unix4fun

Chaque fin de semaine aura lieu un Week-end food : des PDFs et autres documents à imprimer le vendredi soir avant de partir du boulot et à lire chez soi ou dehors, tranquillement, le week-end, en sirotant un mojito.

Retenus cette semaine :

• A dynamic technique for enhancing the security and privacy of web applications par Ariel Futoransky, Ezequiel Gutesman et Ariel Waissbein : la théorie derrière le code de COREGRASP présenté à la Blackhat USA 2007. PDF. 16 pages.
• Exploiting Concurrency Vulnerabilities in System Call Wrappers par Robert N. M. Watson : les problèmes des systèmes GSWTK, Systrace et CerbNG présentés lors de la WOOT'07. PDF. 8 pages.

Security Engineering: A Guide to Building Dependable Distributed Systems est un livre qui, pour beaucoup et notamment Bruce Schneier, fait partie des classiques. Il est mis à disposition gracieusement en PDF sur le site. Et comme un bon lien n'arrive jamais seul, le site FreeTechBooks regorge de surprises comme celle-ci.

En début de semaine la société pour laquelle je travaille s'est pris un DDoS applicatif. Quelques dizaines de milliers de zombies, après la fin du 3WH, attendaient que le serveur timeout et, pendant ce temps, utilisaient donc l'ensemble des slots disponibles. En recherchant des infos sur l'état de l'art actuel, je suis tombé sur un document intitulé "On the efficiency of timeout-based DOS attack protections". La technique est assez intuitive : réduire le timeout au cours d'un DDoS. Cependant, ce PDF comporte un survol assez intéressant des techniques de prévention. De notre côté, nous avons choisi d'allier ce comportement avec, en plus, un serveur DNSBL qui, progressivement, blacklist les mauvais comportement.