Potyos s'est intéressé aux connexions massives vers une machine, souvent connu sous le terme d'attaque DDoS ou attaque par déni de service. Avec la création d'un petit lab à la maison pour tester différents outils et observer la réaction du serveur face à autant de connexions simultanées :

J'aime bien son approche empirique, cela me rappelle un peu "ici Amy Plant".

Il le rappelle dans sa vidéo mais il vaut mieux 2 fois qu'une : mais ne tentez pas ça sur autre chose que » Lire la suite

Ou plutôt un bug, selon l'implémentation des RFC, comme souvent. Ce bug semble au départ assez anodin, jusqu'à ce que l'on comprenne l'enjeu : il permet en effet de recevoir un email destiné à une adresse email A sur une adresse email B.

Voici la découverte de Gareth Heyes, comptée par Hackintux (comme d'hab, vidéo au top!) :

Certaines vulnérabilités sont d'ailleurs découvertes par des » Lire la suite

Thomas nous raconte la faille qui a été tué dans l'œuf aussi vite qu'elle était arrivée : XZ Utils.

Et il est vrai que le scénario est digne d'un film et qu'on est passé très près d'une grosse crise mondiale (ou une attaque ciblée) dont on aurait pu se souvenir longtemps. Mais est-ce vraiment la seule faille dormante qui a existé ? bien sûr que non. Même le code source ouvert peu laisser passer des portes dérobées.

Si l'on a arrive à générer une offre d'emploi avec l'IA, on doit sans doute pouvoir identifier une backdoor non ?!

Merci Thomas (cocadmin) 👍

De plus en plus de sites sont situés derrière un WAF, qui permet de filtrer les requêtes malveillantes mais aussi de ne pas exposer un serveur web en direct sur internet. CloudFlare étant le plus connu, mais il en existe bien d'autres.

Problème : il existe quelques méthodes pour ignorer le WAF, souvent à cause de défaut ou d'oubli de configuration. C'est ce que propose Secureaks dans cette vidéo particulièrement bien faite, merci à Romain 👍

Je cherchais un moyen d'énumérer les cipher suite (suites cryptographiques) après avoir configuré un serveur web (Apache).

En effet j'avais des clients qui n'acceptaient que certains type de cipher suite pour dialoguer avec le serveur (un peu tatillons les clients 😁).

Plusieurs façons existent pour lister les cipher suite, voyons comment ⬇️

» Lire la suite

Waked nous propose un contenu assez original sur le rejeu de trames sur le bus CAN d'une voiture. Il est vrai qu'il existe peu de contenu français sur ce sujet donc j'en profite pour vous partager ce contenu :

» Lire la suite

Qui n'a jamais dupliqué des entrées KeePass ? Soit parce que l'auto-type diffère selon les applications qui utilisent un même identifiant/mot de passe, soit parce les URLs d'appel sont différentes.

Si comme moi vous utilisez le même compte sur plusieurs mires de connexion c'est un casse tête. C'est le cas avec les nombreuses URL de connexion d'Office 365, ou de façon générale dès que vous avez un Active Directory. Un seul compte pour plusieurs applications.

Avec une entrée pour chaque connexion il faut toutes les mettre à jour quand le mot de passe change. C'est fastidieux et chronophage.

Voyons comment régler ça pour tout soit dynamique : une fois le mot de passe changé dans l'entrée maître il se propage à toutes les entrées enfant de KeePass.

» Lire la suite

Sylvqin revient sur le malware nommé Triangulation. Un malware qui a poutré iPhone et MacOS grâce à une faille 0day dans iMessage.

Et oui, la sécurité par l'obscurité est loin d'être » Lire la suite

L'installation d'un certificat HTTPS sur votre site web est une opération de routine mais qui peut réserver quelques surprises. On parle ici des certificats payants achetés sur une autorité tierce. Let's Encrypt étant un cas un peu à part je ne l'évoquerai pas ici.

Vous devez installer non seulement le certificat de votre site, mais aussi un ou plusieurs certificats intermédiaires, aussi appelés » Lire la suite

Retour sur l'histoire des protections embarquées sur le DVD : HDCP et AACS pour les intimes.

Avec l'origine de cette fameuse image composée de plusieurs couleurs 😁