 salé correspond, au doigt mouillé, à la moyenne haute de ce qui se fait, et en termes de sécurité ce n’est pas mauvais. Quoi qu’il en soit, peu importe le niveau de sécurité, il faut changer rapidement de mot de passe après une compromission. L’erreur d’OVH se trouve en amont, pas dans la façon de hacher les mots de passe. bortz_mode Plus d’infos ici : http://gordon.re/developpement/mot-de-passe-pourquoi-comment.html (avec des images pour que Jean-Kevin — paix à son âme — comprenne)./bortz_mode -- Damien signature.asc Description: Digital signature
RE: [FRnOG] [BIZ] OVH - incident de sécurité
Ce qui m'inquiète plus c'est que OVH fonctionne déjà en mode parano, et pourtant vient de subir une attaque. Comment les autres opérateurs plus ou moins paranoïdes gèrent ce problème? -Message d'origine- De : ekasp...@gmail.com [mailto:ekasp...@gmail.com] De la part de Étienne KASPERCZYK Envoyé : mardi 23 juillet 2013 13:21 À : solt...@imad.fr Cc : frnog@frnog.org Objet : Re: [FRnOG] [BIZ] OVH - incident de sécurité Je lis : Le chiffrement du mot de passe est salé et basé sur SHA512, afin d'éviter le bruteforce. Ne serait-il pas plus pertinent de passer à un algorithme tel que scrypt pour le mode parano supérieur ? 2013/7/23 solt...@imad.fr +1 Le 2013-07-23 12:50, Olivier Kerfant a écrit : Curieux. Personne nen a parlé sur la liste. -- SAS OVH - http://www.ovh.com 2 rue Kellermann BP 80157 59100 Roubaix Bonjour, Récemment, nous avons relevé un incident de sécurité sur notre réseau interne au siège social d'Ovh. Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons relevé que la base de données des clients Europe aurait pu être illégalement copiée. Cette base comporte les données suivantes : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par OVH. Même si le chiffrement du mot de passe de votre identifiant est très fort, nous vous conseillons de changer le mot de passe dans les plus brefs délais. En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=**detailsid=8998http://travaux.ovh.net/? do=detailsid=8998 Cordialement, Support Client OVH Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min) Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min) Fax : 03.20.20.09.58 Contact : http://www.ovh.com/fr/contact Du lundi au vendredi : 8h00 - 20h00 Le samedi :9h00 - 17h00 --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] Re: [BIZ] OVH - incident de sécurité
On Tue, Jul 23, 2013 at 12:50:00PM +0200, Olivier Kerfant i...@artaxerkes.com wrote a message of 49 lines which said: Curieux. Personne n'en a parlé sur la liste. On était tous occupés à en parler sur Twitter / LinuxFR / IRC et SeenThis. --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] Re: [BIZ] OVH - incident de sécurité
On Tue, Jul 23, 2013 at 07:21:15PM +0800, Étienne KASPERCZYK etie...@kasperczyk.org wrote a message of 77 lines which said: Je lis : Le chiffrement du mot de passe est salé et basé sur SHA512, Et, comme vous le savez, ce n'est pas du chiffrement mais de la condensation (hachage, pour ceux qui regardent les films d'horreur d'Hollywood). Ne serait-il pas plus pertinent de passer à un algorithme tel que scrypt Qui, lui, est un algorithme de chiffrement, donc ne convient pas à cet usage (si on chiffre les mots de passe, une compromission de la clé et tout est fichu). --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] Re: [BIZ] OVH - incident de sécurité
On Tue, Jul 23, 2013 at 01:51:38PM +0200, Olivier Kerfant i...@artaxerkes.com wrote a message of 99 lines which said: Comment les autres opérateurs plus ou moins paranoïdes gèrent ce problème? Ils s'inspirent d'un oiseau non volant d'Afrique, qui a un algorithme de sécurité intéressant « tant qu'on ne regarde pas, on ne voit pas qu'on est piraté » :-) --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] Re: [BIZ] OVH - incident de sécurité
Le 2013-07-23 14:13, Stephane Bortzmeyer a écrit : Ne serait-il pas plus pertinent de passer à un algorithme tel que scrypt Qui, lui, est un algorithme de chiffrement, donc ne convient pas à cet usage (si on chiffre les mots de passe, une compromission de la clé et tout est fichu). Salut Stéphane, scrypt est un algo de hachage *et* un outil de chiffrement. https://www.tarsnap.com/scrypt.html Simon --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le Tue, Jul 23, 2013 at 12:50:00PM +0200, Olivier Kerfant [i...@artaxerkes.com] a écrit: Curieux. Personne nen a parlé sur la liste. Parceque ça n'a rien à voir avec le fonctionnement du réseau ? (et que j'ose naïvement espérer que les clients ont été informés directement) -- Dominique Rousseau Neuronnexion, Prestataire Internet Intranet 21 rue Frédéric Petit - 8 Amiens tel: 03 22 71 61 90 - fax: 03 22 71 61 99 - http://www.neuronnexion.coop --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
-BEGIN PGP SIGNED MESSAGE- Hash: SHA1 Le 23/07/2013 14:23, Dominique Rousseau a écrit : (et que j'ose naïvement espérer que les clients ont été informés directement) Tout est relatif, je l'ai lu sur IRC la veille de la réception du mail. - -- Alarig Le Lay - From Rennes, France http://swordarmor.fr/ -BEGIN PGP SIGNATURE- Version: GnuPG v1.4.12 (GNU/Linux) Comment: Using GnuPG with Icedove - http://www.enigmail.net/ iQEcBAEBAgAGBQJR7nbEAAoJEK84SsFrICuIArEH/0fTqyx3H6VDzSVFhSfXYwWv Ccxb11G2im90QJsmc49bkG1j3HisZsTVqAxere8+vo7ygtsxnGgl0tDue8AxBB4C QhXfda1TA/rqSiMTzmjDaCRFW9DjrwXzf1pbaZ3JnNS41b9O3jRlWrMreMc/cuh+ 4Z9Nm+WT881GM9edyDEHNbhSWVdvY4w/XP/DXeVmjz/oIp+rpRAwyOY5+J1+ERn7 8FZW+TMcIx9XqunEQ0p5tts9GXnhh8Vf85nMnbv/gTJNzYnFWlAaVzQjVEoOdrQw iC8xWd95Eh3ktOtCz5g27+fybUy1++A3kXAK6UZeJ9z3nRv6XruvfI6jNdUCZxY= =StHf -END PGP SIGNATURE- --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] Re: Re: [BIZ] OVH - incident de sécurité
On Tue, Jul 23, 2013 at 02:21:27PM +0200, Simon Perreault simon.perrea...@viagenie.ca wrote a message of 20 lines which said: scrypt est un algo de hachage *et* un outil de chiffrement. Argh, ce n'était pas clair pour moi. Encore une fois, grâce à Frnog, j'ai appris quelque chose. --- Liste de diffusion du FRnOG http://www.frnog.org/
RE: [FRnOG] [BIZ] OVH - incident de sécurité
Le 23/07/2013 13:51, Olivier Kerfant a écrit : Ce qui m'inquiète plus c'est que OVH fonctionne déjà en mode parano, et pourtant vient de subir une attaque. Comment les autres opérateurs plus ou moins paranoïdes gèrent ce problème? Parce que l'autruche est un animal qui a une forte capacité à réussir à appliquer le Principe de Peter. Pourquoi on parlait pas non plus du hack des forums Ubuntu ? de la version 3.0.4 de Wordpress de http://www.carlabrunisarkozy.org/ à 400k et de ses innombrables failles remontées par bluetouff ? Plus sérieusement, c'est du journalisme de pâquerettes tous les commentaires (sans compter les steack hachés de cheval roumain qui se transforment en hulk chiffré sans aucune clé à l'horizon), tout le monde en parle, mais au lieu de parler, il ferait mieux de regarder les failles sur l'ensemble des produits en circulation à ce jour et ne surtout pas faire confiance à un antivirus qui promet Papa Maman sans voir le fils ! Cela peut arriver à tout le monde de se faire trouer, et le moins que l'on puisse dire, c'est que la transparence est là. Avant même que la CNIL ne l'impose (ce qui serait une bonne chose pour les clients). PS : avant de crier au loup, combien ici ont leurs données commerciales chez SalesForce ou sur un Excel dans un partage CIFS sans restrictions ? -Message d'origine- De : ekasp...@gmail.com [mailto:ekasp...@gmail.com] De la part de Étienne KASPERCZYK Envoyé : mardi 23 juillet 2013 13:21 À : solt...@imad.fr Cc : frnog@frnog.org Objet : Re: [FRnOG] [BIZ] OVH - incident de sécurité Je lis : Le chiffrement du mot de passe est salé et basé sur SHA512, afin d'éviter le bruteforce. Ne serait-il pas plus pertinent de passer à un algorithme tel que scrypt pour le mode parano supérieur ? 2013/7/23 solt...@imad.fr +1 Le 2013-07-23 12:50, Olivier Kerfant a écrit : Curieux. Personne n’en a parlé sur la liste. -- SAS OVH - http://www.ovh.com 2 rue Kellermann BP 80157 59100 Roubaix Bonjour, Récemment, nous avons relevé un incident de sécurité sur notre réseau interne au siège social d'Ovh. Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons relevé que la base de données des clients Europe aurait pu être illégalement copiée. Cette base comporte les données suivantes : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par OVH. Même si le chiffrement du mot de passe de votre identifiant est très fort, nous vous conseillons de changer le mot de passe dans les plus brefs délais. En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=**detailsid=8998http://travaux.ovh.net/? do=detailsid=8998 Cordialement, Support Client OVH Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min) Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min) Fax : 03.20.20.09.58 Contact : http://www.ovh.com/fr/contact Du lundi au vendredi : 8h00 - 20h00 Le samedi :9h00 - 17h00 --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ -- --- Fabien VINCENT Twitter : @beufanet --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
2013-07-23T12:50:00+0200, Olivier Kerfant i...@artaxerkes.com wrote: Curieux. Personne n'en a parlé sur la liste. Je trouve qu'on en parle déjà suffisament, pour éviter d'en rajouter encore et encore (et puis, ce problème ne concerne pas le réseau). 2013-07-23T14:27:52+02:00, Alarig Le Lay ala...@swordarmor.fr wrote: Le 23/07/2013 14:23, Dominique Rousseau a écrit : (et que j'ose naïvement espérer que les clients ont été informés directement) Tout est relatif, je l'ai lu sur IRC la veille de la réception du mail. Souvent, les entreprises prennent le temps d'abord de faire une prompte vérification, avant de simplement dire quelqu'un s'est baladé dans notre réseau, on n'en sait pas plus. -- Thibaud CANALE thican [at] thican [dot] net http://thican.net/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
(et que j'ose naïvement espérer que les clients ont été informés directement) Oui, j'ai reçu un mail ce matin. Sur une adresse que je comptait de toutes façons fermer ^^ -- Manu Bourguin / Thy --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] Re: [BIZ] OVH - incident de sécurité
On Tue, Jul 23, 2013 at 12:50:00PM +0200, Olivier Kerfant i...@artaxerkes.com wrote a message of 49 lines which said: Curieux. Personne n'en a parlé sur la liste. En 1994, c'était déjà connu http://ladocumentationfrancaise.prod.ext.dila.fr/var/storage/rapports-publics/064000675/.pdf « De même des serveurs insuffisamment protégés ont subi dans un passé récent de nombreuses intrusions après avoir été raccordés au réseau. » Gérard Théry avait prévu le piratage d'OVH ! --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] [MISC] Statistiques sur le trafic global
Salut, Existe t-il un site où l'on peut trouver des statistiques concernant le voulmes des données transitant dans les tuyaux par pays ? Le site du [RIPE][1] fournit de nombreuses informations mais je n'ai rien trouvé concernant le volume qui transite. J'imagine bien qu'il est difficile de tout répertorier mais si un routeur arrive à espioner le trafic, il doit bien pouvoir fournir des satistiques... oups! [1]: https://stat.ripe.net/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le mail d'un personnel contenait des éléments permettant la connexion vpn d'un autre personnel. Bizarre. Ça veut juste dire qu'un⋅e employé⋅e va devoir commiter sur Github pour pouvoir retrouver du travail. -- Manu Bourguin / Thy --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [MISC] Statistiques sur le trafic global
Salut, On Tue, 23 Jul 2013 16:06:12 +0200, Jimmy Thrasibule thrasibule.ji...@gmail.com wrote: Salut, Existe t-il un site où l'on peut trouver des statistiques concernant le voulmes des données transitant dans les tuyaux par pays ? Le site du [RIPE][1] fournit de nombreuses informations mais je n'ai rien trouvé concernant le volume qui transite. J'imagine bien qu'il est difficile de tout répertorier mais si un routeur arrive à espioner le trafic, il doit bien pouvoir fournir des satistiques... oups! Pour avoir un sous ensemble, tu peux regarder les volumes échangés sur les poins d'échanges: franceix.net www.sfinx.fr ams-ix.net de-cix.net Cisco a également des stats: http://www.cisco.com/en/US/netsol/ns827/networking_solutions_sub_solution.html http://www.cisco.com/web/solutions/sp/vni/vni_forecast_highlights/index.html Je ne sais pas dans quelle mesure elles sont justes. La méthodologie est décrite ici: http://www.cisco.com/en/US/solutions/collateral/ns341/ns525/ns537/ns705/ns827/white_paper_c11-481360_ns827_Networking_Solutions_White_Paper.html -- Mathieu Goessens IT consultant. geb...@poolp.org + 33 6 07 91 54 87 http://gebura.eu.org --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [MISC] Statistiques sur le trafic global
On 23.07.2013 16:06, Jimmy Thrasibule wrote: Salut, Existe t-il un site où l'on peut trouver des statistiques concernant le voulmes des données transitant dans les tuyaux par pays ? y'avait ca sur une des slides de la NSA... http://www.wired.com/images_blogs/threatlevel/2013/06/prism-slide-2_2-660x495.jpg --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le 2013-07-23 12:50, Olivier Kerfant a écrit : Curieux. Personne n’en a parlé sur la liste. -- Parce que nous avons tous eu le message en direct :) a+ SAS OVH - http://www.ovh.com 2 rue Kellermann BP 80157 59100 Roubaix Bonjour, Récemment, nous avons relevé un incident de sécurité sur notre réseau interne au siège social d'Ovh. Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons relevé que la base de données des clients Europe aurait pu être illégalement copiée. Cette base comporte les données suivantes : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par OVH. Même si le chiffrement du mot de passe de votre identifiant est très fort, nous vous conseillons de changer le mot de passe dans les plus brefs délais. En savoir plus sur l'incident de securité: http://travaux.ovh.net/?do=detailsid=8998 Cordialement, Support Client OVH Support Technique : 08.99.49.87.65 (1,349 Euro/appel + 0,337 Euro/min) Support Commercial : 08.20.69.87.65 (Numéro Indigo 0,118 Euro/min) Fax : 03.20.20.09.58 Contact : http://www.ovh.com/fr/contact Du lundi au vendredi : 8h00 - 20h00 Le samedi :9h00 - 17h00 --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [MISC] Statistiques sur le trafic global
Faut demander a l'ARCEP dans le cadre de son suivi des peering / transit ;-) Sylvain Charron LA SOLUTION TELECOM (LASOTEL) Le 23/07/2013 16:56, Raphaël Jacquot a écrit : On 23.07.2013 16:06, Jimmy Thrasibule wrote: Salut, Existe t-il un site où l'on peut trouver des statistiques concernant le voulmes des données transitant dans les tuyaux par pays ? y'avait ca sur une des slides de la NSA... http://www.wired.com/images_blogs/threatlevel/2013/06/prism-slide-2_2-660x495.jpg --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] Re: [BIZ] OVH - incident de sécurité
Le 2013-07-23 14:22, Stephane Bortzmeyer a écrit : On Tue, Jul 23, 2013 at 01:36:18PM +0200, Damien Nicolas damien+fr...@gordon.re wrote a message of 59 lines which said: http://gordon.re/developpement/mot-de-passe-pourquoi-comment.html Qui explique bien, notamment, pourquoi il ne faut *pas* chiffrer les mots de passe dans la base de données. la même explication est sur ejabberd. Mais cette argumentation est est valable que si les mots de passe sont autogénérés avec un peu de complexité et beaucoup de hasard. a+ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] Re: Re: [BIZ] OVH - incident de sécurité
Le 2013-07-23 14:28, Stephane Bortzmeyer a écrit : On Tue, Jul 23, 2013 at 02:21:27PM +0200, Simon Perreault simon.perrea...@viagenie.ca wrote a message of 20 lines which said: scrypt est un algo de hachage *et* un outil de chiffrement. Argh, ce n'était pas clair pour moi. Encore une fois, grâce à Frnog, j'ai appris quelque chose. bin faut lire wikipedia : https://en.wikipedia.org/wiki/Scrypt a+ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le 2013-07-23 16:09, Pascal PETIT a écrit : J'admire et apprécie le soucis de transparence d'OVH. Un point succite une interrogation : Grâce à cet accès email, il a obtenu l'accès sur le VPN interne d'un autre employé Le mail d'un personnel contenait des éléments permettant la connexion vpn d'un autre personnel. Bizarre. il fait comme tout le monde il met ses mots de passe dans un mail qu'il enregistre sans envoyer comme cela il a ces mots de passe partout via son webmail/imap... :) a+ Ca me fait pense à ce qui s'est passé lors du G20 où via les archives de mail de la première victime, l'intrus avait trouvé des codes d'accès à d'autres serveurs. --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
On Jul 23, 2013, at 5:11 PM, Frédéric frede...@placenet.org wrote: Le 2013-07-23 16:09, Pascal PETIT a écrit : J'admire et apprécie le soucis de transparence d'OVH. Un point succite une interrogation : Grâce à cet accès email, il a obtenu l'accès sur le VPN interne d'un autre employé Le mail d'un personnel contenait des éléments permettant la connexion vpn d'un autre personnel. Bizarre. il fait comme tout le monde il met ses mots de passe dans un mail qu'il enregistre sans envoyer comme cela il a ces mots de passe partout via son webmail/imap... :) a+ On a un candidat pour la pire idée de l'année ;) --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [MISC] Statistiques sur le trafic global
Y aussi une carte de Telegeography qui est pas mal : http://www.telegeography.com/telecom-maps/global-internet-map/index.html ou vaguement le google public data : http://www.google.com/publicdata/explore?ds=z6409butolt8la_ctype=lmet_y=ibhl=en_USdl=en_US#!ctype=lstrail=falsebcs=dnselm=hmet_y=ibscale_y=linind_y=falserdim=worldidim=world:WLDidim=country:FRAifdim=worldtstart=127983600tend=131137200hl=en_USdl=en_USind=false Arnaud 2013/7/23 Sylvain Charron (LASOTEL) schar...@lasotel.fr Faut demander a l'ARCEP dans le cadre de son suivi des peering / transit ;-) Sylvain Charron LA SOLUTION TELECOM (LASOTEL) Le 23/07/2013 16:56, Raphaël Jacquot a écrit : On 23.07.2013 16:06, Jimmy Thrasibule wrote: Salut, Existe t-il un site où l'on peut trouver des statistiques concernant le voulmes des données transitant dans les tuyaux par pays ? y'avait ca sur une des slides de la NSA... http://www.wired.com/images_**blogs/threatlevel/2013/06/** prism-slide-2_2-660x495.jpghttp://www.wired.com/images_blogs/threatlevel/2013/06/prism-slide-2_2-660x495.jpg --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
-BEGIN PGP SIGNED MESSAGE- Hash: SHA1 Le 23/07/2013 17:15, Fleuriot Damien a écrit : On a un candidat pour la pire idée de l'année ;) La meilleure étant d'arrêter de publier les patchs pour cause de vol d'employé ? - -- Alarig Le Lay - From Rennes, France http://swordarmor.fr/ -BEGIN PGP SIGNATURE- Version: GnuPG v1.4.12 (GNU/Linux) Comment: Using GnuPG with Icedove - http://www.enigmail.net/ iQEcBAEBAgAGBQJR7p/RAAoJEK84SsFrICuIclQH/1VUObvo7j4zBmvWLh8o/XL6 R2QH9+lZ0x9krl5+9nhFcknZUXmaJKSfh9UL25IDByB/xvUkCbLeEywXH/o4m5An vpkq+1RUVzzdHxZZZ83CTLsXV3uzmHrVyn5kQz0nTZL4XzR7tbZnXUmwellPlXAw c3MRRXDBM193xE4MqCmkHh3jhukzFDtCg8uxFknPeRwvKObQF0vI7+6HFznpys9r oq0BgkbdvWdpXdeSAZinemd9VZopORaVO++1qKmEE2qvNcpXANtQQCyBuz6tUOV9 nBWlKfLRzY6jfMybQ/PBPINauogPMONx24VSQBMil1MuX20XknVK6QCR3kAJOCY= =OeEU -END PGP SIGNATURE- --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le 23/07/2013 17:15, Fleuriot Damien a écrit : On a un candidat pour la pire idée de l'année ;) Attention, Kevin écoute, il risque de faire ça plus tard quand il travaillera comme les grands ! Mais il y a encore une pire idée LastPass ! Cordialement, Christophe --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le 23/07/2013 17:25, Christophe Baegert a écrit : Mais il y a encore une pire idée LastPass ! Hello, Puisque c'est une idée qu'elle est pire, que conseilles tu ? Merci -- Florent T. - kheb.fr --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le 23 juil. 2013 à 17:15, Fleuriot Damien m...@my.gd a écrit : On Jul 23, 2013, at 5:11 PM, Frédéric frede...@placenet.org wrote: Le 2013-07-23 16:09, Pascal PETIT a écrit : J'admire et apprécie le soucis de transparence d'OVH. Un point succite une interrogation : Grâce à cet accès email, il a obtenu l'accès sur le VPN interne d'un autre employé Le mail d'un personnel contenait des éléments permettant la connexion vpn d'un autre personnel. Bizarre. il fait comme tout le monde il met ses mots de passe dans un mail qu'il enregistre sans envoyer comme cela il a ces mots de passe partout via son webmail/imap... :) a+ On a un candidat pour la pire idée de l'année ;) j'avoue c'est complément con, il suffit ensuite qu'il fasse une fausse manip dans son client Imap pour que tous ses mots de passe se retrouvent disséminés aux 4 vents...it's fucking retarded ! Clément. --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Le 23/07/2013 21:10, Florent T. a écrit : Puisque c'est une idée qu'elle est pire, que conseilles tu ? Son propre LastPass ;-) --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Ca existe : http://www.teampass.net Et ça marche plutôt pas mal. Thierry Le 23/07/2013 21:47, Christophe Baegert a écrit : Le 23/07/2013 21:10, Florent T. a écrit : Puisque c'est une idée qu'elle est pire, que conseilles tu ? Son propre LastPass ;-) --- Liste de diffusion du FRnOG http://www.frnog.org/ smime.p7s Description: Signature cryptographique S/MIME
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Bonjour la liste, Il y a aussi Clipperz qui est opensource : http://www.clipperz.com/ ( https://github.com/clipperz) En ce qui concerne LastPass par contre, peux-tu expliquer en quoi c'est une mauvaise idée ? Ils n'ont pas accès à nos données puisque comme pour Clipperz le principe est de crypter en local via javascript avant d'envoyer quoi que ce soit sur leurs serveurs (en tous cas c'est ce qu'ils disent). Tu m'as mis le doute du coup là :) 2013/7/24 Christophe Baegert c.baegert-lis...@lixium.fr Le 23/07/2013 21:10, Florent T. a écrit : Puisque c'est une idée qu'elle est pire, que conseilles tu ? Son propre LastPass ;-) --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [BIZ] OVH - incident de sécurité
Hello la liste, Je ne suis pas un expert de la crypto, mais à priori rien n'empeches d'avoir une clé maitre qui peu décoder tout les stores, de la même facon qu'un mail GPG est lisible par l'expediteur, étant donné que tu n'as pas accès au code le doute est permis. Bonne journée, -RB 2013/7/24 FB fbpa...@gmail.com: Bonjour la liste, Il y a aussi Clipperz qui est opensource : http://www.clipperz.com/ ( https://github.com/clipperz) En ce qui concerne LastPass par contre, peux-tu expliquer en quoi c'est une mauvaise idée ? Ils n'ont pas accès à nos données puisque comme pour Clipperz le principe est de crypter en local via javascript avant d'envoyer quoi que ce soit sur leurs serveurs (en tous cas c'est ce qu'ils disent). Tu m'as mis le doute du coup là :) 2013/7/24 Christophe Baegert c.baegert-lis...@lixium.fr Le 23/07/2013 21:10, Florent T. a écrit : Puisque c'est une idée qu'elle est pire, que conseilles tu ? Son propre LastPass ;-) --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
