vault backup: 2026-02-28 00:11:38

articles/2026/LTLS Le garde du corps de vos données sur Internet.md

@@ -0,0 +1,103 @@
+---
+title: "TLS : Le garde du corps de vos données sur Internet"
+description: 
+tags: []
+date: 2026-02-28 00:00
+lastmod: 2026-02-28 00:05
+type: 
+category: 
+status: 
+---
+
+# TLS : Le garde du corps de vos données sur Internet
+
+Chaque clic sur le Web déclenche un ballet invisible. Derrière le cadenas de votre navigateur, le protocole **TLS (Transport Layer Security)** assure que vos coordonnées bancaires ou vos messages privés ne finissent pas entre les mains d'un tiers. Mais comment ce protocole parvient-il à concilier sécurité absolue et rapidité instantanée ?
+
+## 1. L’héritage du secret : de l’Antiquité au numérique
+
+Le besoin de masquer une information est millénaire. Les Spartiates utilisaient la **scytale**, un bâton de bois autour duquel on enroulait une lanière de cuir. Sans un bâton du _même diamètre_ (la clé), le message était illisible.
+
+C'est l'ancêtre du **chiffrement symétrique**. Aujourd'hui, nous n'utilisons plus de bâtons, mais des algorithmes mathématiques comme **AES (Advanced Encryption Standard)**.
+
+- **Le point fort :** Une rapidité foudroyante.
+    
+- **Le point faible :** Le "problème de la distribution". Si vous voulez envoyer un message chiffré à quelqu'un à l'autre bout du monde, comment lui transmettre la clé sans qu'elle soit interceptée en chemin ?
+    
+
+## 2. La révolution asymétrique : l’invention du double cadenas
+
+En 1976, une percée mathématique change la donne : le chiffrement **asymétrique** (ou à clé publique). Imaginez une boîte aux lettres :
+
+1. N'importe qui peut y glisser un message (grâce à la **clé publique**, connue de tous).
+    
+2. Seul le propriétaire de la boîte peut l'ouvrir (grâce à sa **clé privée**, gardée secrète).
+    
+
+Cette méthode, utilisée par l'algorithme **RSA**, règle le problème de la transmission de la clé. Cependant, elle est extrêmement lourde en calculs mathématiques, ce qui ralentirait considérablement votre navigation si elle était utilisée pour tout le contenu d'une page web.
+
+---
+
+## 3. Le protocole TLS : Le meilleur des deux mondes
+
+Le génie de TLS réside dans son hybridité. Il utilise l'asymétrie pour faire les présentations, puis bascule sur la symétrie pour la discussion.
+
+### 3.1 Anatomie d'une poignée de main (Handshake TLS 1.3)
+
+Lorsqu'un navigateur se connecte à un serveur, ils exécutent le **Handshake**, tel que défini par la **RFC 8446** :
+
+- **L'accord (Negotiation) :** Le client dit au serveur : "Voici les langues (algorithmes) que je parle". Le serveur en choisit une.
+    
+- **La preuve (Authentication) :** Le serveur présente son **certificat numérique**. C'est son passeport, signé par une autorité de confiance.
+    
+- **L'échange secret (Key Exchange) :** Via le mécanisme de **Diffie-Hellman éphémère (ECDHE)**, ils génèrent une clé de session symétrique sans jamais se l'envoyer directement sur le réseau. C'est de la magie mathématique.
+    
+- **Le tunnel (Encryption) :** Une fois la clé établie, les données coulent, chiffrées en AES.
+    
+
+> **Focus technique : Perfect Forward Secrecy (PFS)**
+> 
+> TLS 1.3 impose que chaque session ait sa propre clé unique. Si un pirate vole la clé privée d'un serveur dans un an, il ne pourra pas déchiffrer les conversations capturées aujourd'hui. C'est la _confidentialité persistante_.
+
+### 3.2 Le Certificat : La pièce d'identité du serveur
+
+Un chiffrement n'est rien si vous parlez au mauvais destinataire. Le certificat (format **X.509**) garantit l'identité du site. Il contient :
+
+- Le nom de domaine (ex: `google.com`).
+    
+- La clé publique du serveur.
+    
+- La signature d'une Autorité de Certification (AC).
+    
+
+En tant qu'administrateur, vous pouvez inspecter ces détails sous Linux :
+
+Bash
+
+```
+# Pour lire les informations d'un certificat exporté
+openssl x509 -in certificat.pem -text -noout
+```
+
+_Vérifiez toujours la date "Not After" : un certificat expiré est la cause n°1 des pannes de services web (Teams et Instagram en ont déjà fait l'amère expérience)._
+
+---
+
+## 4. Pourquoi le "tout-chiffré" est vital en 2026
+
+Le cybercrime n'est plus une nuisance, c'est une économie mondiale de **10,5 trillions de dollars** [CYBERCRIME]. Utiliser des protocoles "en clair" revient à crier son code de carte bleue dans une rue bondée.
+
+|**Protocole à bannir (Clair)**|**Alternative impérative (TLS)**|**Risque**|
+|---|---|---|
+|**HTTP**|**HTTPS**|Interception des mots de passe|
+|**FTP**|**FTPS**|Vol de fichiers industriels|
+|**LDAP**|**LDAPS**|Compromission de l'annuaire d'entreprise|
+|**Telnet**|**SSH**|Prise de contrôle totale du serveur|
+
+Grâce à des outils comme **Wireshark**, un attaquant sur le même réseau Wi-Fi que vous peut "voir" vos identifiants si vous n'utilisez pas TLS. Le passage au TLS généralisé n'est pas une option technique, c'est une responsabilité éthique pour protéger les utilisateurs.
+
+## Conclusion
+
+TLS est le socle de la confiance numérique. En combinant la robustesse de l'Antiquité (chiffrement symétrique) et l'ingéniosité des mathématiques modernes (asymétrie), il permet à Internet de fonctionner de manière sécurisée à grande échelle.
+
+La sécurité est une chaîne : le protocole est le maillon fort, mais la vigilance humaine (renouvellement des certificats, arrêt des vieux protocoles) reste le pivot.
+

articles/2026/Piloter dnsmasq avec une interface PHP & SQLite.md

@@ -3,7 +3,7 @@ title: "IPAM Web : piloter dnsmasq avec une interface PHP et SQLite"
 description: Si dnsmasq est l'un des serveurs DNS/DHCP les plus légers et robustes pour les réseaux locaux, sa configuration passe traditionnellement par l'édition de fichiers textes via SSH. Pour simplifier l'exploitation quotidienne — sans pour autant sortir l'artillerie lourde — nous avons développé une suite de scripts PHP permettant de gérer son infrastructure réseau depuis un navigateur.
 tags: [dnsmasq, dns, dhcp, gui]
 date: 2026-02-27 22:42
-lastmod: 2026-02-27 23:11
+lastmod: 2026-02-27 23:56
 type:
 category:
   - "[[Guide]]"
@@ -128,10 +128,9 @@ Le socle actuel remplit déjà efficacement son rôle d’interface d’exploita
 
 ### Fiabilité et robustesse
 
-Une première évolution consiste à introduire un mécanisme de validation systématique avant toute écriture de configuration.  
+La robustesse du système peut être accrue par l'introduction d'un mécanisme de validation "pre-flight". En isolant les modifications dans des fichiers éphémères avant déploiement, nous pouvons soumettre chaque itération à un test de cohérence applicatif. Ce garde-fou empêche toute corruption de la configuration active.
-Chaque modification pourrait générer un fichier temporaire, puis déclencher un test `dnsmasq --test` avant déploiement effectif. En cas d’erreur, la configuration précédente resterait active, ce qui évite tout risque de coupure DNS/DHCP.
 
-La mise en place d’un système de versioning léger (historique des fichiers générés avec possibilité de rollback) apporterait également une sécurité opérationnelle importante, notamment lors d’interventions multiples ou d’automatisations.
+Parallèlement, la mise en place d'un archivage horodaté des états offre une capacité de restauration critique en cas de régression. Cette architecture gagne à être complétée par une abstraction des fichiers de configuration via **Jinja2**, séparant ainsi la "source de vérité" (données) de sa représentation technique (forme).
 
 ### Journalisation et audit
 
@@ -210,3 +209,15 @@ Enfin, quelques améliorations ergonomiques ont un impact immédiat :
     
 
 Ces fonctions réduisent le temps d’analyse et rapprochent l’outil d’une console d’exploitation quotidienne.
+
+## Gestion de l'Idempotence
+
+Le script `migrate_to_sqlite.php` vide la table (`DELETE FROM dns_records`) à chaque lancement. C'est risqué.
+
+**Amélioration :** Adoptez une logique de synchronisation :
+
+1. Lire le fichier.
+    
+2. Comparer chaque ligne avec la base SQLite.
+    
+3. `INSERT` si nouveau, `UPDATE` si différent, et ne rien faire si identique. Cela évite de perdre des données si le script s'arrête en plein milieu.