Category: Security

Petite introduction à l’auto-défense numérique

Posted on by Kévin Dunglas

Présentation effectuée pour la première fois samedi 5 novembre pour la CNT Lille : Services de renseignement des États, multinationales du web (GAFAM), employeurs voir proches indiscrets… à l’heure de l’omniprésence du web dans nos vies, nous sommes tous fichés et surveillés. Cependant, il existe des méthodes (plus ou moins efficaces) qui permettent de limiter les…

Read more

Generate a Symfony password hash from the command line

Posted on by Kévin Dunglas

There is an easy way to generate a Symfony compliant password hash from the command line. Assuming you’re using the bcrypt algorithm (the preferred choice according to Symfony’s security best practices), the default cost (13) and you have PHP >= 5.5 installed, just run the following command: php -r “echo password_hash(‘ThePassword’, PASSWORD_BCRYPT, [‘cost’ => 13]) . PHP_EOL;”  It will…

Read more

Fuite de données personnelles à Pôle emploi ? Revente d’informations ? Piratage ?

Posted on by Kévin Dunglas

Voici la première contribution externe de ce blog, un article écrit par une amie qui révèle un problème de confidentialité important chez Pôle emploi : les données personnelles des usagers seraient dans la nature, utilisées pour envoyer du spam et probablement pour tenter des usurpations d’identité. Après une rapide analyse des en-têtes de l’email en…

Read more

DunglasAngularCsrfBundle: protect your Symfony / AngularJS apps against CSRF attacks

Posted on by Kévin Dunglas

I create and I see more and more web applications sharing the same powerful architecture: Server-side, a REST API built with the popular Symfony framework and its ecosystem (especially FOSRestBundle, JMSSerializerBundle and sometimes BazingaHateoasBundle for hypermedia APIs). Client-side, a SPA built with Google’s AngularJS consuming the REST API provided by the server with Restangular or a similar library.  These components share the same philosophy (built…

Read more

Sécuriser tant bien que mal une application Symfony installée dans un sous-répertoire

Posted on by Kévin Dunglas

Souvent, pour des raisons de coups liées aux certificats SSL, il n’est pas possible d’installer une application Symfony dans son propre virtual host. L’application se retrouve alors dans un sous-répertoire du DocumentRoot, ouverte à tous vents et c’est une catastrophe en terme de sécurité ! Imaginons que notre DocumentRoot soit /home/web et que l’application Symfony…

Read more

De l’inutilité de la fonction PHP sleep pour protéger des attaques brute force (exemple avec Prestahop)

Posted on by Kévin Dunglas

Le couple adresse email / mot de passe est le sésame permettant d’accéder à presque l’ensemble des activités numériques d’un individu : messagerie, réseaux sociaux, documents, extranets, interface client des boutiques en-ligne… Les applications web se doivent de garantir la sécurité de leurs utilisateurs. En plus du minimum exigible (hachage et salage des mots de…

Read more

Add reCAPTCHA widgets to Symfony forms

Posted on by Kévin Dunglas

I’ve wrote a new Symfony plugin to add reCAPTCHA widgets and validation to Symfony new forms. reCAPTCHA is a free CAPTCHA service that helps to digitize books, newspapers and old time radio shows. To install: checkout it from http://selfpublish.googlecode.com/svn/trunk/plugins/sfAnotherReCaptchaPlugin/ and put it in your Symfony plugins directory. Next, get a reCAPTCHA key and put the…

Read more