mars, 2012

Alors que le tout récent « rapport sur la criminalité 2011 » de Verizon accusait les hacktivistes d’être responsables de plus de 58 % des vols d’information durant l’année passée, le Ponemon Intitute, organisme dont le sérieux est classé AAA au palmarès de la confiance statistique, raconte tout le contraire. La faute en revient aux milliers de Gaston Lagaffe, aux « employés négligents » dont les bévues représentent 25% des pertes de données, soit le quart des 5,5 millions de dollars qu’ont coûté de telles pertes l’an passé.

La présence d’un CISO, estime l’étude du Ponemon, peut réduire les pertes de près de 50 % en valeur. Le coût moyen d’une fuite de données personnelle est estimé aux environs de 80 dollars, coût qui ne dépasse pas 41 dollars par enregistrement lorsqu’un CSO parvient à minimise les risques en appliquant une politique de sécurité de groupe.

MegaUpload une fois fermé, que faire des données (entre 25 et 28 petaoctets) qui sont contenues sur ses disques ? Et la question est loin d’être rhétorique, explique Jeremy Kirk, d’IDG News Service. Car Megaupload n’est plus une entité commerciale. Plus un cent ne rentre dans ses caisses depuis que le FBI a placé l’entreprise et ses installations sous séquestres. Chaque jour, l’entretien, l’alimentation et les frais de location d’un peu plus d’un millier de serveurs coûte 9 000 $.

Les avocats de la partie plaignante, MPAA et consorts, on déjà prélevé les preuves de « culpabilité » qui les intéressaient mais aimeraient que les preuves originales soient conservées en l’état. Le contenu général des données stockées pourrait également servir à l’équipe de Megaupload pour sa défense. Sans parler de l’obligation morale du prestataire de services de rendre à ses clients le contenu des données stockées dans le nuage, certains clients estimant que leurs partages de fichiers étaient légitimes. Avis que partage l’Electronic Frontier Foundation. Dans une telle situation, l’ensemble des parties en présence devraient assumer les frais du maintien. Des frais qui, explique notre confrère, devraient s’accroître avec l’arrivée de nouvelles dépenses, notamment un coûteux déménagement de machines en raison d’une expiration de bail immobilier. La cour de justice US, de son côté, ne l’entend pas de cette oreille. Elle dispose d’assez d’éléments pour ne pas avoir à conserver les données…

Il est arrivé, par le passé, et dans des circonstances différentes, que les conséquences de jugement de faillite aient fait de l’Etat Fédéral le propriétaire de reliques d’entreprises assez inhabituelles, reliques dont la présence choquait l’aile conservatrice de l’électorat. Ce fut notamment le cas d’une maison close située dans les environs de Las Vegas et dont l’Etat était actionnaire, mise aux enchères sous la pression d’associations de contribuables (la prostitution est légale dans une grande partie du Nevada). Si d’aventure le gouvernement des USA devait subvenir financièrement à l’entretien du plus grand site pirate de l’Amérique du Nord, site dont une grande partie des installations sont d’ailleurs situées au Canada, il y aurait fort à parier que la pilule ne passerait pas auprès des Sénateurs conservateurs.

Kostya Korchinsky, au fil d’un billet toujours aussi brillant, explique ce qu’est la faille MS12-022, alias « faille RDP du siècle ». Il en profite au passage pour rappeler le travail de Luigi Auriemma sur le sujet. « Il s’est écrit beaucoup de bêtises alarmistes à propos de cette vulnérabilité » écrit en substance l’expert de Miami. « S12-020 ne me semble pas super exploitable à distance. Localement c’est une autre histoire… ». Ouf. De toute manière, les alertes rouge-vif du Sans et de Microsoft ont probablement incité le ban et l’arrière-ban des administrateurs à déployer cette rustine d’urgence. Et comme les psychoses n’effacent plus les données ou ne bloquent plus les systèmes depuis le SP3 de NT3.5, on peut donc en conclure qu’il y a eu plus de peur que de mal.

« Mais en quoi qu’il cause, ce virus ? » La question taraudait depuis un certain temps l’équipe de recherche de Kaspersky en général et Igor Soumenkov (http://www.securelist.com/en/blog/667/The_Mystery_of_the_Duqu_Framework) en particulier. Des choses pas banales faisaient que le désassemblage du code du sinistre Duqu ne correspondait pas franchement à ce qu’aurait fourni un compilateur connu. Le mystère est « enfin » résolu (il faut avouer que 3 personnes au moins n’en dormaient plus entre les rives de Brest et les bords de la Léna). On y trouve donc du C Microsoft compilé avec des options de compilations spéciales, étendu de OO C et de C&C… C clair, C pas des choses qui peuvent s’inventer.

Généralement, les outils de suivi et enregistrement de l’activité réseau sont plutôt destinés aux entreprises possédant des réseaux « conséquents ». L’administration des comptes provisoires destinés à des prestataires extérieurs, par exemple, demande des compétences certaines en matière de gestion d’annuaires, de droits d’accès et de modification des politiques de sécurité. Pour répondre à ce genre de demande, mais à l’échelle d’une PME, Wallix vient de lancer deux nouvelles appliances, les AdminBastion (WAB) 5 et 15 (http://www.wallix.fr/index.php/produits/wab-gamme-pme). Leur rôle est de filtrer les entrées, accorder passage aux personnes autorisées par un administrateur délégué, limiter l’accès desdits comptes aux ressources réseau seules nécessaires à leur travail, loguer les connexions tcp et udp effectuées lors de chaque session et enregistrer les sessions (ssh, rdp). La répudiation d’un compte en fin de contrat ou de mission se limite à une simple suppression, et évite toute intervention aval dans les services serveur du LAN. Le WAB15 gère jusqu’à 15 IP entrantes, le WAB 5… 5 IP entrantes

Signalons également que, depuis un peu moins d’un mois, Wallix a étendu son réseau de revendeurs à la zone Benelux, à la Grande Bretagne et à l’Italie. En ces temps d’économie fiévreuse, le développement européen d’une entreprise Française mérite qu’elle soit mentionnée.

L’adoption des passeports biométriques, dictée directement par les Services de l’Immigration US au Parlement Européen, avait, en son temps, soulevé quelques émois. Emois oubliés depuis, puisque plus personne ne songe à demander ce que les USA font de leurs fichiers biométriques de ressortissants étrangers. Oubliée, la demande d’effacement des traces après un délai de 3 ans, passé à 5 ans, puis sans limite précise. Là encore, le risque de falsification de papiers avait été invoqué. Depuis, l’on voit apparaître au passage des frontières des sas de contrôle baptisés Parafe, qui ont grandement facilité l’usage de faux papiers, puisqu’aucun fonctionnaire humain ne vient contrôler « de visu » la cohérence entre le porteur et la photographie apposée sur le document de voyage. Elvis Presley peut encore voyager, plus personne ne sera là pour raconter le contraire, mais en attendant, le fichier biométrique des gens qui ne restent pas sagement chez eux est bel et bien entretenu dans les préfectures de chaque département. Le nom-prénom-adresse-signature s’en enrichit d’une photo du visage et des empreintes des dix doigts de la main. Il n’y a enfin plus de différence entre l’homme du XXème siècle et un repris de justice fiché au grand banditisme.

Dans l’un des pays où règne l’Habeas Corpus, la réaction face au risque de vol d’identité est légèrement différente. Dans le but de sensibiliser la population, et non de l’accuser de « délit d’incompétence technique », les joyeux pandores du Queensland se jettent à bâtons blancs perdus dans une vaste campagne de wardriving. Tout point d’accès Wifi ouvert ou protégé par une clef Wep (pourtant recommandée par le Ministère de la Culture Français) est immédiatement sanctionné par… le glissement d’une note d’information dans la boîte à lettres du coupable. En nos contrées, une lettre des gardiens de la paix (ou des « forces de l’ordre » en novlangue), est généralement recommandée et menaçante, question de tradition …

Le challenge des SSTIC est ouvert .Que fument les neurones et vrombissent les claviers ! Interdit aux membres du Cert Lexsi et du laboratoire EADS Innovation Works…

Dans notre beau pays qui vit naître les penseurs des Lumières, il est historiquement inconcevable qu’un fait-divers sanglant et abominable dans la région Toulousaine permette à un politique en pleine campagne de décréter la mise en chantier d’une loi correspondant à un autodafé électronique : brûler les sites internet déviants, les écrits corrupteurs, tout ce qui ne cadre pas avec la définition d’une pensée occidentale progressiste et libérale, voilà la recette qui fera qu’il n’y aura plus de meurtre au nom d’une quelconque mythologie. Sous le coup de l’émotion, une telle proposition remporterait une approbation populaire immédiate et pèserait dans les urnes, si l’on était en période d’élections. Certes, le Conseil Constitutionnel remplirait son office une fois de plus, en bloquant une telle proposition. Mais ce même conseil ne pourrait en aucun cas effacer le germe de la stigmatisation. Un germe qui, à force de croître, conduira ceux qui en sont porteurs à approuver d’autres mesures liberticides plus discrètes, moins extrémistes, mais toutes aussi efficaces. Soyons toutefois rassuré. Une telle idée relève du fantasme paranoïaque, elle est même qualifiée de totalement idiote nous assurent nos confrères de Wired. Car nul besoin d’être Américain pour savoir que ce qui est une idée terroriste aujourd’hui tourne souvent au combat pour la liberté une cinquantaine ou une soixantaine d’années plus tard. Le mot terrorisme ne laisse aux survivants que le souvenir de ceux qui provoquent les guerres et le malheur des peuples. Méfions-nous des ciseaux d’Anastasie. S’ils peuvent parfois jeter un voile apaisant sur les propos intolérants de certains groupuscules extrémistes, ils se transforment rapidement en un impitoyable bâillon muselant ceux-là même qu’ils étaient censés protéger.

Il faut le dire, depuis Hadopi, la notion d’identité en France est devenue particulièrement élastique, puisqu’elle est désormais dépendante également d’un numéro IP. De là à associer une empreinte biométrique à une adresse IP et de s’en servir de certificat pour forger aussi bien une accusation qu’une usurpation, il n’y a qu’un pas, que la technologie et les recoupements de fichiers permettent. Aux « c’est impossible bien sûr » des gourous chargés de la défense des fichiers d’Etat et aux personnes défendant les intérêts d’une industrie privée, l’on pourrait opposer le dernier rapport Verizon qui révélait que 58% des fuites d’information était le fait d’actions d’ « hacktivistes » et non plus seulement d’accidents ou d’actes mafieux.

Fort heureusement, l’Anonymous est un individu qui agit essentiellement sur Internet. Donc qui peut se faire repérer grâce à son adresse IP, puis se faire arrêter, puis se faire retourner, puis être utilisé comme « balance », ainsi nous le rappelait Owni au début de ce mois. Il n’y a que dans un seul cas où la « théorie Texel » (la confusion pratique entre adresse IP et personne physique) ne fonctionne pas… ou ne veut pas fonctionner. C’est lorsque les single de Britney Spears et de Tino Rossi et au passage quelques secrets d’Etat sont piratés lors d’opérations Titan Rain, Night Dragon, Aurora, Goshtnet, Moonlight Maze et consorts. Et pourtant, avec une pincée de courage et quelques grammes de réflexion, nos édiles pourraient démasquer les coupables … Nous conseillons aux courageux la lecture du 4ème point d’un ancien article signé Nicolas Ruff et généreusement distribué sur le site de l’ex CNPF.

Après le cyberpédophile et le méchant hacker braqueur de propriété intellectuelle*, le voleur d’identité fait recette, dans l’arsenal des industriels spécialistes dans la promulgation de lois expéditives. La dernière en date en France, dite « fichiers des gens honnêtes », souhaitait légaliser la constitution d’un fichier biométrique portant sur tous les possesseurs de carte d’identité et de document de voyage dans le but d’accélérer le travail de la police dans le cadre d’affaires d’usurpation d’identité. Une loi qui a brusquement rappelé à la France tout entière et au conseil constitutionnel en particulier qu’utiliser un motif de peu d’importance (en termes de statistiques criminelles) ne pouvait suffire pour faire passer des dispositifs anormalement contraignants et liberticides.