Dans les gros jouets avec lesquels les geeks et les hackers peuvent s’éclater, il y a les imprimantes 3D. Le concept est de réaliser vous mêmes des objets usuellement produits avec des procédés industriels lourds, dans votre propre garage (… et même dans votre salon si votre conjoint(e) supporte cet objet étrange au quotidien). MakerBot Industries propose un kit complet, à monter vous même : une véritable imprimante 3D avec laquelle vous allez pouvoir produire des formes que vous aurez préalablement conceptualisé avec des gabarits 3D. L’électronique est en partie assurée par des composants Arduino, du matériel le plus ouvert possible, le plus hackable possible.
Le MakertBot nouveau, le Thing-O-Matic! est une petite révolution, il est maintenant capable de réaliser consécutivement plusieurs impressions 3D d’un objet là où une seule était possible avec le premier modèle de MakerBot. Le Thing-O-Matic! c’est aussi une précision accrue, des axes d’impression plus robustes, et une qualité globale sensiblement améliorée. Les mécanismes ont été rendus plus précis, vous permettant de réaliser des formes encore plus délirantes. Le Thing-O-Matic! est aussi 6 fois plus rapide que la version précédente !
Niveau accessibilité, si ce matériel reste pour bidouilleurs relativement avertis, l’accent a aussi été mis sur la facilité de montage et de paramétrage global. A l’utilisation, c’est donc plus simple, plus rapide plus précis … et non, ce n’est pas l’iPhone 5 !
L’engin est actuellement proposé pour la somme de 1225$ et un délai de livraison de 7 semaines (et oui c’est du fait main !), mais je suis persuadé que John et Wim sont en train de lorgner sur la bestiole, aussi vous devriez pouvoir très prochainement vous les procurer en Europe sur le store d’Hackable-Devices.
Je vous invite également, si vous découvrez cet univers dans ce billet, d’aller jeter un oeil attentif sur ce que certains hackers font avec leur RepRap et surtout de prendre connaissance des travaux d’Alexandre sur Usinette et du projet Fablab, dont on espère tous que vous entendrez très vite parler.
L’analyse en profondeur de paquets (DPI) en coeur de réseau est le nouveau fantasme de la SCPP. Marc Guez son directeur ne doute pas un instant que grâce à cette solution miracle, il pourra reconnaître la légalité des octets qui transitent sur les réseaux des fournisseurs d’accès. En théorie, il n’est pas loin d’avoir raison. En pratique, c’est un peu moins sur… et du coup, je vais vous raconter une bien belle histoire, celle de Samir, aka sam_synack… une histoire encore parfaitement inconnue du grand public.
Ceci remonte à 2006, à l’époque, le fournisseur d’accès SFR s’appelait 9Télécom. Il distribuait des Neufbox à ses clients. À cette époque les Neufbox n’étaient pas équipées en GNU/Linux, le firmware était fermé et propriétaire. Mais un firmware fermé… ça s’ouvre. C’est bien ce qui est arrivé. Ce billet est assez technique, il dissèque la compromission du réseau d’un fournisseur d’accès Internet. Le détail du hack est ici relaté, vous comprendrez donc qu’il ne s’agit pas d’une fiction… c’est bien réel.
Analyse de la compromission de 300 000 Neufbox et du coeur de réseau d’un fournisseur d’accès par un gus dans son garage
Samir Bellabes, qui s’ennuyait en luttant contre ses insomnies, a eu la curiosité de commencer à causer avec sa Neufbox, fraîchement achetée quelque heures plus tôt… dramatiquement banal ? Attendez un peu, ce qui va suivre l’est un peu moins. La Neufbox se montre peu bavarde, mais animé par cette curiosité maladive qui anime tout hacker, Samir ne se décourage pas, il lui en faut bien plus. Sa méthode, simple et imparable, sniffer sur son réseau le trafic entre sa Neufbox et le Net et ainsi localiser le serveur depuis lequel elle se met à jour, récupérer ce firmware lors d’une mise à jour en dumpant les paquets. Appréciez la beauté du hack :
Samir scanne sa Neufbox : pas de résultat, pas grand chose à se mettre sous la dent hormis peut-être un port TCP 1287 à l’écoute à garder sous le coude :
sam@urg:~$ sudo nmap -sT 192.168.1.1 -p 1-65535
Starting Nmap 5.00 ( http://nmap.org ) at 2010-09-22 14:58 CEST
Interesting ports on 192.168.1.1:
Not shown: 65530 filtered ports
PORT STATE SERVICE
53/tcp open domain
80/tcp open http
1287/tcp open unknown
1288/tcp open unknown
8080/tcp closed http-proxy
sam@urg:~$ telnet 192.168.1.1 1287
Trying 192.168.1.1…
Connected to 192.168.1.1.
Escape character is ‘^]’
.Foxconn VoIP TRIO 3C, F01L010.00_LDCOM MAC: , VOIP FLG=1
Login:
Il éteint sa Neufbox et la raccorde en ethernet à sa machine sur laquelle il lance tcpdump ;
La Neufbox effectue une requête « ARP, Request who-has 10.0.0.1 » vers sa machine, donc la neufbox recherche le serveur 10.0.0.1;
Bien entendu, sa machine ne peut répondre à cette requête ;
Samir débranche le RJ11 sur lequel le signal ADSL arrive dans la box, configure sa machine pour prendre l’adresse 10.0.0.1 et rallume la neufbox ;
Bingo, sa machine répond cette fois ci à la requête ;
Cette requête servait pour la box à déterminer où se trouve Internet et où se trouve le réseau local … Samir vient de tromper la Neufbox … sans une seule ligne de code ;
Une série de requêtes UDP et TCP se sont alors lancées depuis la Neufbox (recherche des serveurs de VoIP par exemple);
Mais le plus intéressant : une connexion UDP vers un serveur d’adresse publique 80.118.192.97, et vers un port de destination identifié comme du TFTP ;
Sur sa machine, Samir monte donc un serveur TFTP en écoute en attribuant arbitrairement à l’interface en écoute cette adresse publique ;
Il rallume sa box, et alors que la Neufbox cherche le serveur public, c’est sa machine qui répond, la Neufbox s’y connecte donc naturellement ;
La Neufbox demande à sa machine le fichier LatestVersion.general (listant les firmwares disponibles comme on le découvre plus tard);
Samir a donc maintenant assez d’informations pour aller chercher le vrai serveur public TFTP qui gère les mises à jour ;
Le firmware est capturé :
sam@fin:~/tmp$ tftp 80.118.192.97
tftp> get F01L010.00_LDCOM-V1.6.19_AV225165_V060419_00_full.tar
Received 1666745 bytes in 6.4 seconds
tftp> quit
sam@fin:~/tmp$ file *
F01L010.00_LDCOM-V1.6.19_AV225165_V060419_00_full.tar: data
LatestVersion.general: ASCII text
Et là, c’est le drame, une petite recherche dans le firmware sur la chaine de caractères « password » lui renvoit ceci :
Ces login/pass sont fonctionnels sur l’interface web de la Neufbox. Mais surtout retournons voir le CLI sur le port TCP 1287 et son prompt login, et là encore pas de souci, le mot de passe root permet d’être root sur la Neufbox.
Il y a 2 interfaces (WAN et LAN) et l’interface WAN possède un adresse IP de classe privée du sous-réseau 172.16.0.0/12. (disons 172.16.42.42) … Curieux.
C’est là que Samir se rend compte qu’il peut envoyer du trafic à l’adresse IP voisine (par exemple 172.16.42.43, c’est à dire à une possible autre Neufbox. Un seul moyen de vérifier, se logger et éteindre cette Neufbox. C’est fait, le modem voisin ne répond plus.
La Neufbox de Samir est rootée, ainsi que plus de 300 000 de ses petites sœures !
En même temps qu’il recherche un mécanisme pour exploiter à grande échelle ces informations, il continue ses recherches basées sur les informations du firmware : les noms des serveurs donnant des adresses IP qui donnent des plages de réseau : 212.94.162.0, tftp.neufbox.neuf.fr, dhcp.neufbox.neuf.fr, ..
Et ce n’est pas fini…
Il scanne la plage IP, extrait :
Host pradius-dsl-2.gaoland.net (212.94.162.16) is up (0.039s latency).
Host mrtg.gaoland.net (212.94.162.5) is up (0.030s latency).
Host dns1.gaoland.net (212.94.162.1) is up (0.025s latency).
Host pippin.gaoland.net (212.94.162.15) is up (0.039s latency).
Host babar.gaoland.net (212.94.162.67) is up (0.027s latency).
Sur ce dernier serveur, le navigateur demande une authentification pour un mécanisme de sauvegarde à des routeurs BB IP … BACKBONE pwn3d !
Samir vient de taper à la porte du backbone… tout juste là où les partisans de la DPI souhaiteraient placer leurs équipements ! Le tout est accessible depuis le Net…. magnifique non ?
Et là vous vous dites que c’est blindé, pas moyen de passer ? Voici ce que trouve Samir : Apache/2.2.9 (Debian) PHP/5.2.6-1+lenny8 with Suhosin-Patch Server at babar.gaoland.net … Blindé en effet … enfin presque.
Dans la suite de la recherche, une autre plage intéressante est aussi apparue :
Samir est un hacker sympa, pas un terroriste, il avertit donc aussitôt Neuf qui corrige, il n’a pas exploité ses trouvailles, il ne les a pas revendues sur une board russe… un vrai coup de bol pour les 300 000 abonnés de Neuf qu’il avait à portée de shell. Cette histoire n’a jamais filtré, c’était il y a 5 ans, et la révéler aujourd’hui ne porte pas préjudice au fournisseur d’accès. Par contre elle soulève des question très lourdes.
Que faut il retenir de cette petite histoire ?
Il n’en a pas fallu plus pour compromettre l’infrastructure du réseau de Neuf : un ordinateur et un gus dans son garage.. sans aucune ligne de code et toute l’infrastructure réseau d’un fournisseur d’accès est mise à nue. Cette même infrastructure au cœur de laquelle certains inconscients aimeraient placer des dispositifs d’écoute généralisée… à la portée de n’importe quel état, de n’importe quelle officine qui s’en donnerait les moyens… et d’un gus dans un garage !
Conclusion
La sécurité est un mécanisme global, qui fonctionne par des liens entres différents niveaux de couches et de services. Elle ne se résoud pas uniquement avec une boite gavée de GPU sur un lien réseau en terabit. Des entreprises voudraient utiliser les informations du réseau, vos informations, vos communications, afin de réaliser leur analyse et en déduire leur « légalité ». Il est clair que les solutions que la HADOPI a pour mission de labelliser seront des logiciels de lutte contre l’échange de fichiers. Ceci se fera au risque de compromettre la sécurité des utilisateurs et des entreprises. Là où on nous souffle le terme de « logiciels de sécurisation » et où le mot d’ordre est un concept aussi fumeux que la protection des lignes ADSL pour éviter de se rendre coupable d’un délit de « négligence caractérisée« , il faut bien lire « surveillance généralisée ». Si le grand public a un besoin réel de sécurisation, de confiance dans le réseau et de protection, il ne faut pas non plus nous faire prendre des vessies pour des lanternes : le produit Qosmos/Vedicis n’est pas une solution de securisation, mais bien de surveillance.
S’il fallait trouver un moyen efficace d’offrir l’opportunité à des personnes mal intentionnées de mettre la main sur les données personnelles de millions de particuliers et d’entreprises, nous ne pourrions pas mieux nous y prendre qu’en plaçant des équipements de DPI en cœur de réseau…
Voulez vous vraiment vous rendre coupable d’une négligence caractérisée mettant en péril notre sécurité nationale Monsieur Guez ? Pensez vous que la défense de vos intérêts (et non ceux des artistes) en vaut les risques encourus ?
Être conscient des peurs sur la DPI est une chose, prendre conscience des risques en est une autre. Il est grand temps que nos responsables politiques sifflent la fin de la récréation. Si les libertés individuelles ont une fâcheuse tendance à devenir un produit d’exportation, il est impératif que ces dispositifs dangereux pour la sécurité de nos concitoyens le restent.
Aujourd’hui, la Haute Autorité a communiqué une liste de 800 adresses IP pour identification en vue des premiers envois de mails. Ce sont donc 800 foyers qui devraient prochainement recevoir (ou pas) les premiers mails certifiés conformes (ou pas) de la HADOPI. Contrairement à ce que beaucoup prédisaient (moi le premier), le taux de faux positifs sur les premiers envois devrait être minime. On m’a assuré que les ip « flashées » avaient fait l’objet d’une attention toute particulière, et on comprend pourquoi : d’importants couacs sur les premiers heureux gagnants seraient un mauvais, un très mauvais signal. Tout a donc été fait pour minimiser la part d’aléas inéluctables.
Là où ça coince :
Toujours pas l’ombre d’un début de piste de procédure formelle de contestation en cas d’erreur ;
Toujours pas l’ombre d’un début de négociation avec les ayants droit pour une offre légale ;
Toujours pas l’ombre d’une définition de la connexion internet que l’on est sensé sécuriser ;
Toujours pas l’ombre d’une solution miracle de sécurisation ;
Toujours pas l’ombre d’une garantie quelconque contre une sanction injuste ;
Toujours pas l’ombre d’une preuve que les soit disant pirates se sont enrichis en téléchargeant René la Taupe ;
… vu d’ici, on dirait presque que la charrue ait été placée avant les boeufs et on s’oriente plus vers une réponse dégradée à un problème non mesuré, que vers une riposte graduée.
Notez qu’on se fiche bien de savoir si vous avez téléchargé un MP3 d’Enrico Macias et êtes devenu le 18e internaute à ainsi contribuer à sa ruine, ce qu’on sanctionne ici c’est une négligence caractérisée. Non pas que vous ayez téléchargé ce MP3 par inadvertance en tentant de vous procurer une ouverture de Bach passée dans le domaine public, mais bien que vous êtres trop crétin pour savoir qu’un flaw dans TKIP permet un Man in the Middle… sombre crétin que vous êtes, je vous l’avais pourtant expliqué ici !
Mais tout ceci reste un déroulement logique dans le calendrier de la mise en place des procédures induites par la loi, on ne peut donc s’en étonner. En revanche, il va y avoir un risque important de voir certains fournisseurs d’accès Internet proposer leur Hadopipoware. Au menu je vous prédis :
une exploitation mal venue de l’effet de communication induite par les premiers envois de mails ;
des solutions de Deep Packet Inspection sur abonnement pour se passer des contraintes légales que la violation de vos communications implique en droit français ;
Les risques sont bien réels , on a déjà vu ce que ceci pouvait donner et franchement, ceci n’est pas fait pour rassurer. Il faut espérer que la Haute Autorité mette un point d’honneur à prendre des distances avec ce qui représente une véritable menace pour tous, tant sur le plan des libertés individuelles que sur le plan de la sécurité. C’est donc maintenant, plus que jamais, qu’il va falloir observer les ayants droit qui nous promettent du DPI, les fournisseurs d’accès qui se verraient bien le vendre, et les équipementiers qui vont nous sortir leurs solutions miracles dans peu de temps.
Vous m’avez, moi comme d’autres, souvent entendu pester sur le stupide délit de négligence caractérisée et l’obligation légale faite à l’internaute de sécuriser une belle abstraction légale : « la connexion Internet». Comme sur Internet plus qu’ailleurs, niveau sécurité, les conseilleurs sont rarement les payeurs, nous avons décidé, avec Paul Da Silva et Paul Rascagneres (RootBSD), d’aller jeter un oeil sur le pas de la porte des conseilleurs… comme on s’en doutait : c’est moche. Nous pourrions vous dire que nous avons été surpris… mais soyons sérieux, nous ne l’avons pas été le moins du monde.
Dans le titre, comme vous le constatez, j’emploie le terme un peu fort de scandale. Je vous dois une explication là dessus. Avoir un site web qui comporte des trous de sécurité, ce n’est pas une honte, ça arrive à tous, on sait qu’une faille 0day (même si les 0day sont dans les faits très rarement exploités) peut suffire à compromettre une machine, puis par effet de rebond, tout un système d’information, puis plusieurs. Il suffit d’exploiter les informations collectées à un endroit pour se retrouver résident d’un système. Le vrai scandale, c’est quand un prestataire alerte d’une faille importante et que les personnes en charge d’un site web gouvernemental qui exposent des données personnelles de fonctionnaires refusent à ces prestataires , depuis des mois, des années, l’intervention nécessaire à la correction de cette vulnérabilité… pas vu pas pris…
Ce que le texte d’HADOPI appelle pudiquement le manque de diligence à sécuriser son accès doit il être appliqué aux internautes ? En ce qui nous concerne, nous avons la conviction qu’il est bien plus grave qu’un site gouvernemental « manque de diligence » à fixer des trous de sécurité qui par escalation de privilèges peuvent mettre en péril certaines infrastructures sensibles de l’État… et d’aller crier à la presse que nous sommes la cible de hackers chinois…
Il faut donc que cette hypocrisie cesse au plus vite, ou que des garanties sérieuses soient données aux particuliers pour être en mesure de se défendre. Si cette absurde circulaire de la chancellerie était appliquée, à ce jour nous pourrions très bien faire déconnecter ou bloquer un site gouvernemental (à quand le blocage des sites sauce Loppsi pour lutter contre les pirates ?) en y uploadant quelques mp3 et quelques divx… comme ça, juste pour rigoler.
Puisque l’Elysée ne semble pas convaincu de la nécessité de se référer à des experts avant d’orienter une législation vers une bourde certaine, nous allons concourir à l’y encourager un peu.
Rentrons dans le vif du sujet
Nous découvrions récemment avec surprise que le gouvernement, qui avec la loi Hadopi instaure le délit de négligence caractérisée, n’était pas mieux logé que les autres – bien au contraire. Le délit de négligence caractérisée vise à punir celui qui, par manque de compétences techniques notamment, ne « sécurise » pas son accès à internet si celui-ci venait à être utilisé à des fins de piratage (au sens de contrefaçon… il est important de le préciser vu que même le terme de piratage est ici sujet à caution). Une belle hypocrisie quand on sait que le niveau technique requis pour sécuriser ce qui est en mesure de l’être par un abonné final est très élevé et que, même comme cela, il est toujours possible d’usurper l’identité d’un abonné pour le faire paraître coupable (avec cette fois un niveau de compétences très relatif).
Nous (RootBSD, Bluetouff et Paul) avons décidé d’élever le débat et de vérifier si l’Etat lui même applique à son parc de sites internet les mêmes recommandations que celles qu’il souhaite voir ses concitoyens adopter.
A l’attaque !
Pour ce faire la méthode a été très simple : quelques minutes par site, des recherches de failles très basiques et à la portée de n’importe quel pirate en herbe… Occasionnellement des découvertes de documents dans des répertoires accessibles à tous et, si d’aventure on venait à tomber sur une faille un peu plus sérieuse (oui c’est le cas) passer un peu plus de temps dessus pour essayer de la faire parler. Tout l’art étant de la faire parler sans l’exploiter afin de ne pas se rendre coupable d’intrusion.
Le résultat est au delà de ce que l’on aurait pu imaginer en lançant, le 29 août vers 23h, ce capture the flag d’une envergure sans précédent (3 gus dans un garage) qui se finira le 30 août aux alentours de la même heure… Nous avons décidé de patienter jusque là pour publier ce billet mais l’actualité nous a enfin convaincu à vous livrer les résultats de nos travaux nocturnes.
Comme dit précédemment nous nous sommes concentrés sur des failles simples à trouver ou à exploiter et la liste de celles découvertes est assez évocatrice :
Une vingtaine de XSS ;
2 LFI ;
Des dizaines de documents accessibles au publics et qui ne devraient pas l’être (certains marqués « confidentiel ») ;
Des authentifications défaillante (ou inexistantes !) d’accès à des intranets ;
Un grand nombre de fichiers robots.txt qui ont bien orienté nos recherches (merci 🙂 ) ;
Des accès aux zones d’administration / phpmyadmin comme s’il en pleuvait ;
Des CMS non mis à jour depuis plusieurs années ! Et présentant des vulnérabilités bien connues ;
Des logs d’envois de mails / newsletter / de connexion FTP / …
Un site en debug qui laisse, si l’on saisit la bonne url, voir les identifiants et mot de passe de connexion à la base de données ;
Un script SQL de génération de base de données.
…
Le XSS ?
Le XSS (Cross Site Scripting) est une faille qui permet de faire exécuter un script arbitraire (initialement non prévu par le site sur lequel on va le faire exécuter) en changeant certains paramètres de l’URL.
Il peut permettre de voler des identifiants de session ou des cookies si il est suffisamment bien utilisé et que ladite URL est envoyée à une personne connectée. Il permet aussi de transformer l’affichage du site pour afficher, par exemple, des formulaires invitant à la saisie de données personnelles qui seront ensuite transmises à un autre site. Pour finir il est egalement possible via du javascript executé sur le navigateur de récupérer des informations personnelles (historique, geolocalisation, …) mais également de récupérer des informations sur le reseau auquel est connecté la personne (scan du reseau,…).
Le LFI ?
Le LFI (Local File Inclusion) est une faille qui permet d’inclure un fichier présent sur le serveur dans la page en cours de visionnage. Ceci peut permettre par exemple de récupérer un fichier de configuration, des logs, certains fichiers confidentiels, … Dans certains cas de figure (nous l’avons vu lors de notre exercice) il est possible d’exécuter du code (php) et donc d’avoir un accès distant sur le serveur vulnérable. Cet accès peut permettre de voir des fichiers, d’en éditer (pages web,…), de lancer des programmes, de rebondir vers d’autres serveurs, télécharger des fichiers (illégaux ?)…
Pour l’exploiter il faudra spécifier le chemin du fichier à récupérer dans l’URL mais ceci est relativement simple à faire lorsque le serveur qui héberge le site en question autorise le listing des répertoires ou l’affichage d’erreurs comme c’est le cas sur presque tous les sites que nous avons visité.
La liste !
Pour des raisons évidentes (on préfère le confort de notre garage) nous ne pouvons pas diffuser les failles trouvées, nous allons en revanche vous lister publiquement tous les sites qui présentent ces vulnérabilités. Nous vous livrons cependant quelques éléments – les moins graves ou deja corriges – découverts pendant cette chasse à la faille.
Une version non censurée de cette liste sera livrée aux autorités afin que ces dernières puissent faire suivre à qui de droit pour que ces failles soient corrigée, ainsi qu’à quelques journalistes si ces derniers s’engagent à ne pas diffuser ces failles tant qu’elles n’ont pas fait l’objet d’une correction.
Ce qui est montrable car corrigé :
Sur le site http://interactif.service-public.fr, une splendide Local File Inclusion permettait d’executer du code PHP depuis le site référent en lisant un peu les logs de sa propre connexion. En formattant une URL bien sentie comme celle ci. Il devenait par exemple possible d’obtenir le mot de passe de la base de données.Voici une capture d’un log Apache obtenu par local file inclusion
LFI Service Public
Nous avions également pu constater à cette période non moins splendide XSS dans l’application de recherche de l’Assemblée Nationale que l’on retrouvait d’ailleurs sur d’autres sites gouvernementaux dans sa version non patchée. Nous n’allons pas revenir là dessus, tout est ici.
Ce qui n’est pas montrable pas pour l’instant :
Nous avons identifié des vulnérabilités plus ou moins graves sur les sites suivants :
Qu’en déduire de l’applicabilité de la négligence caractérisée ?
Ce type de failles est très simple à exploiter, prévenir ou corriger. Cependant elles sont bien là, bien présentes, dans des institutions qui disposent d’une direction informatique et de moyens, là où le particulier est lui abandonné à son triste sort, condamné à faire confiance à une solution de « sécurisation », en fait un HADOPIPOWAREqui crée plus d’insécurité qu’elle n’en crée.
Dans ce contexte, il nous apparait injuste, voire hypocrite, de faire peser sur le particulier une présomption de culpabilité et de lui interdire d’office tout droit à un procès équitable alors qu’il est lui même victime d’une exposition de ses données personnelles.
Rappelons au passage qu’une institution, même publique, au même titre qu’une entreprise, a elle aussi un devoir de sécurisation des données personnelles de tiers qu’elle stocke. Nous avons ici pu constater que ce n’était pas tout à fait au point. Si la multitude d’entreprises qui a travaillé sur ces différents sites n’est pas capable de sécuriser son travail alors qu’il s’agit de leur métier comment peut-on demander à la boulangère du coin, au maçon du centre ville ou à n’importe quel non-expert en le domaine de faire mieux ?… Et pourtant, tout indique que les entreprises en question étaient bien au courrant de certaines de ces vulnérabilités, en fait, elles en auraient même avertis les administrations concernées qui ont semble t-il manqué de diligence à combler les trous. Nous tenons évidemment ces informations de la bouche de certains de ce prestataires, et nous croyons en leur bonne foi.
Certaines failles découvertes ici (en 24h est-il besoin de le préciser à nouveau ?) permettent de prendre le contrôle du serveur si elles sont exploitées correctement. Qu’arrivera-t-il quand un pirate moins bien intentionné que nous décidera d’en exploiter une pour prendre le contrôle d’un serveur loué par l’état et d’y lancer des téléchargements par exemple ? Un site web, quelques données personnelles, un ou deux mots de passe, et voici une banale histoire de système sensible compromis…
Les sites visités et les failles ici révélées, nous permettent de prendre la mesure de l’inadaptation de la réponse proposée par la loi Création et Internet. Les premiers envois de mails que l’on nous promet imminents interviennent alors qu’aucun dispositif des sécurisation labellisé par la HADOPI n’a pas encore vu le jour. Il est d’ailleurs probable qu’à moins de se compromettre dans une labellisation hasardeuse sur des dispositifs qui opèrent une surveillance mais ne sécurisent en rien une connexion, ce projet reste lettre morte.En attendant, la consultation de la Haute Autorité sur cette question a été prolongée jusqu’à fin octobre, il est important que les professionnels qui y répondront gardent en tête une chose :
Soit on spécifie un dispositif imaginaire qui patchera même les failles des applications des postes clients alors que les éditeurs de ces applications ne les patchent pas eux mêmes.
Soit on spécifie un mouchard avec toutes les conséquences en terme de sécurité et de viol de vie privée que ceci implique.
… messieurs, vous êtes maintenant face à vos responsabilités. Soit nous poursuivons une stupide course à l’armement que l’État ne peut gagner, soit les autorités, les hackers et les politiques se mettent autour d’une table pour entamer un dialogue sérieux et éclairé.
C’est une rentrée chargée pour la Cantine, donc prenez en date, ça se tiendra le 30 Septembre 2010 de 19h30 à 21h30. La soirée organisée par le Cercle Azimov vous présentera un cas fictif de procès sur le full disclosure, plaidé par de véritables experts en la matière. Un scénario assez drôle permettra de lever le voile sur la complexité de la pratique du full disclosure pour des failles dites sensibles, et du déroulement d’un procès en conditions réelles sur ce thème technique complexe, autant techniquement que juridiquement.
Composition du « Tribunal et des Parties au procès » :
Assesseurs : Mme Florence Dupré, juriste spécialisée en sécurité des systèmes d’information et en droit du numérique, EADS France Innovation Works ; Me Lionel de Souza, avocat, cabinet Hogan Lovells
Le cas pratique :
Serge Bitnick est post-doctorant en biochimie et fait de la recherche de failles informatiques à ses heures perdues. Il découvre une faille dans le système d’information d’un hôpital. Il se rend compte qu’il existe un risque que tout le système d’information de l’hôpital soit compromis et cesse de fonctionner. Il tente immédiatement de prévenir le RSSI (Responsable de la sécurité des systèmes d’information) de l’hôpital mais, après 30 minutes de recherche sur Google, il ne trouve pas l’adresse email de celui-ci et décide d’envoyer le message suivant via le formulaire de contact présent sur le site web de l’hôpital :
« Bonjour,
J’ai remarqué que votre système informatique était victime d’une très grosse faille de sécurité. Il s’agit d’une faille du type Stack Overflow permettant un accès en lecture au Memcache de votre application web en Django-CMS. Le système SCADA est compromis et tous les respirateurs artificiels ainsi que le monitoring des salles de réveil post-opératoire de l’hôpital peuvent être contrôlés depuis une interface web rendue publique et indexée par Google. Cette faille peut être très facilement exploitée. Il y a un risque que tout votre système saute ! Il faut réparer ça très vite. Je n’ai pas trouvé le contact de votre RSSI. Contactez-moi si vous avez besoin d’aide.
Serge B.
Le lendemain, il reçoit l’email suivant :
« Cher Monsieur,
Merci de votre démarche. Je transmets votre message.
Cordialement,
Damien Champagne »
15 jours plus tard, la faille n’a toujours pas été comblée. Serge Bitnick la divulgue sur son blog et son fil Twitter (1.042 abonnés dont une poignée de journalistes spécialisés) :
« Grosse faille dans le SI de l’hosto de Tataouine http://ow.ly/17OrX2 #UBER_FAIL ! »
De fil en aiguille, l’information est reprise 3 jours plus tard dans l’édition web d’un journal national puis dans les éditions papier de différents journaux et magazines. Des familles de personnes hospitalisées dans l’hôpital concerné (et dans d’autres hôpitaux) paniquent et inondent le standard de l’hôpital pour s’assurer que tout va bien, voire se rendent à l’hôpital pour ramener chez eux leurs parents. L’hôpital porte plainte contre X pour intrusion dans un système de traitement automatisé de données et mise en danger de la vie d’autrui (la divulgation a paralysé le fonctionnement de l’hôpital pendant 2 jours mais aucun décès survenu à l’hôpital au cours de cette période n’a pu être rattaché aux suites de la divulgation). L’hôpital demande en outre des dommages et intérêts à Serge Bitnick pour le préjudice que la révélation de la faille lui aurait causée.
Serge Bitnick prétend pour sa part avoir agi uniquement pour faire prendre conscience aux gens des risque liés à une mauvaise sécurisation des systèmes informatiques, de traitement automatisé de données et mise en danger de la vie d’autrui (la divulgation a paralysé le fonctionnement de l’hôpital pendant 2 jours mais aucun décès survenu à l’hôpital au cours de cette période n’a pu être rattaché aux suites de la divulgation). L’hôpital demande en outre des dommages et intérêts à Serge Bitnick pour le préjudice que la révélation de la faille lui aurait causé.
Vous serez les témoins et les juges du dénouement de cette affaire, affûtez vos arguments et venez nombreux @La Cantine le 30 septembre 2010, 19h30. 151, rue Montmartre, Passage des Panoramas, 75002 Paris(métro Grands Boulevards ou Bourse).
Pastebin est un outil collaboratif initialement destiné aux développeurs. Il permet de copier du code ou n’importe quel type de texte afin qu’une ou plusieurs autres personnes puissent le modifier. Cet outil d’aspect très simple est pourtant très puissant et les usages que l’on peut en faire sont multiples. Les textes qu’un utilisateur copie colle sur Pastebin peuvent être privés comme publics et on peut également décider de la durée de vie de l’information en indiquant une date d’expiration. Du coup, on y trouve vraiment de tout, le meilleur comme le pire, le tout est évidemment indexable par les moteurs de recherche.
C’est bien du pire que nous allons parler ici avec un logiciel malveillant, un keylogger, qui fait en ce moment des ravages. Un keylogger a pour fonction d’intercepter tout ce qui est tapé sur un clavier. Ainsi, une fois installé, rien ne lui résiste, pas même un site bancaire chiffré en SSL, le mot de passe est intercepté, et la nouveauté maintenant … c’est que tout ce qui est intercepté arrive automatiquement sur Pastebin. Il est donc assez aisé de constater que des dizaines ou des centaines de milliers de personnes rien qu’en France se retrouvent avec toute leur vie sur Internet. Le site Sur La Toile avait abordé le problème début juin, et depuis la situation s’est considérablement empirée.
Si certaines données ne prêtent pas à de grosses conséquences comme ce faux mail d’avertissement de la HADOPI, on constate aussi des choses bien plus inquiétantes :
Des comptes mails de hauts fonctionnaires compromis,
des mots de passe FTP de sites gouvernementaux,
des bases de données complètes de mots de passe (des identifiants et des hashs de passwords) ;
des documents ou des contenus d’emails d’entreprises à caractère confidentiel,
Énormément de données bancaires…
À l’instar de certaines forums russes où l’on peut acheter des informations bancaires dérobées, Pastebin est devenu une véritable place de marché ou des personnes vendent ces données, affichant leurs taris et un moyen pour les contacter.
Le plus inquiétant est que certaines données que l’on trouve sur Pastebin, peuvent en de mauvaises mains, avoir des conséquences dramatiques, j’ai pu constater quelques cas où la sécurité physique de personnes peut être engagée. On trouve par exemple des accès à des systèmes SCADA compromis ou le nécessaire pour s’introduire dans un système d’information sensible comme des entreprises d’armement ou des système d’information de la sécurité civile.
Aujourd’hui un DSI se doit donc d’organiser sa veille pour ne pas voir son système d’information compromis, et Pastebin, comme toutes les applications en ligne de ce type, doivent être surveillée afin de pouvoir détecter le plus tôt possible un risque de compromission.
Bon ça va être très court, il n’y a pas de quoi en faire un plat, mais ça ne manquera pas d’en faire sourire quelques uns.
Et dire que ces gens souhaitent que madame Michu sécurise sa connexion …
Pour faire simple, le champs de recherche de l’Assemblée Nationale accepte les iframes (en fait tout et n’importe quoi, Javascript compris), le tout sans validation… la classe quoi !
C’est assez amusant même si ça n’implique pas de graves conséquences… Au moins vous pourrez faire quelques screenshots rigolos à envoyer à vos élus ou vous rappeler au bon souvenir de Monsieur Riguidel.
Merci @gallypette et @r00tbsd pour le troll du vendredi 😉
Edit : bon je sens que ça va être un festival de screens, en voilà déjà un qui tourne sur twitter :
Le site Performances-publique.gouv.fr est lui aussi affecté par la même faille XSS, voici un screen d’un lien posté dans un commentaire assez fun lui aussi (tout un programme la performance publique… c’est dans l’acronyme de LOPPSI qu’on a introduit cette notion de performance non ?) :
EDIT (again) : je viens de poser une petite question à Eric Walter (pour le chat La Tribune/Hadopi qui doit se tenir d’un instant à l’autre). Elle sera surement censurée donc voici la question :
La HADOPI fait de la prévention, sous forme d’un dépliant qu’elle distribue aux péages autoroutierx, profitant des retours de vacances. Par delà le caractère pas franchement légal de l’opération comme le souligne Numerama, c’est surtout le couplet sur la sécurisation de la connexion Internet qui me fait doucement rire. Une vaste blague, avec une véritable intention de désinformer, voilà à quoi se résume le dépliant de la HADOPI.
Pourquoi
La sécurisation de la connexion à internet a pour but d’éviter les utilisations non autorisées d’œuvres protégées par undroit d’auteur. Comme pour son domicile, il est nécessaire de verrouiller les accès à son ordinateur pour éviter lesintrusions extérieures. Les moyens de protection permettentaux internautes d’envisager différemment l’utilisation de leurconnexion internet par leurs proches.
Comment ?
Comment ? Pour sécuriser son accès à Internet, l’abonné peut :
– Protéger son poste grâce à un mot de passe,- Installer des logiciels tels que le contrôle parental,les anti-virus ou les pare-feu,
– Protéger son wifi en utilisant une clé WPA. Ce type de service est proposé par les concepteurs de moyens de sécurisation (fournisseurs d’accès à internet et autres).
Le « Pourquoi » est déjà risible, on a là une splendide définition de la sécurisation d’une connexion par la HADOPI… Oui, sauf que voilà, moi je ne vois rien là dedans qui sécurise, je vois un dispositif de surveillance destiné à vous amputer chirurgicalement d’une parcelle d’Internet, par l’interdiction, la censure et bientôt le filtrage pur et simple du Peer to Peer. Le hic, c’est que quand ça pète, la chirurgie c’est jamais beau à voir. Peu importe, on nous ressert une fois ce discours particulièrement crétin qui consiste à assimiler un dispositif de flicage à de la sécurité. Comprenons nous bien : que vous vous fassiez piquer votre numéro de CB sur un site web que vous pensiez être un site proposant une offre légale, la HADOPI s’en contrefiche, qu’un fournisseur d’accès expose vos données personnelles en tentant de faire son beurre sur la psychose que veut générer HADOPI, la HADOPI s’en bat aussi les steaks… ce qu’elle souhaite c’est uniquement bloquer le partage de fichiers…
Dans le « comment », la HADOPI enfonce le clou en vous envoyant acheter une baguette chez le cordonnier : Ce type de service est proposé par les concepteurs de moyens de sécurisation (fournisseurs d’accès à internet et autres) ». Bravo ! Sauf qu’il semble que la HADOPI a manqué l’épisode du logiciel de controle de téléchargement d’Orange qui prétendait sécuriser votre connexion et qui exposait en fait tous les utilisateurs à un trou béant. En indiquant qu’un fournisseur d’accès est à même de sécuriser votre connexion, votre ordinateur, votre femme… on ne peut que constater et déplorer le niveau d’e-gnaritude profonde de la HADOPI en matière de sécurisation … du coup, la pédagogie, ça fonctionne beaucoup moins bien.
Et maintenant, le clou du spectacle :
Un labelpour se protéger
Dans un univers technique qui peut paraître complexe, le label « Hadopi moyens de protection » permettra à l’internaute de s’orienter clairement et rapidement. Il aidera l’internaute à choisir un dispositif fiable de protection de son accès à internet.
La HADOPI nous promet un label «Hadopi moyens de protection » qui risque encore de nous provoquer chez les spécialistes une certaines hilarité. En attendant, le label HADOPIPROOF est lui déjà 100% opérationnel.
Nous en avions discuté ici en pleine polémique sur le site France.fr. Le site du projet du « Grand Paris », un des sujets brûlant des dernières élections régionales a été compromis. Une mauvaise configuration aurait ouvert la porte à un cross site scripting et surement d’autres joyeusetés, résultant à une compromission du site qui n’est aujourd’hui qu’un nid à malware.
J’avais à l’époque prévenu OVH en sa qualité d’hébergeur mais ce dernier, malgrés les plusieurs tentatives de contact (mail/twitter), n’a jamais daigné répondre, il était bien plus bavard sur le topic chaud du moment, France.fr, qu’il s’est proposé d’héberger… surement plus porteur en terme de communication. C’est dans un sens plutôt normal car OVH n’infogère pas ce site, son rôle se limitant à l’hébergement, il n’est donc pas missionné pour réparer les sites du gouvernement.
Quinze jours après, la situation n’a pas changé. Le site du Grand Paris, hébergé en sous domaine de celui du ministère la culture présente toujours les mêmes vulnérabilités et distribue toujours autant de malwares.
Mais s’il n’y avait que ça …
Le ministère de la culture dispose de 2 domaines principaux (culture.fr et culture.gouv.fr).Le domaine culture.fr propose plus d’une centaine de sous domaines. Les solutions techniques déployées sont très hétérogènes et certaines datent de Mathusalem. C’est par exemple le cas du catalogue partagé du réseau documentaire de l’administration centrale. Le Tomcat 4.1.18 est en proie à plusieurs vulnérabilités plus ou moins importantes, exploitables à distance, comme une RequestDispatcher directory traversal vulnerability, des vulnérabilités xss sur les servlets (utilisables pour du vol de session par exemple), j’en passe et des meilleurs…
Je ne m’attends donc pas spécialement à plus de réponse des services concernés, mais il serait bienvenu de la part du ministère de la culture, qui a porté le délit de négligence caractérisée pendant les débats sur HADOPI, qu’il montre le bon exemple. Rien que pour le domaine *.culture.fr, il y a de quoi présenter une nouvelle vulnérabilité critique par jour pendant 1 an.
EDIT : Attention, plusieurs personnes confirment un retour d’expérience négatifs avec ce produit, ne vous ruez donc pas aveuglément dessus.
Alors que la Haute Autorité se dit prête à envoyer les premiers mails d’avertissement, que les premiers relevés d’IP ont été effectués par les sociétés mandatées pour le faire. Après que seedfuck les ai contraint à alourdir encore une procédure que l’on souhaitait automatisée avec le moins de justice et autre lourdeurs… et que de son côté la Mission Riguidel ai été rendue publique malgré le caractère confidentiel que la HADOPI souhaitait lui donner….
Voici WifiRobin, un nouveau petit dispositif composé d’une carte wifi surpuissante (1w, soit 10 fois la puissance autorisée en France) et du nécessaire logiciel pour automatiser des attaques sur le chiffrement WEP qui équipe encore de nombreux réseaux sans fil de particuliers puisque des fournisseurs d’accès livrent encore leur box et autres routeurs avec ce chiffrement activé par défaut. Concrètement, le WifiRobin, ça se passe comme ça :
vous l’allumez,
vous le posez,
vous le laissez travailler,
quelques minutes plus tard vous avez un réseau wifi avec sa clef de chiffrement WEP,
vous pouvez surfer.
Cette opération qui nécessitait autrefois quelques connaissances, même très rudimentaires, est maintenant à la portée de n’importe qui, il suffit de savoir appuyer sur un bouton et de patienter quelques minutes. En zone d’agglomération, avec une importante densité de réseaux, cette carte qui peut porter jusqu’à 2 kilomètres (plus encore avec une antenne adaptée) devrait faire un carton.
Ce site utilise des cookies pour faciliter votre confort de navigation et sauvegarder vos préférences. Vous pouvez tout accepter, ou sélectionner ceux que vous souhaitez accepter.
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Cookie
Durée
Description
cookielawinfo-checkbox-analytics
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
cookielawinfo-checkbox-functional
11 months
The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
cookielawinfo-checkbox-necessary
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
cookielawinfo-checkbox-others
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
cookielawinfo-checkbox-performance
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
viewed_cookie_policy
11 months
The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Dans les gros jouets avec lesquels les geeks et les hackers peuvent s’éclater, il y a les imprimantes 3D. Le concept est de réaliser vous mêmes des objets usuellement produits avec des procédés industriels lourds, dans votre propre garage (… et même dans votre salon si votre conjoint(e) supporte cet objet étrange au quotidien). MakerBot Industries propose un kit complet, à monter vous même : une véritable imprimante 3D avec laquelle vous allez pouvoir produire des formes que vous aurez préalablement conceptualisé avec des gabarits 3D. L’électronique est en partie assurée par des composants Arduino, du matériel le plus ouvert possible, le plus hackable possible.
