Ayant plusieurs distributions Linux que j'utilise via des clefs USB, j'ai cherché à mettre les différents systèmes sur une seule clef. On trouve très facilement des informations et tutoriaux pour faire ça et personnellement, étant sur Windows à ce moment là (PC du boulot), j'ai utilisé YUMI.

YUMI (Your Universal Multiboot Installer), is the successor to our MultibootISOs. It can be used to create a Multiboot USB Flash Drive containing multiple operating systems, antivirus utilities, disc cloning, diagnostic tools, and more. Contrary to MultiBootISOs which used grub to boot ISO files directly from USB, YUMI uses syslinux to boot extracted distributions stored on the USB device, and reverts to using grub to Boot Multiple ISO files from USB, if necessary. http://www.pendrivelinux.com/yumi-multiboot-usb-creator/

C'est en anglais, mais ça a marché super bien. Pour l'instant j'ai mis les lives cd de Tails http://tails.boum.org/, Kali LinuxLinux http://www.kali.org/downloads/ et un Xubuntu http://xubuntu.org/. Comme il me reste de la place, je mettrais d'autre (une distribution de récupération de donnée par exemple, avec testdisk et photorec),

Comme l'image de fond du menu est une simple image png, j'ai fait une petite fantaisie pour personnaliser ma clef :

Pour avoir la capture d'écran, j'ai booté sur la clef USB dans Virtualbox, en suivant ce tutoriel pour pouvoir le faire :
Comment booter un live usb sur Virtualbox sous hôte windows http://www.seeyar.fr/live-usb-sur-virtualbox/, la commande s'adaptant facilement pour un Virtualbox sous Linux.

D'ailleurs sous Linux, pour faire des clefs USB multiboot, il y a MultiSystem qu'il faudra que je teste à l'occasion.
MultiSystem est un logiciel qui, contrairement aux outils traditionnels comme LinuxLive USB Creator, Usb-creator, ou encore Unetbootin, permet de créer entre autres des clés dites Live-USB mais multiboot.
http://doc.ubuntu-fr.org/multisystem

Enfin, le PC que j'utilise bootant sur une SD card, me reste plus qu'à faire la même chose avec une SD card pour ne plus avoir une clef USB qui dépasse. Et ça fera un truc cool. Tout simplement.

DBAN est live-cd autonome qui supprime automatiquement le contenu des disques durs qu'il peut détecter dans la machine. Cette méthode peut aider à prévenir le vol d'identité avant de recycler un ordinateur. C'est aussi une solution couramment utilisée pour éliminer les virus et les logiciels espions des installations de Microsoft Windows. DBAN empêche toutes les techniques connues de l'analyse médico-légale sur le disque dur. Il n'offre pas aux utilisateurs une preuve de l'effacement, comme un rapport d'effacement audit prêt. http://www.dban.org

Apparemment, c'est utilisé au RuralLab (http://www.rurallab.org), et c'est un article du blog que j'ai eu connaissance de cet outil. Personnellement, je n'ai pas encore testé.

Il semblerait que Dban propose les options d'effacement suivante :
Quick Erase - Hard disk filled with zero's
RCMP TSSIT OPS-II - drive-wiping passes with a random byte in the overwrite sequence changed each time.
DoD Short - Makes three (1, 2 and 7) of the seven passes recommended under the DoD 5220-22.M standard
DoD 5220-22.M - A seven-pass wipe using random characters, complements of characters, and random data streams.
Gutmann Wipe - 27 random-order passes using specific data combined with eight passes using random data.

On retrouvera plus de détails sur le site officiel : http://www.dban.org

A voir
Shred - effacer définitivement un fichier
Shred pour Windows ? Eraser

Principe

Quand on télécharge un fichier, par exemple une iso de distribution Linux, on veut être sûr que le fichier a été correctement téléchargé/est le bon. Pour cela, il existe des commandes (MD5, Sha1), des sortes de moulinette qui génère un code unique pour le fichier. On compare ce code unique du fichier que l'on a sur notre ordinateur avec le code qu'indique le site qui a mis à disposition le fichier.

Si le fichier est modifié, différent, corrompu, incomplet, le code est différent. Si le fichier est strictement identique, on aura le même code, on est sûr que le fichier est bon.

MD5, Sha1, sha256

sha1 et md5 sont pas des algorithmes de hashage dont les algorithmes de calcul sont différents.

md5sum monfichier > monfichier.md5

En ligne de commande, l'utilitaire md5sum permet de calculer les sommes de contrôle MD5, l'utilitaire sha1sum permet de calculer les sommes de contrôle SHA.

sha1sum monfichier > monfichier.sha1

Pour vérifier
md5sum -c monfichier.md5
sha1sum -c monfichier.sha1

md5sum/sha1sum cherchera à calculer les empreintes des fichiers listés dans monfichier.md5 ou monfichier.sha1 et les comparera aux valeurs stockées dans le fichier.

Idem pour sha256sum qui utilise sha255, évolution plus "sécurisée" de sha1...

Pour une interface graphique à md5sum/sha1sum , il y a Check-file-integrity par exemple.

Fichier .asc - gpg

Encore plus "sécurisé", on a la signature via gpg. Cela repose sur le même principe que la signature d'un mail, avec le système de clef publique/clef privée. Un exemple d'utilisation de gpg pour certifier/signer un fichier est celui du Tor Browser Bundle. Un développeur a signé avec sa clef (privée) le package et quand on télécharge le Tor Browser Bundle, on vérifie qu'il est bon en le validant via gpg.

Signer un fichier de signature

Si je veux faire pareil, sur mon PC, je dois avoir uen clef GPG privée de crée. Je tape la commande
gpg -ab file.pdf
Signification des arguments :
a Create ASCII armored output.
b –detach-sign Make a detached signature.

En utilisant ma clef privée, le fichier (ici file.pdf) est utilisé pour générer un fichier .asc de signature.

Les deux fichiers sont mis à disposition.

Toute personne qui les récupère aura le fichier file.pdf et le fichier file.asc qui a été généré.

Vérifier l'intégralité via la signature

Pour cela, il est nécessaire d'avoir la clef publique correspondant à la signature pour la vérification (procédure de récupération non expliquée ici. Ma clef publique quand à elle est disponible ici).

Cela se fait avec la commande
gpg --verify file.asc file.pdf

Rq : le fichier de signature est un fichier texte et l'extension varie. Elle peut être .asc (pour la signature du Tor Browser Bundle), sig (c'est celle qu'utilise TrueCrypt), .gpg pour les ISO d'Ubuntu...

Conclusion

On trouve de nombreuses explications/tutoriaux sur md5/sha1 et gpg sur le Net'. Si j'ai fait ce billet, c'est plus sensibiliser à l'usage de gpg dans le cadre de la signature d'un fichier, afin de garantir son intégrité/sa validité.

Comment vérifier l'intégrité du TorBrowser quand on le télécharge ?.
Comment vérifier l'intégrité de Firefox quand on le télécharge ?.

Régulièrement (environ tous les 3 mois), sur mon PC professionnel, je suis amené à changer de mot de passe, car tel est la politique de sécurité qui a été défini. Le mot de passe doit être de 8 caractères minimum, avec des majuscules et minuscules, et des chiffres. Comme c'est un mot de passe que je dois taper tous les jours, plusieurs fois par jour (l'écran de veille verrouille la session quand je quitte mon poste), je mets un mot de passe que je qualifierai de simple. Comprendre par là un mot de passe qui est facile à taper, que je retiens et dont j'ai l'habitude...

Le problème est là : l'habitude. J'utilise un mot de passe qui n'est pas unique, que j'utilise à d'autres endroits, en particuliers sur des sites webs.

Je sais que ce n'est pas bien. Peu à peu, je change tous les mots de passes des comptes que j'utilise au quotidien (réseaux sociaux, mails), en adoptant un mot de passe unique pour chacun. Mais tous sont construits selon la même logique. J'ai trouvé une méthode pour m'en rappeler mais même si le mot de passe en lui-même est complexe, la méthode est simple et si on la trouve, on peut deviner une bonne partie de mes mots de passe. Pour illustrer ça imaginons que la racine des mots de passe est toto. On peut faire FacebookToto1234%, LinkedinToto1234%, TwitterToto1234%. Cela constitue des mots de passe solides. Mais si quelqu'un trouve le motif et la logique derrière la construction du mot de passe, il a tous les mots de passe... Dans la réalité, c'est plus complexe, mais l'idée est là.

Pour en revenir au PC professionnel, si je ressaisis un mot de passe déjà utilisé précédemment, j'ai un message qui me demande d'en choisir un autre. Il y a donc un enregistrement de ces mots de passe et je n'ai aucune idée ni aucune confiance sur la façon dont stockés ces mots de passes (en clair ? ou chiffré/hashé avec un peu de sel par dessus ?).

Ajouter à ça le fait que, passant par un proxy, si le proxy de l'entreprise fait du man in the middle/homme du milieu en remplaçant les certificats SSL, il peut très bien voir les mots de passe des connexions https et les enregistrer. Ce n'est pas le cas, j'ai vérifié les certificats, mais dans le principe, c'est un risque en plus...

Autre problème avec les mots de passe, il y a le fait que pour qu'elle soit facile à retenir (mais néanmoins complexe), ma clef Wifi est composée/est la concaténation de différents mots de passe que j'utilise de façon habituelle. Dans un certain ordre. Donc à chaque fois que je saisis la clef Wifi sur appareil mobile et que je l'autorise à se connecter, je répands un peu plus des mots de passe dans la nature...

De même, Mme Genma connait mes mots de passe "par défaut" (Pour le cas où, pour une raison ou une autre, elle a besoin d'avoir accès à un compte, dans le cas de la gestion de mon testament numérique par exemple) et les utilise elle-même pour ces comptes. Avec le même mot de passe pour différents comptes. Nous partageons le même réseau et la même IP, donc cela présente un risque supplémentaire.

Je dois sérieusement me pencher sur toute cette problématique, revoir tous mes mots de passe et faire en sorte qu'il y ait un mot de passe différent par compte, que ce soit pour les comptes Internets, pour les comptes utilisateurs de mes différents PC, pour mes clefs de chiffrements, mes conteneurs TrueCrypt.

Une solution que j'envisage ? Keepass pour stocker tout ça. Avec une passphrase assez longue pour sécuriser le tout. Rien n'est parfait, la problématique est complexe et j'ai pas mal de travail. Ce projet de gestion des mots de passe en est donc un à part entière...

Parfois je passe en mode Genma. Ce que j'appelle le "Mode Genma", c'est un état d'esprit. Il y a une différence entre celui que je suis dans la vie de tous les jours, quand je suis sur mon lieu de travail, quand je suis chez moi, avec mes parents, avec mes amis, et celui que je suis quand je suis en public, à animer une conférence ou un atelier, quand je fais une rencontre avec quelqu'un que je connais via Internet ou encore quand je suis sur Internet, tout simplement.

Au quotidien, je suis Jérôme, et j'ai une vie plutôt monotone et banale, presque sans intérêt, j'ai envie de dire. Je vis mon train-train quotidien, les journées passent et se ressemblent fortement. Je ne fais rien de bien extraordinaire. Il y a des hauts et de bas, de moments où ça va, d'autre où ça peut aller et d'autres où ça ne va pas. Il y a beaucoup de choses que je n'évoque pas sur ce blog. Il y a toute la série d'articles sur mes conditions de travail. Il y a toute cette vie banale que je n'évoque pas forcément.

Et a contrario, il y a tout un pan de ma vie et de ma personnalité que je dévoile ouvertement ici, par écrit. Cette vie est complémentaire de la première, elle ne vient pas en opposition. Quand je commence enfin à faire ce que j'aime vraiment, je change d'état d'esprit, je passe en ce que je qualifierai de "Mode Genma". Je suis alors quelqu'un d'autre, alors que je suis la même personne. Je suis enthousiaste, motivé, souriant, communicatif. Les gens qui me connaissent au quotidien verraient probablement un changement, qui, même s'il n'est pas radical, est assez conséquent. Et pourtant, sur ce même blog, je parle de mes états d'âmes, mes coups de blues, je me confie... La part de moi-même qui n'est pas en "mode Genma" s'exprime donc très clairement sur ce qui s'appelle "Le blog de Genma".

Pour en revenir au "mode Genma", c'est donc un état d'esprit, un état dans lequel je passe quand intérieurement, je suis bien. Le sentiment de mal-être, de questionnement incessant, les remises en questions, tout disparaît. Car je suis en train de faire quelque chose que j'aime (comme écrire pour ce blog par exemple) je ne vois plus le temps passé. Quand je suis en "mode Genma", je suis le vrai moi, je suis le geek qui est en moi.

Et parfois la réalité (le temps ou une situation extérieure) se rappelle à moi et je dois alors revenir au mode traditionnel, gérant alors les tracas et ennuis du quotidien.