Publié le 12-02-2009 à 16:17:12 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : Tous les logiciels antiphishing gratuits disponibles sur Internet

Un important cabinet d´avocat sauvé des pirates. L´accès au serveur informatique du cabinet n´avait pas été fermé.

Pouvons nous créer des programmes sans faille ? La réponse est non. C'est même un problème très connu en informatique, le problème de la raie, mis en évidence dans les années 40 par un mathématicien Alan Mathison Turing. Il conclura sur le fait l'on ne pourra jamais prouver qu'un programme sera zéro défaut.

69 ans plus tard, ce génie des mathématiques n'a jamais eu autant raison avec les réseaux qui nous relient. ZATAZ.COM vient d'aider un important cabinet d'avocats parisiens à éviter que ses données sensibles ne soient pris en main par d'éventuels curieux, et dans le pire des cas, des pirates informatiques. Comme pour notre affaire qui nous amène devant les tribunaux aujourd'hui [lire], les données du cabinet d'avocats étaient accessibles via un serveur FTP qui n'avait pas été protégé.

Un FTP en mode anonymous qui avait été recensé par un moteur de recherche. Un peu comme Google, les robots (spiders) de ce moteur de recherche se sont invités dans le serveur, comme ils le font dans des millions d'autres cas. Sauf que pour le cabinet d'avocats justement, il n'aurait jamais du pouvoir le faire. Le robot a permis de référencer les dossiers (répertoires) des hommes de loi car aucun mot de passe n'avait été mis en place. Il suffisait, ensuite, de taper n'importe quel mot de recherche dans le moteur pour accéder à ce FTP, mélangé à d'autres FTP, eux normalement ouverts pour télécharger les derniers mises à jour d'un logiciel, récuperer des photos, des musiques libres de droit, ...

Pour le cabinet d'avocats, c'est tout simplement une erreur de "gestion" du serveur qui a mis en danger les informations. Bug informatique ? Erreur humaine ? Nous ne le saurons jamais. L'important est que ce serveur soit corrigé.

Les deux conversations téléphoniques que nous avons pu avoir avec le patron de ce cabinet d'avocats et la société en charge de l'informatique a été tout simplement surnaturelle. "Mais comment est-ce possible ?" soulignait le praticien du droit, spécialise de surcroit des questions de l'Internet. Pour la société informatique, cette dernière nous contactera deux jours après notre alerte auprès de l'avocat en chef. "Que voulez-vous ?" (...) "Pourquoi faites vous ça ?" (...). Une bonne dizaine de question en à peine deux minutes... mais sans le moindre merci.

Les moteurs de recherche: un danger silencieux
Aucun doute possible, les moteurs de recherche sont de plus en plus pointus, technologiques, fouineurs. Plus besoin de se pencher sur des moteurs professionnels pour trouver des informations que nous aurions pu penser destinées à certaines populations (armée, gouvernement, ...). La raison de vie d'un moteur de recherche est de trouver des informations, de les regrouper sous formes de "sommaire". Normalement, des référencements de données licites, non sensibles. Pour cela, les moteurs de recherche utilisent des robots, des spiders qui surfent sur les réseaux, sans s'arrêter un seul instant. Sniffant, fouinant, ...

Même si ces petits programmes sont suffisamment malins pour trouver, référencer, voir classer, ils ne sont pas suffisamment intelligents pour différencier un "Virement-historique.txt" contenant des données bancaires et un "Virement-historique.txt"dédié à des cours de voiles sur la gestion d'un gréement. Le site Spider Simulator vous donnera une idée du fonctionnement de ces spiders.

Des données sensibles, ou non, qui peuvent apparaitre avec la simple utilisation de mots clés. Imaginez l'internaute tapant "Virement historique" et se retrouvant nez à nez avec des données bancaires en lieu et place d'une explication sur la gestion d'un voilier lors d'une sortie de port.

Pouvons nous créer des programmes sans faille ? La réponse est non. Si en plus l'erreur humaine rentre dans la problématique, nous n'avons pas fini de nous ronger les ongles. Alors un conseil, vérifiez biens que les portes censées être fermées le soient biens !

Tweet

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Faille sur le site Wikileaks

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

La Ville de Chambéry corrige une fuite de données

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Prudence aux liens vers Darty et ELLE

Des vulnérabilités ont été découvertes sur les sites RueDuCommerce, Darty et du journal ELLE. Prudence aux liens exterieurs.

Quand des Anonymous tapent sur des Anonymous, ça mousse

INFO ZATAZ - Des Anonymous reprochent à d´autres Anonymous d'avoir piraté des sites appartenant à la mouvance d'extrême droite. Pour les punir, leurs identités sont diffusées sur la toile.

Les informations confidentielles de 541 policiers Français diffusées par les Anonymous

Les Anonymous diffusent sur Internet l´identités et des informations confidentielles de plusieurs centaines de policiers Français.

Faille pour Myspace

Info ZATAZ - Une vulnérabilité de type Cross-Site Scripting vise le portail communautaire MySpace.

Multiples failles pour le site économique Forbes

INFO ZATAZ - Plusieurs vulnérabilités touchent le site économique américain Forbes. Les lecteurs peuvent être touchés directement.

La ville de Béthune corrige une fuite de données

INFO ZATAZ - Une méga fuite de données permettait d´accéder à une imposante base de données appartenant à la Mairie de Béthune.

Réagissez à ce contenu