Reprise du message précédent :

Oui. Chez moi c'est actif (et pas en permissive) partout. C'est ptete pas le meilleur HIPS, mais il a le mérite d'exister et d'être largement documenté.

Heureusement que ça l'est , c'est même très chaudement recommandé par l'ANSSI

C'est un backdoor de la NSA

C'est le 1er truc qu'on désactive chez nous  

tin

Tu m'étonnes que personne ne fasse de topo sur les clés/certfs/pki...

Si tu es seul au monde et que tu as mis de bouchons dans les interfaces réseau et USB, ça ne me gêne pas !
Autrement

certains d'entre vous ont déjà bossé (ou sérieusement envisagé de bosser) au Québec ?

Ce serait dommage d'apprendre à se servir d'un outil de sécurité plutôt que de le désactiver.
Quand tu achètes ta voiture, tu coupes la ceinture directement ?

Pourquoi la couper ? Par chez moi yen a plein qui ne s'attachent simplement pas, et qui demandent au concessionnaire de virer le "bip bip" d'alarme correspondant, Si pas désactivable, ceinture attachée mais dans le dos et sous les cuisses du conducteur qui s'assoit dessus, ya que le siège qui est attaché avec lui même au final. Oui, c'est nul, mais c'est la réalité, ne jamais oublier que #lesgens sont cons  
 
Ceci dit, SELinux, c'est quand même pas super user friendly de prime abord. Si tu as un tuto ou des guidelines d'ailleurs pour prêcher la bonne parole et le laisser activé plutôt qu'en permissive ou disabled, toute aide est la bienvenue

(ou sur les principes généraux si on parle pas spécifiquement de comment ca se configure)

Ah pardon, oui je parle des principes généraux

ca me dit pas ce que tu veux savoir/ce sur quoi tu bloques en particulier... c'est vaste comme sujet

J'imagine qui veut une sorte de page wikipedia en + concret/détaillé.

Pour commencer, vu que tu parles de PKI "MS", elle a quoi de spécial par rapport à n'importe quelle autre PKI random ? Quels composants MS sont impliqués dedans ?

Réponse possible en eli5, ça fait longtemps que j'ai pas touché à du Microsoft

C'est intégré pour faire de l'auto enrollement de comptes crosoft/les comptes d'administration sont AD, pour l'authentification par certif c'est plus facile... Et globalement, ça se déploie en deux  clics.
C'est pas le cas pour une dogtag par exemple.
Et c'est bien mieux qu'une caman

voila

 
Ce n'est pas moi qui fixe les règles...et ceux qui ont décidé cela doivent avoir une bonne raison.

Y'a effectivement des mécanismes qui intègrent ton autorité emettrice dans l'AD et des mécanismes d'auto-enrolement par GPO qui sont par définition propres à MS.
T'as aussi des roles que Microsoft intègre dans sa PKI qui me semblent un peu spécifiques, mais comme j'ai jamais touché à autre chose je peux pas être catégorique : enrôlement NDES (implémentation MS du SCEP de Cisco, si je ne m'abuse... utilisé notamment pour l'auto-enrôlement de périphériques mobiles), CEP/CES qui permettent de faire de l'enrolement over HTTPS (alors qu'en fonctionnement "de base" tu vas avoir une requête LDAP vers un controleur de domaine et une requête DCOM vers l'autorité de certification)...

Par contre "ca se déploie en deux clics", ouais, comme souvent chez MS si tu montes juste un lab on peut dire ca.
Mais dans la vraie vie, si tu prends le dernier déploiement que j'ai fait, la doc d'archi fait 50 pages et la doc d'install 120

C'est un peu trop vaste pour que je fasse une redite de wiki à l'arrache

Il faut savoir vulgariser et être pédagogue

Pas de problème pour ca, par contre il faut savoir facturer 2j de consulting pour produire un résultat de qualité.
Deal?

T'es pas Charlie

toujours ce rapport à l'argent

au temps
c'est toi qui choisit de retenir "facturer" au lieu de "2j"

Bah si tu veux faire propre, oui.
Mais je suis pas sûr que tu passes moins de temps à monter une dogtag propre avec CA root offline, HSM, les modèles (dont une partie sont déjà intégrés chez crosoft). Surtout que tu peux faire les 3/4 de la conf en powershell (et que donc, tu la prépare qu'une fois).

Sur ce genre de sujet, la bonne raison souvent c'est : "on sais pas/comprend pas comment ça marche, donc on utilise pas".

Auto-enrollement, pour simplifier, c'est un mécanisme qui permet d'autoriser tes utilisateur à se créer des certificats validés par la PKI sans l'intervention d'un administrateur (de la PKI). Par exemple, ça permet de mettre en place de l'authentification par carte à puce sans avoir à faire remplir manuellement les cartes par un stagiaire.
Pour le deux clics, bah, t'active le rôle sur un Windows serveur et pis c'est marre ²
Dogtag, c'est un outil qui te permet de mettre en place et manager une PKI. C'est en Java, ça tourne sous Linux, c'est contre-ergonomique au possible, ignoblement moche (comme le site : https://www.dogtagpki.org/wiki/PKI_Main_Page). Il me semble que c'est l'upstream de l'outil de PKI de RedHat (oui https://rhelblog.redhat.com/tag/dog [...] -system/).
CaMan, c'est un script qui se balade sur github, et qui est en gros un "wrapper" de openssl pour faire ta PKI "dans un coin". C'est pas mal pour tester vite fait, mais c'est très limité et avec 2/3 gros soucis de design. Genre ça gère les CA Root/Signing, mais à côté de ça, au lieu de te demander un .csr, l'outil génère la clé privée, le csr, fait la signature et te stock tout dans un dossier. Bref, c'pas ouf. Après, suffirais de quelques modif pour en faire un truc bien. -> https://github.com/radiac/caman

Vielen dank

Bah ça tombe bien, on parle de PKI, je passe sur Reddit et je trouve... Un article de blog qui explique comment monter une petite PKI "Let's Encrypt"-like : https://smallstep.com/blog/step-v0- [...] prod.html.
Bon, l'étape d'après c'est avoir un serveur ACME open source facile à déployer. De mémoire c'est dans la todolist chez Let's encrypt mais c'est pas encore fait.
J'ai pas testé, je sais pas ce que ça vaut, mais ça a l'air facile à déployer et plus propre que caman.

Clairement
Mais si on peut éviter de trop propager la légende de "Microsoft c'est du clicodrome ca marche tout seul lol", c'est pas plus mal

A partir de maintenant, ce sera : Microsoft c'est que du Powershell+DSC+Azure, ça marche tout seul ²
Plus sérieusement, tu as entièrement raison. Même si je pense que la marche a l'entrée est moins haute que pour d'autres techno similaires, dès qu'on parle de choses sérieuses (pour de la prod, simplement), il faut (faudrait ?) avoir une expertise de l'outil et de l'écosystème si tu veux arriver a quelque chose

Le pb des PKI MS c'est que ça part souvent du besoin "j'ai besoin d'un certificat privé" et tu te retrouves avec une PKI sur un DC, pas managée, pas designée, des modèles de certificats activés pour faire n'importe quoi (de l'EFS par exemple), des AIA/CRL pas/mal configurés, des root pas renouvelés etc.
J'aurai envie de dire que si c'était un peu plus complexe à installer, ça éviterai d'avoir autant de "PKI" dégueux partout (allez, 90% des clients que je croise)

déjà qu'un paquet de mecs ne comprennent pas quand tu leur dit que les certificats root/autorité émettrice n'ont rien à faire dans le magasin perso de toutes les machines du parc

comment vous managez vos CT promox ?

 
Clairement. Si ça a l'air clickodrome sur une vidéo youtube c'est parce que la personne derrière gère bien son affaire.

Bah, avec Proxmox ?!
C'est quoi ta question en vrai ?

En général c'est surtout parce que la vidéo s'arrête au montage d'un lab hyper basique

je débute, mais on utilise des pki avec Vault chez nous. C'est top.
 

 
https://www.hashicorp.com/products/vault/
 
bon après j'imagine que c'est pas forcément easy à déployer dans une grosse cogip

Ça a l'air cool ce truc

Bah justement, on a récement étudié l'usage de vault pour du stockage de password, et on a fini sur des produits plus adaptés (CyberArk, Wallix, ...).
Après, tu peux utiliser vault pour signer des certificats, mais pour moi c'est pas vraiment une PKI exploitable : ça génère les clés privées pour les certifs, j'ai rien vu pour signer un CSR, y'a pas de templates...
Mais vault c'est bien pour plein de trucs, mangez-en (comme tous les produits de Hashicorp).