-
Compteur de contenus
28 217 -
Inscription
-
Dernière visite
-
Jours gagnés
839
Activité de réputation
-
Ldfa a reçu une réaction de ricouz dans Cette faille dans PuTTY permet de récupérer les clés privées - IT-Connect
durée de lecture : 3 min
Vous connaissez probablement l'application PuTTY. Sachez que de nombreuses versions sont affectées par une nouvelle vulnérabilité pouvant permettre de deviner votre clé privée. D'autres applications sont impactées. Faisons le point sur cette menace !
Pour rappel, PuTTY est une application open source permettant de se connecter à des équipements réseaux ou des serveurs distants, généralement sous Linux, par l'intermédiaire de plusieurs protocoles, dont le SSH et le Telnet. Même s'il existe de nombreuses alternatives et des gestionnaires de connexions plus complets, PuTTY reste un "client SSH" populaire et très utilisé par les administrateurs systèmes sous Windows.
Cette vulnérabilité, associée à la référence CVE-2024-31497, a été découverte par Fabian Bäumer et Marcus Brinkmann de l'Université de la Ruhr à Bochum, en Allemagne.
Elle est liée à la manière dont l'application PuTTY génère les nonces ECDSA pour la courbe NIST P-521 utilisée dans le cadre de l'authentification SSH. Un nonce ECDSA est un nombre aléatoire utilisé dans le processus de création de la signature ECDSA. Un nonce est unique pour chaque signature. Dans le cas présent, nous pouvons dire que la fonction de génération de signatures est biaisée à cause de ce problème de sécurité lié à la génération des nonces.
Cette signature numérique est créée à partir de la clé privée de l'utilisateur, et cette clé, comme son nom l'indique, doit rester uniquement en possession de son propriétaire. La signature doit être vérifiée à partir de la clé publique (on parle d'une paire de clés) afin de garantir l'identité de l'utilisateur et sécuriser la connexion.
En exploitant cette vulnérabilité, un attaquant peut parvenir à calculer la clé privée utilisée par l'utilisateur, sans en avoir connaissance à la base.
Pour cela, comme l'explique Marcus Brinkmann sur X (Twitter) : "L'attaque de l'ECDSA avec des nonces biaisés est une technique standard. Un attaquant collecte au moins 521/9≈58 signatures à partir de commits Git signés ou de connexions de victimes au serveur SSH de l'attaquant. Un peu de mathématiques permet à l'attaquant de calculer la clé privée hors ligne."
Ceci implique la collecte de 58 signatures effectuées à partir de la même clé privée pour que celle-ci puisse être découverte. La collecte de ces informations à partir de commits Git signés est certainement plus réaliste et plus "pratique" pour les attaquants.
Pour avoir des techniques, je vous recommande de lire le bulletin de sécurité de PuTTY.
Cette vulnérabilité, associée à la référence CVE-2024-31497, affecte toutes les versions de PuTTY de la 0.68 à la 0.80, publiée en décembre 2023. La dernière version, à savoir PuTTY 0.81, a été développée et publiée ce lundi 15 avril 2024 dans l'unique but de corriger cette faille de sécurité.
Cependant, il est essentiel de préciser que toutes les clés privées P-521 générée à l'aide d'une version vulnérable de l'outil pourraient être compromises et elles représentent un risque. Dans ce cas, ces clés doivent être renouvelées pour éliminer tous les risques de compromission, et elles sont également à retirer de la liste "authorized_keys" de vos serveurs et équipements.
D'autres logiciels s'appuie directement sur PuTTY et sont également affectés.
Voici une liste, probablement pas exhaustive, de logiciels et des versions impactées :
FileZilla 3.24.1 - 3.66.5 (corrigé dans 3.67.0) WinSCP 5.9.5 - 6.3.2 (corrigé dans 6.3.3) TortoiseGit 2.4.0.2 - 2.15.0 (corrigé en 2.15.0.1) TortoiseSVN 1.10.0 - 1.14.6 (atténuation possible en configurant TortoiseSVN pour utiliser Plink) D'autres logiciels sont potentiellement affectés, ce qui pourrait être le cas si un outil s'appuie sur PuTTY (à voir, selon la version).
Source
Afficher l’article complet
-
Ldfa a reçu une réaction de franz dans Maxthon 7.1.8.8201 Bêta pour Windows est sorti
MAJ en 7.1.8.8201 mais pas encore en automatique à priori :
-
Ldfa a reçu une réaction de franz dans Maxthon 7.1.8.8201 Bêta pour Windows est sorti
Maxthon 7.1.8.8201 Bêta pour Windows est sorti aujourd'hui, il apporte son lot de nouvelles fonctionnalités / améliorations et de corrections de bugs.
Téléchargement : https://github.com/maxthon/Maxthon/releases
Les changements en français sont là.
Vous pouvez également vous abonner au groupe Telegram NBdomain & MX6 pour faire remonter vos demandes d'améliorations et bugs rencontrés.
Source : https://forum.maxthon.com/index.php?/topic/28347-maxthon-pc-7188201-beta/
-
Ldfa a reçu une réaction de POLAURENT dans Maxthon 7.1.8.8201 Bêta pour Windows est sorti
Maxthon 7.1.8.8201 Bêta pour Windows est sorti aujourd'hui, il apporte son lot de nouvelles fonctionnalités / améliorations et de corrections de bugs.
Téléchargement : https://github.com/maxthon/Maxthon/releases
Les changements en français sont là.
Vous pouvez également vous abonner au groupe Telegram NBdomain & MX6 pour faire remonter vos demandes d'améliorations et bugs rencontrés.
Source : https://forum.maxthon.com/index.php?/topic/28347-maxthon-pc-7188201-beta/
-
Ldfa a reçu une réaction de bearly dans Maxthon 7.1.8.8201 Bêta pour Windows est sorti
Mises à jour :
+ Mise à jour des traductions multilingues.
- Correction d'un problème où le fait de lier à nouveau un compte faisait que le compte d'origine devenait un compte local.
- Correction d'un problème de traduction non réactive.
- Correction de l'affichage incomplet du bouton de recherche de l'onglet.
- Correction de la perte d'images personnalisées due à la synchronisation.
- Correction de plantages connus.
-
Ldfa a reçu une réaction de franz dans Maxthon 7.1.8.8000 Bêta pour Windows est sorti
Principales mises à jour :
+ Ajout de raccourcis pour les onglets de recherche et Passkeeper, qui peuvent être modifiés dans Paramètres -> Gestes et raccourcis -> Gestion des raccourcis -> Plus de raccourcis Nouveau
Autres :
* Mise à jour des traductions multilingues.
- Correction du problème où le clic droit sur le bouton Nouvel onglet était inefficace.
- Correction du problème de coupure anormale de la vidéo.
- Correction de plantages connus.
-
Ldfa a reçu une réaction de bearly dans Maxthon 7.1.8.8000 Bêta pour Windows est sorti
Principales mises à jour :
+ Ajout de raccourcis pour les onglets de recherche et Passkeeper, qui peuvent être modifiés dans Paramètres -> Gestes et raccourcis -> Gestion des raccourcis -> Plus de raccourcis Nouveau
Autres :
* Mise à jour des traductions multilingues.
- Correction du problème où le clic droit sur le bouton Nouvel onglet était inefficace.
- Correction du problème de coupure anormale de la vidéo.
- Correction de plantages connus.
-
Ldfa a reçu une réaction de bearly dans Maxthon 7.1.8.8000 Bêta pour Windows est sorti
Maxthon 7.1.8.8000 Bêta pour Windows est sorti aujourd'hui, il apporte son lot de nouvelles fonctionnalités / améliorations et de corrections de bugs.
Téléchargement : https://github.com/maxthon/Maxthon/releases
Les changements en français sont là.
Vous pouvez également vous abonner au groupe Telegram NBdomain & MX6 pour faire remonter vos demandes d'améliorations et bugs rencontrés.
Source : https://forum.maxthon.com/index.php?/topic/28331-maxthon-pc-7188000-beta/
-
-
-
Ldfa a reçu une réaction de POLAURENT dans Maxthon 7.1.8.8000 Bêta pour Windows est sorti
Maxthon 7.1.8.8000 Bêta pour Windows est sorti aujourd'hui, il apporte son lot de nouvelles fonctionnalités / améliorations et de corrections de bugs.
Téléchargement : https://github.com/maxthon/Maxthon/releases
Les changements en français sont là.
Vous pouvez également vous abonner au groupe Telegram NBdomain & MX6 pour faire remonter vos demandes d'améliorations et bugs rencontrés.
Source : https://forum.maxthon.com/index.php?/topic/28331-maxthon-pc-7188000-beta/
-
Ldfa a reçu une réaction de POLAURENT dans Maxthon 7.1.8.8000 Bêta pour Windows est sorti
Principales mises à jour :
+ Ajout de raccourcis pour les onglets de recherche et Passkeeper, qui peuvent être modifiés dans Paramètres -> Gestes et raccourcis -> Gestion des raccourcis -> Plus de raccourcis Nouveau
Autres :
* Mise à jour des traductions multilingues.
- Correction du problème où le clic droit sur le bouton Nouvel onglet était inefficace.
- Correction du problème de coupure anormale de la vidéo.
- Correction de plantages connus.
-
Ldfa a reçu une réaction de franz dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
MAJ automatique en 7.1.8.7801 aujourd'hui sans plus d'explication sur les changements.
Ah si, peut être la réponse à la demande récente de @ErnestR4 concernant l'absence de ce réglage :
-
Ldfa a reçu une réaction de ErnestR4 dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
MAJ automatique en 7.1.8.7801 aujourd'hui sans plus d'explication sur les changements.
Ah si, peut être la réponse à la demande récente de @ErnestR4 concernant l'absence de ce réglage :
-
Ldfa a reçu une réaction de POLAURENT dans Google va détruire les données collectées par le mode incognito de Chrome
Sacré Google, il ne peut pas s'en empêcher : https://www.01net.com/actualites/google-va-detruire-les-donnees-collectees-par-le-mode-incognito-de-chrome.html
-
Ldfa a réagi à POLAURENT dans Google va détruire les données collectées par le mode incognito de Chrome
C'est vrai qu'après les avoir bien vendues et surement plus d'une fois, c'est facile de passer pour un philanthrope en proposant de les détruire , surtout que leur valeur résiduelle est presque nulle ...
Il n'y a qu'une contribution financière et un engagement dans le soutien de la lutte contre le tracking des internautes qui pourraient, à moins, les dédouaner de leur duplicité.
Je ne salue pas les plaignants qui se sont faits embrouiller et qui n'ont obtenu, au final, qu'une victoire à la pyrrhus.
-
Ldfa a reçu une réaction de franz dans Google va détruire les données collectées par le mode incognito de Chrome
Sacré Google, il ne peut pas s'en empêcher : https://www.01net.com/actualites/google-va-detruire-les-donnees-collectees-par-le-mode-incognito-de-chrome.html
-
Ldfa a réagi à ErnestR4 dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
Devinez Quoi, Jeff était en ligne sur Telegram et :
😇
-
Ldfa a reçu une réaction de franz dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
Principaux changements :
+ Ajout d'un bouton "Rechercher dans les onglets" situé en haut à gauche, qui permet d'afficher et de rechercher tous les onglets actifs et récemment fermés dans le menu élargi. Cette fonctionnalité peut être activée dans "Paramètres" -> "Apparence". Nouveau
Autres :
* Mise à jour des traductions multilingues.
- Correction d'un problème où Maxnote ne pouvait pas être ouvert après une actualisation.
- Correction du problème inefficace d'accès à des pages non sécurisées dans le laboratoire.
- Correction des blocages potentiels causés par la synchronisation.
-
Ldfa a reçu une réaction de bearly dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
Principaux changements :
+ Ajout d'un bouton "Rechercher dans les onglets" situé en haut à gauche, qui permet d'afficher et de rechercher tous les onglets actifs et récemment fermés dans le menu élargi. Cette fonctionnalité peut être activée dans "Paramètres" -> "Apparence". Nouveau
Autres :
* Mise à jour des traductions multilingues.
- Correction d'un problème où Maxnote ne pouvait pas être ouvert après une actualisation.
- Correction du problème inefficace d'accès à des pages non sécurisées dans le laboratoire.
- Correction des blocages potentiels causés par la synchronisation.
-
Ldfa a reçu une réaction de bearly dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
Maxthon 7.1.8.7801 Bêta pour Windows est sorti aujourd'hui, il apporte son lot de nouvelles fonctionnalités / améliorations et de corrections de bugs.
Téléchargement : https://github.com/maxthon/Maxthon/releases
Les changements en français sont là.
Vous pouvez également vous abonner au groupe Telegram NBdomain & MX6 pour faire remonter vos demandes d'améliorations et bugs rencontrés.
Source : https://forum.maxthon.com/index.php?/topic/28321-maxthon-pc-7187801-beta/
-
-
-
Ldfa a reçu une réaction de POLAURENT dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
Principaux changements :
+ Ajout d'un bouton "Rechercher dans les onglets" situé en haut à gauche, qui permet d'afficher et de rechercher tous les onglets actifs et récemment fermés dans le menu élargi. Cette fonctionnalité peut être activée dans "Paramètres" -> "Apparence". Nouveau
Autres :
* Mise à jour des traductions multilingues.
- Correction d'un problème où Maxnote ne pouvait pas être ouvert après une actualisation.
- Correction du problème inefficace d'accès à des pages non sécurisées dans le laboratoire.
- Correction des blocages potentiels causés par la synchronisation.
-
Ldfa a reçu une réaction de POLAURENT dans Maxthon 7.1.8.7801 Bêta pour Windows est sorti
Maxthon 7.1.8.7801 Bêta pour Windows est sorti aujourd'hui, il apporte son lot de nouvelles fonctionnalités / améliorations et de corrections de bugs.
Téléchargement : https://github.com/maxthon/Maxthon/releases
Les changements en français sont là.
Vous pouvez également vous abonner au groupe Telegram NBdomain & MX6 pour faire remonter vos demandes d'améliorations et bugs rencontrés.
Source : https://forum.maxthon.com/index.php?/topic/28321-maxthon-pc-7187801-beta/