A nice week : Open World Forum, CrisisCamp, full disclosure, Hadopi.fr…

Jai eu une semaine assez chargée, souvent loin de ma machine. Et il s’en est passé des choses. Cette semaine, j’étais par exemple à l’Open World Forum, on peut parler un franc succès pour cette troisième édition qui a reçu de nombreux intervenants de tous les pays pour parler d’ouverture… et pas que de logiciels.

Il y avait aussi jeudi soir cette soirée extraordinaire à la Cantine, une reconstitution de procès du full disclosure où j’ai été heureux de retrouver tous ces gens qui font l’histoire contemporaine de la sécurité informatique en France (il y avait beaucoup de beau monde), ainsi que des juristes de haut niveau pour traiter un cas fictif sur le full disclosure. Le prévenu a été relaxé, vous trouverez un excellent résumé de la soirée chez Sid qui a été victime d’une erreur de routage après l’événement et qui a atterri dans le mauvais bar alors que nous nous sommes tous ensuite dirigés vers le Pouchla… partie remise Sid). En tout cas, Merci à la Cantine et au Cercle Asimov pour cette soirée, j’espère que nous aurons l’occasion de remettre ça sur la table… je propose par exemple le procès de la Deep Packet Inspection pour la prochaine édition, avec comme prévenus, la SCPP, Orange ou Alcatel.

Vendredi soir, encore à la Cantine, c’était le second CrisisCamp parisien qui permet lui aussi d’étonnantes rencontres entre humanitaires, personnes du terrain et technophiles qui souhaite mettre en commun leurs compétences pour bâtir des applications ou des matériels ouverts pour accroitre l’efficacité des secours. Les CrisisCamp s’inscrivent dans un mouvement international, CrisisCommons, et le chapitre français, bien que naissant, montre déjà un encourageant dynamisme.

Plus tôt dans la journée de vendredi, c’était le lancement d’Hadopi.fr. Très attendu, le site semble tenir bon malgré les DDoS annoncéss. Il essuie comme prévu quelques attaques, on a de temps en temps quelques ralentissements, mais rien de bien méchant. Techniquement, il s’agit d’un Drupal statifié dont le seul élément dynamique est le formulaire de contact, hébergé par Agarik, nouvellement racheté par Bull. Pour avoir pratiqué un peu Agarik (avant le rachat par Bull), ils sont loin d’être les plus mauvais, en fait ils sont même franchement bons et ne devraient pas se la jouer France.Fr. Il n’y a rien à redire sur le site lui même et je n’ai pas encore fait le tour des contenus pour en causer mais Numerama comme l’ensemble de la presse met l’accent sur la pauvreté des informations fournies à l’internaute sur les moyens de sécurisation… et pour cause, la mission Riguidel continue de missionner mais n’est pas prête d’évangéliser. Je pense avoir le temps d’y revenir, en attendant, ne vous y trompez pas, la cible à abattre c’est la Deep Packet Inspection que l’on va nous resservir très bientôt.

Pour conclure ce billet un peu « bordelique » je vous invite aller jeter un oeil et votre cerveau sur ce billet de @Manach qui vous explique entre autres pourquoi Hadopi est vue d’un très mauvais oeil par les services secrets américains.

Lawtech : le full disclosure passe en procès à la Cantine

lawtech
Law Tech à la Cantine

C’est une rentrée chargée pour la Cantine, donc prenez en date, ça se tiendra le 30 Septembre 2010 de 19h30 à 21h30. La soirée organisée par le Cercle Azimov vous présentera un cas fictif de procès sur le full disclosure, plaidé par de véritables experts en la matière. Un scénario assez drôle permettra de lever le voile sur la complexité de la pratique du full disclosure pour des failles dites sensibles, et du déroulement d’un procès en conditions réelles sur ce thème technique complexe, autant techniquement que juridiquement.

Composition du « Tribunal et des Parties au procès » :
Pour la demande :
Pour la défense :
  • prévenu : Philippe Langlois, expert en sécurité informatique, P1 Security
  • témoin : M. Eric Filiol, expert en sécurité informatique, ESIEA
  • avocat : Me Ambroise Soreau, avocat, cabinet Henri Leclerc & Associés
Tribunal :

Le cas pratique :

Serge Bitnick est post-doctorant en biochimie et fait de la recherche de failles informatiques à ses heures perdues. Il découvre une faille dans le système d’information d’un hôpital. Il se rend compte qu’il existe un risque que tout le système d’information de l’hôpital soit compromis et cesse de fonctionner. Il tente immédiatement de prévenir le RSSI (Responsable de la sécurité des systèmes d’information) de l’hôpital mais, après 30 minutes de recherche sur Google, il ne trouve pas l’adresse email de celui-ci et décide d’envoyer le message suivant via le formulaire de contact présent sur le site web de l’hôpital :

« Bonjour,
J’ai remarqué que votre système informatique était victime d’une très grosse faille de sécurité. Il s’agit d’une faille du type Stack Overflow permettant un accès en lecture au Memcache de votre application web en Django-CMS. Le système SCADA est compromis et tous les respirateurs artificiels ainsi que le monitoring des salles de réveil post-opératoire de l’hôpital peuvent être contrôlés depuis une interface web rendue publique et indexée par Google. Cette faille peut être très facilement exploitée. Il y a un risque que tout votre système saute !  Il faut réparer ça très vite. Je n’ai pas trouvé le contact de votre RSSI. Contactez-moi si vous avez besoin d’aide.
Serge B.

Le lendemain, il reçoit l’email suivant :
« Cher Monsieur,
Merci de votre démarche. Je transmets votre message.
Cordialement,
Damien Champagne »

15 jours plus tard, la faille n’a toujours pas été comblée. Serge Bitnick la divulgue sur son blog et son fil Twitter (1.042 abonnés dont une poignée de journalistes spécialisés) :
« Grosse faille dans le SI de l’hosto de Tataouine http://ow.ly/17OrX2 #UBER_FAIL ! »
De fil en aiguille, l’information est reprise 3 jours plus tard dans l’édition web d’un journal national puis dans les éditions papier de différents journaux et magazines. Des familles de personnes hospitalisées dans l’hôpital concerné (et dans d’autres hôpitaux) paniquent et inondent le standard de l’hôpital pour s’assurer que tout va bien, voire se rendent à l’hôpital pour ramener chez eux leurs parents. L’hôpital porte plainte contre X pour intrusion dans un système de traitement automatisé de données et mise en danger de la vie d’autrui (la divulgation a paralysé le fonctionnement de l’hôpital pendant 2 jours mais aucun décès survenu à l’hôpital au cours de cette période n’a pu être rattaché aux suites de la divulgation). L’hôpital demande en outre des dommages et intérêts à Serge Bitnick pour le préjudice que la révélation de la faille lui aurait causée.
Serge Bitnick prétend pour sa part avoir agi uniquement pour faire prendre conscience aux gens des risque liés à une mauvaise sécurisation des systèmes informatiques, de traitement automatisé de données et mise en danger de la vie d’autrui (la divulgation a paralysé le fonctionnement de l’hôpital pendant 2 jours mais aucun décès survenu à l’hôpital au cours de cette période n’a pu être rattaché aux suites de la divulgation). L’hôpital demande en outre des dommages et intérêts à Serge Bitnick pour le préjudice que la révélation de la faille lui aurait causé.

Vous serez les témoins et les juges du dénouement de cette affaire, affûtez vos arguments et venez nombreux @La Cantine le 30 septembre 2010, 19h30. 151, rue Montmartre, Passage des Panoramas, 75002 Paris(métro Grands Boulevards ou Bourse).

Vous pouvez vous inscrire ici à cet événement.

Les sites de sécurité informatique bientôt illégaux en France

Petit effet de bord de rien du tout de la LCEN, selon Numerama, la cour de cassation aurait délibéré sur la publication de failles de sécurité … et figurez vous que ceci est illégal et constitue un délit, quelque soit les intentions de l’auteur de la publication en question ! Cette décision date du 19 octobre dernier et n’a pas échappé à la vigilance de 01Net Pro. Le full disclosure en France est maintenant un délit passible de poursuites au pénal !

Filtrage … censure, ignorance, sécurité par l’obscurantisme … la France va devenir un tiers monde numérique et s’exposer béatement aux risques pourtant évidents que cette décision implique. Attention, la cour de cassation ne fait ici que donner une lecture simple de la LCEN, véritable responsable de ce naufrage. En clair, des sites comme Milw0rm ou SecuObs pourraient devenir illégaux, au titre que ces derniers donnent des informations nécessaires pour comprendre, exploiter et patcher les vulnérabilités des applications. On sent donc naturellement se profiler le filtrage des sites qui proposent des applications de sécurité pourtant indispensables à tout professionnel comme Nmap, Wireshark, Metasploit, Nessus … Si ces sites d’informations venaient à être filtrés, il s’agirait d’une catastrophe qui couterait vite très cher à de nombreuses entreprises qui devraient s’en remettre exclusivement à la bonne volonté des éditeurs logiciels, qui comme Microsoft peuvent mettre 7 ans avant de proposer une correctif ! Une situation surréaliste … merci la LCEN.

Si vous travaillez dans la sécurité informatique, vous risquez d’avoir à faire vos valises dans pas longtemps pour pouvoir continuer à exercer dans la légalité… Le Net français, tu l’aime ou tu te casses !