Liste de partage de Grorico
On pensait que la « révolution mobile » allait arriver par Free, et finalement, c’est la Fédération France Wireless qui a fait une annonce du tonnerre lors des RMLL (Rencontres mondiales du logiciel libre).
France Wireless va proposer des forfaits mobiles 3G en data uniquement (pas de voix) pour la modique somme de 42 € TTC (comme de par hasard)
Pas de limite de débit, pas de censure au niveau des sites ou des protocoles…etc. Probablement, le premier et seul internet mobile respectueux de la neutralité des réseaux.
L’offre est sans engagement et vous disposerez d’une adresse IPv4 fixe (et d’un bloc IPv6). Si l’offre vous intéresse, vous pouvez demander une pré-inscription et plus d’infos par email reponse@wireless-fr.org.
Si la FFW arrive à rassembler au minimum 1024 personne, elle activera cette offre. En tout cas, cette offre est ouverte à tous les opérateurs associatifs en tant que marque blanche.
Génial non ?
Avec la montée en puissance des piratages à base d´injection SQL, l´envie pressante de tester son site Internet touche de plus en plus de possesseur de site web. ZATAZ.COM vous propose les outils qui devraient vous amener à mieux sécuriser votre PRECIEUX ! Soyons clair, les outils proposés dans cet article ne vous aiderons pas à pirater votre prochain, à être les nouveaux AntiSec/LulzSec en culotte courte. ZATAZ.COM n'a pas pour vocation de vous faire croire que vous aller devenir The Hacker que chérira Mémé Lulu ou Tonton Rouflaquette.
Les outils présents ici sont légaux et vous ouvrirons les yeux sur ces failles qui nous pourrissent l'existence numérique. Avant de rentrer dans le vif du sujet, petit rappel de loi, histoire de ne pas mourir idiot. En Europe, être en possession d'un logiciel qui permet le hacking constitue une infraction aux yeux du législateur. Le Conseil des Ministres de l'Union Européenne a soutenu, début juin 2011, l'extension des sanctions pénales à l'encontre des internautes en possession, et utilisateur, de programme de piratage. En France, la peine peut atteindre 3 ans de prison et plusieurs dizaines de milliers d'Euros. Attention, un test de "sécurité" à l'encontre d'un site, d'un serveur web sans autorisation, même si l'état d'esprit du testeur n'est pas de nuire, est considéré comme un acte de piratage informatique. Trois articles du code pénal prévoient des sanctions sérieuses allant de trois ans d'emprisonnement et 45.000 euros d'amende.
Injection SQL, kesako
Comme le stipulent les contributeurs de Wikipedia : "Une injection SQL est un type d'exploitation d'une faille de sécurité d'une application interagissant avec une base de données, en injectant une requête SQL non prévue par le système et pouvant compromettre sa sécurité." Bref, vous prenez un script mal codé, vous lui injectez un code particulier, via un simple url appartenant au site contenant le script infecté, et le tour est joué. Comme nous vous l'indiquions voilà plus d'un an, des outils pirates automatisent ce genre d'injection. Depuis quelques semaines, les pirates "pousse-bouton" (LulzSec, ...) mettent la main sur des bases de données via ce type d'outil pirate. Il faut savoir que les injections sont numéro 1 du top 10 du projet OWASP, juste devant les Cross Site Scripting (XSS) et les problèmes d’authentification (Broken Authentication and Session Management). Les outils que ZATAZ.COM va vous présenter ne sont exhaustifs. Il en existe d'autres.
Sqlmap
Sqlmap est un outil open source qui permet de lancer des tests de pénétration. Créé par Bernardo Damele A. G. et Miroslav Stampar, ce logiciel est distribué sous forme de code source. L'outil automatise le processus de détection. Il possède un moteur de détection puissant. Tonton Wow vous explique en long, en large et en luxembourgeois le fonctionnement de la bête.
Metasploit
Le Framework Metasploit est un logiciel gratuit. Une solution open source de tests développé par la communauté open source et Rapid7. Le Framework Metasploit est le standard de facto pour les tests de pénétration. Plus d'un million de téléchargements uniques par an lui offre ainsi la plus grande base de données publique d'exploits au monde.
Mutillidae
Cette fourmis poilue numérique tourne sous Linux et Windows. L'idée de Mutillidae, permettre d'apprendre comment fonctionne une attaque afin d'aider à comprendre comment se protéger. Mutillidae, la dernière version est signée 2.0.10, a été écrit par Jeremy Druin.
Acunetix Web Security Scanner
Autre outil, autre scanner, celui de la société Acunetix. Un scanner web qui permet de regarder ce qui se passe dans votre code et votre serveur. Acunetix vérifie automatiquement vos applications web et s'assure qu'aucunes injections SQL, XSS et autres vulnérabilités web ne traine chez vous. La version gratuite travaille sur les XSS. Intéressant, le livre blanc sur comment bien sécuriser un site web. En anglais mais particulièrement instructif.
Test online
Pour éviter de finir réveillé par les "Amis du petit déjeuner", car eux aussi on le droit de dormir, voici plusieurs sites Internet spécialement créés pour comprendre et tester des failles. WebGoat, par exemple, est une application J2EE délibérément mal sécurisée. Elle permet de travailler et comprendre les trous qui peuvent faire mal. Une interface Web vous permet de résoudre des défis allant du XSS, en passant par l'iSQL ou le vol de session. Ça tourne sous Windows, Linux et Mac. Webscantest, par exemple, vous ouvre la découverte des DB injections, Blind SQL et autres Ajax, file Upload ou encore XSS. Même idée avec "Crack me Bank".
Dernier détail, de taille, ne vous contentez pas d'outil. Pensez à faire appel à des professionnels de la sécurité informatique. Ils sont certes couteux, mais rien ne remplacera l’œil d'un expert humain. ZATAZ.COM vous conseille aussi de vous pencher sur le Rosetta Code, une série de paramètres qui peuvent permettre d'éviter les injections SQL.
« Marignan ? euh, non je me souviens plus mais c'est pas grave c'est sur le Web ». L'Homo sapiens a développé de nombreuses stratégies pour retenir des quantités énormes...
OK, puisque je laisse mes données personnelles un peu partout, j’accepte l’idée : je suis, tu es, nous sommes traçés, autant d’ailleurs par les organismes de cartes de crédit que par Twitter ou Facebook. Mais est-ce si grave, Monsieur le docteur Web ? Faut-il pour autant se la jouer parano ? Il y a ainsi cette société suisse, WISekey, qui vient de sortir une application iPhone et Androïd, pour l’instant gratuite, afin de me permettre de crypter mes infos perso… Autrement dit : avec ce nouveau machin, je peux choisir les informations que je livre aux chasseurs de données, et dans quel but. Je peux par exemple accepter le deal uniquement pour recevoir des cadeaux et être récompensé de mes talents de consommateur par des programmes de fidélité. Dans un genre encore plus flippé, le bon vieux géant Microsoft ou le spécialiste de la sécurité informatique McAfee vendent des logiciels pour m’éviter d’être épié. Et puis il y a Reputation.com qui dispose d’un service, forcément payant, pour que mon nom soit supprimé d’un certain nombre de bases de données en ligne ou me permettre de crypter mes posts sur Facebook… Sauf que voilà : je veux bien croire que mes données personnelles valent de l’or, je veux bien imaginer qu’un nombre non négligeable de sociétés aimeraient les posséder, mais je suis plutôt du genre confiant, bref pas du style à mettre un masque sur Facebook comme le font de plus en plus de mes amis. Et puis surtout, l’idée de sortir de l’argent de mon porte-monnaie (virtuel) pour éviter d’être « tracé », je trouve ça exagéré ! En revanche, j’ai découvert qu’une start-up londonienne, qui s’appelle Allow, a trouvé un moyen de me rémunérer en échange de mes infos perso ! Elle propose à tous les internautes britanniques – et bientôt aux Français ? – de toucher 70 % des bénéfices de la vente de leurs données à eux. Le mécanisme est bien huilé : Allow s’occupe d’effacer les données de ses clients dans les principales bases marketing existantes, afin de raréfier les infos. Ensuite, elle inscrit ses clients sur les listes rouges officielles, qui n’existent, il est vrai, que pour nos numéros de téléphone et notre adresse postale, et pas pour mon adresse mail, ce qui est dommage. Les données prennent davantage de valeur pour deux raisons : parce qu’elles deviennent plus difficiles à trouver, et parce qu’elles sont issues de profils « consentants ...
