93 liens privés
Contre crawlers fous
VM
Fascinant
Bon à savoir.
La spec n'est pas nouvelle cela dit
TOTP avec KeepassXC
Permet de rajouter Github https://github.com/orgs/community/discussions/49715#discussioncomment-5278195
Vu ici https://linuxfr.org/users/arodier/journaux/peripherique-d-authentification-totp#
En plus https://sebsauvage.net/links/?V8JkHg
Voir commentaires au-delà de Olvid.
GUI
Les nouvelles gammes Kaspersky
Teleport est donc un bastion, dans la plus pure tradition : vous créez des utilisateurs ayant des accès spécifiques à certaines ressources, mais n’ayant aucun besoin de connaitre les credentials réels (accès administrateurs ou exploitant) des ressources que vous allez leur présenter. Il sont authentifiés nécessairement en double facteur (impossible de se connecter à Teleport avec un seul facteur, vous le verrez) doivent uniquement leurs accès grâce à l’utilisation de mécanismes basés sur les échanges des traditionnels certificats (et clef privées/publiques associées).
Lors de leurs utilisation de la solution, toutes les sessions sont logguées, mais également, pour les plus interactives (SSH, RDP), enregistrées et rejouables à la demande (via un lecteur video ad-hoc). Teleport utilise aussi sa capacité à s’intégrer à des PKI externes pour générer tout ce qu’il faut pour garantir la sécurité globale du système (c’est notamment le cas lorsque vous souhaitez vous connecter à des postes de travail intégrés à votre Active Directory via RDP). Accesoirement il est également possible de mettre en place un partage de sessions à plusieurs, chacun se connectant au même client et pouvant interagir ensemble.
Bref, sur le papier c’est une vrai solution d’accès distant sécurisé, très complet et relativement facile à déployer aujourd’hui. Il existe deux formules différentes, dont les objectifs sont forcément différents : le mode Community, totalement Open Source et fourni gratuitement avec quasiment toutes les fonctions disponibles ; le mode Enterprise, toujours basé sur le même socle de sources et disponible en SAAS ou toujours en OnPremise pour la partie bastion proprement dite (à vous de choisir).
TL;DR
QTrEIX- 26/01/23 à 12:12:05
Ce genre de sensibilisation ne fonctionne pas, outre la mise en forme terrible, l'utilisateur risque d'être rebuté par l'image alarmiste et politique qu'elle renvoie, il est beaucoup plus sain d'avoir une approche pratique de la sécurité / confidentialité, établissez un modèle de menace claire qui fonctionne dans votre quotidien et ne supposez pas que les pratiques des uns seront forcément bonnes pour vous, vous devez faire vos propres recherches, et ce n'est pas en lisant des slogans sérieusement teintés de sophisme et de FUD que vous allez le faire.
Lisez plutôt ses liens :
https://privsec.dev/posts/knowledge/threat-modeling/
https://www.privacyguides.org/basics/threat-modeling/
https://opsec101.org/
QTrEIX- 28/01/23 à 12:19:10
Les liens que j'ai posté ne sont pas techniques.
Les gens qui veulent réduire les données collectés à leurs sujet doivent adopter un modèle de menace, pour cela il faut définir la menace et l'erreur courante est de cibler les grandes entreprises technologiques, le premier lien explique pourquoi ça ne fonctionne pas. Une autre erreur courante est de supposer que la télémétrie des fournisseurs de services est invasive, sans expliquer ce que la télémétrie collecte, c'est du sophisme. Sans un modèle de menace, tu prends des mesures sans comprendre pourquoi, pire, tu fini dans la paranoïa sur le long terme.
Les acteurs de le menace ne sont pas statiques, ils s'adaptent au modification que tu apportes, en exemples : bloquer les cookies tiers pour tous les sites encourage l'adoption de la prise de l'empreinte numérique qui n'offre aucun contrôle, essayer d'usurper l'empreinte numérique ne fonctionne pas parce qu'elle est toujours identifiable dans l'API JS, resist.fingerprint dans Firefox ne fonctionne pas non plus, plus tu apportes des changements à des paramètres obscures, plus tu te démarques et plus tu réduis la confidentialité en apportant plus de moyens de te suivre, effacer les données des sites à la fermeture permet par contre de réduire le suivi persistant.
Le théâtre de la sécurité / vie privée encourage les mauvaises choses en donnant un faux sentiment de réussite, au lieu de définir un modèle de menace claire, il y a juste de la fantaisie et la justification que faire quelque chose est mieux que de ne rien faire.
Les recommandations générale doivent être solides, vérifiés par des pairs et donner des sources, les insécurités de Madaidan est un bon exemple, il explique que c'est général et qu'il ne prends pas en compte le modèle de menace de l'utilisateur, malgré cela, ses recommandations sont objectives, vérifiés et méritent d'être utilisé dans un modèle de menace. Les recommandations et conseils par le site posté par NIX contiennent beaucoup d'éléments obsolètes, trompeurs et dangereux, par exemple, il n'est pas utile de changer son mot de passe tous les X mois, un Antivirus n'assure pas la sécurité comme le blocage de quelques trackers n'assure pas de réduire le suivi, énumérer la méchanceté ne fonctionne pas, c'est au mieux un palliatif qui réduit faiblement l'exposition sur l'instant T, l'Antivirus est aussi complètement inefficace sur Android et iOS en raison de la conception de sécurité de base, Android est soumis aux politiques SELinux qui consiste à un contrôle approprié que ce peuvent faire chaque applications avec le principe du moindre privilège, chaque applications est confiné dans son propre processus et n'ont pas accès aux données du système, comme l'Antivirus est considéré comme une application, elle n'a pas les privilèges nécessaires, même si elle les avait, elle ne ferait rien pour améliorer la sécurité.
Un autre lien que j'apprécie, sur les deux types de vie privée en ligne : https://seirdy.one/posts/2022/06/25/two-types-of-privacy/