Amazon EC2 vulnerable aux attaques ?

Le service Amazon d'informatique dans le « nuage » (cloud computing) pourrait s'avérer moins fiable qu'annoncé. Selon une équipe du MIT (en anglais), ce service serait vulnérable aux écoutes et aux attaques malveillantes. Leur étude montre qu'il est possible de cartographier précisément où les données d'une cible se trouvent matériellement dans le «nuage» pour ensuite utiliser différentes astuces permettant de recueillir des renseignements.

« Nous croyons fermement que ces vulnérabilités sont spécifiques à l'actuelle technologie de virtualisation et qu'elles auront également une incidence sur les autres fournisseurs », explique Eran Tromer, chercheur postdoctoral au laboratoire Computer Science and Artificial intelligence du MIT, qui a effectué le travail avec trois collègues de l'Université de Californie à San Diego.

Les faiblesses potentielles ont été trouvées dans les services d'infrastructure fournis par Amazon et Rackspace. « Traquer une victime sur des milliers de serveurs peut sembler impossible. Pourtant, en suivant des méthodes simples d'investigation, et pour peu d'argent, on a 40% de chance de placer une machine virtuelle malicieuse sur le serveur où se trouve la victime », explique Eran Tromer. Il devient alors possible de voler ses données.


Ma position par rapport de cet étude est:

1. Mauvaises nouvelles: une technologie Cloud - plutôt bien validée jusqu'à ici - s'avère vulnérable aux attaques. Azure - en tant que technologie Cloud - serait affectée aussi par la perte de confiance générale.

2. Bonnes nouvelles: Azure Fabric ne permets pas (au moins en ce moment) un accès direct à la machine virtuelle support. Ce qui isole la machine physique et les VM résidentes et fait impossible un attaque du type décrit ci-dessus.


A mon avis Microsoft devrait répondre rapidement en mettant en valeur la spécificité de son modèle Cloud.
Tout même, depuis son apparition, l'Azure a été spécial par son Fabric. Il est le moment d'en profiter.

Installation de .NET Services SDK

J'ai rencontré un problème spécifique lors de l'installation de .NET Services SDK dans des machines virtuelles (publié d'abord ici).

Lorsque j'essayais d'installer le SDK, j'avais toujours un message d'attente sans fin, juste avant de l'étape d'installation elle même:

 Ou bien un message pareil lorsque je choisissais le chemin d'installation avancée:

Cela se passait uniquement dans des machines virtuelles - sur la machine physique l'installation était normale.

Et ensuite j'ai trouvé - c'est extrêmement simple:
Ouvrir un invité de commande en mode Administrateur 
 (même connecté en tant qu'administrateur, il faut ouvrir l'invité spécifiquement en tant administrateur - click droit et "Run as Administrator"):

Ensuite exécuter l'MSI à partir de la ligne de commande.
L'installation c'est bien passé jusqu'à la fin.

Voilà !
Bonne navigation sur les nuages Azure (à travers ou pas les Services .NET) !

MCPD EA 3.5 - ça y est !

Ouf, ça a été long.
Pas dur nécessairement, mais long. 5 examens très compréhensifs suivis par un 6ème qui comprend toute l'expérience de design, analyse, développement, teste, déploiement et gestion de projet dans un seul paquet de 50 de questions à résoudre en 2 heures.
Pour ceux qui sont intéressés, voici un tableau comprenant le set complet d'examens pour la certification Microsoft Certified Professional Developer – Enterprise Applications Developer 3.5 ensemble de l'information utile associé : liens vers les pages examen, les testes MeasureUp associés et des livres électroniques sur Book24x7 :

MCPD-EA 3.5 (Visual Studio 2008)
Utility	CODE	NAME	EXAM LINK	MeasureUp	Books24x7
Prerequisite	70-536	TS: Microsoft .NET Framework - Application Development Foundation	70-536	70-536CS	MCTS Self-Paced Training Kit (Exam 70-536): Microsoft .NET Framework 2.0 Application Development Foundation
Required	70-503	TS: Microsoft .NET Framework 3.5 – Windows Communication Foundation Application Development	70-503	70-503CS	MCTS Self-Paced Training Kit (Exam 70-503): Microsoft .NET Framework 3.5 Windows Communication Foundation
Required	70-562	TS: Microsoft .NET Framework 3.5, ASP.NET Application Development	70-562	NONE	Professional ASP.NET 3.5: In C# and VB
Required	70-561	TS: Microsoft .NET Framework 3.5, ADO.NET Application Development	70-561	70-561CS	MCTS Self-Paced Training Kit (Exam 70-561): Microsoft .NET Framework 3.5: ADO.NET Application Development
Required	70-505	TS: Microsoft .NET Framework 3.5, Windows Forms Application Development	70-505	70-505CS	MCTS Self-Paced Training Kit (Exam 70-505): Microsoft .NET Framework 3.5—Windows Forms Application Development
Required	70-565	PRO: Designing and Developing Enterprise Applications using Microsoft .NET Framework 3.5	70-565	70-549CS	MCPD Self-Paced Training Kit (Exam 70-549): Designing and Developing Enterprise Applications Using the Microsoft .NET Framework
				70-568CS - UPGRADE

Quelques remarques de guidage:

• Pour ceux sans grande expérience de travail réel, l'idéal c'est de passer tous les examens le plus vite possible, car le PRO comprend des questions de tous les autres examens antérieurs (notamment WCF et ASP.NET)
• 
  
  
  Les training kits sont bons pour donner une vision d'ensemble, mais parfois ils manquent des détails et ne traitent même pas certains sujets. Il faut :
  
  • Récupérer la liste de notions traitées dans l'examen
  • Lire un bouquin comme ceux suggérés (training kits)
  • Marquer au fur à mesure les sujets traités
  • Pour tout autre sujet manquant : MSDN + blogs dédiés. J'insiste pour MSDN car il reste LA référence.
  • Règle générale : sortir de la logique « tutorial » et traiter tout sujet de manière systématique.
  
  
  
• Il n'y a pas – pour l'instant – du matériel dédié à 70-565 ; en échange, cumuler les matériaux pour 70-549 (le PRO de MCPD-EA 2.0) et l'Upgrade 70-568. N'oublier de faire de tests des 2 sur MeasureUp, car les 2 sont complémentaires (l'upgrade c'est un test technique, alors que 70-549 – comme le 70-565 – comprend pas mal de notions d'analyse et design).

Succès !

Et laissez-moi un mot si cela vous a aidé dans vos préparations :)

Windows Identity Foundation

Un nouveau acronyme ? Oui, pour un projet déjà bien reconnu. L'une des composants du fameux projet code Geneva - qui publie des API à utiliser dans WCF et ASP.NET pour la gestion des identités basés sur demande ("claim") - est baptisé finalement Windows Identity Foundation (pas mal du tout - on garde une cohérence avec les autres "foundations" Microsoft).
La technologie est pour l'instant en phase Beta 2 et est disponible ici.

Mise à jour de SQL Azure Database - prêt pour PDC 2009 !

 SQL Azure se prépare pour l'arrivée de PDC 09. Une nouvelle version CTP du moteur de base de données dans le cloud est mise en ligne:

Updated CTP for SQL Azure Database includes complete feature set for PDC 2009!

A suivre...

Nouveau système de journalisation dans Windows Azure

Voici une description rapide (en anglais) du nouveau système de journalisation Windows Azure:

The New Windows Azure Logging

A suivre dans quelques jours pour les détails.

SQL Azure : changement de cap pour SQL Server Data Services !

A peine après avoir s'adapté au modèle REST d'accès aux services de données d'Azure, voici un changement spectaculaire de cap chez Microsoft : le protocole  Tabular Data Stream (TDS), celui sous lequel se font les appels des librairies clients de MS SQL Server, sera dorenavant le protocole principal du service. Cela veut dire qu'on pourra accéder les services de stockage données Azure dans la manière habituelle qu'on accède les BD SQL tous les jours. ADO.NET devrait fonctionner quasiment unchangé, et de là jusqu'à interoger SQL Azure dans LINQ n'est qu'un pas ! Et tout n'est pas fini : il s'annonce le support complet pour des schémas relationnels, requêtes T-SQL et même procédures stockées ! Il sera en effet - d'après le blog officiel de l'équipe SQL Server de Microsoft - le premier service commercial de base de données relationnelle publiée dans le Cloud et [T-]SQL compatible. Puisqu'il s'agit d'une confusion plutôt générale, le terme SQL Azure sera delimité d'Azure Storage par le fait que le dernier restera dédié aux services de stockage non-relationnel. En parlant de REST, apparemment le protocole sera... garé (voir abandonné), même si les termes employés ne parlent pas de ça; en échange, on aura une guidance de transition pour les "early adopters". Désolé pour les enthousiastes revolutionnaires... En final - planning de release: disponibilité commerciale pour novembre 2009. Allez, au boulot : oubliez REST, redecouvrez SQL !