un peu plus loin avec nmap

Déjà évoqué ailleurs...
Unicode dispose de nombreux caractères dans des langues différentes et qui se ressemblent vraiment...
Du coup, il devient difficile de faire la différence entre un site "authentique" et un autre simplement en regardant l'url dans la barre d'adresse.
ex: http://c౦mmentcamarche.net/
et http://commentcamarche.net/

C'est connu depuis longtemps mais les moyens de s'en défendre demeurent peu développés et/ou peu connus.
Sebsauvage si je me souviens bien avait pensé à un hash visuel : une image qui représente un hash du nom de domaine. Voir ici : http://sebsauvage.net/rhaa/?2011/05/31/14/52/16-vizhash-gd-un-hash-visuel
Il  y a aussi pwdhash (http://spynaej.eu/links/?Wni0AQ) qui compose votre mot de passe pour un site en fonction de l'URL.

Un chercheur allemand, Karsten Nohl, après plusieurs années de travail avec son équipe, vient de mettre à jour une faille dans les cartes SIM, jusqu'à présent inviolables. La faille repose sur une mauvaise implémentation de code ainsi que sur l'utilisation d'un ancien standard crypto : DES. Une attaque par rainbow tables permet de casser la clé de chiffrement et ainsi d'installer n'importe quelle application, de faire passer des SMS surtaxés, etc.
Présentation du travail de l'équipe à la conférence Black Hat le 31 juillet

Voilà ce qui arrive quand la clé privée est dévoilée...
Le système qui permet d'interrompre les émissions pour les situations d'urgence a accidentellement dévoilé la clé privée qui donne un accès "root" aux serveurs : n'importe qui peut jouer aux "lanceurs d'alerte" ;-)
[via Mikko Hypponen/Twitter]

RSnake (Robert Hansen) propose 10 mesures pour sécuriser un site web, au premier rang desquelles : la Content Security Policy.

Un point sur les kits d'exploitation (ZeuS, Citadel, Blackhole, Ice IX, Stealix,...) par trendmicro. A voir également leur importance relative (top 5) : http://cybercrime-tracker.net/stats.php

Certains gouvernements... suivez mon regard... (je ne sais plus bien où regarder en ce moment !) enregistrent toutes les communications chiffrées. Elles ne peuvent pas nécessairement les déchiffrer aujourd'hui, mais qui sait demain ? (dévoilement de la clé privée par tel ou tel moyen, cryptanalyse,...).
La solution réside dans l'utilisation de clés périssables (liées à une session par exemple) et s'appelle PFS (Perfect Forward Secrecy). Tous les navigateurs ne l'utilisent pas ou ne la favorisent pas... et devinez qui est dernier de la classe ?
(Faut que j'arrête de basher IE faut que j'arrête faut que j'arrête...)