Patrick Legand

Quels farceurs ces pirates !! On a beau dire qu'en matière de piratage l'innovation a comme seule limite l'imagination de l'individu, on reste sans voix face à des trouvailles ahurissantes !

Dans les films d'espionnage, peu d'entre nous ont manqué la scène de l'agent secret reconstituant mentalement un numéro de téléphone, en analysant simplement les sons émis par les rotations successives du cadran téléphonique.

Que diriez d'une méthode consistant à voler un mot de passe en écoutant le bruit des touches frappées sur le clavier ? Délirant, n'est-ce pas ? Irréaliste, me direz-vous ?... Justement, c'est en admettant que l'adversaire parviendra à mettre au point des techniques impensables que l'on commence à entrevoir comment concevoir les architectures sécurisées.

Avant d'écarter toute possibilité, réfléchissons un peu... Tout d'abord, il est évident que la « barre d'espace » émet un son reconnaissable, nous l'avons tous constaté, il suffit d'entendre quelqu'un pianoter sur son ordinateur. À la rigueur, cela est vrai aussi pour la touche « Retour chariot ». Voyez comme nous progressons... D'accord, nous ne sommes pas encore très avancés, car il faut reconnaître que les fluctuations sonores entre un « P », un « C » ou un « 2 », si elles existent, sont à première vue beaucoup moins probantes. Toutefois, tendez un peu l'oreille et faites l'expérience : vous percevrez des différences, légères, soit, mais incontestables. En effet, il n'y a aucune raison que toutes les touches émettent rigoureusement le même son : elles ne sont pas situées au même endroit sur le clavier, les doigts de l'utilisateur ne frappent pas toutes les touches avec le même élan, il faut compter avec les écarts de tolérance, même infinitésimaux, dus à la fabrication et au montage du clavier... non, non, il y a des disparités, c'est indiscutable.

Seulement, rétorquerez-vous à juste titre, il faut tout de même avoir l'oreille fine et passablement exercée avant de pouvoir exploiter ces infimes subtilités ; ce n'est pas donné à toute le monde !

Certes, certes... Cependant, n'oublions pas que dans le domaine qui nous intéresse (le piratage), nous avons affaire à des informaticiens ; et les informaticiens se distinguent généralement par cette compulsive et exaspérante manie de faire appel à une technique qui, finalement, s'avère d'une certaine utilité lorsqu'il s'agit de faire des gros calculs : l'informatique. Et là, il faut reconnaître que les logiciels font aujourd'hui des merveilles en matière de reconnaissance vocale. Parlez, ils écrivent ; ordonnez, ils exécutent... Bientôt, ils vont vous répondre. Alors vous pensez, effectuer l'analyse spectrale d'un son aussi banal que celui d'une touche de clavier d'ordinateur, fastoche !

Bien sûr, on peut toujours objecter que chaque clavier a sa propre résonance ; que ses caractéristiques acoustiques sont elles-mêmes « modulées » en fonction de la personne qui saisit le texte ; que pour espérer voir fonctionner un jour un tel concept, il faudrait en théorie mémoriser des milliers de « profils spectraux » qui modéliseraient les comportements de la majorité des couples utilisateur / clavier rencontrés de part le monde.... Pensez donc ! Laissons cela aux fadas de méthodologies, de processus et autres doux rêveurs. Concentrons nous plutôt sur les formidables capacités d'apprentissage des logiciels : à la première mise en route, il ne savent rien de vous ni de votre clavier, mais au bout d'une dizaine de minutes, plus de 90% des caractères saisis sont identifiés !

Comment font-ils ? Tenez, un exemple simpliste basé sur notre antique analyse des fréquences (relire à ce sujet le papier sur l'histoire de la cryptologie sur ce même blog) : le son le plus souvent perçu correspondrait probablement à la lettre la plus souvent rencontrée dans la langue française ; à savoir le « E ». Ensuite viendraient le « A », puis le « I », etc. etc.

Mais à quoi bon s'embarrasser avec des techniques aussi désuètes à l'heure où des méthodes bien plus puissantes, comme l'analyse orthographique et la correction grammaticale, fournissent de précieux renseignements ? Avec un tel arsenal, le logiciel espion sait bientôt retrouver chaque caractère saisi et percer ainsi vos secrets les plus inavouables ! (attention à ce que vous écrivez...).

Ah ! J'oubliais... Il reste le problème du micro. Car il faut bien capter tous ces sons avant de les enregistrer et de les analyser. Là encore, je crains bien de plonger un peu plus dans la sinistrose. Point n'est besoin de dépêcher sur place les agents du Watergate. Chaque ordinateur dispose maintenant de son micro intégré, pourquoi diantre s'embêter ? Il suffit de programmer dans le logiciel une petite routine chargée d'activer le micro en douce, de rediriger sa sortie vers le module d'analyse, et le tour est joué !

... ou presque. Car maintenant, pour épier réellement un utilisateur, encore faut-il installer clandestinement sur son poste le petit logiciel espion, muni de toutes les fonctionnalités que nous venons de décrire. Mais est-ce vraiment besoin d'épiloguer sur ce point ? Si vous avez lu « Sécuriser enfin son PC », ainsi que d'autres billets présents sur ce même blog, vous devriez maintenant savoir qu'un pirate motivé a sous la main des dizaines de techniques pour y parvenir ; la chose est inéluctable !...

Franchement, que faire face à tant d'ingéniosité ? Si, au moins une chose : donner un grand coup de chapeau aux chercheurs de l'université californienne de Berkeley ; il fallait y penser, ils l'ont fait et ont démontré que la méthode marchait. Bravo chers adversaires ! Cela ressemblerait presque à un coup de maître, n'est-il pas ?

Eh oui !... c'est un peu la dure facette du métier de consultant en sécurité : finir par croire (un peu) en sa compétence et se retrouver invariablement Grosjean comme devant. Tout cela à cause de petits astucieux qui vous fabriquent des inventions auxquelles même Tom Cruise, dans Mission Impossible : 18, n'osera même pas penser, et qui orchestrent avec élégance et simplicité la déconfiture de la sécurité de votre système. Warfff!!!!! j'ai presque envie d'en rire... de partir en vacances... ou bien d'aller raccrocher mon tablier, je ne sais pas... Tenez, allez donc visiter notre site musical, cela vous changera les idées.

Moi je ne sais pas. Je ne sais plus... enfin si j'étais vous, je commencerais peut-être par envisager la carte à puce... on se sait jamais... si ce n'est pas trop tard...

Entreprises, prenez-vous réellement les problèmes d’intelligence économique au sérieux ? Monsieur le cadre dirigeant, êtes-vous conscient que votre concurrent est « prêt à tout » pour connaître vos secrets de fabrication, vos moyens de financement, vos actions commerciales en cours ? Il veut votre mort... au moins pour retarder la sienne (c’est une question de survie après tout !).

Vous ne le croyez pas ? D'accord, jetons un regard sur certaines coutumes très en vogue actuellement dans le monde du business.

Tout d'abord, l'espion économique moderne n'a plus grand chose à voir avec l'agent double-07. La belle et légendaire Aston Martin a progressivement cédé du terrain à la plus classique Twingo (eh oui, quand on dit « économique »...). Ensuite, l'irrésistible séducteur au regard félin fait désormais place à des armadas de personnels au chandail solide, passés maîtres dans les techniques de combat contre l'homme armé de l'attaché-case. S'il n'y rien de bien romantique chez ces nouvelles cyber-barbouzes, elles obtiennent néanmoins des masses ahurissantes de données sensibles sur les entreprises, souvent grâce à votre bienveillante complicité.

Voici un rapide aperçu de quelques méthodes bien huilées pour espionner :

• Collecter par des moyens légaux le maximum d'informations publiques (requêtes sophistiquées sur Google, utilisation de logiciels spécialisés en intelligence économique...)
• Capter de précieuses informations échangées dans des lieux publics
• Voler les portables pour accéder aux données sensibles hébergées sur le disque
• Intercepter le courrier et les conversations téléphoniques des cadres de l'entreprise
• Organiser la récupération des poubelles du concurrent (n'oublions pas le coup d'éclat de Larry Ellison, relaté dans un article mémorable dans Libération : « le nez d'Oracle dans les poubelles de Bill Gates »),
• Infiltrer les sociétés de nettoyage et de gardiennage afin de disposer de personnel ayant libre accès à vos locaux
• Infiltrer éventuellement le domicile des dirigeants (femme de ménage…)
• Mettre en place des stagiaires (chez le concurrent ou chez les sous-traitants du concurrent) qui disposeront ainsi d'un accès autorisé à des données confidentielles
• Sonoriser les cloisons et les salles de réunion
• Manipuler la presse, s’assurer l’appui d’un opérateur de téléphonie pour voler de l'information, obtenir les faveurs des services de renseignements en pays étranger, déstabiliser l’adversaire par tous les moyens...

Sans envisager des moyens aussi sophistiqués, sachez qu'obtenir qu’obtenir une information importante est souvent beaucoup plus facile qu’on ne l’imagine. Le TGV Paris – Rennes (recherche en Télécoms), la navette Paris – Toulouse (aérospatiale) ou le Thalys du matin pour Bruxelles sont des exemples de sources intarissables ! Sans être le moins du monde versé dans le renseignement, il m’est arrivé d’assister au détail de discussions pour la mise au point de marchés industriels importants, aux confidences d’hommes politiques de haut rang ou, à l’étranger dans un restaurant, aux premiers jalons d’une négociation en vue décider du sort du peuple d’un pays en guerre. Moi-même plongé dans une conversation en français avec mon interlocuteur, mes voisins de table ne se méfiaient de rien et je reste encore sidéré par le type d'informations auxquelles j'ai eu accès !

Hommes d’affaires fatigués, détendez-vous. Jetez votre télé. Allez au concert, allez au cinéma, prenez du temps pour lire, il y a des livres fantastiques dans les librairies. Dans l'avion vous aurez ainsi des choses à raconter, vos collaborateurs ne s'ennuieront plus à mourir et, surtout, vous cesserez de mettre votre entreprise et vos missions en danger.

Quelques règles de bon sens :

• En déplacement professionnel ou dans les lieux publics (restaurants, files d’attente), restez discret en toute circonstance (attention justement aux repas d’affaires !). Ne laissez aucune information à la portée d’inconnus (documents, notes, paroles échangées entre collègues). Attention aux écrans d’ordinateurs portables !!
• Méfiez-vous de la machine à café, surtout en présence d'une personne munie d'un badge visiteur.
• Attention aux cocktails et aux salons professionnels. Restez vigilant, surtout lorsque vous faites l'objet d'une attention particulière.
• Un PC portable se vole facilement (à l’aéroport, dans un chambre d’hôtel…). Faites vous installer une partition chiffrée et stockez vos documents sensibles sur cette partition.
• Votre courrier électronique est une mine d’information pour vos concurrents. Il faut impérativement chiffrer vos échanges sensibles avec vos interlocuteurs en ayant recours à des mécanismes fiables. Rester notamment très prudent quant à l'usage des Blackberry.
• Désactivez l'interface Wi-Fi de votre portable tant que vous n’avez pas besoin du réseau. Utilisez le Wi-Fi uniquement quand c’est nécessaire et à condition de mettre en place la configuration et les outils indispensables (WPA / WPA2, pare-feu personnel et antivirus…).
• Verrouillez votre ordinateur quand vous le l’utilisez pas (utilisez un mot de passe robuste que personne ne pourra deviner, activez la fonction de verrouillage d’écran).
• Désactivez l'interface Bluetooth. Dans un rayon de 10 à 15 mètres, cette interface permet à un pirate de capturer SMS, carnets d'adresses avec noms, prénoms, noms des sociétés etc.
• Une clé USB se perd ou se vole facilement. Idéalement, ne stockez jamais aucun document essentiel, aucune information confidentielle sur une clé USB. Si malgré tout vous devez le faire, adoptez les précautions d’usage citées dans la catégorie « Sécurité clefs USB » sur ce même blog.
• Ne prêtez jamais votre clef USB.
• Ne jetez jamais à la poubelle un document susceptible de dévoiler une information importante, même déchiré. Détruisez-le systématiquement.
• Sécurisez votre réseau d’entreprise. Déployez les composants de sécurité nécessaires et prenez soin de faire appliquer une vraie politique de sécurité.
• Faites place nette après une réunion. Effacez les tableaux, emportez ou détruisez les feuillets remplis du paperboard, effacez les versions électroniques des documents installés sur le PC en libre service de la salle de réunion.
• En votre absence, fermez votre bureau à clé.

Peu d'utilisateurs savent que leur ordinateur, en apparence sans histoire, est placé en réalité sous contrôle d'une entité extérieure. Qu'entre deux téléchargements, l'ordinateur est utilisé à leur insu dans des campagnes d'attaques de grande envergure, lancées au profit d'organisations criminelles et mafieuses. Qu'en milieu professionnel, le poste situé au coeur du réseau d'entreprise – donc derrière les lignes de défense du pare-feu, est exploité pour infiltrer les systèmes centraux, espionner les faits et gestes, abreuver discrètement des sociétés spécialisées en intelligence économique – ou le concurrent – en documents ultra sensibles (secrets de fabrication, dossiers de spécification, résultats de recherche, stratégie commerciale, base clients, ...).

Aujourd'hui, les techniques pour se rendre maître d'un ordinateur à distance sont nombreuses, diversifiées et d'une efficacité telle que l'utilisateur (particulier ou professionnel) finit par se laisser piéger. Ignorant de surcroît les problèmes de sécurité, la compromission d'un système se fait dans la plupart des cas avec sa complicité bienveillante et involontaire.

J'ai écrit cet ouvrage afin justement de sensibiliser l'utilisateur à ces problèmes de sécurité informatique, de lui faire mieux comprendre les stratégies employées par les pirates lorsqu'ils attaquent un système, pour qu'il sache mieux les contrer. En évitant autant que possible le langage de l'informaticien, j'explique comment prévenir la perte de données importantes, déjouer les pièges tendus par les escrocs pour voler de l'argent sur Internet, expulser de sa machine les codes malveillants susceptibles d'altérer son fonctionnement ou de la transformer en un « PC Zombie » et, surtout, reconnaître les comportements dangereux afin de les éviter. Bien entendu, je propose une démarche pour définir une protection complète et efficace du poste de travail et du réseau local, qui passe bien sûr par l'installation des traditionnels pare-feu et antivirus, mais qui comporte bien d'autres mesures.

En outre, ce livre s'adresse aussi aux entreprises. Il décortique quelques grandes méthodes employées par les professionnels de l'intrusion pour infiltrer furtivement un système d'information d'entreprise au delà du pare-feu, ou pénétrer, en exploitant par exemple les faiblesses du Wi-Fi, le coeur d'une organisation en faisant fi des protections en place. Je montre tout au long de cet ouvrage comment les attaquants réussissent à injecter à distance un code malveillant sur un poste de travail professionnel, et comment ces « malwares » sont exploités, toujours à distance, pour activer le téléchargement et l'installation d'autres malwares, lancer des attaques visant à paralyser le réseau informatique, mettre hors d'usage certaines protections ou voler des documents importants. Ce livre aborde aussi le problème des enjeux stratégiques qui se cachent derrière un composant de sécurité et prodigue quelques conseils pour sélectionner les « bons » produits de sécurité en environnement sensible.

À l'heure où la montée de la cybercriminalité devient de plus en plus palpable, j'espère avoir ainsi contribué à démystifier un sujet encore mal appréhendé par le public, et apporté une modeste brique afin de rendre plus sûr postes de travail et réseaux informatiques.

« Sécuriser enfin son PC ». Patrick Legand.

Préface de Benjamin Arnault (Hervé Schauer Consultants).

À paraître courant décembre 2006 chez Eyrolles.

Sur ce lien, la table des matières de l'ouvrage.

La SSI (Sécurité des Systèmes d'Information) n'est pas seulement une branche technologique de l'informatique. C'est avant tout le théâtre d'une lutte souterraine où gouvernements et groupements d'industriels bataillent ferme pour le contrôle de l'information.

Mieux comprendre les enjeux actuels de l'intelligence économique et des produits de sécurité commence par découvrir les méthodes de nos Anciens pour préserver le secret des messages, ainsi que les moyens ahurissants mis en oeuvre par l'homme pour briser la sécurité d'un système adverse. Au delà du simple jeu consistant à briser un chiffre, il est étonnant de constater à quel point les cryptanalystes ont maintes fois pesé sur le cours de l'histoire. Transposé à une époque actuelle, sous la dépendance de plus en plus forte de logiciels informatiques non maîtrisés (dotés notamment d'innombrables trappes cachées ouvrant sur un contrôle généralisé du système à distance), cela donne à réfléchir.

Sur ce site, « Aspects de la cryptologie à travers l'histoire ». Ce document offre un rapide coup d'oeil sur quelques méthodes mises au point au cours des âges pour chiffrer l'information et briser les codes. À la lumière de faits historiques, il propose notamment une courte réflexion sur les « petites sécurités », si souvent préconisées dans les systèmes actuels.

Le lecteur désireux d'en savoir plus doit absolument lire l'excellent ouvrage de Simon Singh « Histoire des codes secrets » (JC Lattès / Le livre de poche). Extrêmement bien écrit, il offre un panorama complet – et très pédagogique – sur les grands événements marquants qui ont changé le cours de l'histoire.

Sur le portail de Wikipedia, de nombreux documents viennent compléter cet exposé.

Marre du spam? J'ai bien peur que nous ne soyions pas au bout de nos peines! voilà une industrie florissante. Les spammeurs ne se sont jamais si bien portés et leurs perspectives sont au beau fixe pour les quelques années à venir. Si vous cherchez un emploi...

D'accord, vous ne le voyez pas de cet avis. Ces empoisonneurs de boîtes aux lettres vous font perdre du temps, de la patience, et réussissent parfois à vous injecter une sale bête sur votre ordinateur. De plus, vous vous moquez éperduement de la camelotte qu'ils essaient de vous vendre.

Après avoir accepté l'idée de l'antivirus à 40 euros l'an, va-t-il encore falloir mettre la main à la poche et se doter d'un anti-spam digne de ce nom? Et puis flûte, quel produit choisir parmi cette cohorte de logiciels tous meilleurs les uns que les autres?

Rassurez vous, nous entrons dans une époque FOR-MI-DABLE, celle de l'utilisation croissante du logiciel libre. C'est à se demander si le logiciel libre ne deviendrait pas meilleur que les luxueux paquetages de certains éditeurs prestigieux. En tous cas si l'on en juge par les capacités de Thunderbird en matière de lutte anti-spam, honnêtement on peut se poser la question!

Pour ceux qui ne connaissent pas, Thunderbird est ZE client de messagerie open source. Léger, facile à installer, ergonomique, fonctionnellement riche, gratuit, disponible sur Windows, Mac ou Linux, il n'a pas grand chose à envier à ses concurrents. De plus, au moins en ce qui concerne les particuliers et les petites entreprises, il offre incontestablement l'une des meilleures réponses du marché en matière de protection contre le spam.

Si donc le spam vous pollue, n'achetez aucun produit. Plus d'hésitation possible: installez dès à présent Thunderbird et vous verrez ensuite. Vous trouverez à cette adresse une description assez précise sur la manière de configurer et de gérer l'anti-spam de Thunderbird.

Bonne installation!

Disons que la sécurité informatique est un peu mon métier (quoique !…).

… Enfin j’avais commencé à le croire, si l’on en juge par l’augmentation significative des invitations à dîner de mon entourage, où l’on réussit toujours sournoisement à m’asseoir devant un ordinateur pour tenter de solutionner des problèmes informatiques inimaginables (fichiers perdus, configurations endommagées, virus, intrusions / infiltrations, activités suspectes, systèmes corrompus, et j’en passe !…). Me demander cela, à moi ! Les inconscients !!

Toujours est-il que les expériences de terrain ont toutes quelque chose de remarquable. Ce qui m’amuse au cours de ces parties de cyber-apéritif-very-long-drinks (il vaut mieux en rire), c’est de prendre la mesure du décalage abyssal entre la joyeuse insouciance du particulier en matière de risque informatique, et la réalité de la menace actuelle. Comme on peut s’y attendre, cela se traduit chez la plupart des utilisateurs par un niveau de protection quasi nul. Bien sûr, on peut objecter que le préjudice pour un particulier n’est jamais bien méchant en cas de sinistre (une petite perte de temps pour déverminer ou réinstaller un système, quelques photos perdues, le budget des prochaines vacances volatilisé – de toutes manières il était déprimant !… Rien de bien grave).

Ce qui est en revanche plus préoccupant, c’est de constater que beaucoup d’entreprises ne sont pas loin de cette situation. A supposer qu’ils soient conscients du problème, les artisans, les commerçants et bon nombre de professions libérales n’ont pas les moyens, n’adoptent pas la démarche, ou ne voient pas l’intérêt, de faire appel à des sociétés spécialisées pour traiter les problèmes de sécurité.

Même les PME de 20 salariés ou plus sont très démunies face à ces problèmes. Car pendant sa journée normale de 14 heures, le chef d’entreprise ou le cadre dirigeant n’a d’autre souci que de faire vivre son entreprise et trouver des nouveaux contrats. Vous pensez bien que les problèmes de sécurité… il ne sait même pas que cela existe et, même s’il savait, son attention serait vite détournée vers des sujets qui lui tiennent plus à cœur. Et puis à 22h30, la journée enfin terminée, il redevient le particulier lambda, baignant dans la même torpeur insouciante que les amis qui m’invitent à dîner (d’ailleurs, il vient lui aussi de m’inviter à dîner. Décidément, c’est une affaire qui marche. A toutes fins utiles, sachez qu’en matière de Champagne, j’apprécie plutôt les Pinot Noir…).

C’est ici le drame (…pas le Champagne). Combien d’entreprises manipulent quotidiennement des données stratégiques les concernant ou concernant leurs propres clients ? La divulgation de données sensibles peut nuire gravement à la crédibilité d’une entreprise, porter atteinte à la réputation de ses clients et de ses fournisseurs, ou entamer sa compétitivité vis à vis des concurrents (surtout si l’auteur du vol est le concurrent lui même !). N’oublions pas qu’avec l’ouverture généralisée des moyens de communication et les technologies fantastiques qui inondent le marché en matière de mobilité, il suffit à l’espion (pardon ! à l’expert en intelligence économique) d’un claquement de doigts pour obtenir à distance un accès direct et complet à beaucoup de systèmes d’information d’entreprises plus ou moins bien – ou mal – protégées. Pire, la perte d’un système informatique tue parfois une entreprise en quelques jours, et ruine les emplois qu’elle avait créés. C’est grave, d’autant que le taux de vulnérabilité actuel face à une sophistication ahurissante des attaques est à peine croyable !

Pourtant, il n’est pas difficile d’ériger quelques remparts permettant, au moins, de prévenir les grosses catastrophes. Il n’existe aucune réponse simple et toute faite pour sécuriser un système. Cependant, prendre conscience de l’existence de certaines menaces, sensibiliser les utilisateurs aux comportements dangereux, proposer quelques solutions de sécurité fiables, simples et, très souvent, peu coûteuses, est parfois suffisant pour sauver l’essentiel.

C’est donc l’objectif de ce blog : offrir à l’utilisateur, particulier ou professionnel, les éléments et points de repères pour mieux comprendre les problèmes de piratage informatique et les risques auxquels il est confronté, et fournir des pistes simples pour trouver les solutions qui l’aideront à mitiger une grande partie de ce risque. J’ai publié « Sécuriser enfin son PC » (Décembre 2006, Eyrolles) dans cette optique, et j’espère que ce blog, qui complète cette démarche, contribuera à terme à rendre la sécurité informatique plus accessible à tous.

Bonne lecture (ou bon courage, c’est selon !)

P. Legand