[FRnOG] [BIZ] Datacenters en Côtes d'Armor

2016-06-05 Par sujet Gerard Dupin 
Bonsoir

Y a-t-il des datacenters opérationnels ou en projet dans le 22 ?

Cdt
Ge
---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] Le trolldi du vendredi par Michel

2016-06-05 Par sujet Solarus 


Le 05/06/2016 à 10:18, Guillaume Tournat a écrit :
> Le déchiffrement SSL permet d'analyser ce qui passe en chiffré. 
>
> Le but n'est pas forcément de bloquer les sites "loisirs" qui nuiraient à la 
> productivité (ca peut)
>
> Mais surtout de bloquer les malwares, les protocoles "suspects" (peer to 
> peer, tor), les botnets. 
>
> Voire de faire du shaping sur ce qui tue la bande passante (streaming), pour 
> permettre aux applications métiers d'être "responsive".
>
Si tu arrives à détectes une attaque en analysant le contenu d’une
session SSL tu m’appelles, parce que j’ai souvent entendu l’argument
mais je ne l’ai jamais vu à l’œuvre.
A fortiori du contenu vers un site authentique comme Google (des
légendes racontent que HTTPS sert aussi à authentifier les sites, mais
les vendeurs de MiTM m’ont assuré que c’était du folklore).

De manière générale je n’ai jamais vu une attaque qui ait été déjouée
par du MiTM et qui n’aurait pas pu l’être par une blacklist, un Firewall
ou un IDS.

Le seul argument valable pour le MiTM c’est que ça permet d’espionner
les employés pour éviter les fuites de données (whistleblower). Et
encore, je pense que le gars qui voudra faire fuiter des données ne
passera pas par le proxy de la boite.

Bref, sacrifier l’authentification des sites, et mettre ainsi mes
utilisateurs et ma boite sont un prix trop lourd à payer pour l’échanger
contre du MiTM.
Surveillez les sessions sur un bon vieux proxy CONNECT et vous serez
tranquille.

Solarus


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] Le trolldi du vendredi par Michel

2016-06-05 Par sujet Radu-Adrian Feurdean 
On Sun, Jun 5, 2016, at 10:18, Guillaume Tournat wrote:
> Le déchiffrement SSL permet d'analyser ce qui passe en chiffré. 

... qui est peut-etre chiffre pour un raison legitime ...

> Le but n'est pas forcément de bloquer les sites "loisirs" qui nuiraient à
> la productivité (ca peut)

Mon experience me dit qu'au contraire c'est plutot ca + loguer le
moindre chose (pour faire plaisir a certains managers abrutis).

> Mais surtout de bloquer les malwares, les protocoles "suspects" (peer to
> peer, tor), les botnets. 

Ce qui implique aussi un moteur AV a jour, qui devient plus ou moins
identique avec un simple filtrage URL+CN.

> Voire de faire du shaping sur ce qui tue la bande passante (streaming),
> pour permettre aux applications métiers d'être "responsive".

Tu n'as pas besoin de regarder dans le contenu pour ca.
En plus, ca me fait toujours rire comment certains peuvent depenser des
sommes folles pour des boites noires qui sont supposes augmenter les
performances d'un lien moisi ou sous-dimensionne.


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] Le trolldi du vendredi par Michel

2016-06-05 Par sujet Guillaume Tournat 
Il faudrait filtrer cette en-tête http sinon ça peut poser souci en effet. 


> Le 5 juin 2016 à 10:10, Ambroise  a écrit :
> 
> Par contre, quelq'u' sait comment se comporte ces proxy filtrant avec le HPKP 
> ?
> Parce que ça peut fputre le bazard avec Google s'ils ne le gèrent pas...
> 
> Ambroise 
> 
> Le 5 juin 2016 03:57:13 GMT+02:00, Michel Py 
>  a écrit :
>> 
>> Merci pour les retours, en particulier pour la partie Firefox dont je ne 
>> connaissais pas l'ampleur du problème.
>> 
>>>  Guillaume Tournat a écrit :
>>>  il y a en général des catégories que l'on ne déchiffre pas, comme les 
>>> services de banque en ligne par
>>>  contre, la précaution (selon l'organisation concernée) est de bien le 
>>> mentionner dans la charte
>>>  utilisateurs pour éviter les levées de bouclier contre l'intrusion 
>>> supposée dans la vie privée.
>> 
>> Aux USA, généralement aucun problème avec çà, quand les utilisateurs sont 
>> des employés ou des sous-traitants. L'Américain moyen est plus discipliné et 
>> moins râleur que le Français moyen, AMHA. Quand on lui dit qu'il faut pas 
>> passer ses heures de bureau sur fessebouc et qu'on MITM les sessions HTTPS 
>> sur le firewall pour essayer de bloquer les
>> merdiciels, çà fait partie du boulot.
>> 
>> Je vois de plus en plus de cas ou l'environnement est "open space" (fini le 
>> "cubicle") donc pas de vie privée sur l'écran visible de tout le monde.
>> 
>> Michel.
>> 
>> 
>> ---
>> Liste de diffusion du FRnOG
>> http://www.frnog.org/
> 
> -- 
> Envoyé de mon appareil Android avec K-9 Mail. Veuillez excuser ma brièveté.

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] Le trolldi du vendredi par Michel

2016-06-05 Par sujet Guillaume Tournat 
Le déchiffrement SSL permet d'analyser ce qui passe en chiffré. 

Le but n'est pas forcément de bloquer les sites "loisirs" qui nuiraient à la 
productivité (ca peut)

Mais surtout de bloquer les malwares, les protocoles "suspects" (peer to peer, 
tor), les botnets. 

Voire de faire du shaping sur ce qui tue la bande passante (streaming), pour 
permettre aux applications métiers d'être "responsive".


> Le 5 juin 2016 à 09:46, Radu-Adrian Feurdean  
> a écrit :
> 
>> On Sun, Jun 5, 2016, at 03:57, Michel Py wrote:
>> pas passer ses heures de bureau sur fessebouc et qu'on MITM les sessions
> 
> On parlait la pas de fessebouq, mais de banque (histoire de verifier que
> le dedommagement pour l'esclavage contractualise, a.k.a salaire a bien
> ete verse).
> 
>> HTTPS sur le firewall pour essayer de bloquer les merdiciels, çà fait partie 
>> du boulot.
> 
> C'est pas en mettant un faux-faux certif (accepte par le navigateur) a
> la place d'un vrai-faux (message d'alerte) qu'on bloque les merdiciels,
> mais bon.
> 
> Apres, je suppose que ce n'est pas la peine de re-ouvrir la discussion
> sur comment etre super-restrictif devient contre-productif, et les
> utilisateurs mettent en oeuvre tous les moyens possibles pour contourner
> les restrictions.
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Délire DHCP sur Cisco 8XX

2016-06-05 Par sujet Bensay 1 
Bonjour David,
C'est aussi ceux là qui font que le métier reste une découverte tout les jours.

Cdt

Benjamin

> Le 3 juin 2016 à 18:23, David Ponzone  a écrit :
> 
> Merci Jérôme, grâce à toi j’ai compris que je n’avais pas activé le bon debug 
> sur le Cisco.
> Effectivement, IP attribuée par une box SFR mise en pirate sur le LAN, donc 
> ma proposition d’IP est refusée par l’AP car IP déjà reçue de la borne…..
> Y a des clients qu’on a envie de buter :)
> 
> 
>> Le 3 juin 2016 à 15:46, Jérôme BERTHIER  a écrit :
>> 
>> Le 02/06/2016 à 14:25, David Ponzone a écrit :
>>> Jun  2 14:15:34.236: DHCPD: Sending notification of TERMINATION:
>>> Jun  2 14:15:34.236:  DHCPD: address 192.168.10.5 mask 255.255.255.0
>>> Jun  2 14:15:34.236:  DHCPD: reason flags: noalloc
>> 
>> Salut
>> 
>> En fait, ça ressemble à ce que ferait le routeur :
>> 
>> - si le client demande explicitement une IP différente de celle du bail déjà 
>> alloué
>> 
>> - si l'IP est déjà visible sur le réseau (via icmp) sans être référencée 
>> dans la binding table
>> 
>> Dans les deux cas, je crois que le routeur est supposé le dire.
>> 
>> ça donne quoi si tu croises avec un debug des échanges dhcp (DHCPDISCOVER / 
>> OFFER / REQUEST / ACK...) ?
>> 
>> Y'a rien dans les conflits (sh ip dhcp conflict) ?
>> 
>> 
>> Pour la survie au reboot, ça existe si tu demandes à stocker les leases sur 
>> la flash (c'est utile pour éviter de blacklister en conflit les IP déjà 
>> joignables après un reboot justement) :
>> 
>> ip dhcp database flash://dhcp-leases
>> 
>> A+
>> 
>> -- 
>> Jérôme BERTHIER
>> 
>> 
>> ---
>> Liste de diffusion du FRnOG
>> http://www.frnog.org/
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] Le trolldi du vendredi par Michel

2016-06-05 Par sujet Radu-Adrian Feurdean 
On Sun, Jun 5, 2016, at 03:57, Michel Py wrote:
> pas passer ses heures de bureau sur fessebouc et qu'on MITM les sessions

On parlait la pas de fessebouq, mais de banque (histoire de verifier que
le dedommagement pour l'esclavage contractualise, a.k.a salaire a bien
ete verse).

> HTTPS sur le firewall pour essayer de bloquer les merdiciels, çà fait partie 
> du boulot.

C'est pas en mettant un faux-faux certif (accepte par le navigateur) a
la place d'un vrai-faux (message d'alerte) qu'on bloque les merdiciels,
mais bon.

Apres, je suppose que ce n'est pas la peine de re-ouvrir la discussion
sur comment etre super-restrictif devient contre-productif, et les
utilisateurs mettent en oeuvre tous les moyens possibles pour contourner
les restrictions.


---
Liste de diffusion du FRnOG
http://www.frnog.org/