Homo Sapiens Neuromatrix

A new wide-impact cryptographic attack has been published a few hours ago: Logjam.

It's an attack on the Diffie-Hellman key exchange mechanism, with impact:

• on TLS/SSL if the EXPORT algorithms are still enabled and if Diffie-Hellman parameters are lower than 2048-bit long;
• on SSH when old versions of OpenSSH are still in use.

For this personal web site I use 8192-bit Diffie-Hellman parameters for some times now, so even if it may seem a high value I can at least consider me as walking on the safe side. ;-)

I'm wondering how the Apache HTTPd users will get out of this particular risk: there is no way to select a fixed set of Diffie-Hellman parameters in the configuration, even in the 2.4 versions (the DH length is automatically chosen based on the length of the key in the certificate, see Ivan Ristić's explanation). Final thought on this subject: Nagios NRPE (the Nagios monitoring agent) still uses 512-bit DH parameters with ADH for the "security" of its communication with the monitoring station...

Attention, grosse faille dans OpenSSL : HeartBleed (alias CVE-2014-0160).

La planète entière est en train d'appliquer les correctifs et de faire renouveler toutes les clés et tous les certificats X.509 qui sont utilisés, on parle de faille de la décennie. Le patch pour OpenBSD 5.4 a été publié ce matin (cf errata54.html).

Vu via un post de Stéphane Bortzmeyer sur l'indispensable liste de diffusion FRnOG : vous pouvez tester vos sites web depuis ces deux adresses :

• http://filippo.io/Heartbleed/ ;
• http://possible.lv/tools/hb/.

N'essayez pas, mouet-mouet.net est patché depuis ce matin. ,-)

Ça faisait longtemps que je n'avais rien publié ici, donc j'en profite : le dernier xkcd en date (xkcd 1110) est l'un des meilleurs que j'ai eu l'occasion de lire, très beau et très poétique.

La carte complète de la dernière image est trouvable sur le web. J'espère la trouver un jour dans le store sous forme de poster grand format...

Vu que je suis (comme d'habitude ?) en pleine période de recherche d'emploi, je viens de mettre à jour mon Curriculum Vitæ. À bon entendeur...

Comme indiqué par Theo de Raadt sur la liste de diffusion openbsd-misc, OpenBSD 4.6 vient d'être officiellement publié. (L'information vient en outre d'être relayée par Undeadly.)

Profitons-en pour remercier toutes les personnes qui participent au quotidien au développement de ce beau projet libre : les développeurs bien sûr, mais aussi les porteurs, les traducteurs, et toutes celles et tous ceux qui publient jour après jour des documentations permettant de progresser et d’apprendre. MERCI A TOUS !

Ça y est, ma traduction de l'excellent The Book of PF de Peter N.M. Hansteen (blog) vient d'être publiée, chez Eyrolles, sous le titre Le Livre de Packet Filter (collection Cahiers de l'Admin) !

Ce livre, basé sur le célèbre didacticiel que l'auteur avait rédigé comme support de conférence, est l'un des très rares ouvrages (le seul en français) à couvrir ce filtre de paquets développé par Daniel Hartmeier pour OpenBSD, puis repris et intégré par FreeBSD et NetBSD. Il intéressera les professionnels (administrateurs système et/ou réseau, etc.) désireux d'apprendre à se servir de ce petit bijou qu'est PF, ou de se perfectionner dans sa maîtrise, ainsi que les amateurs de bidouille réseau qui y trouveront largement de quoi s'amuser quelques temps.

Comme son titre l'indique, ce livre ambitionne de servir de support à l'apprentissage et à la maitrise de tous les aspects de Packet Filter.

Une fois les présentations terminées (qu'est-ce que PF, pourquoi c'est pas disponible dans le monde GNU/Linux, etc.), on enchaîne sur un premier chapitre qui sert d'introduction, présentant les grandes lignes de l'histoire du développement de PF et expliquant les bases de la terminologie employée (NAT, IPv4/IPv6, différences entre filtre réseau et pare-feu, etc.).

On en arrive alors, au deuxième chapitre, à la configuration basique de PF, de son activation à l'écriture d'un tout premier jeu de règle pour une machine seule et autonome ; tout est détaillé pour OpenBSD, FreeBSD et NetBSD. L'auteur touche également deux mots à propos des statistiques que peut nous donner pfctl(8) si on lui demande gentiment.

Les choses sérieuses commencent au troisième chapitre : on commence par la gestion de la NAT, avec une mention spéciale pour la gestion du protocole FTP dans un réseau NATé (ftp-sesame, pftpx et bien entendu ftp-proxy), on continue par le debugging réseau (protocole ICMP pour le ping, traceroute, et la MTU path discovery), et on termine par l'explication de pourquoi les tables c'est bien. Notez qu'à chaque fois, les détails sont donnés pour les implémentations de PF d'OpenBSD, de FreeBSD et de NetBSD.

Le chapitre 4 est tout entier consacré aux réseaux sans-fil (Wi-Fi) : généralités d'usage, configuration d'une interface Wi-Fi côté client et côté routeur (avec le morceau de script /etc/pf.conf qui va bien), et on termine bien entendu par la spécialité locale : la création d'une passerelle authentifiante grâce à authpf.

Au cinquième chapitre, l'auteur termine son tour des fonctionnalités basiques de PF, que tout administrateur ou passionné se doit de maitriser pour utiliser PF dans une vraie configuration : mise en place d'une DMZ (avec ou sans NAT), filtrage de service (accessibilité depuis l'extérieur et/ou depuis le LAN), répartition de charge avec hoststated, utilisation des tags (étiquettes) pour clarifier le jeu de règles de filtrage. L'auteur ajoute à cela la mise en place d'un pare-feu ponté (décrite pour OpenBSD, FreeBSD et NetBSD), et une petite astuce pour gérer le fait que les adresses IPv4 non routables ne devraient jamais ni envoyer ni recevoir de trafic par Internet.

Au chapitre 6 (mon préféré), l'auteur traite ce qui est peut-être LE sujet par excellence quand on touche à OpenBSD : la défense pro-active. C'est ainsi qu'il (re-)donne l'astuce qui a fait la célébrité de son didacticiel en ligne : la gestion des attaques par force brute grâce à une liste noire et à quelques options (max-src-conn, max-src-conn-rate, overload, et flush global). Ensuite, l'auteur explique en détail la mise en place d'une stratégie antispam grâce à spamd ; au menu : liste noire, liste grise (greylisting), greytrapping, et utilisation des outils associés que sont spamdb et spamlogd. Que l'on me permette d'insister : ce chapitre constitue la seule vraie documentation sur spamd existant en français à l'heure actuelle, alors ne boudons pas notre plaisir...

Quant au septième chapitre, il conviendra aux plus barbus : ALTQ est détaillé sur une vingtaine de pages, et le couple CARP/pfsync sur une dizaine. Au vu du faible nombre de documentations existant en français sur ces sujets, les connaisseurs apprécieront...

Enfin, le chapitre 8 est consacré à la journalisation et aux statistiques (pflog, syslog, labels pour les règles, pftop, pfstat, pfflowd), et le neuvième et dernier chapitre donne une référence aux options utiles mais non couvertes dans le reste du livre, notamment la normalisation de trafic (scrub).

Vous trouverez en outre deux annexes, qui donnent respectivement des références documentaires et des remarques de l'auteur concernant la prise en charge du matériel.

A noter que l'intégralité du livre a été mis à jour pour être en concordance avec les dernières modifications survenues dans PF entre la sortie de la dernière version en date (OpenBSD 4.5) et celle qui sortira le 1er novembre prochain (OpenBSD 4.6), je pense notamment à scrub. Vous savez sur qui taper en cas de problème. ;-)

Vous l'aurez compris, cet ouvrage est une mine d'or pour qui cherche à apprendre à se servir de Packet Filter, que ce soit dans un cadre professionnel ou amateur.

Et si vous voulez voir un peu ce que cela donne concrètement, sachez que, suite à mon travail de traduction, j'ai décidé de réécrire totalement le script de configuration pf (/etc/pf.conf) que j'utilise pour mon réseau personnel, et j'y ai inclus un grand nombre d'astuces que l'on trouve dans le livre.

J'aimerais terminer en remerciant les éditions Eyrolles pour m'avoir fait confiance sur ce projet que j'ai mis plus d'un an à voir aboutir, Rodrigo Osorio pour avoir bien gentiment accepté de traduire le texte Explaining BSD de Greg Lehey afin que je ne sois pas obligé de faire pointer mes lecteurs vers un texte anglais :), et le canal IRC #OpenBSD.fr pour m'avoir bien aidé quand j'en avais besoin.

Et, enfin, juste pour vous mettre l'eau à la bouche, voici la traduction du fameux haïku PF que Jason Dixon a publié sur la liste de diffusion de PF, le 20 mai 2004, et qui conclut l'Avant-propos du livre :

Comparé à iptables, PF est comme ce haïku :

A breath of fresh air,                   Un souffle d'air frais,
floating on white rose petals,   Flottant sur de blancs pétales,
eating strawberries.                    En mangeant des fraises.

Et voilà que je m’emporte :

Hartmeier codes now,                       Hartmeier développe,
Henning knows not why it fails,          Henning ne comprend pas
fails only for n00b.             Pourquoi les nuls n’y arrivent pas.

Tables load my lists,                Des tables chargent mes listes,
tarpit for the asshole spammer,      Punition pour les spammers.
death to his mail store.                  Mort à leur commerce !

CARP due to Cisco,                          CARP vient de Cisco,
redundant blessed packets,             Paquets redondants bénis,
licensed free for me.                        Sous licence libre.

Voilà, c'est fait.

Je me souviens, dans mes lectures adolescentes, d'être tombé sur la Raver FAQ. L'une des questions-réponses disait :
''Combien faut-ils de ravers pour changer une ampoule ? Un seul. Mais tous les autres prétendront que l'ancienne était mieux.''

Eh bien voilà : combien faut-il de députés pour voter une loi liberticide et complètement hors-de-propos ? Seize.

Un grand jour pour Universal, mais un sale jour pour la France.

Les quelques lecteurs assidus de mon modeste web log n'auront pas manqué de remarquer la bannière noire qui trône en haut de la colonne de droite depuis quelques jours. Elle sert à marquer mon mécontentement face à la loi Internet et Création, votée au Sénat en octobre 2008 et qui doit passer devant le Parlement le 4 mars prochain.

Cette loi, basée sur les recommandations du rapport Olivennes (Denis Olivennes étant l'ancien patron de la FNAC), préconise la création d'une Haute Autorité pour la Diffusion des Œuvres et la Protection des Droits sur Internet (HADOPI) ainsi que la mise pratique du principe de riposte graduée.

La HADOPI aurait pour but :

• la surveillance des réseaux de partage de fichiers ;
• la création et la maintenance d'une liste blanche des sites web autorisés depuis les points d'accès Wi-Fi publics ;
• la mise en place d'un pare-feu gouvernemental empêchant le téléchargement illégal de contenus placés sous droits d'auteur, technologie calquée sur le modèle chinois.

Le principe de "riposte graduée" consiste en une répression se faisant en trois étapes :

• avertissement par courrier électronique ;
• avertissement par courrier postal recommandé ;
• coupure de l'accès à Internet.

Par cette loi, le gouvernement français constate l'échec de la loi sur les Droits d'Auteurs et les Droits Voisins dans la Société de l'Information (DADVSI), mais refuse l'évidence de son inadéquation avec les mœurs et les comportements actuels, et persiste dans la voie de la répression à l'encontre de l'immense majorité des internautes français et de la sauvegarde des intérêts des grandes structures du cinéma et de la musique, qui refusent d'évoluer et d'abandonner un modèle économique inadapté à la société actuelle.

La HADOPI, simple autorité administrative dépourvue de la moindre légitimité juridique, fonctionnerait comme un simple vassal de l'industrie de la musique et du cinéma : elle ne serait en charge que de l'envoi des avertissements et de l'exécution des sanctions de coupure de l'accès à Internet. Elle ne mènerait aucune investigation réelle, les dossiers à charge lui seraient directement communiqués par l'industrie du cinéma et de la musique, et se contenterait d'engager la répression sans vérification des preuves (la légitimité de ces soit-disant preuves étant largement contestée, tant sur le plan technique, que juridique ou même moral).

En somme, une police privée demanderait, sur la foi de preuves discutables, qu'une autorité administrative condamne sans jugement la quasi-totalité des internautes français.

La HADOPI serait également en charge de l'établissement d'une "liste blanche" de sites web, afin que les points d'accès à Internet sans fil (Wi-Fi bien entendu, mais également Wimax, la seule solution viable d'accès à Internet en milieu rural !) soient filtrés, et n'autorisent l'accès qu'à des sites web certifiés par l'État français comme ne diffusant pas d'œuvres couvertes par des droits d'auteur. Étant donné l'impossibilité de recenser, classifier, et juger la totalité des sites web qui peuplent la toile au niveau mondial, on constate la folie de ce projet.

Enfin, en ce qui concerne la Grande Muraille de France, ce projet de pare-feu gouvernemental qui, sur la base du volontariat, "protègerait" les citoyens français en leur interdisant d'office l'accès à un certain nombre de ressources dites sensibles et/ou illégales, il suffit de rappeler qu'il se base sur le modèle chinois pour décrire avec précision l'horreur antidémocratique qu'il annonce.

Quant au principe de riposte graduée, qui n'est soutenu en fait que par le gouvernement français, il a été jugé contraire aux Droits de l'Homme par le Parlement Européen (amendement 138, dit amendement Bono, sur le Paquet Telecom).

C'est le collectif La Quadrature du Net, qui informe et relaie les informations sur les dangers de cette loi jugée inapplicable et irréaliste, a lancé l'initiative de ce black out du Net français par un appel lancé depuis son site web le 25 février 2009. Pour y répondre, il suffit d'une part de choisir une bannière à afficher sur son site web parmi celles qui sont proposées, et d'autre par de s'inscrire à la liste des nombreux sites web qui suivent le mouvement de black out du Net français.

Ce collectif a publié plusieurs textes, notamment un impressionnant dossier expliquant ses griefs à l'encontre du projet de la Ministre Christine Albanel, et une liste de questions-réponses expliquant pourquoi le principe de riposte graduée est un mauvais principe.

Les associations Chtinux (Groupe d'Utilisateurs de Logiciels Libres de la métropole Lilloise) et APRIL (association nationale de défense et de promotion des logiciels libres), dont je suis membre, ont clairement et publiquement pris position contre ce projet de loi. Chtinux a, en outre, publié un communiqué de presse à ce sujet.

Je recommande également la lecture des deux édifiants articles du célèbre avocat Maître Eolas, l'un en réponse à la tribune de Luc Besson parue dans le quotidien Le Monde, et l'autre en réponse à l'interview du porte-flingue de Nicolas Sarkozy, Frédéric Lefebvre, qui traite beeMotion et Free de dealers.

Chacun de nous peut aider à contrer cette menace imminente. En plus d'afficher son soutien en participant à la campagne de black out, nous pouvons tous contacter nos députés respectifs afin de les informer du danger, et de leur exprimer nos inquiétudes. Le collectif La Quadrature du Net a, là aussi, fait un énorme travail en recensant les coordonnées de tous les députés français, classés par département. Nous pouvons ainsi facilement trouver où et à qui envoyer un petit message électronique, et/ou passer un coup de fil. Pas besoin de donner un cours sur le pourquoi du comment, juste tirer la sonnette d'alarme, afin de faire passer l'information, et d'inciter nos élus locaux à se renseigner sur le sujet, notamment en lisant le dossier préparé par La Quadrature, qui a précisément été rédigé dans le but d'être lu par les parlementaires. Sachez enfin qu'il existe un groupe Facebook Pour l'ouverture d'une enquête parlementaire contre Christine Albanel ! afin de déterminer si notre Ministre n'aurait pas des intérêts personnels dans la concrétisation de ce projet de loi.

N'hésitez donc pas à en parler autour de vous, l'avenir du Net français en dépend !

Patches

Un patch a été publié pour OpenBSD 4.4 et OpenBSD 4.3 depuis le dernier numéro d'OpenBSD : les nouvelles du front :

• patch de fiabilité pour OpenBGPd (OpenBSD 4.4)
• patch de fiabilité pour OpenBGPd (OpenBSD 4.3)

La procédure d'application est décrite en commentaire dans le patch :

Application du patch :
cd /usr/src
patch -p0 < 010_bgpd.patch
Reconstruction et réinstallation de bgpd :
cd usr.sbin/bgpd
make depend
make
make install

Nouveaux développeurs

• Stefan Sperling (stsp@) qui travaille beaucoup sur /usr/sbin/ospf6d et /usr/sbin/ospf6ctl.
• Ariane van der Steldt (ariane@), qui travaille dans le noyau après avoir proposé sur tech@ un début d'implémentation de NUMA (Non-Uniform Memory Access) pour OpenBSD.

Arbre des sources

• Depuis le 8 février, la branche -current s'appelle désormais 4.5-BETA !
• Suppression de wake(8) quelques jours à peine après son inclusion : mbalmer@ déclare dans le commentaire de son commit sur le CVS que "les répertoires binaires sont pleins, aucune commande ne sera ajoutée", et il tient le même discours sur undeadly...
• Sortie de pfsync version 5, incompatible avec la version précédente. Après avoir demandé qu'on teste son patch sur tech@ (demande relayée quelques jours plus tard par undeadly), puis avoir finalement commité ses modifications, David Gwynne (dlg@) s'explique là-dessus dans une série d'articles à paraître sur undeadly, dont le premier se nomme Active-Active Firewall Cluster Support in OpenBSD. Souvenez-vous : cette nouvelle version de pfsync (outil destiné à synchroniser plusieurs pare-feux pour de la redondance (et donc de la haute disponibilité)) est incompatible avec la précédente.

Arbre des ports

• L'arbre des ports est verrouillé depuis le 19 février, en vue de la publication d'OpenBSD 4.5 (qui sortira le 1er mai, comme d'habitude).
• La valse des serveurs IRC. L'époque pas si lointaine où il n'y avait qu'un unique serveur IRC (ancien et non maintenu) dans l'arbre des ports d'OpenBSD est révolue ! À peine quelques jours après l'import de net/ircd-hybrid, voici celui de net/ircd-ratbox.
• Les nouvelles de l'arbre des ports pour la semaine du 9 au 15 février 2009 sur undeadly, avec notamment l'inclusion de net/ircd-hybrid, sysutils/memtest86+ et www/piwik (dont j'ai déjà parlé ici, et qui ne supporte malheureusement toujours rien d'autre que MySQL...).

Site web

• Nick Holland (nick@) nous offre un nouvel article dans la FAQ 11 (la FAQ concernant X Window System) : Customizing X (besoin d'un traducteur ?).

Cela faisait des mois que je cherchais un flux RSS permettant de suivre l’évolution quotidienne d’OpenBSD, c’est-à-dire une version web2.0 de l’austère liste de diffusion source-changes@.

Et voilà que Monsieur DbD- sort mine de rien la grosse info, au détour d’une discussion sur le canal IRC d’OpenBSD France, #OpenBSD.fr...

Comme quoi, on a beau dire ce qu’on veut, IRC c’est quand même vachement bien \o/ :).