Le retour

Nouvelle version du blog dans quelques jours...

Cybercriminalité : un livre pour tout comprendre

En 2006, j'ai écrit un livre avec Eric Filiol : "Cybercriminalité : enquête sur les mafias qui envahissent le web" (Dunod).

Vous pouvez le découvrir ici.

Il est désormais disponible en licence Creative Commons (avec l'aimable autorisation des Éditions Dunod).

Cyberguerre : bons documentaires sur ARTE

Hier soir, ARTE a proposé une thématique sur la cyberguerre. Les deux reportages étaient intéressants et le débat (avec notamment Eric Filiol) instructif même s'il était un peu court.

Vous pouvez les voir ou revoir ici :

http://videos.arte.tv/fr/videos/la_guerre_invisible-3945070.html

http://videos.arte.tv/fr/videos/hackers_ni_dieu_ni_maitre-3945076.html

http://www.arte.tv/fr/Comprendre-le-monde/Hackers--les-nouveaux-ma_C3_AEtres-du-monde/3914802.html

Rediffusion vendredi 10 juin 2011 à 10H00.

La sécurité informatique : un échec ?

Antivirus, pare-feu, logiciel anti-espions, chiffrement... : les solutions pour sécuriser ses données et connexions sont multiples. Pourtant, on a le sentiment que cette pléthore d'outils ne sert pas à grand chose.

Pourquoi être un peu (beaucoup ?) déprimé ?

Parce que les exemples montrant que cette débauche de moyens est inutile car mal ou, pire, pas employée se multiplient à l'envi !

Deux exemples parmi d'autres dans l'actualité :

- 40% des personnes interrogées se seraient déjà fait voler ou auraient déjà perdu un mobile. Et la moitié de ces appareils volés ou perdus contenait des données professionnelles critiques. C'est ce qui ressort d'une étude menée par McAfee et Carnegie Mellon (plus de 1500 personnes de 14 pays, dont la France, ont répondu à cette enquête).

- Comodobr, un revendeur officiel de certification SSL du groupe Comodo, à été piraté.
C’est la base de données de celui-ci qui a été dérobée. Elle comprend des détails sur sa propre clientèle, comme des noms d’organisation, adresses, téléphones, noms de domaine, type de serveurs Web et des numéros de série.


Faut-il le rappeler encore (éternellement ?) : les données confidentielles ne doivent pas être sur n'importe quel support et doivent être chiffrées.

Mais le plus inquiétant est que des sociétés spécialisées dans la sécurité informatique sont incapables de protéger leurs réseaux et leurs données...

iAWACS 2011 : des défis pour les hackers

Organisé tous les ans par l'ESIEA et Eric Filiol, le challenge forensics d'iAWACS 2011 est maintenant ouvert. Le blog Operational cryptology and virology lab précise que :

Ce challenge est inspiré d'un cas réel à partir duquel une nouvelle technique de dissimulation d'information a été conçue. Le but au travers de ce challenge est de tester la force et la sécurité de ce procédé sur une implémentation en conditions opérationnelles (et non académique).


Thème tactique : une attaque terroriste contre RSSIL 2011 est en préparation selon des rapports des services de renseignement. Un terroriste a été arrêté par les forces de police au moment où il récupérait un téléphone mobile dans une géocache. Malgré les efforts de la police scientifique, l'analyse du téléphone a échoué. Toutefois, certaines pistes ayant été pu être écartées avec raison, les experts sont convaincus que le répertoire Dcim contient un message secret.

Le terroriste a avoué qu'il attendait un appel sur ce portable qui devait lui indiquer l'emplacement d'une seconde géocache. Cette dernière devait lui permettre via une application sur une SD card d'accéder au message secret et donc à ses instructions. Malheureusement ce appel n'arrivera maintenant plus, les journalistes ayant révélé la capture du terroriste.

Serez vous assez malin et imaginatif pour trouver ce message secret et ainsi empêcher l'attentat contre les RSSIL 2011 ?

Conditions du challenge:
Ouverture : 22 mai 2011. Le fichier dcim.tgz contient le répertoire "Camera" (le téléphone est un Samsung Galaxy S).
Remise du prix (s'il y a un gagnant) ou indices techniques pour prolonger le challenge durant les RSSIL 2011.

Fin du challenge : 31 décembre 2011.
La solution doit être envoyée à iawacs@esiea.fr

Règles du challenge :
Le prix (5000 euros) sera attribué à la première personne qui enverra le message secret avec une description du mécanisme de dissimulation des données.
Ce procédé ne sera pas rendu public par les organisateurs (en revanche le gagnant est libre de publier toute information technique à ce sujet). Seule la solution (le message secret) sera publique.

Toute information technique partielle sera étudiée et pourra faire l'objet d'un prix d'honneur.

La sécurité en entreprise : les conseils de Kaspersky

Reconnu pour la qualité de son antivirus, l'éditeur russe Kaspersky livre quelques conseils pour réduire les risques d'infection dans une entreprise ou des salariés en déplacement. Ils paraissent évident mais il est toujours intéressant de les rappeler :

1. Ne communiquez jamais votre mot de passe à quiconque, même pas à votre patron.
2. N’utilisez jamais les identifiants d’un collègue.
3. Employez des mots de passe « robustes » comptant au moins 8 caractères et mêlant des majuscules et des minuscules ainsi que des caractères spéciaux et des chiffres.
4. Ne désactivez jamais les logiciels de sécurité tels que les scanners antivirus ou les pare-feu (firewalls).
5. Abstenez-vous d’envoyer par e-mail des fichiers contenant des informations sensibles, de les transmettre sur des réseaux non cryptés et de les transporter sur des clés USB.
6. Ne laissez jamais votre ordinateur portable, tablette ou smartphone sans surveillance.
7. Verrouillez l’accès à votre ordinateur même lorsque vous vous absentez brièvement de votre poste.
8. Ne manipulez pas des données sensibles de l’entreprise sur votre ordinateur personnel.
9. Evitez les réseaux WiFi non cryptés lors de vos déplacements professionnels.
10. Faites attention aux informations que vous partagez sur les réseaux sociaux professionnels.

Piratage : Le racket numérique

Cette méthode exige que le pirate maitrise les notions de cryptage mais elle est redoutable car l’internaute n’a aucun moyen de s’en sortir ou presque. Elle consiste à extorquer de petites sommes d’argent à des particuliers.

Inutile dans ce cas de déployer la grosse artillerie. Le courrier électronique suffit. Pour atteindre son but, le pirate va essayer d’introduire dans le PC visé des données compromettantes (photographies pédophiles notamment) ou d’y glisser un petit programme qui va rendre inaccessible une partie du disque dur. Et comme toujours, à l’insu de la personne.


Que ce soit les images ou la prise d’otage de documents personnels, l’internaute ne peut pas y accéder pour les supprimer car le pirate a protégé ses fichiers piégés par des techniques de chiffrement. A moins d’être un spécialiste de ce genre de protection, l’internaute n’a que ses yeux pour pleurer. Il n’y a donc que le pirate qui détient la clé permettant de déverrouiller les fameux fichiers. Il exige quelques dizaines d’euros qu’il faut verser sur un compte bancaire bien à l’abri d’un paradis financier ou sur un compte eGold.

Les premières tentatives remontent à 1991 avec un cheval de Troie baptisé AIDS. Sous couvert d’un logiciel d’information sur le SIDA, il utilisait le chiffrement de données pour extorquer une somme de 378 dollars. Ce genre d’attaque est ensuite réapparu sous diverses formes.

Surveillez votre e-réputation

Les rumeurs sont redoutables. Sur le web c’est encore pire que dans la vie « réelle » car votre nom ou votre image peut être modifié et calomnié par des auteurs qui brouillent les pistes sur le web. Difficile de contrôler ces dérives. L’une des solutions consiste à faire appel à des pros de la e-reputation (votre réputation électronique).

C’est le cas de ReputationSquad qui est en France la seule société spécialisée dans cette activité qui consiste à effectuer un suivi de votre présence en ligne et à remédier aux apparitions qui pourraient vous nuire (rumeurs, informations erronées, etc.). Un travail efficace mais payant. Ses tarifs vont ainsi de 9,90 euros par mois pour des missions ponctuelles à 99 euros par an pour un suivi sur le long terme.

Sécurité informatique : Quatre réflexes pour éviter d'être piraté sur son PC et son smartphone

L'antivirus : votre ange gardien
Son rôle consiste à débusquer tous les virus tentant de s’immiscer dans votre PC ou mobile. Pour les repérer, il applique différentes méthodes. La principale consiste à analyser la signature des virus (en quelque sorte leur ADN). Il analyse aussi les comportements des programmes pour indiquer s'ils ont ou non une attitude bizarre. Sachez que les antivirus les plus connus ne sont pas les meilleurs !

Le pare-feux (ou firewall) : il surveille les connexions
Il agit comme le physionomiste d’une boite de nuit qui filtre les entrées et refoule les individus qui présentent selon lui une menace pour l’établissement. Le pare-feu surveille les connexions entrantes et surtout celles qui sortent du PC. S'il détecte une tentative d’intrusion ou une sortie suspecte, il vous avertit en affichant une petite fenêtre. Vous pourrez soit autoriser, soit bloquer la connexion.

Soyez à jour !
Qu'il s'agisse de votre PC ou de votre smartphone, veillez à mettre son système d'exploitation toujours à jour. Régulièrement, les éditeurs publient en effet des correctifs permettant de colmater une brèche dans laquelle pourrait s'engouffre un code malveillant. C'est un gage de sécurité encore trop souvent négligé...

Ne téléchargez pas n’importe où
Pour acheter un logiciel de sécurité vous pouvez vous rendre dans un magasin afin de repartir avec une boite et un CD. L’autre possibilité est de l’acheter en le téléchargeant sur le net. Allez uniquement sur le site de l’éditeur. Des petits malins envoient des emails ou font de la publicité sur la toile pour vous inciter à télécharger une version payante d'un soi-disant super antivirus ou d'une imitation. C'est un piège !

Tout est piratable !

Pour le grand public, le piratage se résume principalement à un virus qui infecte un PC. En réalité, les pirates sont capables de s'attaquer à toute sorte d'appareils comme le téléphone mobile, le GPS et les distributeurs bancaires.

Depuis la création, en 1983, d'un des premiers virus par le mathématicien américain Fred Cohen (considéré comme l'un des pères de la virologie), il existe des dizaines de milliers de virus et autant de variantes. Aujourd'hui, la diversité des programmes malicieux a obligé les spécialistes à parler de « codes malveillants » (ou malwares) plutôt que de virus.

La volonté des pirates a aussi évolué. L'appât du gain est devenu leur principale motivation. Même si les attaques de réseaux informatiques (du PC de Monsieur-tout-le-monde à celui des entreprises) représentent leur principale activité, les pirates peuvent aussi s'attaquer à d'autres cibles, en apparence anodines, comme le GPS, les distributeurs bancaires ou le téléphone mobile.

Début janvier 2010, toute la presse ou presque s’est fait l'écho d'une attaque permettant de pirater les réseaux GSM. Un expert en sécurité (Karsten Nohl) avait publié un article dans lequel il décrivait une attaque contre le protocole de chiffrement A5/3 des réseaux GSM de troisième génération. Cette attaque n'était pas très simple à mettre en place et le matériel nécessitait d'utiliser du matériel un peu onéreux (2000 €) et les chances de découvrir les clés de session étaient proches du 0 ! Le protocole n'était donc pas encore cassé mais cette attaque prouvait néanmoins que cette protection était fissurée... Va-t-elle résister cette année ? Rien n'est moins sûr car fin 2010, ce même expert est revenu à la charge avec une solution plus efficace et meilleure marché. De quoi faire trembler le monde des télécoms. Lors du congrès du Chaos Computer Club 2010 (une célèbre association de hackers allemands) il a cette fois utilisé de simples téléphones mobiles (mais légèrement modifiés) pour balayer une grande partie du spectre utilisé par les cellules GSM. Cette analyse leur a permis d'extraire l’émission d’un seul terminal puis de déchiffrer le contenu de ladite communication.

Ensuite, avec un ordinateur un peu puissant, il a pu casser le A5/1 (qui repose sur un code vieux de plus de vingt ans). « L'une des clés utilisées pour la communication entre les opérateurs et la carte SIM est très bien protégée car elle protège leurs intérêts monétaires. L'autre clé, celle qui est censée protéger nos vies privées, est bizarrement moins forte... », précise Karsten Nohl. Ce procédé ne permet pas encore un espionnage en temps réel des communications. Mais le budget a considérablement été réduit (650 € environ).

Mais le pire est ailleurs. « Il faut savoir que toute la sécurité informatique (banques, vote électronique, commerce électronique, sécurité des antivirus....) repose sur une cryptographie dont personne n'a jamais prouvé la validité et la solidité. Le jour où la clé de cryptage RSA sera cassée (cela arrivera car c'est mathématique) ce sera un séisme mondial, à côté duquel la crise de 29 et celle de 2009 seront une promenade de santé », prévient Éric Filiol, directeur du Laboratoire de cryptologie et de virologie opérationnelles de l’ESIEA (École Supérieure d’Informatique Électronique et Automatique) à Laval.

Mort de Ben Laden : fausses photos et vrais virus

C'est toujours le même piège mais il marche toujours : profiter de l'actualité pour tenter de piéger les internautes.

C'est le cas en ce moment après l'annonce de la mort de Ben Laden. Des photos montrant soi-disant son visage commencent à circuler sur le web. En réalité, ces illustrations cachent un code malveillant.

Ce n'est pas la première fois que des pirates utilisent le nom ou l'image de Ben Laden pour infecter les ordinateurs. En juillet 2004, des emails circulaient avec comme pièce jointe des images montrant Ben Laden en train de se suicider. En réalité, cette pièce jointe cachait un trojan (cheval de Troie).

Méfiance donc. Pourtant, ce procédé n'est pas récent.

Les exemples de spams et d'emails infectés apparaissant après une catastrophe sont nombreux. Dernière en date : le tsunami au Japon. Les malfaiteurs se faisaient passer pour des organisations humanitaires. Un lien pointait vers un site recevant des dons. Dans d'autres cas, les internautes étaient incités à aller sur un site pour regarder des vidéos. Ce site installait un trojan.

Selon Laurent Heslault, directeur des technologies de sécurité chez Symantec, il y a 4 catégories de « spam actu »: l'actualité à chaud (le Japon, la mort de Jackson, le mariage royal entre William et Kate), les grands événements sportifs, les marronniers (les régimes, les fêtes...) et les fausses actualités (Madona qui avait la grippe H1N1).

Attaques informatiques contre Bercy : pas un scoop !

Bravo aux experts de la sécurité francaise. Faut-il en effet s’étonner de la facilité avec laquelle des pirates ont infiltré Bercy et d'autres ministères ? Non.

Comme le rappelle mon ami Eric Filiol – avec qui j’ai écrit un livre en 2006 sur la Cybercriminalité (5 ans plus tard, tout ce qui est écrit dedans est encore d’actualité, ce qui montre l’évolution de la sécurité informatique…) – la sécurité informatique n’est pas assurée en France (je ne connais pas précisément la situation ailleurs) par de vrais experts.

Il n'y a donc pas de quoi être étonné d'apprendre qu'un ministère aussi emblématique que Bercy soit infiltré. Pour bien se défendre, il faut connaître son adversaire. Et pour cela il faut employer des hackers (au sens "noble" du terme) et non pas les laisser filer à l'étranger pour travailler chez Google et Microsoft entre autres. Un constat qui n'est d'ailleurs pas propre à la sécurité informatique puisque c'est la même chose dans d'autres domaines comme la science.

Ces attaques montrent la faillite du système sécuritaire mis en place en France. Les outils de sécurité employés ne sont pas assez efficaces. Même chose pour le personnel. Pourtant, la France a d'excellents spécialistes dans ce domaine.

Les concours indépendants faits notamment par Eric Filiol confirment ainsi le peu d’efficacité des antivirus (cette année, ce sera autour des firewall d’être testés, on va bien rire…).

Le plus drôle est que l'ANSSI, via son site, recommande de mettre à jour son PC. Or d’après ce que je sais plus d’un PC des ministères n’est pas à jour et les pare-feux installés sont perfectibles…

Quant aux ministres qui multiplient à l’envi les commentaires rassurants (« on a rien volé d’important » sauf qu’ils oublient de dire que les services « compétents » ont mis des semaines à s’apercevoir qu'il y a avait une attaque…) ils n’appliquent que la bonne règle de com’.

Mais au-delà de tout ca, c’est la fiabilité de la crypto qui est enjeu et qui n’est pas efficace (mais personne ne le dit). Le pire est à venir. A côté de ca, la crise financière actuelle sera de la rigolade.

A la place de s'attaquer aux téléchargements illégaux via HADOPI, l'Etat ferait mieux de s'occuper des vrais problèmes en mettant en place une politique efficace et pragmatique.

Kaspersky en péril ?

Les sources de Kaspersky Suite 2008 ont été compromises le 29 janvier. Une information confirmée officiellement par l'éditeur aujourd'hui.

Cela signifie que l'on (bien sûr des pirates...) peut tout récupérer : le code source complet, les documents stratégiques de conception, le mot de passe de l'archive...

Pas la peine d'être un génie en piratage puisque ces précieux fichiers sont disponibles sur Pirate Bay et en Direct Download ! Une centaine de personnes les proposent en téléchargement en ce moment et une quinzaine sont en train de les récupérer...

Bref de quoi mettre en péril l'éditeur et SURTOUT contourner cet antivirus.

Selon l'éditeur, la personne responsable a été rapidement arrêtée et a été condamnée à 3 ans de prison avec sursis pour des infractions à l'article 183 du Code pénal de Russie.

Une mauvaise nouvelle au moment où Kaspersky Lab annonce son partenariat avec General Atlantic LLC (GA), un important fonds mondial d’investissement en capital de croissance.