Blog

Tous les articles

14/07/2022
Guillaume GUÉRARD

Actualités
État de la souveraineté numérique française en 2022
(String: <h2 id="la-souverainet%C3%A9">La souveraineté</h2> Le 14 juillet, jour de la fête de la République française, est l’occasion parfaite pour parler la souveraineté numérique française !)
La souveraineté Le 14 juillet, jour de la fête de la République française, est l’occasion parfaite pour parler la souveraineté numérique française !

Lire la suite
13/07/2022
Alexandre KOLACZ

devops
Sauvegarde pour GKE
(String: <h2 id="qu%E2%80%99est-ce-que-fait-la-sauvegarde-pour-gke">Qu’est ce que fait la Sauvegarde pour GKE</h2> La sauvegarde pour GKE permet de sauvegarder deux types de données :)
De nos jours, il y a de plus en plus d’entreprises et d’organisations qui se tournent vers des solutions de cluster Kubernetes managés et de plus en plus en production. Mais la plupart du temps, la partie sauvegarde du cluster Kubernetes est délaissée. Google il y a peu a sorti une nouvelle fonctionnalité (encore en Beta ce jour) de Backup/Restore pour son service managé GKE, dans ce billet nous allons explorer cette solution en restaurant des données applicative et des manifestes Kubernetes.

Lire la suite
08/07/2022
Édouard Siha

Actualités
BreizhCamp 2022 : nos conférences préférées

À la découverte d’Accelerate Au travers d’un atelier participatif ludique, Antoine Cailly et Kevin Danezis nous ont menés sur le chemin de la découverte du contenu du livre « Accelerate » de Nicole Forsgren, Jez Humble et Gene Kim. La construction de l’atelier favorisait les discussions d’intuition sur les différents concepts et relations décrites dans le livre, complétées par des précisions apportées par les conférenciers. Si les concepts abordés dans « Accelerate » vous sont inconnus, retrouvez-les présentés en 5 minutes dans un article de blog d’Aboqa.

Lire la suite
06/07/2022
Ismael HOMMANI

devops
Comprendre l'approche GitOps avec FluxV2
(String: <h2 id="d%C3%A9couverte">Découverte</h2> Dans le monde DevOps, l’automatisation est un pilier essentiel. La CI/CD en est une expression sur laquelle l’approche GitOps a de plus en plus de succès. Cette dernière n’est cependant pas comprise à sa juste valeur du fait d’une vulgarisation excessive. L'expression popularisée par Weaveworks en 2017 ne reflète pourtant rien de neuf et il est fort probable que vous ayez utilisé cette approche sans tout à fait le savoir. La démocratisation de Kubernetes en a accéléré l’adoption et fait ressortir le besoin de cadrage autour de la notion de GitOps. Parmi les acteurs qui en proposent une implémentation, Weaveworks et Intuit avec respectivement Flux et Argo CD, sont ceux qui sortent du lot. Flux en particulier nous offre une solution Kube Native élégante, prenant parti des fonctionnalités Kubernetes en tant que plateforme. Cette solution repose sur quelques principes clés sans lesquels il est possible de passer à côté de la richesse et la puissance de cet outil. Nous vous proposons de passer en revue ces points afin d’avoir une vision claire du GitOps et surtout pouvoir le penser dans un contexte Kube Native via Flux. )
Découverte Dans le monde DevOps, l’automatisation est un pilier essentiel. La CI/CD en est une expression sur laquelle l’approche GitOps a de plus en plus de succès. Cette dernière n’est cependant pas comprise à sa juste valeur du fait d’une vulgarisation excessive. L'expression popularisée par Weaveworks en 2017 ne reflète pourtant rien de neuf et il est fort probable que vous ayez utilisé cette approche sans tout à fait le savoir. La démocratisation de Kubernetes en a accéléré l’adoption et fait ressortir le besoin de cadrage autour de la notion de GitOps. Parmi les acteurs qui en proposent une implémentation, Weaveworks et Intuit avec respectivement Flux et Argo CD, sont ceux qui sortent du lot. Flux en particulier nous offre une solution Kube Native élégante, prenant parti des fonctionnalités Kubernetes en tant que plateforme. Cette solution repose sur quelques principes clés sans lesquels il est possible de passer à côté de la richesse et la puissance de cet outil. Nous vous proposons de passer en revue ces points afin d’avoir une vision claire du GitOps et surtout pouvoir le penser dans un contexte Kube Native via Flux.

Lire la suite
01/07/2022
Jean-Pascal Thiery

Cloud Native
Voxxed Days Luxembourg 2022, nos slots préférés
(String: WeScale était présent avec notamment nos quatre speakers Jean-Pascal Thiery, Guillaume Mathieu, Gérôme Egron et Ismaël Hommani ; sans oublier Victoria Gontelle en charge de Wescale Training.)
Les 21 et 22 juin derniers se tenait la dernière édition des Voxxed Days Luxembourg. Pour rappel, la conférence avait été mise en pause pour cause de pandémie et ce fut un grand plaisir de se retrouver en physique pour parler technique !

Lire la suite
27/06/2022
Alexandre KOLACZ

sécurité
Sécurité de la configuration des containers dans GKE
(String: La nouvelle fonctionnalité de sécurité s’appelle “Protect pour GKE” et inclut actuellement une solution de scan automatique des problèmes de configuration des charges de travail. Cette solution n’a pas de coût supplémentaire et les scans n'utilisent pas de ressources de calcul de vos nœuds.)
Google vient de mettre à disposition en pre-GA (General Availability) un nouveau moyen de sécuriser et de contrôler les conteneurs qui tournent dans vos clusters Google Kubernetes Engine (GKE).

Attention ! Les fonctionnalités proposées avant la mise à disposition générale peuvent être limitées, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions pré-disponibles).

Lire la suite
22/06/2022
Teddy FERDINAND

sécurité
Quand vos certificats TLS vous trahissent
(String: <div> <h2 id="un-besoin-de-transparence">Un besoin de transparence</h2> Pour comprendre pourquoi vos certificats peuvent être un vecteur d’attaque, nous allons nous pencher sur le fonctionnement même d’un certificat TLS, du point de vue de votre navigateur. <h3 id="fonctionnement-du-tls-%C2%AB-classique-%C2%BB">Fonctionnement du TLS « classique »</h3> Sur un certificat classique, voici ce qui va se passer lorsque vous allez vous connecter à un site web exploitant une négociation chiffrée. <figure> <figcaption> Fonctionnement du TLS « classique » </figcaption> </figure> Votre navigateur se connecte à l’adresse demandée, puis récupère son certificat. Ensuite, il va se connecter à l’autorité de certification qui a délivré ledit certificat pour contrôler si le certificat est bien valide. <h3 id="fonctionnement-du-tls-avec-transparence-des-certificats"> Fonctionnement du TLS avec transparence des certificats</h3> Lorsque votre navigateur supporte la transparence des certificats, le flux de contrôle est plus complet. En effet, en plus de vérifier le certificat auprès de l’autorité de certification qui l’a émis, il va aussi le contrôler via un serveur de log tiers. Il existe plusieurs serveurs de logs, vous pouvez d’ailleurs voir <a href="https://certificate.transparency.dev/logs/">la liste actuelle</a>. Cela permet de confronter plusieurs informations afin de ne pas valider un certificat auprès d’une seule source. C’est une précaution importante dans le cas où une autorité serait compromise, mais permet aussi de mieux gérer la révocation des certificats, sur laquelle nous reviendrons plus bas. <figure> <figcaption> Fonctionnement du TLS avec transparence des certificats </figcaption> </figure> Voici d’ailleurs la description qu’en fait l’ANSSI (Autorité Nationale de la Sécurité des Systèmes d’Information) : <blockquote> Certificate Transparency vise à renforcer les contrôles sur les certificats émis par des autorités de certification, notamment ceux utilisés par HTTPS. Initié par Google, ce mécanisme est désormais standardisé par l’IETF. L’objectif de cette technologie est de faciliter la détection de certificats frauduleux ou invalides. Pour cela, les certificats émis par les autorités de certification reconnues par les navigateurs sont enregistrés dans des journaux en ajout seul. </blockquote> Les serveurs de logs obéissent à certaines règles importantes pour garantir la transparence des informations : <ul> <li>On peut uniquement pousser des nouvelles informations, jamais modifier ou supprimer une information</li> <li>Les informations doivent exploiter la cryptographie <a href="https://en.wikipedia.org/wiki/Merkle_tree">Merkle tree</a> pour leur transmission</li> <li>Tous les logs sont auditables publiquement</li> </ul> On retrouve ici certains préceptes que les amateurs de blockchain reconnaîtront, le but est le même : assurer la traçabilité des certificats. Ainsi, dans le cas où un certificat serait révoqué, il suffit de pousser l’information de sa révocation sur le registre public et votre navigateur saura que malgré le fait que le certificat soit « techniquement » valide, il n’est en réalité plus utilisable. Cela permet aussi de suivre la chronologie du certificat (création, invalidation, etc.). <h2 id="quand-la-transparence-vous-expose">Quand la transparence vous expose</h2> Si on suit le raisonnement que j’ai eu plus haut, la transparence des certificats apporte énormément d’avantages. Toutefois, de par sa nature publique, il est facile de manipuler les logs pour extraire et exploiter des informations. Il existe pour cela de nombreux outils, parmi lesquels : <ul> <li><a href="https://crt.sh/">crt.sh</a> : Un site web sur lequel on peut retrouver les certificats émis pour un domaine donné</li> <li>Les <a href="https://github.com/google/certificate-transparency">outils</a> fournis par Google</li> </ul> Le fonctionnement restera le même pour un domaine, dont on peut extraire les certificats associés. Prenons l’exemple du très populaire <a href="https://hashicorp.com/">hashicorp.com</a>, site de l’éditeur d’outils et de solutions d’automatisation et de gestion pour le cloud dont vous pouvez retrouver nombre de billets les concernant <a href="https://blog.wescale.fr/tag/hashicorp/">sur ce blog</a>. En allant sur crt.sh, on retrouve donc les certificats émis pour ce domaine : <figure> <figcaption> crt.sh </figcaption> </figure> À partir de là, un attaquant va chercher à trouver les ressources qui sont plus susceptibles d’être mal protégées, comme : <ul> <li>Des sites hors production, où la sécurité est parfois perçue comme non nécessaire</li> <li>Des applicatifs connus comme étant des portes d’entrée et avec de gros privilèges, comme les outils de CI/CD par exemple (GitLab, Jenkins, etc.)</li> <li>Des projets « confidentiels », qui sont encore en R&D ou non annoncés</li> </ul> Pour poursuivre l’exemple, sur HashiCorp, un domaine a attiré mon attention, recherchant un mot clé « staging » : <figure> <figcaption> Le résultat de la recherche sur crt.sh </figcaption> </figure> <figure> <figcaption> Le site « staging » identifié </figcaption> </figure> En essayant d’accéder au dit domaine, surprise, ça fonctionne ! Dans cet exemple, rien de grave, le site contient une authentification et les ressources présentes ne sont pas jugées critiques par Hashicorp. Il m’est arrivé cependant de trouver des serveurs Jenkins exposés publiquement par cette méthode lors d’un simple audit.   <h2 id="mes-conseils-pour-g%C3%A9rer-vos-certificats">Mes conseils pour gérer vos certificats</h2>   <h3 id="scanner-r%C3%A9guli%C3%A8rement-vos-domaines">Scanner régulièrement vos domaines</h3> Vu que ces listes sont publiques, je vous recommande fortement de scanner régulièrement vos propres domaines pour identifier rapidement les nouveaux certificats et les dangers associés.   <h3 id="ne-pas-utiliser-de-vrai-nom-ou-type-de-solutions-en-rd">Ne pas utiliser de vrai nom ou type de solutions en R&D</h3> C’est la technique utilisée par énormément de gros acteurs du web : utiliser des noms de code pour vos projets en cours de développement. En cas de divulgation, cela permet de complexifier l’identification de la solution que votre domaine cache et éviter qu’un concurrent puisse se positionner face à vous.   <h3 id="sensibiliser-les-%C3%A9quipes">Sensibiliser les équipes</h3> Comme souvent en sécurité, le point majeur est le même : sensibiliser les équipes. Si vous n’expliquez pas à vos équipes DevOps ce vecteur d’attaque, elles continueront de créer des certificats sans appréhender ce risque. Il faut aussi rappeler que les environnements hors production doivent respecter les mêmes critères de sécurité que la production (par exemple avec une authentification obligatoire, ségrégation du réseau, etc.).   <h2 id="utiliser-des-certificats-wildcard-une-bonne-id%C3%A9e">Utiliser des certificats wildcard, une bonne idée ?</h2> L’une des solutions que l’on peut voir serait aussi d’exploiter des certificats wildcard sur vos applications. Dans le cas d’HashiCorp évoqué ci-dessus, cela donnerait « *. hashicorp.com ». Sur le papier, cela limite les risques évoqués plus haut, mais en crée en réalité de nouveaux. L’un des plus importants étant qu’en cas de compromission et révocation de votre certificat, l’impact sera bien plus large et vous obligera à redéployer un certificat sur un plus grand nombre d’applications. De plus, mutualiser un certificat augmente aussi les risques que celui-ci soit exfiltré.   <h2 id="pour-finir">Pour finir</h2> Vous l’aurez compris, un attaquant cherchera toujours la moindre information disponible. Il faut garder à l’esprit que la transparence des certificats est l’un des premiers vecteurs d’attaque exploités, car il donne souvent bien trop d’informations. Il est donc important de le protéger autant que possible comme chaque information publique que vous mettez à disposition. Dans les faits, la transparence des certificats reste un outil très puissant et sécurisant pour vous et vos utilisateurs, avec les limites évoquées plus haut.   <h3 id="remerciements">Remerciements</h3> Merci à notre partenaire HashiCorp avec qui nous avançons chaque année pour échanger et partager nos expertises et solutions. La sécurité fait partie de nos valeurs communes et ils nous ont permis de les citer comme exemple pour partager cette culture. </div>)
Les certificats TLS font partie du quotidien pour n’importe qui manipule les technologies du web. Mais saviez-vous que vos certificats peuvent trahir vos projets confidentiels, vos environnements non productifs ou la topologie de votre entreprise ?

Lire la suite
14/06/2022
Guillaume GUÉRARD

Actualités
Le meilleur de la HashiConf Europe 2022
(String: Après deux ans de pause, la HashiConf Europe était de retour à Amsterdam les 21 et 22 juin derniers. Nos  consultants Vincent et Guillaume étaient sur place pour représenter WeScale qui est partenaire d’HashiCorp. Dans cet article, vous trouverez un condensé de l’ensemble des annonces faites par HashiCorp et un résumé des conférences qu’ils ont le plus apprécié.)
Après deux ans de pause, la HashiConf Europe était de retour à Amsterdam les 21 et 22 juin derniers. Nos consultants Vincent et Guillaume étaient sur place pour représenter WeScale qui est partenaire d’HashiCorp. Dans cet article, vous trouverez un condensé de l’ensemble des annonces faites par HashiCorp et un résumé des conférences qu’ils ont le plus apprécié.

Lire la suite
08/06/2022
Alexis Morelle

Actualités
Les meilleures conférences du WeShare de mai
(String: <h2 id="sur-la-route-53-au-pays-du-dns">Sur la Route 53 au pays du DNS</h2> Chris fait peu d’histoire d’Internet à la manière de Père Castor, en ratissant de TCP/IP à DNS. On fait le tour des notions importantes de serveur d’autorité, de résolveur, de TTL et des différents types d’enregistrements (A, AA, CNAME, MX…) jusqu’à DNSSec et GeoDNS. Chris nous rappelle les pièges à éviter, les boucles DNS… Un exemple concret sur le blog de <a href="https://www.bortzmeyer.org/attaque-sous-domaine-caisse-epargne.html">Stéphane Bortzmeyer</a>. À coups d’outils tels que dig (l’assemblée propose drill également), ping, nslookup, on expérimente DNS, en jouant aussi avec /ect/hosts, avant de parler d’outils plus haut niveau tels que <a href="https://intodns.com/">intodns</a> (pour les recommandations), <a href="https://zonemaster.net/">zonemaster</a> (vérifié par l’afnil), <a href="https://dnsviz.net/">dnsviz</a> (visu), <a href="https://dnschecker.org/">dnschecker</a> (vérifier la propagation). Il est important de vérifier au travers de plusieurs sources. Enfin, on parle du service AWS Route 53 et de ses nombreuses fonctionnalités qu’il a fallu bidouiller à la main dans un passé lointain comme l’application recovery controller (round robin dynamique)…)
Le WeShare, c’est le premier lundi de chaque mois pendant lequel l’ensemble de la tribu se retrouve pour une journée de partage et d’échange. Voici le programme des conférences des deux dernières journées de WeShare d’avril et de mai.

Lire la suite