Panne sur Villiers-sur-Orge

[Hugues]

Il me semble qu'un Wildcard chez GoDaddy (en effet, ils ont pas une super réputation) c'est toujours mieux que chez LetsEncrypt (qui ne demande pas l'ID du demandeur) même si c'est pas du VeriSign, on est d'accord. Et il est aux normes en terme de méthode de signature au moins.

Non...

Let's encrypt ne fournit que des certificats DV, donc la seule verification a faire est de savoir si le demandeur a bien les droits sur le domaine (via un challenge)

Si tu veux verifier les ID du demandeur, c'est sur des certificats EV. Le certificat de Covage est simplement un DV.

[SGDB]

Bon et bien voilà
21h de coupure et aucune info ....

[StephB]

+1

[YvesA]

OLD ou pas OLD, c'est une faille de sécurité ouverte.

Euh, non.

Ca serait une faille de sécurité si des données personnelles passaient par là et qu'un attaquant faisait du MITM tout en ayant les compétences pour péter du TLS1.0 (ce n'est pas trivial), ce qui n'est pas le cas puisque cet espace client ne sert quasiment plus (hors très vieilles commandes)

Pourquoi Microsoft préconise de ne laisser activer que le TLS 1.2 sur les serveurs dans ce cas ?
Pourquoi notre RSSI groupe a-t-il fait ch**r toutes les DSI Europe pour mettre à jour toutes les plateformes (dont les fermes Web bien entendu) et créer des DMZ ?

D'un point de vue purement théorique, c'est considéré comme une faille de sécurité.
D'un point de vue pratique, la sécurité, c'est un budget important que beaucoup de sociétés n'ont pas.

Et si la chauve-souris arrive à péter ton TLS1.0 en faisant du MITM, puis à prendre le contrôle de ton infra ... comme ce n'est qu'une chauve-souris et que tu te demandes bien pourquoi ton infra intéresserait quelqu'un, pourquoi désactiver un protocole pour un site OLD qui aurait dû être supprimé comme ce doit être écrit sur un vieux ticket JIRA dont tout le monde a oublié l'existence.
J'ai vu ça dans la plupart des sociétés dans lesquelles j'ai travaillé et chacune avait toujours de 'bonnes' excuses pour laisser ça en place.


Bref, tout ça ne nous dit pas quand on va retrouver notre connexion internet.
La 4G, ça dépanne, mais il ne faudrait pas que ça dure.

[SGDB]

A 9h30  ce matin, le support knet n'avait reçu aucun retour de covage depuis le début de l'incident

[Ralph]

OLD ou pas OLD, c'est une faille de sécurité ouverte.

Euh, non.

Ca serait une faille de sécurité si des données personnelles passaient par là et qu'un attaquant faisait du MITM tout en ayant les compétences pour péter du TLS1.0 (ce n'est pas trivial), ce qui n'est pas le cas puisque cet espace client ne sert quasiment plus (hors très vieilles commandes)

Pourquoi Microsoft préconise de ne laisser activer que le TLS 1.2 sur les serveurs dans ce cas ?
Pourquoi notre RSSI groupe a-t-il fait ch**r toutes les DSI Europe pour mettre à jour toutes les plateformes (dont les fermes Web bien entendu) et créer des DMZ ?

D'un point de vue purement théorique, c'est considéré comme une faille de sécurité.
D'un point de vue pratique, la sécurité, c'est un budget important que beaucoup de sociétés n'ont pas.

Et si la chauve-souris arrive à péter ton TLS1.0 en faisant du MITM, puis à prendre le contrôle de ton infra ... comme ce n'est qu'une chauve-souris et que tu te demandes bien pourquoi ton infra intéresserait quelqu'un, pourquoi désactiver un protocole pour un site OLD qui aurait dû être supprimé comme ce doit être écrit sur un vieux ticket JIRA dont tout le monde a oublié l'existence.
J'ai vu ça dans la plupart des sociétés dans lesquelles j'ai travaillé et chacune avait toujours de 'bonnes' excuses pour laisser ça en place.


Bref, tout ça ne nous dit pas quand on va retrouver notre connexion internet.
La 4G, ça dépanne, mais il ne faudrait pas que ça dure.

J'espère que ton RSSI n'a pas attendu 2020/2021 pour foutre des DMZ parce dans ce cas, la sécurité de votre coté est 100x plus flippante que les attaques délirantes et non triviales entre un client Web et un serveur. Le seul danger du MITM dans le cas présent est que les données soient fausses, car si on pousse le délire encore plus loin, aller sur un site en TLS 1.2 avec IE11 tu penses que c'est mieux qu'un FF à jour sur du TLS 1.1 ?

[papyboy]

Bonjour,

Hier j'ai envoyé un mail à L'ARCEP et à l'agglo Cœur d'Essonne car cela n'est pas tolérable.
Voici la réponse de l'agglo Cœur d'Essonne:


Bonjour,

Les problèmes de coupures et déconnexions du réseau sont régulièrement remontés par les élus et les services de l'Agglo auprès de Covage.

Ce dernier nous indique que l'arrivée des opérateurs commerciaux d'envergure nationale (Orange, BT et SFR) sur le réseau ont engendré une forte demande de nouveaux raccordements. Cela génère de nombreuses interventions sur le réseau avec une multitude d'intervenants, notamment les sous-traitants des opérateurs commerciaux, que l'opérateur d'infrastructure Covage ne maitrise pas ou trop peu. Parfois insuffisamment formés ou peu consciencieux, ces intervenants peuvent provoquer des désordres sur le réseau.

Une réflexion est menée avec Covage sur l'amélioration des interventions avec la mise en place de procédures de contrôle systématique des installations et des intervenants.

La mise en place effective de ces procédures prendra certainement encore plusieurs mois.

En parallèle, l'Agglo en partenariat avec les communes, vient de mettre en place, à Villiers-sur-Orge notamment, des mesures beaucoup plus rapides en agissant sur les autorisations délivrées aux intervenants. Ces derniers doivent désormais contacter la mairie avant chaque intervention sous peine de faire l'objet d'une plainte.

Cordialement

[halesk2k]

Bonjour,

Hier j'ai envoyé un mail à L'ARCEP et à l'agglo Cœur d'Essonne car cela n'est pas tolérable.
Voici la réponse de l'agglo Cœur d'Essonne:


Bonjour,

Les problèmes de coupures et déconnexions du réseau sont régulièrement remontés par les élus et les services de l'Agglo auprès de Covage.

Ce dernier nous indique que l'arrivée des opérateurs commerciaux d'envergure nationale (Orange, BT et SFR) sur le réseau ont engendré une forte demande de nouveaux raccordements. Cela génère de nombreuses interventions sur le réseau avec une multitude d'intervenants, notamment les sous-traitants des opérateurs commerciaux, que l'opérateur d'infrastructure Covage ne maitrise pas ou trop peu. Parfois insuffisamment formés ou peu consciencieux, ces intervenants peuvent provoquer des désordres sur le réseau.

Une réflexion est menée avec Covage sur l'amélioration des interventions avec la mise en place de procédures de contrôle systématique des installations et des intervenants.

La mise en place effective de ces procédures prendra certainement encore plusieurs mois.

En parallèle, l'Agglo en partenariat avec les communes, vient de mettre en place, à Villiers-sur-Orge notamment, des mesures beaucoup plus rapides en agissant sur les autorisations délivrées aux intervenants. Ces derniers doivent désormais contacter la mairie avant chaque intervention sous peine de faire l'objet d'une plainte.

Cordialement

Parfais, donc la Mairie doit savoir qui a péter le réseau. Ah à moins que ce soit la justification de la lenteur dans le traitement de l'incident...

[YvesA]

Ralph

Ce domaine de la sécurité n'entrant pas dans mon champ d'expertise, je ne te suivrais pas plus loin.
Mais nous sommes d'accord pour dire qu'il est facile de tomber dans le délire dès qu'on parle de sécurité.

Par expérience :
- un serveur Web, qui accepte encore du TLS1.0, possède encore certainement beaucoup d'autres failles de sécurité beaucoup plus graves.
- si la sécurité de ton Front n'est pas blindée, la sécurité du Middle et du Back est compromise quoique tu fasses.
- un Dev n'en a rien à cirer de la sécurité
- j'en ai d'autres comme ça, mais nous sommes déjà hors sujet

[vivinono]

Bon et bien voilà
21h de coupure et aucune info ....

Idem sur Ballainvilliers. Je viens de les rappeler et on me dit qu'il y a un délai 24h pour la prise en compte du ticket suivi de 72h pour l'intervention.
Je rêve...
Révisions du brevet et télétravail sans internet... que du bonheur !!

[vivinono]

Il y a Teams pour remplacer Skype.

Et sinon vous avez des nouvelles ?

Ça rame aussi sur Teams. Enfin... quand j'avais internet 

Et non, pas de news. Il faut attendre 24h pour la prise en charge + 72h pour une intervention 

[SGDB]

Revenu SGDB

[papyboy]

internet dispo à villiers sur orge vers 11h50

[Ralph]

La chance ! Peut être que Covage va se bouger pour les 15 communes de la Vallée de la Lys dont la connexion est en vrac depuis 6 jours.

[aurelyly]

Ça y est c'est revenu chez moi depuis 30 min environ