La version 2.3.2 de PFSense, distribution open source de sécurité, avec 60 bugs corrigés, vient d’être libérée. Vous pouvez en savoir plus sur la publication de mise à jour de la version 2.3.2 sur le blog de pfSense. Pensez à mettre à jour vos appliances.
Étiquette : pfsense
pfSense : sortie de la version 2.2.3 – corrections de sécurité
pfSense, le célèbre firewall open source basé sur BSD vient de sortir la dernière version, la 2.2.3.
Cette release corrige deux importantes types de faille de sécurité, la première touchant l’interface graphique d’administration (failles de type XSS) et la seconde touche le maintenant célèbre OpenSSL (CVE-2015-1788, CVE-2015-1789, CVE-2015-1790, CVE-2015-1791, CVE-2015-1792, CVE-2015-4000).
Des corrections de bugs touchent les problèmes de corrections de système de fichiers (j’en connais qui vont être content 😉 ).
A noter, que la partie IPSEC a subi de nombreuses améliorations (mise à jour vers strongSwan 5.3.2), de corrections de bugs (intégration de patchs de FreeBSD) et de nouvelles fonctionnalités (intégration de nouveaux modes pour la phase 1 en respect avec la RFC 5903, ajout du support de EAP-RADIUS pour les clients mobiles IKEv2…)
Avant la mise à jour je vous invite à lire de manière attentive les notes décrivant les changements de pfSense 2.2.3.
Je vous invite à mettre à jour votre système au plus vite, non sans avoir fait une bonne sauvegarde. Au passage, je rappelle la nécessité de ne pas laisser accessible l’interface web de votre pfSense via la patte WAN ou le réseau WiFi !
pfSense : sortie de la version 2.1.2
Hier soir, tard dans la soirée, l’équipe de pfSense a sortie la version 2.1.2 qui corrige notamment le maintenant célèbre bug heart bleed d’OpenSSL (CVE-2014-0160).
Il faut noter la rapidité de l’équipe de pfSense à vous délivrer un correctif de qualité à comparer avec d’autres solutions propriétaires où nous sommes toujours dans l’attente d’une moindre communication (mais cela arrange peut-être certaines personnes).
En tout cas, un grand bravo à toute l’équipe de pfSense, car il ne s’agissait pas de refaire une simple mise à jour de dépendance comme on pourrait naïvement le croire.
Pour les soutenir, je vous invite à faire un tour sur leur store afin d’acheter un goodie ou même un firewall propulsé par pfSense pour votre maison prêt à l’emploi (je vous conseille VK-T40E2, testé et validé par bibi).
pfSense : Faille OpenSSL heartbeat ( Heart Bleed bug ) – CVE-2014-0160
pfSense est-il impacté par la faille du paquet OpenSSL dite du bug heart bleed ? La réponse est multiple
Introduction
Les utilisateurs de pfSense, la célèbre appliance de sécurité Open Source, se posent la question fort importante. Est-ce que mon pfSense est impacté par la faille du paquet OpenSSL dite du bug heart bleed (CVE-2014-0160) ? La réponse est multiple :
Version 2.03 :
Cette version de pfSense utilise une version d’OpenSSL non touché par la faille (0.9.8y). Ouf 🙂 ! Par contre, si vous utilisez le package Unbound, désactivez-le le temps de la mise à jour !
Version 2.1 et 2.1.1 :
Et oui, vous êtes vulnérables 🙁 !
OpenVPN
OpenVPN n’est exposé à cette faille que si il est utilisé en mode SSL/TLS sans clé d’authentification TLS. Si vous avez suivi le wizard, normalement vous êtes tranquille.
Les solutions palliatives
Modifications sur pfSense
- Ne pas ouvrir votre interface web à tout le net
- Si vous utilisez OpenVPN sans l’authentification TLS, vous devez modifier la configuration ou suspendre le service temporairement.
- D’autres paquets dépendent d’OpenSSL, mais en général le risque que la faille soit exploitée via ceci est faible. Mais s’ils ne sont pas critiques, le mieux est de les désactiver.
Snort
Des règles pour Snort viennent d’être publiées soit par l’équipe du projet, soit par de gentilles personnes.
Et le patch officiel ?
La version 2.1.2 qui corrige cette faille va sortir dans les prochaines heures. Suivez les commits sur github.
Quelques rappels utiles
Il ne faut jamais exposer l’interface de management à internet. Accédez-y via une machine local, ou via le VPN, ou encore via SSH. Changer le port par défaut de l’interface web, mettez un vrai mot de passe bien secure.
Si votre installation se révèle être vulnérable, suite à la mise à jour vous devez révoquer vos anciennes clés privées, en générer de nouvelles et créer de nouveaux certificats pour vos nouvelles clés.
pfSense : sortie de la version 2.1.1 :-)
pfSense est une appliance de sécurité basée sur FreeBSD fort réputée.
En attendant la version 2.2, cette nouvelle version corrige 3 failles de sécurité (FreeBSD-SA-14:01.bsnmpd / CVE-2014-1452, FreeBSD-SA-14:02.ntpd / CVE-2013-5211, FreeBSD-SA-14:03.openssl / CVE-2013-4353, CVE-2013-6449, CVE-2013-6450), met à jour les drivers de cartes réseaux (em/igb/ixgb/ixgbe) et corrige des bugs mineurs.
Vous trouverez le détail de la mise à jour ICI .
PfSense : exporter la configuration client OpenVPN
Présentation de PFSense
PFSense est une appliance de sécurité réputée que j’apprécie tout particulièrement. PFSense permet, entre autres fonctions, de jouer le rôle de serveur VPN (IPSEC, PPTP, L2TP et OPENVPN).
Choix du serveur VPN
Je conseille d’utiliser OpenVPN de part sa simplicité (versus IPSEC), sa possibilité de fonctionner un peu n’importe où (même via des réseaux très strict, il suffit de bien configurer les ports) et sa sécurité (versus PPTP et L2TP). Par contre, l’intégration de la configuration pour les utilisateurs mobiles n’est pas toujours simple, notament face à la multitude des systèmes d’exploitations.
Configuration des terminaux
Vous trouverez, grâce à la vivante communauté de PFSense, un package facilitant les exports de configuration, que ce soit vers les ordinateurs sous windows, Linux et MacOSX, mais aussi vers les terminaux mobiles et tablettes comme Android et IOS ( une application Openvpn pour IOS est disponible sur le store US depuis quelques semaines. Peut-être bientôt en Europe, ainsi plus besoin de rooter son idevice afin de profiter d’OpenVPN).
Client Android
Je peux vous conseiller un client Android de qualité qui ne nécessite pas de rooter votre terminal. Il s’agit de FeatVPN . Une version est disponible sur le google store, mais il est recommandé d’installer la version disponible sur leur site web. Faites bien attention de choisir le bon apk selon votre version d’Android.
Procédure d’installation
Apres avoir téléchargé la configuration pour votre utilisateur sous Android sur votre ordinateur via l’interface web de PFSense, il faut copier ce fichier sur la carte SD de votre téléphone ou tablette.
Ensuite, il faut lancer votre FeatVPN, sélectionner « Tunnels », puis le bouton « Add », aller dans la partie « Configuration » et cliquer sur « Load ». Il faut ensuite choisir le fichier que nous venons de copier sur la carte SD. La configuration se fait tout seul. Je vous conseille fortement de ne pas stocker votre mot de passe sur votre terminal Android, car en cas de perte ou de vol, votre réseau sera accessible le temps que vous révoquiez le certificat utilisateur.
Conclusion
Plus de raison de ne plus sécuriser l’accès à votre infrastructure loin de vos bases, PFSense et OpenVPN vous apportent une solution fiable, performante et pérenne.