Re: Trou de securite Debian pour SSH/SSL

Olivier Allard-Jacquin a écrit :
> (*): Rappel: Pour attaquer un site self-signed, il faut quand même
> détourner les requêtes DNS du client, afin de faire passer le faux site
> HTTPS pour le vrai. Dans le cas de nos connexions ADSL respectives, cela
> revient à spoofer les DNS de Free. Et ca, seul Free peut y arriver...

Pas exactement, il y a plein de possibilités pour arriver à ce résultat:

- pirater le système du registrar (pour modifier directement les DNS du
domaine (ceux du whois)), ou tout simplement usurper les identifiants
légitimes (et comme dit l'adage, l'ennemi vient de l'intérieur...)

- pirater le système du registre (FRNIC)

- pirater directement les DNS déclarés dans le whois (pinea.xerox.fr
pour le site de la guilde)

- pirater les DNS racines d'internet

- pirater les DNS du FAI

- pirater les DNS du lan/wan (perso/pro)

- rajouter des entrées dans /etc/hosts sur le poste client

et quand je dis pirater, je pense en priorité à un admin d'entreprise
indélicat qui veut spoofer un site bancaire pour piéger les quelques
centaines/milliers d'utilisateurs qu'il a sous sa coupe...

Et j'en oublie certainement...

Je ne dis pas que l'une de ces méthodes est triviales, mais juste que
l'imagination des «méchants» est sans limite.

Pour le reste de votre discutroll, j'ai zappé il y a quelques temps
déjà, je remarque juste que comme souvent, vous êtes plutôt d'accord sur
le fond, mais chacun se braque sur des détails.

Olivier.