mai 10th, 2011

Skype serait sur le point d’être absorbé par Microsoft pour 8,5 milliards de dollars nous apprend le Wall Street Journal. Somme qui dépasse l’entendement, et permet à certains anciens actionnaires de remporter 3 fois la mise : 1,2 milliard de $ pour les deux fondateurs Estoniens, 4,8 milliards de $ pour les différents co-actionnaires tels que Silver Lake, Andreessen Horowitz et un fond de pension Canadien, sans oublier 2,5 milliards de dollars qui vont directement dans la poche d’eBay, qui détenait 30 % du capital de l’entreprise. La hauteur de l’enchère ne surprend qu’à moitié. Certes, des rumeurs courraient sur la rentabilité réelle de Skype, qui aurait perdu près de 7 M$ au cours du précédent exercice et dont le bilan est plombé par une dette de près de 680 M$. Un trou négligeable en regard de la valeur que la société représente en termes de R&D (notamment sur le marché de la diffusion vidéo) et surtout en matière de stratégie d’entreprise. En annonçant une mise à prix aussi élevée, Microsoft tente de couper court aux pourparlers entamés occultement par Google (un ennemi juré de MS) et Facebook (un allié objectif et partenaire de MS).

En récupérant Skype, Microsoft tourne le dos à ses multiples tentatives plus ou moins heureuses de capture du marché de la messagerie instantanée et de la téléphonie sur IP (notamment de la VoIP sur équipements mobiles). Un virage qui l’éloigne définitivement des volontés de « normalisation » autour de Sip, H.323 et autres protocoles officiels que Skype ne respecte absolument pas et qui forment pourtant la pierre angulaire des outils Microsoft plus ou moins concurrents. Pour une fois, le non respect des normes ne sera pas de la faute au « géant hégémoniste qui veut conquérir la planète ». Comment s’intègrera ce programme dans l’entrée de gamme des architectures de téléphonie d’entreprise « microsoftisées » ? Comment évoluera la branche « live » dont faisait partie MSN Messenger et ses outils périphériques ? Nulle réponse.

Côté sécurité, cette absorption ne va pas se faire sans mal. Skype et ses « supernodes », son routage intrusif, ses failles impromptues (la dernière touchant les clients Mac), son absence totale de transparence technique et sa structure P2P donnera sans le moindre doute quelques aigreurs d’estomac au MSRC. Mais depuis que Microsoft pratique la religion de la croissance externe, ces « petits désagréments » font partie de la routine.

14H32, mardi 10 mai 2011 : information qui vient d’être confirmée par Reuters

Préalable à toute campagne de pentesting, la définition du périmètre du personnel et la récolte de donnés facilitant une attaque en social engineering demande parfois bien du temps et de la patience. The Harvester, la « moissonneuse-batteuse » de l’identité numérique, est un tout nouveau logiciel de sécurité de Edge-security qui collecte les noms, les emails, sous-domaines internet à grand renfort de googlehacking. Cette « moiss’bat » génère un rapport en XML, n’utilise qu’un peu de code python pour fonctionner, et utilise les ficelles classiques pour aller farfouiller sur Google, Bing, les serveurs PGP, linkedin et Exalead. Les premiers tests peuvent se faire sans crainte en tentant de dresser le profil du bon docteur Eric Schmidt (Novell, Google…), lequel a maintes fois déclaré que la notion de vie privée sur Internet était une vue de l’esprit. Après tout, c’est un peu grâce à lui que The Harvester fonctionne si bien.

J – 3 pour Backtrack 5, la boîte à outil forensique et outil de pentesting open source à géométrie variable. Tout d’abord diffusé via les canaux P2P pour ne pas surcharger les serveurs, puis disponible en ftp, cette nouvelle version supporte les modes 32 et 64 bits. Une édition « spécial Android », allégée et compilée pour processeurs ARM, devrait également sortir aujourd’hui. Le moindre téléphone portable pourrait donc se transformer en redoutable arme de guerre. Une véritable provocation donc, qui survient quelques jours à peine après le dépôt du projet de loi de Madame le Député Muriel Marland-Militello qui prévoit 10 ans d’emprisonnement, 75000 euros d’amende pour toute attaque contre un système informatique d’Etat… les « chinois » coupables des attaques de Bercy sont littéralement terrorisés… A ce tarif-là, cette édition de Backtrack, qui intègre Metasploit 3.7.0, mériterait au moins perpétuité à Guantanamo.

Le Response Team de Microsoft publie un long message aux responsables sécurité expliquant pourquoi et comment « l’index de probabilité d’exploitation » a été modifié. Index qui devrait donc simplifier la vie des RSSI puisque désormais, il faudra interpréter 2 index d’exploitation différents (sic) par vulnérabilité. Le premier qualifiant la probabilité et dangerosité de l’exploit sur une plateforme récente, le second index étant une moyenne des index de toutes les anciennes versions. L’éditeur ne cache absolument pas que ce distinguo aura pour conséquence un « amoindrissement » de la criticité des index sur les versions modernes des logiciels et notamment des noyaux récents dont les niveaux de sécurité par défaut ont été sensiblement renforcés. L’héritage du « vieux » ne viendra donc plus ternir l’image des productions plus modernes. Est-ce là une réelle amélioration du système ou une simple mesure cosmétique et marketing ? Il faudra attendre quelques « patch Tuesday » pour se faire une idée.