PEBKAC #4890

Nous avions un problème avec notre hébergeur.
Sur un serveur dédié, on recevait les paquets d'autres serveurs, du même réseau de cet hébergeur. Logiquement, on pense que c'est un problème de l'hébergeur qui réplique des données sur les mauvais port de leur Cisco. D'un point de vue sécurité, c'est plutôt grave : on pouvait voir des ID de session PHP dans les paquets.

On s'inquiète, et on se dit que si on reçoit les paquets des autres, les autres reçoivent aussi nos paquets. Nous créons alors un ticket d'incident chez l'hébergeur.
Ils nous ont répondu que nous n'avions qu'à mieux configurer notre firewall. PEBKAC.

PEBKAC #4890 proposé par PierreC le 27/01/2012 | 25 commentaires | 👍🏽 👎🏽 +202

Forcément, quand on n'utilise pas OpenOffice, on n'a pas le bon pare-feu. En plus, je suis certain que PierreC n'avait pas branché le câble wifi dans le port adéquat.

Commentaire #54632 écrit par Skefrep le 30/07/2012 à 18h31 | 👍🏽 👎🏽

"Nous n'avons qu'à changer d'hébergeur"
T'es chez qui ?

Commentaire #54633 écrit par Haya le 30/07/2012 à 19h01 | 👍🏽 👎🏽

"Ils nous ont répondu que nous n'avions qu'à mieux configurer notre firewall."

1 - C'est leur firewall : c'est à eux de le paramétrer.
2 - Le problème décrit par @PierreC concerne plutôt leur routeur. Là aussi, c'est à eux de régler le problème.

En plus, ils culpabilisent le client.

Ça fait pas mal de raisons de changer de prestataire.

Commentaire #54645 écrit par vualatele le 31/07/2012 à 09h41 | 👍🏽 👎🏽

@vualatele : ça dépend, si c'est un dédié loué sans infogérance, le rôle de l'hébergeur se résume à le leur fournir, et ils se démerdent pour la config. Ceci étant dit, ça semble plutôt être un souci de routage effectivement, ils sont donc les seuls à pouvoir s'en occuper, et ils le doivent !

Commentaire #54657 écrit par neemzy le 31/07/2012 à 11h10 | 👍🏽 👎🏽

Routage je ne pense pas car il y a quand même des "switch" apparemment mal configurés.
Sauf si c'est un serveur virtuel (apparemment non c'est dédié) chaque machine a une adresse mac. Donc le switch ne devrait pas donner cela à tout le monde.
Routeur ça me parait pas trop possible toujours pour cette histoire d'adresse mac. Aucune machine ne devrait répondre à l'ARP si c'est le mauvais sous réseau.

D'un point de vu sécurité bof, si le gars envoi tout en clair il n'y en avait déjà pas.

Commentaire #54658 écrit par but2ene le 31/07/2012 à 11h31 | 👍🏽 👎🏽

@but2ene : Même un serveur virtuel a une adresse mac (virtuelle, mais il en a une quand même).
Et pour la sécu tu es bien obligé d'envoyer quelque chose en clair au début pour négocier le cryptage non ? A part utiliser des méthodes comme le RSA mais c'est interdit en France si je ne m'abuse (sauf si ça a changé depuis ma sortie de l'école mais j'en doute, ça change rarement dans ce sens là plutôt dans l'autre).

Commentaire #54676 écrit par Acorah le 31/07/2012 à 14h07 | 👍🏽 👎🏽

@Acorah : Ben en fait jusqu'en 1996 c'était interdit puis passé vers 128bits en symétrique jusqu'en 2004 et maintenant c'est libre !
http://fr.wikipedia.org/wiki/Chiffrement#En_France
Je te croyais plus jeune XD

Ben en fait ça dépend comment tu configure le bousin. tu peux avoir des cartes virtuelles partageant la même adresse mac (celle de la carte réseaux) du coup les deux ip répondent à la même adresse (pas top pour un dhcp) ou même faire du nat. Tu peux aussi avoir aussi une adresse mac par carte virtuelle (carte en mode trunk ou même les attribuer avec le nat). Tu peux tout faire ;)

Commentaire #54688 écrit par but2_ene le 31/07/2012 à 15h49 | 👍🏽 👎🏽

@but2_ene (une faute de frappe en tapant ton pseudo ?) : Ah, visiblement mon prof n'était pas à jour alors, à 3 ans près il avait raison. Et bien sur quand on est étudiant on vérifie pas tout ce qu'on nous dit.
Donc oui je suis plus jeune que ce que tu sembles penser ^^
Donc on a le droit de crypter comme un bourrin en RSA avec des clefs énormes, intéressant ça.

Commentaire #54697 écrit par Acorah le 31/07/2012 à 16h32 | 👍🏽 👎🏽

@Acorah : ben vi c'est mon adresse yahoo, comme je me loggais en même temps ...
Pourtant, on en dit des conneries quand on fait des cours.
Ben pour la taille des clefs je pense que ce n'est pas maintenable comme loi. Surtout quand plus personne ne la respectait.

Commentaire #54708 écrit par but2ene le 31/07/2012 à 17h22 | 👍🏽 👎🏽

ps : non je ne mettrais pas mon mots de passe. Car j'en ai pris un qui choque. Quand je le vois à l'écran je suis choquer et l'efface. XD

Commentaire #54710 écrit par but2ene le 31/07/2012 à 17h58 | 👍🏽 👎🏽

ps':Mes fautes aussi, mais il n'y a pas d'édition possible.

Commentaire #54711 écrit par but2ene le 31/07/2012 à 17h58 | 👍🏽 👎🏽

@but2ene : Bah oui mais si tu dois vérifier tout ce que le prof t'apprend, ça sert à quoi de payer une école et aller en cours ? Ah si à avoir un bout de papier qui permet de trouver du travail.

Commentaire #54770 écrit par Acorah le 01/08/2012 à 10h15 | 👍🏽 👎🏽

Pourtant t'es grand, tu ne vas pas rester assis sur les acquis, le monde évolue. Surtout en informatique la veille technologique est importante.

Le problème en France, c'est que beaucoup croient que l'école est un centre de gavage d'élève et d'étudiant.
Du coup on se retrouve avec des gens qui s'assoient sur leur siège et attendent la bouillie.
Ben non l'école est là pour apprendre à apprendre, montrer des voies, devenir autonome tout ça.
J'ai toujours été contre les cours à présence obligatoire. Si ça n'intéresse pas l'étudiant, je ne vois pas l'intérêt de l'y forcer.

Commentaire #54776 écrit par but2ene le 01/08/2012 à 11h32 | 👍🏽 👎🏽

@but2ene : Je n'ai jamais dit qu'il fallait rester au même niveau tout le temps, bien sur qu'il faut évoluer avec le monde. Mais quand tu arrives à l'école tu ne connais rien (ou pas grand chose), les enseignants sont censés justement te transmettre les connaissances dont tu as besoin (après on les mettait en application au travers de projets, donc on ne se contentait pas d'ammasser de la bouillie). Si tu dois les vérifier par derrière alors l'école est inutile (sauf qu'il te faut le précieux diplôme pour être reconnu par d'autres). Il faut bien accorder un minimum de confiance à l'enseignant.

Commentaire #54790 écrit par Acorah le 01/08/2012 à 14h20 | 👍🏽 👎🏽

@Acorah : Ce n'est pas une question de confiance mais de réflexions. Il ne faut pas gober tout cru ce qu'on vous dit mais réfléchir dessus. Le prof reste un homme, il fait donc des erreurs.
Au étudiants de ne pas les refaire bêtement. Mon premier cours était les deux heures où j'ai dit le plus de bêtises dans ma vie. Pourtant la majorité des étudiants ont réussi à l'exam.

Ne me dit pas qu'en TP t'as pas vu un de tes camarade dire "M. ça ne marche pas." Sans même essayer de comprendre pourquoi (bouilli).

Commentaire #54792 écrit par but2ene le 01/08/2012 à 14h48 | 👍🏽 👎🏽

Même si t'es obliger de rechercher, vérifier etc ... Le prof te dit où chercher et quoi chercher.
Il donne les principes de fonctionnement, qui sont appliqué dans un exemple ou langage bien précis.
Même dans les projets, il y a de la recherche à faire.
Ce serait plus dur sans ;)

Commentaire #54794 écrit par but2ene le 01/08/2012 à 15h34 | 👍🏽 👎🏽

@but2ene : Ah si des "ça marche pas" sans essayer de comprendre j'en ai vu en TP je te rassure (ou pas).
Pour les projets on nous donnait le sujet et après à nous de faire l'analyse, la conception, le développement, les tests, ... On avait aussi des aspects non vus en cours (ça sert aussi à ça les projets) donc de la recherche à faire à côté c'est sur (comme tu le dis les profs nous disaient dans quelle direction chercher et après bah à nous de chercher).
Après c'est sur que si le prof sort une grosse bêtise sur un truc important, ça va se voir plus facilement que pour notre histoire de RSA.

Commentaire #54795 écrit par Acorah le 01/08/2012 à 16h31 | 👍🏽 👎🏽

(suite)
Le cours présentait les moyens de cryptage et leur évolution, mais n'avait pas vocation à couvrir les aspects légaux (qui changent comme les chemises des parlementaires donc après il faut se renseigner sur ce qu'on a le droit de faire ou pas au moment où on en a besoin).

Commentaire #54796 écrit par Acorah le 01/08/2012 à 16h35 | 👍🏽 👎🏽

Parfois les détails passe à la trappe. Mais bon avec LCEN là ou c'est devenu illimité et DADVSI ca reste étonnant.Surtout avec tout le barrouf que ça a causé. XD

Commentaire #54798 écrit par but2ene le 01/08/2012 à 17h00 | 👍🏽 👎🏽

@but2ene : Ce que je trouve le plus étonnant c'est qu'on soit arrivé à autoriser tout ça en illimité avec le gouvernement de l'époque... Quoique "il" n'était que ministre de l'économie à l'époque, pas de l'intérieur ni président de la république. Mais il n'a pas supprimé ça après son élection, étrange...

Commentaire #54819 écrit par Acorah le 02/08/2012 à 09h56 | 👍🏽 👎🏽

C'est une loi pas applicable. T'as le droit de correspondance privé depuis longtemps grace au code des postes et de télécommunication.
L'affaire des écoutes téléphoniques avait fait scandale sous Mitterand.
Puis après il y a l'Europe qui a fait une convention dans la fin des années 90 (c'est pas comme si c'était déjà marqué dans les droit de l'homme)

D'un autre coté il y a une loi t'interdisant de chiffrer des messages. Puis celle te limitant la clef. Sachant pour avoir la taille il faut le clef ;) donc violer à la fois les droit de l'homme, la convention européenne et le code de télécom.

Commentaire #54820 écrit par but2ene le 02/08/2012 à 11h12 | 👍🏽 👎🏽

Si ma mémoire est bonne, c'est aussi à cette époque là que les algo de chiffrement tel que WEP commençaient à fatiguer. Tout le monde disait que les clefs allaient grossir. Ca limiterait le ecommerce tout ça. La France était déjà en retard bloqué au minitel d'où la LCEN.

D'un autre coté, je me rappelle que tout le monde se foutait de cette limitation et certain rajoutait même un peut de stéganographie avec le "on ne sait jamais" (ca ne devait pas aider les RG).

Le plus sage en effet était de virer cette limitation.

Mais bon cette loi était gratiné de grosse conneries aussi.

Commentaire #54822 écrit par but2ene le 02/08/2012 à 11h28 | 👍🏽 👎🏽

La limite légale de 128 bits n'a jamais été un problème pour RSA. Elle s'appliquait aux algorithmes symétriques sans attaque connue autre que la force brute. D'une part, à longueur équivalente les clefs RSA sont ridiculement faibles (on considère aujourd'hui que AES-128 est aussi robuste que RSA-3072), de l'autre quasiment tous les produits offrant du chiffrement asymétrique utilisent en réalité un schéma hybride avec un algorithme symétrique dessous, qui peut tout aussi bien être attaqué indépendamment.

Commentaire #54836 écrit par b0fh le 03/08/2012 à 01h41 | 👍🏽 👎🏽

Je ne réagirai que sur ce qu'a dit Acorah qui m'a choqué:
"Et bien sur quand on est étudiant on vérifie pas tout ce qu'on nous dit."
o_O
Quand t'es l'étudiant de base qui sait pas ce qu'il fout en info, oui... Autrement... tu vérifies tout, les profs disent 75% de merdes.
Y'a que certaines matières qui m'intéressent à moitié et les trucs évident que je ne vérifie pas :p
Bon après.... Chui à la fac aussi.

Commentaire #54840 écrit par Cartman34 le 03/08/2012 à 08h26 | 👍🏽 👎🏽

@b0fh : ce n'était pas aussi simple; http://www.dsi.cnrs.fr/rmlr/textesintegraux/volume4/416-d99-200.htm
d'après le texte de loi c'est tout algorithme ... Même RC4 ;) AES a été publié en 2000 et autorisé plus tard. Pour RSA il me semble qu'on s'en sortait car il chiffrait une clef et pas de message clair donc autorisé à plus de 128bit (petite faille), il me semble qu'un décret spéciale est sorti plus tard qui fixait la limite à 512 (à vérifier).

Commentaire #54845 écrit par but2ene le 03/08/2012 à 10h33 | 👍🏽 👎🏽