Archives par mot-clé : securité

Hack Academy

Je viens de découvrir un site développé par le Cigref qui tente d'expliquer simplement (et avec humour) 4 techniques de piratages : Hack Academy.

Ça n'apportera rien aux gros barbus, mais je trouve ça relativement clair pour les plus novices...

Le teaser sur Viméo :

hack-academy

Et le site ou toutes les vidéos sont consultables (et mises dans le contexte) : http://www.hack-academy.fr

Mon petit VPS : sécuriser Owncloud par un accès en HTTPS

Un accès sur Owncloud avec une connexion http est plutôt risquée (interception des données possibles), il est donc préférable d'y accéder en HTTPS.

Quel choix ai-je ?

  • Créer une connexion chiffrée avec un certificat privé, mais il y aura des alertes (facilement compréhensibles pour les pas trop néophytes, mais déstabilisantes pour les non initiés) et des importations à faire manuellement sur les tablettes ou smartphones...
  • Acheter un certificat auprès d'une autorité reconnue... on commence en gros à 50€ HT / an.
  • Attendre que Let's Encrypt avance sur son projet... Et j'attends !
  • Profiter de l'offre de StartSSL qui propose un certificat gratuit pour son domaine.

Je précise que la qualité de la « sureté » de la connexion n'est pas dépendante du fait d'acheter cher ou non le certificat... La preuve ?

2015-09-11_14-33-54

 2015-09-11_14-37-38

Mais on ne protège pas le même type de contenu...

Lire la suite de l'article « Mon petit VPS : sécuriser Owncloud par un accès en HTTPS »

Mon petit VPS : bloquer les tentatives d’intrusion avec Fail2ban

Fail2Ban permet d'analyser les logs (journaux d'événements) et de repérer les tentatives d'intrusion.

Dans ce cas, il va créer une règle sur le pare feu pour temporairement bannir l'adresse IP qui tente de pénétrer...

Installation

Le logiciel est dans les dépots, alors pas très compliqué :

apt install fail2ban

Lire la suite de l'article « Mon petit VPS : bloquer les tentatives d’intrusion avec Fail2ban »

Mon petit VPS : sécuriser l’accès root

Root est un utilisateur qui a tous les droits sur le serveur... il faut donc le sécuriser au max !

Changer le mot de passe root

Il me semble impératif de changer le mot de passe root donné par OVH et qui est plutôt petit... (petit rappel pour les mots de passes).

passwd

Puis entre le nouveau de mot de passe (rien ne s'écrit, c'est normal) et le confirmer.

Empêcher root de se connecter

Si je tente de rentrer dans un système, je vais utiliser les comptes par défaut... sous linux, le super administrateur s’appelle root... On va faire en sorte qu'un seul autre utilisateur puisse se connecter, et empêcher root de se connecter.

Lire la suite de l'article « Mon petit VPS : sécuriser l’accès root »

Libérééééééé, délivréééééééé…. Mise en place d’un VPS pour mes données

Ayant une connexion pas très fiable chez moi, j'ai opté pour héberger mes services sur un VPS (Virtual Private Server) plutôt que sur un serveur à mon domicile.

C'est un premier essai, dans un premier temps j'ai pris un serveur basique et seulement pour 3 mois chez OVH (offre VPS OVH), il y aura toujours la possibilité d'évoluer par la suite...

Je ferais une série d'articles par la suite pour décrire les étapes de la mise en place... Je ne sais pas à quel rythme, on verra bien...

En gros, les étapes initiales seront :

  1. Sécuriser l'accès
  2. Mise en place de LAMP
  3. Mise en place de Owncloud
  4. Déplacer mon site
  5. Mise en place des sauvegardes des contenus critiques
  6. Surement pleins d'autres choses pas encore prévues !

Je pars sur une distribution Ubuntu 14.04 pour l'aspect LTS (support à long terme).

Première remarque : je pensais que j'aurais la possibilité sur l'interface client d'OVH de créer un ou deux snapshoot pour remettre mon serveur en état si je faisais une grosse connerie... et bien non ! J'ai bien la possibilité de réinstaller le VPS autant de fois que je le souhaite, mais il va falloir que j'assure mes arrières...

Faut-il stocker mes mots de passe dans mon navigateur ?

C'est très confortable, mais est-ce sécure ?

Je dirais tout simplement : ça dépend de votre navigateur !

Si vous êtes malin, vous devriez avoir une quantité non négligeable de mots de passe plutôt incompréhensibles (sinon, vous avez tout faut... j'y reviendrais dans un autre article), et vous ne pouvez pas tous les retenir. Personnellement, j'utilise keepass pour les retenir à ma place, mais là n'est pas le propos.

Considérez la chose suivante : si une personne peut physiquement avoir accès à votre ordinateur, il faut quelques secondes pour récupérer tous les mots de passes stockés dans les navigateurs. Notez que quand je parle de collecter les mots de passe en ayant accès à l'ordinateur, je suppose une clé USB qui collecte les mots de passe de tous les utilisateurs, même si l'utilisateur n'est pas connecté...

C'est évidement plus dur à distance si vous êtes la seule personne capable d'accéder au micro, mais pas impossible.

Le but est donc de compliquer cette opération.

Lire la suite de l'article « Faut-il stocker mes mots de passe dans mon navigateur ? »

Réparer la base de donnée Moodle

Au fur et à mesure des updates / upgrades, la base de donnée Moodle a tendance à se perturber...
Deux choses sont à faire après une upgrade importante (changement de version).

Sous Moodle

Des outils de vérification de base sont déjà présents dans Moodle. Allez dans Administration du site / Développement / Expérimental / Éditeur XMLDB
En haut de page vous avez :
  • Vérifier les index
  • Vérifier les valeurs par défaut
  • Vérifier les longs entiers (bigints)
  • Vérifier les clefs extérieures

Ces outils permettent de vérifier des éléments essentiels de la base.

Ils ne font qu'un check et proposent des solutions si nécessaire.

Sous MySQL

Vous pouvez vérifier / réparer les bases, et les optimiser pour gagner en performance avec les commandes :
CHECK TABLE
REPAIR TABLE
OPTIMIZE TABLE
Sur votre serveur; connectez vous à Mysql et sélectionnez la base Moodle :
mysqld
USE moodle
Puis lancer la vérification (et la réparation si nécessaire), puis l'optimisation des tables importantes et sensibles :
CHECK TABLE mdl_course_sections;
CHECK TABLE mdl_forum_posts;
CHECK TABLE mdl_log;
CHECK TABLE mdl_sessions;
CHECK TABLE mdl_backup_controllers;
CHECK TABLE mdl_grade_grades_history;
CHECK TABLE mdl_backup_log;
OPTIMIZE TABLE mdl_course_sections;
OPTIMIZE TABLE mdl_forum_posts;
OPTIMIZE TABLE mdl_log;
OPTIMIZE TABLE mdl_sessions;
OPTIMIZE TABLE mdl_backup_controllers;
OPTIMIZE TABLE mdl_grade_grades_history;
OPTIMIZE TABLE mdl_backup_log;

Il existe une méthode un peu plus brutasse : vérifier et optimiser toutes les tables de la base Moodle...

Dans l'invite de commande, tapez :

mysqlcheck --auto-repair --database moodle
mysqlcheck --optimize --database moodle

Ou alors carrément et monstrueusement brutasse : toues les tables de toutes les bases...

mysqlcheck --auto-repair --all-databases
mysqlcheck --optimize --all-databases