Yohan Prod'homme (Zoddo) @zoddo@zoddo.fr

@aeris Ok, je vois. On va attendre buster alors (j'ai pas envie de me taper une migration à nginx ni une recompilation manuelle d'Apache :P )

@aeris Ah, c'est Apache qui ne le supporte pas ? Je croyais que ça dépendait uniquement de la version d'OpenSSL 🤔

@aeris Tient, sinon, tant que j'y suis, je souhaitais activer CHACHA20-POLY1305. Il a été ajouté dans OpenSSL 1.1.0. Donc en théorie, avec mon OpenSSL 1.1.0f, ça devrait être bon?

Mon cipher suite (ECDHE:!SHA:!DSS:!PSK:!SRP:!3DES:!RC4:!DES:!IDEA:!RC2:!NULL) doit donc l'inclure, mais il n'est jamais proposé par le serveur. Une idée ?

Si besoin, j'utilise Apache 2.4.25 (Debian 9)

@aeris Je vais y réfléchir. Mais est-ce vraiment nécessaire de supporter des vieilles versions d'Android quasiment plus utilisés, Firefox <27 ou IE <11 (XP/Vista ne sont plus maintenues par Microsoft et par de nombreux éditeurs de logiciels de toute manière...)

@aeris Bof, concernant SHA-1, ça fait un moment que je l'ai désactivé sans problème particuliers.

Si on en croit sslabs ça me permet quand même de supporter au minimum Android 4.4.2, Chrome 49, Firefox 47, IE11 (Win7) ce que je trouve largement acceptable.
https://www.ssllabs.com/ssltest/analyze.html?d=zoddo.fr&s=62.210.12.33

À un moment, faut aussi arrêter de supporter des poubelles plus trouées que l’emmental (Win XP par exemple)...

Hello @aeris

Que penses-tu de la configuration TLS proposé par https://mozilla.github.io/server-side-tls/ssl-config-generator/ ?

@Shaft Si je me plante pas, le "Return-Path" correspond systématiquement au "Sender" (MAIL FROM dans l'échange SMTP)

@Mozilla Ou sinon, Quantcast respecte le #RGPD et fait du opt-in à la place du opt-out... 🙄

@tuxicoman Je viens de tester en regardant les connexions émises.

Leurs trucs et surtout tellement pourri qu'ils sont obligés d'envoyer les opt-out à une centaine de domaines différents...

Oui, un opt-out, alors que le RGPD nécessite que ce soit un opt-in...

@aeris T'as rippé sur ton clavier. Tu voulais dire "Chouette, il est déjà 21h45 ! 😃"

@aeris Linux vanilla à la carte, c'est plus marrant :D

@DaD Yes, but that's more complex (and more secure as well)

@DaD rssh can restrict to scp (for example) but can't restrict to a predefined directory.

Someone has asked me how I restrict an SSH public key to only allow to SCP to a predefined directory

Here is the script I use for that : https://gist.github.com/Zoddo/035784d640ecf9156fa471534deb1e1f

For example, I use it on the server that stores backups of some of my VMs (so, they don't have a full SSH access to that server)