(traduction française approximative : " Je les ai vus ", David Vincent)
| Récapitulatif
des papiers sur le monde étrange des administrateurs réseau et systèmes |
| Récapitulatif
de nos copies d'écran sur ce même monde étrange Cette page n'est plus mise à jour depuis août 2001 |
| Taijiquan style Haking (dot com) |
| Sasak style Haking (dot com) |
| Le Match Kitetoa versus Ugly Discoursmarketing |
| It's a funky job. But Kitetoa's digital clone does it... |
| Do you know info-hack Kung-Fu? |
| La hotte du Kitetopapanoël |
| Ze Mega
Kite-Teuf! La fête de l'été de Kitetoa... Les sites les plus nazes de l'été 2000 |
| La
Loi de 78 impose aux entreprises de protéger les bases de données qu'elles constituent... |
Defcon est une fête. Tout ce qui compte dans le monde des hackers vient se montrer, " s’éclater ". On trouve également dans les couloirs de Defcon des représentants de toutes les agences gouvernementales, de la CIA à la NSA en passant par l’armée et le FBI.
Assister aux conférences, aussi techniques soient-elles, n’apprendra pas grand chose à l’administrateur d’un domaine important comme www.cpr.fr, ou www.fnac.fr. En revanche, les soirées dans les chambres de l’hôtel où se tient la conférence sont passionnantes. Ceux que la presse présente à tort comme des pirates détruisant tout sur leur passage, les hackers (les vrais), échangent tuyaux, anecdotes et autres découvertes qui mettent potentiellement en danger des milliers de sites connectés au Net.
Ces jeunes gens à qui vous ne confiriez même pas un stage dans votre service informatique –leur apparence extérieure ne satisferait pas la personne chargée de les embaucher-, sont capables de pénétrer dans le réseau le mieux protégé. Il a peu de chances pour que votre système d’information, le cœur de votre entreprise, leur résiste. Ce n’est qu’une question de temps et de connaissances. Ils ont les deux. Deux choses que votre service informatique interne ou la société à qui vous déléguez ce domaine n’ont pas.
Mais vous avez une chance incroyable. Ces gens-là ne s’intéressent pas du tout à votre entreprise, encore moins à votre système d’information où à vos serveurs reliés à Internet. D’ailleurs, ils ne piratent jamais rien. Ils passent leur temps à rédiger des pages et des pages de mise en garde sur tel ou tel défaut essentiel dans la sécurité de tel ou tel logiciel. Lorsque Microsoft, Netscape ou Allaire Inc. (Cold Fusion) publient des messages alertant sur un problème, lorsque ces entreprises éditent un patch, c’est grâce à ces " mauvais garçons ". Merci les mauvais garçons…
Je me suis souvent réincarné. Au moins 400 fois. Et ce matin, me voici réincarné en… Paco Rabane. Je vous prédis donc le feu purificateur sur Internet à 13 heures, 35 minutes et 56 secondes, le 4 avril 2005. En moins d’une heure, il n’y aura plus un seul serveur marchand qui tournera sur le réseau. Seuls les serveurs non marchands, contribuant à diffuser le savoir humain seront épargnés !
Fouchtra !
Je suis bien Paco puisque je commence à lire dans vos esprits : la preuve, vous vous demandez si vous allez continuer à lire. Ne vous arrêtez toutefois pas ici, le meilleur est à venir…
Lorsque vous lisez sur un site d’informations sur le Net que tel ou tel serveur Web a été piraté, même s’il ne s’agit que d’une page d’accueil remplacée, c’est que la personne qui a réalisé ce délit disposait à ce moment là des privilèges de l’administrateur du serveur…
Et alors me direz-vous, il ne s’agit que d’un serveur Web, toutes les données essentielles sont derrière un firewall. Ah… Et cela vous rassure ? Bon…
D’autres me diront que les données sont sur une base de données bien plus haut sur le réseau.
Merveille !
Et le serveur les appelle de temps à autre, l’espace d’une création de page html dynamique ?
Génial, de vilains garnements ont donc sans doute les moyens de tout détruire…
Ces garnements, ce sont au choix (cochez la case qui vous semble la plus appropriée) :
- la concurrence,
- des enfants qui s’amusent à se rêver les maîtres du monde (ceux-ci sont à un million d’années lumières des hackers sus-mentionnés),
- des espions, industriels ou non,
- des hacktivistes…
Nous entrons dans le siècle de l’information. Tout le monde le répète. On ne parle plus d’appareil industriel, mais de système d’information. Et l’avenir du business n’est-il pas au e-commerce ? Tous les consultants martèlent à coup d’études, toutes aussi imprécises les unes que les autres, qu’Internet va générer des milliards de dollars. Embarquées dans ce grand cyclotron, toutes les entreprises se jettent dans le commerce électronique les yeux fermés. Qui contrôle ce plongeon dans le Web ? Le marketing ? Les forces de ventes ? La direction générale ? L’informatique ?
Dans cette liste, qui détient d’après vous les connaissances nécessaires pour mettre en perspective les risques encourus par l’entreprise au moment de la connexion ? Personne. Mais laissons le soin de démontrer que la connexion n’est pas sure aux experts en sécurité informatique…
Deux autres risques sont bel et bien présents :
Quelle société a mis en place une véritable politique de surveillance de ce qui se dit sur elle au travers d’Internet, à l’instar de ce qui est fait pour la presse ? Qui peut avancer un plan de réponse d’urgence en cas d’attaque informationnelle via Internet ? Qui a prévu une éventuelle modification très discrète de quelques données essentielles sur les pages hébergées par son serveur institutionnel ?
Techniquement, il y a, à l’autre bout de ce réseau auquel les entreprises se connectent goulûment, des dizaines de personnes capables de briser toutes les sécurités de pacotille mises en place par des services informatiques ou des SSII incompétents. Le contenu des serveurs pourra ainsi être modifié. Si cela est fait avec intelligence et discrétion, l’entreprise concernée s’en rendra compte bien trop tard.
Prenons deux exemples concrets afin d’illustrer un propos qui peut, peut-être, vous sembler bien théorique :
La CPR avait laissé traîner les mots de passe de l’administrateur de son site. Ceux-ci étaient dès lors accessibles via un navigateur sur le serveur. En clair, il était possible, jusqu’à ce que les responsables du serveur soient prévenus, de modifier les conseils des analystes de la société de bourse –alliée à E*Trade, rappelons-le- publiés tous les jours sur le serveur Web. Je vous laisse imaginer le feu qu’aurait provoqué l’écrasement de la station CPR sur le marché parisien (oui, je suis toujours Paco-le-feu-du-ciel)…
Autre lieu amusant, les serveurs des ministères français. Un peu troués… Mais les responsables ne jugent pas toujours utile de réparer.
Vous souhaitez modifier le contenu du ministère de l’Intérieur ? C’est possible…
Vous souhaitez savoir quel est le nom de la personne qui fait les mises à jour sur le serveur du ministère de la Santé ? C’est possible !
Ne vous méprenez pas, je suis réincarné en Paco Rabane, pas en informaticien ou même en super-hacker. Je n’ai aucune connaissance informatique particulière et ce que je vous décris là est donc à la portée d’un gamin armé d’une console SEGA…
En conclusion, je dirais, comme d’autres, que le réseau Internet n’a pas été dessiné pour faire des transactions sécurisées. Ne mettez donc pas en péril le cœur de votre activité pour gagner quelques sous… Ou alors, faites appel à de véritables spécialistes de la sécurité liée à Internet et il n’y a sans doute que deux entreprises valables dans ce domaine à Paris. Donc… Méfiez-vous des contrefaçons !
PS : je n’ai pas d’actions dans ces entreprises…