SELinux: Permission Denied Despite a Perfectly Correct chmod
chmod and chown are correct, yet Permission denied persists. SELinux enforces a second permission system, independent of classic Unix rights: the security context.
blog/tag
#security
SELinux : Permission denied malgré un chmod parfaitement correct
chmod et chown corrects, et pourtant Permission denied persiste. SELinux applique un second système de permissions : le contexte de sécurité, indépendant des droits Unix.
Pourquoi chmod u+s ne fait rien sur un script shell
Le bit setuid marche sur un binaire compilé mais le kernel l'ignore silencieusement sur un script shell, protection délibérée contre une classe de faille connue.
Sticky bit : pourquoi /tmp bloque la suppression des fichiers d'autrui
Écrire dans un répertoire suffit à y supprimer n'importe quel fichier, même d'un autre utilisateur. Le sticky bit sur /tmp casse délibérément cette règle par défaut.
The Sticky Bit: Why /tmp Stops You Deleting Others' Files
Write permission on a directory normally lets you delete any file inside, even one owned by someone else. The sticky bit on /tmp changes that default rule.
visudo: The Command That Prevents Locking Yourself Out
Editing /etc/sudoers directly risks a syntax error that breaks sudo for everyone, including the person fixing it. visudo validates before writing.
visudo : la commande qui évite de se verrouiller soi-même dehors
Éditer /etc/sudoers directement risque une erreur de syntaxe qui casse sudo pour tout le monde, y compris pour la corriger. visudo valide avant d'écrire.
Why chmod u+s Does Nothing on a Shell Script
The setuid bit works on a compiled binary but the kernel silently ignores it on a shell script, a deliberate security protection against a known exploit class.
Audit logging Kubernetes : qui a fait quoi, après coup
RBAC empêche, Falco détecte en direct, l'audit logging répond après l'incident. Sans Audit Policy activée, cette question n'a tout simplement pas de réponse.
Chiffrement au repos : les Secrets déjà écrits restent en clair
Activer EncryptionConfiguration chiffre les nouvelles écritures dans etcd. Les Secrets déjà stockés avant l'activation restent en clair, sans avertissement.
Encryption at Rest: Already-Written Secrets Stay in Plaintext
Enabling EncryptionConfiguration encrypts new writes to etcd. Secrets already stored before activation stay in plaintext, with no warning.
Falco : ce que RBAC et NetworkPolicy ne voient jamais
RBAC, NetworkPolicy et Pod Security agissent avant qu'un pod ne tourne. Falco observe ce qui se passe réellement à l'intérieur, une fois qu'il tourne déjà.
Falco: What RBAC and NetworkPolicy Never See
RBAC, NetworkPolicy, and Pod Security act before a pod runs. Falco watches what actually happens inside it, once it's already running.
Kubernetes Audit Logging: Who Did What, After the Fact
RBAC prevents, Falco detects live, audit logging answers after the incident. Without an Audit Policy enabled, that question simply has no answer.
Pod Security Standards: Security via a Namespace Label
PodSecurityPolicy has been dead since Kubernetes 1.25. Pod Security Admission replaces it with three profiles applied through a single namespace label.
Pod Security Standards : la sécurité par label de namespace
PodSecurityPolicy est mort depuis Kubernetes 1.25. Pod Security Admission le remplace par trois profils appliqués via un simple label de namespace.
Renovate vs Dependabot: Automating Updates Without the Mess
A dependency never updated becomes a security debt that accumulates silently. Renovate and Dependabot both automate updates, but not the same way.
Renovate ou Dependabot : automatiser les mises à jour sans y perdre
Une dépendance jamais mise à jour devient une dette de sécurité qui s'accumule en silence. Renovate et Dependabot automatisent la mise à jour, pas la même façon.
Kubernetes Admission Webhooks: Mechanics and Pitfalls
An admission webhook is an explicit single point of failure. failurePolicy: Fail can block an entire cluster if the webhook becomes unreachable.
Webhooks d'admission Kubernetes : mécanique et pièges
Un webhook d'admission est un point de défaillance unique explicite. failurePolicy: Fail peut bloquer tout le cluster si le webhook devient injoignable.
Kubernetes RBAC: Least Privilege in Practice
Kubernetes RBAC denies everything by default, but an overly broad role never breaks anything: it just sits there, silent, until the incident that exposes it.
RBAC Kubernetes : le moindre privilège, en pratique
RBAC Kubernetes refuse tout par défaut, mais un rôle trop large ne casse jamais rien : il existe, silencieux, jusqu'à l'incident qui l'expose.
CI Secrets: From Masked Variables to OIDC Identity
How CI secrets leak from a masked variable, why masking isn't a security boundary, and how OIDC federation replaces long-lived keys with short-lived tokens.
Secrets CI : de la variable masquée à l'OIDC
Comment un credential cloud dans la CI finit par fuiter, pourquoi masquer une variable n'est pas une frontière de sécurité, et ce que change l'identité fédérée.
Kubernetes Secrets: Plain Secrets, Sealed Secrets, or Vault?
Kubernetes Secrets are base64, not encryption. How Sealed Secrets make manifests git-safe, when external Vault earns its cost, and how to choose.
Kubernetes : Secrets natifs, Sealed Secrets ou Vault ?
Les Secrets Kubernetes sont du base64, pas du chiffrement. Comment Sealed Secrets rend un manifeste committable, quand Vault vaut son coût, comment choisir.