Reportage

 

La CNIL visitée sans même le savoir

Publié le 07-11-2005 dans le thème HaideD

Pays : France - Auteur : Damien Bancal


Pub : Jouez à Seafight sur Bigpoint.fr et devenez le roi de l´océan!

Note des lecteurs: 2.3/5

En mars 2005, un internaute découvre comment accéder aux secrets de la CNIL, l'entité qui a pour mission essentielle de protéger la vie privée et les libertés individuelles ou publiques. Cerise sur le gâteau, ce visiteur va installer un passage secret dans le serveur de la Commission Nationale Informatique et Libertés. Enquête ! Par Damien Bancal

En se promenant sur le réseau des réseaux, Carros, nous l'appellerons ainsi, est tombé sur une étrange page Internet. Ce suisse, originaire de Bâle, a d'abord cru à une blague "Dans un forum, je lisais les commentaires d'internautes au sujet du système d'installation Typo3. L'un d'eux donnait l'url de la CNIL, pour exemple, au sujet de cet outil d'administration (http://lists.netfielders.de/pipermail/typo3france/2004-November/000126.html). Je m'y suis rendu. Je souhaitais comprendre comment fonctionnait l'outil Typo3 et j'ai donc suivi l'url du lien donné dans un forum. Et là, une popup s'est affichée. Dans cette fenêtre, ouverte à la vue de tous, un message en anglais donnant le mot de passe par défaut. Le texte précisait bien que le mot de passe par défaut était la première chose à changer", explique t'il.




Un précieux sésame qui n'a pas été changé et qui aurait pu permettre à un pirate d'accéder aux informations informatiques du serveur. "Je suis un professionnel, cela fait bientôt 16 ans que je suis dans l'informatique, une telle erreur, je n'aurais jamais cru cela possible". Pour s'assurer de ne pas tomber sur une blague de la CNIL Carros va donc utiliser l'option proposée par cette page d'installation. "J'ai donc injecté du script PHP dans le fichier de configuration et j'ai pu prendre le contrôle du serveur !" Carros a souhaité contacter la Commission Nationale Informatique et Libertés, Je suis tombé sur une dame tellement hautaine et désagréable que j'ai abandonné".





Heureusement, Carros est un cyber-citoyen, il va nous informer de sa découverte afin que nous alertions la CNIL. Après trois semaines, six courriers électroniques et quatre appels téléphoniques nous parviendrons à joindre un responsable du service informatique à la Commission. "Oui nous avons bien reçu votre courrier. Il n'y a aucun problème, nos sécurités sont activées" dira notre interlocuteur sur un ton particulièrement suffisant et désagréable. Nous avons tenté de lui expliquer que tout n'était pas aussi tranquille, que notre lecteur avait eu accès à un autre login et mot de passe, celui de la base de données. Même réaction : "cela est impossible". Nous avons donc pris un troisième exemple. Le fait de pouvoir télécharger le code source complet du site de la CNIL, dans une archive, via une adresse de type www.cnil.fr/site.zip. Le risque ? Un pirate, amateur de phishing ou de désinformation, peut réaliser un faux site de la CNIL et piéger les internautes. "Je ne vois rien, de toute façon personne ne peut agir de l'extérieur" va conclure notre sympathique correspondant. Zataz Journal n'étant pas du genre à apprécier ce genre de comportement, nous avons donc contacté le concepteur du site de la CNIL, la société Smile. Dans l'heure a suivi notre courrier, nous avons eu une réponse de la direction technique : "Il est vrai que le contenu de la page citée fait peur ! (…) il serait préférable d'interdire l'url au niveau du firewall lui-même, ce que nous recommanderons".




Quelques semaine plus tard, aprés l'intervnetion de Sébastien Huyghes, député dans le Nord de la France, l'ensemble des problémes découverts sur le site ont été corrigés.

La technologie de mise à jour utilisée par la CNIL est baptisée Typo3. Elle permet une gestion éditoriale dynamique, via le langage de programmation PHP, des quelques 1 500 pages de contenus et des services périphériques comme la newsletter, etc. Le PHP est connu aussi pour être aujourd'hui le nouveau jouet des pirates. Souvenez-vous de la découverte d'une backdoor PHP, nous en parlions dans ZATAZ Journal Papier, installée sur des serveurs à l'insu des propriétaires. Aujourd'hui il existe des versions encore plus efficaces de ces portes cachées.




Protéger votre administration
L'automatisation des tâches effectuées sur un site Internet passe aujourd'hui par une page d'administration. Des espaces de gestion qui sont encore trop souvent placés dans des répertoires baptisés /Admin/ ou encore /admin/, exemple http://www.zataz.com/admin/. Un conseil, donnez un nom plus exotique à ce répertoire. N'hésitez pas, non plus, à placer plusieurs mots de passe. D'abord pour votre admin, mais aussi, pourquoi pas, via un Htaccess. Mettre un nom compliqué pour le dossier du genre /wowaditque/, de doubler cette protection par une page d'identification et, dans les cas les plus extrêmes, d'y instaurer un contrôle Ip. Une série de restrictions qui détournera n'importe quel curieux de votre précieux centre de contrôle.

 

Conseiller cet article Réagir RSS ZATAZ Partager cet article sur Wikio Partager cet article sur Scoopeo Digger cet article ! Partager cet article avec mes amis sur Facebook ! Partager cet article sur Fuzz Partager cet article sur del.icio.us Envoyer cet article sur Blogmarks

Derniers contenus

Vulnérabilité critique dans MessengerFX

Un client très populaire pour Windows Live Messenger, MessengerFX, laisse la possibilité à un pirate d'accéder à la liste des contacts d'un utilisateur légitime.

L’OTAN s'arme face aux cyberguerriers

Le Centre de formation à la défense contre des attaques cybernétiques sur Internet va ouvrir en Estonie.

Network Products Guide DefensePro

Radware reçoit le prix de l’innovation produit 2008 du Network Products Guide DefensePro, lauréat dans la catégorie de la sécurité comportementale.

Scene 1, bobine 2. Deconnexion de pirate Internet, action

La première déconnexion pour piratage de musique sur Internet vient de toucher un pirate informatique pas comme les autres. Un gouvernement !

Veni, Vidi, Wistee

Nouvelle attaque informatique de type hameçonnage visant les clients de Paypal. Wistee de nouveau exploité par des pirates.

NDS jugé non coupable de piratage informatique

Le jugement sur l'affaire du piratage du système de chiffrement des chaînes de télévision à péage se termine par le blanchiment du principal accusé, NDS.

Le SP3 a des ratés... bis !

Les problèmes du Service Pack 3 dédié à Windows XP n'a pas fini de pertuber les utilisateurs. Aujourd'hui, la fermeture intempestive de certains ordinateurs.

L'Eee PC 900 moins cher avec XP que sous Linux

Originalité marketing. L'ultra PC d'ASUS, l'Eee PC 900, sera vendu moins cher avec Windows XP qu'avec Linux.

Sur le même thème : HaideD

URL à pirate pour Flixster Facebook

L'espace FaceBook du portail communautaire Flixster pourrait servir à piéger les internautes. Explication.

La Caisse d'Epargne corrige sa faille

Un probléme informatique affichait des informations sensibles sur un des sites de la banque Caisse d'Epargne.

SOS Racisme sauvé des pirates

Une faille de sécurité découverte sur le serveur Internet de SOS Racisme ouvrait l'accès aux petits secrets de l'association.

Un site de rencontre sauvé des pirates informatiques

Le site de rencontres LovinSide a eu chaud. Un problème de sécurité a pu être corrigé grâce à l'aide d'un cyber-citoyen.

Goolag, la vache folle n'est pas morte

Les hackers du cDc, CULT OF THE DEAD COW, viennent de mettre en ligne GoolagScan, un scanner de site Internet à la sauce Google.

SkyRecon identifie une nouvelle vulnérabilité dans Windows

SkyRecon est à l’origine de la découverte d’une faille du système Active Directory récemment corrigée par Microsoft.

Entrevue a eu chaud aux fesses !

Le site Internet du magazine Entrevue a eu chaud ! Un accès à l'administration du site ouvert aux pirates. L'ensemble des informations pouvaient être modifiées.

Faille sur LaTribune.fr

Attention, prudence ! Un pirate pourrait exploiter le site du journal La Tribune afin de lancer une attaque de type phishing.

Vos réactions ( 0 )

Réagissez à ce contenu

Réagir

Vous devez vous identifier pour ajouter un commentaire.

Cliquer ici pour vous inscrire.

Derniers communiqués de presse

Network Products Guide DefensePro

Radware reçoit le prix de l’innovation produit 2008 du Network Products Guide DefensePro, lauréat dans la catégorie de la sécurité comportementale.

Universal signe chez Deezer

Deezer annonce la signature d'un accord portant sur 35 pays avec le géant Universal Music.

Yahoo! et McAfee collaborent pour sécuriser la navigation sur le web

La nouvelle fonction SearchScan de Yahoo! Search signale les sites dangereux avant de cliquer sur le lien.

Vie privée : l'industrie du film pirate le droit européen

La Quadrature du Net s'inquiète d'amendements dangereux pour la protection de la vie privée déposés par les rapporteurs de la commission Culture du Parlement Européen.

Stars-buzz.com

Le Top 5 des tops models les mieux payées au monde

La Brésilienne Gisele Bündchen reste au top. D’après le journal économique Forbes, la belle a touché 23 millions d’euros pour 2007.   L’Allemande Heidi Klum est seconde et pourtant loin derriére avec 9 millions d’euros. Kate Moss (34 ans) a touché 5 millions d’euros. L’autre Brésilienne de ce top, Adriana Lima, a perçu 4,5 millions d’euros.   Cinquiéme et derniére de [...]

Des Peoples dans vos oreilles, ce soir sur Contact

Vous aimez les peoples ? Vous aimez la bonne zic ? Vous aimez délirer ? Chaque jeudi soir, de 18 heures à 19h30, dans l’émission d’Happy et Fax (Radio Contact), retrouver les news fraiches de Stars-Buzz. Un avant goût, ci-dessous ! Happy et Fax en train de torturer votre aimable serviteur !

Oups ! cachez donc ce ?. que je ne saurai voir

La sublime Elsa Zylberstein nous a refait le coup de Sophie Marceau sur les marches du festival de Cannes. Un petit bout de tissu qui vole et le tour est joué pour les fans. Sacré bretelle !

Tokio Hotel sur votre peau

Le Groupe culte des adolescents, qui doit reprendre la route des concert, lance une ligne de vêtements “TRè’Choli”. Les quatre Allemands à la sauce Manga-Gothique ont signé un contrat avec a marque de vêtements JBC. Toute une collection (22.99 euros à 30 euros), fille et garçon, de tee-shirts et débardeurs Tokio Hotel baptisée “übercool”. Disponible [...]

Syndication RSS

nabaztag

  • http://www.wikio.fr
  • netvibes
  • NewsGator Online
  • Rojo
  • Bloglines
  • Google

ZATAZ mobile et PDA