Reprise du message précédent :
D'ailleurs quid d'avoir des Yubikey ou équivalent pour tous les devs ? Plus de MDP, si tu paumes une key, tu révoques et hop ?

Pour quoi ? Du MFA ou de la signature de code ?
Pour du MFA ça peut remplacer un totp sur smartphone (c'est bien) ou de la smartcard avec certificat (c'est mieux, mais y'a plus de maintenance, c'est natif sur du windows pour l'authent.).
Pour de la signature de code, ça remplace une smartcard aussi. Mais au final le code est signé à la compil par la forge, rarement par le dev depuis son poste.

 
Je parlais pour éviter à coup sûr (ou quasi) que les devs tapent des MdP sur leur postes en général, afin d'éviter de pouvoir être pécho par un keylogger par exemple.
 
Après en réalité, on bosse presque qu'avec des clef SSH donc bon... Pour le code on a déjà des procédures on va dire (et puis avec git c'est compliqué, vu que c'est décentralisé et chaîné, tu peux pas changer le passé, juste espérer passer à travers une review).
 
Chez nous on a pas de Windows, donc ça réduit la surface d'attaque en soi.

Parce que dans son cas c'est un peu même chose, vu que les outils de prod sont collés dessus ? Et que ces postes de travail sont connectés à d'autres équipements ?
Il se plaint que la sécu réduirait sa productivité. C'est vrai.
Mais sans sécu, à un moment ou un autre, il n'y aura plus de production. Zéro, chômage technique pour tout le monde avec une attaque de grande ampleur.
Quel sera sa réaction à ce moment-là ?
 
Je trouve ça assez schizophrénique de défendre des méthodes de travail dégueulasses (parce que le fond de l'argument, c'est ça : merci de ne surtout pas perturber mes habitudes crades présentes depuis X années) au nom d'un outil de travail qu'on met en danger avec ces mêmes méthodes.
 

Comment tu sécurise les download de paquets NPM chelous ?  

Ha bah ça, j'ai pas de solution magique. Et c'est pareil avec les repos Linux pas "officiels", les dockers quoi sortent de nul part...
Mais t'a différentes approches :
- Tu fait une analyse (plus ou moins poussée) des paquets et tu les valides, dans une version donnée. Potentiellement tu les rends dispos en interne.
- Tu les fait tourner uniquement dans des environnements spécifiques (pas d'accès Internet sortant, même via proxy, par exemple. HIPS forcément actif en blocage - sinon c'est un HIDS olol. Isolation dans du conteneur dédié au morceau de l'appli. Bref y'a pleins de solutions techniques pour réduire le risque).
- Tu n'en utilise pas (la techno te permet pas d'atteindre un niveau acceptable de maîtrise du risque). Ou uniquement des signées par des partenaires de confiance.
- Tu acceptes le risque et tu fait tourner.

Donc pour remplacer le facteur "mot de passe" par un facteur "certificat". C'est moins bien que d'avoir les deux, mais c'est intéressant quand même.
Mais faut que toutes les applis utilisées puisse s'en servir. Les applis web, les clients lourds locaux, le déchiffrement des clés privées ssh (ou les déplacer sur la yubi), la connexion à la boîte mail... Et ça c'est mort . Déjà si t'a du bol, la plupart supporteront du TOTP.
Protéger "juste" le mot de passe du compte utilisateur du poste (local ou d'un annuaire), c'est bien, mais si tu te fait taxer tes identifiants VPN, ou gitlab, ou Slack, ou... Bah au final t'a perdu aussi

 
ça m'intéresse ton opinion alors je donne plus de contexte :

• le poste user utilise un login sur Ubuntu/Fedora/whatever ce qu'ils veulent en local, ya aucune synchro avec rien du tout (car ils peuvent bosser complètement hors ligne aussi, c'est rare mais ça arrive)
• tout le monde n'a pas un VPN, car nos services sont web et accessibles de n'importe où. Ces services utilisent notre annuaire LDAP qui lui est uniquement accessible depuis un réseau interne, chaque VM de prod de notre infra à accès au réseau interne, mais seules celles avec des services publics ont une interface vers Internet (et un firewall, et aucun service autre qui écoute sur cette interface, genre SSH écoute que sur le réseau interne etc.)
• le VPN est basé sur Wireguard, donc que de la clef. Il te donne juste accès au labo de la boîte, qui contient pas la prod.
• le VPN te permet d'accéder au réseau de prod/mgmt si tu es autorisé par le serveur wireguard (en gros que des IPs wireguard autorisés peuvent être routés sur notre prod)
• et je parle pas des trucs sensibles qui ont que des accès sur clef SSH en fonction des personnes.

Donc dans tout ça, je pense qu'on peut potentiellement faire mieux sur nos services web exposés à l'extérieur, même dans chaque service ya des ACLs avec des droits limités (donc quelqu'un qui utilise des dashboard sans droit de modif pourra rien péter, tout le monde n'a pas de droits sur tous les dépôts, etc.). Bref on donne des droits en fonction des besoins. On a aussi des cooldown sur les tentatives de login sur les softs en question. Et comme tout passe par notre LDAP, on peut facilement révoquer un MDP d'un user qui du coup serait bloqué.
 
L'idéal serait d'avoir les services web accessibles que depuis une Yubikey ou équivalent pour pas stocker les MDP ou les taper sur le poste.
 
En gros, on pourrait réduire le risque, mais je vois pas de truc ultra trivial (ah et bien entendu tout est backup sur site et hors site).

En vrai, j'vais pas te cacher qu'à un moment, faudrait discuter avec des schémas et des versions et un peu plus de temps de la part de tout le monde. J'suis sur que Gloubi saurait proposer une presta pour ça

De ce que je lis, le gros des risques c'est des applis exposés sur le web qui peuvent :
- êtres utilisées par un attaquant qui aurait volé des creds à un type de chez toi (et qui volerait de la donnée/poserais du code malveillant/l'utiliserais comme porte d'entrée sur le SI). Le MFA réduit le risque de réutilisation de creds volés (le "je peux bloquer le compte sur le LDAP", ça n'a de sens que si tu sais que le compte est compromis ET que tu réagis plus vite que l'attaquant).
- Comporter des failles qui permettent de contourner l'authent, contourner les limites de tentatives de login (pour faire du brute force ou du dictionnaire).
Là, à part du pare-feu applicatif/next-gen/whatever qui fait autre chose que du couche 3/4 et de l'analyse protocolaire de base, c'est compliqué. Mais tu peux limiter les impacts en isolants les machines (y compris leur interface d'admin) dans des réseaux différents (par exemple).

Faut savoir aussi ce que tu as à protéger et de quoi. Du vol ? D'un crypto ? D'introduction de code malveillant dans ton produit ? D'accès à tes outils de support remote ?

Mais sinon, remplacer de l'authent par mot de passe par "une yubi" (comme tu l'a compris, c'est plus compliqué que ça), c'est pas forcément réellement un plus.

c'est surtout que pour se faire payer au contraire, les pirates ont tout intéret à ce que ça marche à 100%

 
Pour moi c'est réduire le risque de mot de passe volé à l'insu de la personne, et ensuite accéder à des choses sans autorisation. Mais le risque est pas énorme vu qu'on cache pas grand chose (ya pas de secret interne chez nous à part des clefs SSH en gros quoi). J'imagine que le risque c'est le cumul de trous dans la raquette
 
Le crypto je vois pas trop comment puisque si un poste user est crypto locké, ya rien de stocké dessus, donc c'est pas grave. Pour se faire crypto un serveur, faudrait y avoir accès, pas simple (genre via une escalation de faille nginx, mais il tourne avec le user nginx etc.). Bref, pas impossible mais compliqué.
 
Bref, je ferai une review des trucs accessibles de l'extérieur cet été, et bien vérifier qu'on a un équivalent fail2ban de partout au login

Envoyer par mon frère dans la boîte où il boss
 
Une méthode de refroidissement révolutionnaire... Ou pas....
 

 
 
et payé la dime ? jamais    

Déjà fait au boulot, clim HS et on avait que ça en attendant.
On voulait juste créer un courant d'air mais il était pas collé comme ca  

 
Un câble management propre et il aura un meilleur flux d'air    

c'est une société informatique qui a fait ca et a dit au boss de la boite vous avez gagner 7 dégrées sur le serveur ca vas mieux marcher
 
pour les câbles c'est pas mieux... c'est moins coller ca marche mieux la circulation de l'air
 

C'est ce que je trouve le plus choquant, ce cablage des enfers

sérieux y en a des bon en informaticien...

 
 
y a pas de clim dans la salle du serveur

C'est soft ca encore

 
Effectivement, il manque le saladier avec les glaçons devant le ventilo

 
 
ou un brumisateur

Pix [1] or it didn't happened !
---
1/ dans le topic images

 
Cadeau

Et encore c’est quasiment les plus propre …

J'ai vu bien pire  

Faudrait que je regarde mes archives je dois avoir les pire…
On avais valider l’idée du patchbox mais pas le temps de le mettre en place et la nouvelle cheffe s’en tape …

acheter une baie 42U et mettre des serveurs tours...

Mais clair, on a vu 1000 fois pire ici...

+1

J'ai le bordel flou aussi    
 

Il ne sont pas très courageux.
 
Suite a une panne de clim ( le week end) les serveurs ont tenu, certains autres matos un peu moins ... les sondes a l'entré des proliant frôlaient les 50°
 
Le bruit des ventilo par contre c'était infernal.

 
Et j'ai toujours les mêmes merdes du systray qui passe vide avec obligation de toggler on/off la barre de merde en question pour le récupérer à chaque fois, ça fait chier.

Pareil, du coup je me contente de l'icône soleil pendant tout l'été le temps que ça soit fixé  

Le truc dans le systray j’ai pas. Sauf des icônes forcées à off qui décident malgré tout d’apparaître et ça décale mon nuage météo  

Le truc dans le systray j'ai pas. J'ai collé une policy pour le faire disparaître complètement

'tain la conversion/importation de vmdk/ovf fournisseurs c'est toujours que du bonheur

Grave, les trucs packagés avec une version exotique qui a 100 ans, non compatible avec ta plateforme actuelle ?

totalement, pis alors genre "créez l'enveloppe, rattachez le vmdk fourni" et le truc te jete direct incorrect format

vmkfstool : Clone: 3% done.Failed to clone disk: Read beyond end of object (1355).

mais wtf

limite je préfère un conteneur à ce truc....  
 
mention spécial à ce p**** de fournisseur qui a essayé de nous fournir un vmdk (centos 6.5 en 2020 ) qui contenait un docker pour faire tourner un Nginx....