Cyberwarfare

[collectionneur]

Les données devront suivre le même cheminement que les infos de l'internet ''normal'', donc pourront toujours êtres détournée. 

[g4lly]

Les données devront suivre le même cheminement que les infos de l'internet ''normal'', donc pourront toujours êtres détournée. 

C'est pas bien grave ... si un elle ne sont pas exploitable ... deux elle ne sont pas reinjectable sans etre detectée.

[collectionneur]

Inauguration, aux États-Unis, du premier centre unifié de cyber sécurité par la sécurité intérieure :

http://www.lemonde.fr/technologies/article/2009/11/02/inauguration-aux-etats-unis-du-premier-centre-unifie-de-cyber-securite_1261535_651865.html

Dépenses de cybersécurité prévu par l'administration US :

2009 - $7.9 billion

2010 - $8.3 billion

2011 - $9 billion

2012 - $9.8 billion

2013 - $10.7 billion

2014 - $11.7 billion  :O

Article d'origine : http://fcw.com/articles/2009/11/02/week-cybersecurity-infographic.aspx?sc_lang=en

N'est ce pas un excessif en terme de budget, il ne s'agit ici que d'ordinateurs et de programmes, non de porte avions nucléaires

[g4lly]

http://www.france24.com/fr/20091128-phone-mobile-teint-peut-trahir-secrets-dune-r-union-mais-il-y-a-une-parade

Un téléphone mobile éteint peut trahir les secrets d'une réunion, mais il y a une parade..

AFP - Un téléphone mobile éteint, posé sur la table d'une réunion, peut être actionné à distance pour écouter ce qui se dit. Pour rendre "sourds" ces appareils communicants, une parade a été trouvée, selon Alain Hurst, de la Direction des applications militaires du CEA.

"Les téléphones portables actuels disposent quasiment tous d'un mode d'écoute discrète activable par un code informatique que les opérateurs de téléphonie peuvent envoyer sans que le possesseur du portable s'en rende compte", explique à l'AFP ce responsable de la sécurité informatique pour le pôle Défense du CEA.

La plupart des téléphones modernes "sont activables à distance", notamment "pour qu'on puisse mettre les portables sur écoute" sur demande d'un juge, une fonctionnalité qui peut aussi servir à des "utilisateurs malveillants", ajoute-t-il.

Donc, "il y a un risque qu'un téléphone portable soit utilisé comme micro-espion, un peu n'importe où", précise cet expert.

Même éteint, un téléphone mobile "continue à être actif", la connexion n'est pas interrompue. Pour l'éteindre vraiment, il faut enlever la batterie, lors des "réunions sensibles", dit-il.

Pour protéger la confidentialité de réunions, dans le domaine militaire, mais aussi des secrets industriels, il est actuellement recommandé d'enlever les batteries ou de laisser le téléphone à l'extérieur de la salles. Des petits coffres pour ranger les mobiles sont mis à la disposition des participants.

Mais ces mesures de sécurité posent un problème, car un responsable en réunion peut avoir besoin d'être joignable. De plus, enlever sa batterie oblige à refaire ensuite des réglages d'horloge et autres paramètres.

D'où la nécessité de trouver une autre parade au risque d'écoutes. L'objectif est, selon M. Hurst, de faire "quelque chose de facilement utilisable pour que les gens acceptent mieux une contrainte de sécurité".

"Comme on ne peut pas couper le micro et couper l'alimentation d'un téléphone portable facilement, l'idée c'est d'empêcher les ondes sonores d'arriver au micro, en l'enfermant dans une boîte atténuant le son", poursuit-il.

On peut aussi brouiller le son ou le remplacer par autre chose, une musique par exemple, ajoute-t-il, précisant que le CEA a déjà déposé un brevet protégeant son concept qui s'inspire des casques anti-bruits.

Des contacts ont été pris avec un industriel pour développer un prototype.

L'idée est d'associer mousse ou autre matériau d'isolation acoustique, en enfermant le téléphone dans une "pochette pratique", un étui compact muni d'une lampe qui pourrait s'allumer pour signer l'arrivée d'un appel.

Le propriétaire du mobile pourrait alors sortir de la salle de réunions pour prendre son appel.

"Au début on avait imaginé de faire des pochettes empêchant les ondes électromagnétique de passer, donc le téléphone portable d'émettre", mais certains mobiles seraient capables d'enregistrer le message et le réemettre plus tard. "Donc, il vaut mieux couper le son que couper la communication", résume M. Hurst.

Le prix du boîtier assourdissant "ne devrait pas être trop onéreux", proche de celui des "petits coffres" actuels, soit autour de cent euros, selon M. Hurst qui espère que le projet aboutira "le plus rapidement possible".

[g4lly]

http://www.ttu.fr/francais/Articles/Industrie%20%26%20materiels/index.html

Depuis quelques jours, le logiciel d’investigation de systèmes informatiques COFEE, développé par Microsoft, est apparu sur différents réseaux Internet d’échanges de fichiers. COFEE (Computer Online Forensic Evidence Extractor) permet aux forces de police ainsi qu’aux services de renseignement d’extraire rapidement les données inscrites, voire celles effacées sur les disques durs des ordinateurs sous Windows.

Déjà utilisé par une vingtaine de pays, l’outil était, jusqu’à présent, livré gratuitement aux forces de sécurité par Microsoft. En avril 2009, Microsoft et Interpol ont signé un accord de coopération permettant à cette dernière de servir de principal distributeur auprès de ses Etats membres. Le Center for Cyber Crime Investigations de l’University College de Dublin assure la formation au programme en collaboration avec Interpol. Aux Etats-Unis, le logiciel était fourni aux forces de police via le National White Collar Crime Center, structure fédérale en charge du soutien en matière d’enquête sur les crimes et les délits informatiques et économiques.

Présenté sous la forme d’un fichier auto-exécutable sur une clé USB, COFEE permet de disposer de quelque 150 commandes pour récupérer des données, attaquer le décryptage des mots de passe et explorer les données éventuellement effacées sur une machine. Selon Microsoft, le système permet de réduire le délai de collecte de données sur un ordinateur de quatre heures à moins de vingt minutes. COFEE a été mis au point par Anthony Fung, un ex-policier de Hongkong désormais employé par la Microsoft Internet Safety Enforcement Team.

L’outil est disséqué sur plusieurs forums informatiques, où s’échangent des évaluations du logiciel et des mesures de protection permettant de réduire la vulnérabilité des machines, en s’appuyant sur des outils de cryptographie et de partition des disques durs. Certains “clans” de hackers préconisent, pour les plus prudents, la mise en place d'un dispositif de “machines IED”, qui, en cas d’arrêt brutal, redémarre sur une partition piégée, ou l’usage d'un système hardware permettant un déclenchement d’urgence et silencieux de l’effacement du disque dur. Plusieurs spécialistes informatiques, plus critiques, soulignent que des fonctions similaires à COFEE étaient déjà réalisables par le biais de solutions Linux, qui permettent, en outre, de récupérer des données dans des environnements systèmes non-Windows

[collectionneur]

Pour le téléphone, le mettre sous un cloche à fromage, cela ne suffit pas  :lol:

[TELCO]

" Chercheur à l'université de Virginie aux Etats-Unis, Karsten Nohl prend la relève d'un projet lancé il y a quelques années : créer une table arc-en-ciel (1) permettant d'accélérer le déchiffrement d'une conversation téléphonique cryptée avec l'algorithme A5/1 : autrement dit, rendre beaucoup plus aisée l'écoute des communications classiques affrétées via les téléphones mobiles de deuxième génération, que nous utilisons tous les jours. "

J'ai lu l'article, mais même s'ils arrivent à casser le l'algo. ils ont besoin d'accèder en temps réèl à l'interface air au même moment que l'utilisateur ?

[TELCO]

@g4lly au sujet de l'article sur les portables qui peuvent servir de micro espion.

Là j'ai du mal...à partir du moment où le GSM n'est plus raccordé au réseau, il n'est pas à ma connaissance possible de le piloter à distance ( il faudra m'expliquer par quel canal - flux ).

Seule possibilité, réussir à introduire un script malveillant en amont et lui faire executer des manips à l'insu de son propriétaire ( accès réseau / transmission de données / SMS spamming...).

A part cela, l'article relève de la Si Fi ( pour le moment...).

@+

[g4lly]

@g4lly au sujet de l'article sur les portables qui peuvent servir de micro espion.

Là j'ai du mal...à partir du moment où le GSM n'est plus raccordé au réseau, il n'est pas à ma connaissance possible de le piloter à distance ( il faudra m'expliquer par quel canal - flux ).

Seule possibilité, réussir à introduire un script malveillant en amont et lui faire executer des manips à l'insu de son propriétaire ( accès réseau / transmission de données / SMS spamming...).

A part cela, l'article relève de la Si Fi ( pour le moment...).

@+

Ton GSM s'inscrit sur le réseau a chaque fois que tu passe pas loin d'un relai, c'est ce qui te permet de recevoir un appel. De la l'opérateur sait sur quel relai tu captes. A ce moment il peut envoyer un message a ton portable via les code sim qui vont bien pour y télécharger des mise a jour par exemple. Mise a jour des numéro de service mise a jour des acces 3G et plein d'autre truc. En gros l'opérateur peu prendre la main sur ton téléphone a distance. Partant de là il peu aussi probablement si y a une backdoor dans le firmware mettre le téléphone en mode "babyphone" ...

Le probleme c'est le firmware du téléphone et la complicité de l'opérateur. Si tu reflash ton téléphone avec un firmware "safe" et que tu le fais pas hacké ... normalement on ne doit pas pouvoir t'écouter en dehors de tes appels. Par contre la localisation ca c'est tout le temps... sauf quand bébé a plus assez de jus pour émettre le signal de roaming.

[TELCO]

Ok pour ton explication,  cependant l'article explique qu'au départ le mobile est éteint ( hors tension ). C'est là que leur explication ne tiens plus la route , à part si le mobile a été vérolé par un script qui va rallumer le device à l'insu ( de son plein gré ) du propriétaire...

De plus la mise à jour de loc elle, ne se fait pas au passage de relais, mais quand tu bascules d'un switch à un autre ( entre autre ).

A fortiori, mobile éteint, tout le monde est aveugle y compris l'opérateur.

[g4lly]

Ok pour ton explication,  cependant l'article explique qu'au départ le mobile est éteint ( hors tension ). C'est là que leur explication ne tiens plus la route , à part si le mobile a été vérolé par un script qui va rallumer le device à l'insu ( de son plein gré ) du propriétaire...

De plus la mise à jour de loc elle, ne se fait pas au passage de relais, mais quand tu bascules d'un switch à un autre ( entre autre ).

A fortiori, mobile éteint, tout le monde est aveugle y compris l'opérateur.

Eteint c'est pas hors tension ... c'est en veille "profonde". Y a toujours de la mémoire et les chips qui vont bien qui sont alimenté pour sortir de la veille - touche, horloge etc. - Partant de la y a toujours moyen de se faire hacké son GSM avec la complicité de l'opérateur, qui colle un rootkit dans le firmware rootkit qui bosse pendant la "veille" par exemple en simulant la veille et en étant en mode écoute. Ca se trouve le rootkit en question est d'office sur pas mal de firmware, suffit de l'activer via les codes opérateurs.

Pour la localisation y a la solution de récupérer les infos de geoloc du GPS embarqué ... la aussi c'est possible sans l'action de l'utilisateur de le faire automatiquement. Si le GPS est indiponible l'inscription aux relais donne une bonne idée de la position.

C'est pas pour rien que meme la petite délinquance utilise 15 portables différent 25 puce, flash ses GSM, et vire les batteries depuis des années... y en a qui on du tomber comme ca.

[Chronos]

Meuh. Mon portable ne me fait pas de problèmes d'horloge et de calendrier quand il tombe et que la batteries part valdinguer^^.

'fin un coffre avec une couche de plomb (non conductrice) ou du caoutchouc devrait suffire normalement non ? Pourquoi s'embêter a créer plus complexe qui sera exploitable et retournable par d'éventuels "hostiles"/délinquants etc ?

[TELCO]

A supposer que l'on possède un portable type palm, Iphone...

Ok sur le principe d'abriter dans le soft un script malveillant.

Ensuite encore faut-il casser la SIM et son algo A5 de chiffrement, puis autoriser la SIM à s'attacher au réseau.

Il reste à accéder au centre d'authentification AUC ( pour un hacker ) de l'opérateur et casser ses algo de chiffrement personnels qui authentifient l'abonné qui lui dialogue avec le VLR ( RAND, SRES, Kc ).

Une fois passée toutes ces étapes reste à ouvrir un circuit voix...

Bref, avec mon vieux Nokia 5110 y sont pas prêt de m'écouter ronfler la nuit  :lol:  :lol:

[Chris.]

Salut,

un article sur les futurs téléphones portables sécurisés qui vont équiper les forces armées françaises et certaines hautes personnalités:

éléphonie - Sarkozy se fait expliquer le Teorem de Thales

publié le 06/01/2010 à 17:02, Reuters

CHOLET, Maine-et-Loire, 6 janvier (Reuters) - Le président Nicolas Sarkozy a pu tenir en main mercredi un prototype du téléphone sécurisé et top secret qui équipera d'ici un an les forces armées et les "hautes personnalités" françaises.

A l'occasion de la présentation de ses voeux aux forces économiques, le chef de l'Etat a visité une usine du groupe Thales spécialisée dans les communications militaires sécurisées, qui a conçu et fabriquera cet équipement, à Cholet, dans le Maine-et-Loire.

Cet appareil du nom de Teorem, qui a été présenté au chef de l'Etat, sera doté d'une technologie de cryptage qui n'a aujourd'hui d'équivalent qu'aux Etats-Unis, font valoir les dirigeants du groupe français.

"Grâce à un tout nouveau composant cryptographique développé en partenariat avec la Direction générale de l'armement, Teorem constitue une véritable rupture avec les solutions actuellement en service", déclare Thales dans un communiqué.

L'appareil n'est pas plus gros que les téléphones mobiles grand public les plus compacts, dont il a l'aspect extérieur.

D'une utilisation aussi simple, il permettra à ses utilisateurs de communiquer entre eux en toute sécurité sur tous les réseaux de communication standards du monde, mobiles et fixes, soulignent les dirigeants de Thales.

Ceux-ci restent cependant très discrets sur le programme Teorem, dont ils refusent, par exemple, de dire le coût.

Nicolas Sarkozy a pu visiter, avec sa délégation, la chaîne de fabrication où les dernières études sont en cours et où le futur appareil subit actuellement des tests de qualification.

Mais les journalistes, les photographes et les équipes de télévision n'ont pas été autorisés à pénétrer dans cette partie de l'usine.

Selon Thales, 20.000 appareils ont été commandés pour les forces armées, les hautes personnalités et les services gouvernementaux français. Ils seront livrés à partir du début de 2011 et jusqu'en 2013.

Les dirigeants du groupe n'excluent pas que ce téléphone sécurisé puisse également être vendu à des pays de l'Otan mais sous réserve d'autorisations spéciales et pas nécessairement avec la même configuration.

Le programme Teorem, auquel a participé une PME de Savoie, a été lancé il y a environ trois ans et a mobilisé une centaine d'ingénieurs.

Il représente 5% à 10% de l'activité de l'usine de Cholet, qui compte 900 salariés, dont 45% d'ingénieurs, et qui est spécialisée dans quatre domaines : la guerre électronique et le renseignement (Thales a notamment conçu et fabriqué les stations actuellement déployées en Afghanistan par les forces françaises) ; les radiocommunications militaires sécurisées, pour lesquelles le groupe est un leader mondial ; les communications par satellite et les systèmes de sécurisation des réseaux.

Thales a ainsi conçu et mis en oeuvre le système de communications sécurisées de l'Otan en Afghanistan. (Emmanuel Jarry, édité par Yves Clarisse)

http://www.aerocontact.com/actualite_aeronautique_spatiale/ac-telephonie---sarkozy-se-fait-expliquer-le-teorem-de-thales~09380.html

D'ailleurs question: c'est prévu juste pour téléphoner ou ça aura un peu les mêmes fonctions qu'un Blackberry (ce qui pourrait être utile...)

PS: j'ai hésité à mettre dans technologie...

[g4lly]

Trois modele de clef USB sécurisé Kingston ... cassé

http://pro.01net.com/editorial/510420/des-cles-usb-plus-vraiment-securisees/

rois modèles de clés USB sécurisées du fabriquant Kingston ont vu leur chiffrement cassé par un « utilisateur doué », selon les dires de la compagnie. En ligne sur son site, Kingston indique le nom des clés concernées sur les neuf existantes et invite sa clientèle à se rapprocher du service support pour lui retourner les exemplaires désormais défectueux.

Les clés touchées sont les modèles :

    * DataTraveler BlackBox (DTBB)

    * DataTraveler Secure - Privacy Edition (DTSP)

    * DataTraveler Elite - Privacy Edition (DTEP)

A noter qu'il ne s'agit pas d'un cas isolé puisque les revendeurs SanDisk et Verbatim reconnaissent souffrir respectivement du même mal.

[TELCO]

Question aux spécialistes :

Qu'en est-il quand le Mobile A crypté, bourré de technologie dernier cri appelle un abonné distant qui lui n'utilise pas le même type de mobile ???

On pourra toujours écouter aux portes de l'abonné distant ?

Quid de nos partenaires commerciaux type Vodafone / Orascom / KB impuls et autres qui eux acheminent les flux ( voix / data ), et qui maitrisent à fortiori ces flux ( sondes / sniffeurs...) ?

Quid des carriers internationaux type Belgacom / Marconi / China Telecom qui possèdent les " tuyaux " qui acheminent les appels entre opérateurs mobiles et fixes ?

[g4lly]

Question aux spécialistes :

Qu'en est-il quand le Mobile A crypté, bourré de technologie dernier cri appelle un abonné distant qui lui n'utilise pas le même type de mobile ???

On pourra toujours écouter aux portes de l'abonné distant ?

La communication est non cryptée ... forcément. Néammoins ce type d'appareil dispose de deux mode en général, un mode sûr qui ne permet que de fonctionner en liaison avec des terminaux de meme niveau de sécurité, et un mode générique. Souvent les deux modes sont séparé en mémoire, de maniere a ce qu'il n'y ait pas de passerelle de l'un a l'autre.

Pour que ce genre de terminaux est un sens il faut établir un réseau d'interlocuteur équipé de la même techno et diffuser les clef de cryptage par voie un minimum sécurisé - propagation et signature des clefs publiques qui permettent de décoder l'appel entrant -

Quid de nos partenaires commerciaux type Vodafone / Orascom / KB impuls et autres qui eux acheminent les flux ( voix / data ), et qui maitrisent à fortiori ces flux ( sondes / sniffeurs...) ?

Quid des carriers internationaux type Belgacom / Marconi / China Telecom qui possèdent les " tuyaux " qui acheminent les appels entre opérateurs mobiles et fixes ?

Ils ne voient que le flux transport, qui ne sert que de conteneur au flux crypté dedans. S'ils sniffent, ils sniffent du contenu crypté, souvent très long a décrypté, suffisamment long en générale pour que l'info soit obsolète. S'ils modifient ... ils corrompent la signature et donc alerte les interlocuteur.

[TELCO]

Thanks a lot  ;)

[g4lly]

La nouvelle LOPPSI 2 le retour, va permettre a la "police" de mixer les fichier, d'introduire des troyen et au keylogger. C'est solution technique pouvant être largement externalisée.

Quelques éléments ici...

http://www.lemonde.fr/technologies/article/2010/02/09/les-points-cles-du-projet-de-loi-loppsi_1302866_651865.html

[g4lly]

http://www.wired.com/dangerroom/2010/02/how-to-smuggle-secret-information-with-voip/

La Voip porte ouverte a des transfert de donnée discret :)

In the 5th Century BCE, the Greek tyrant Histiaeus devised a clever new way to send hidden messages. He shaved the head of one of his servants, tattooed the missive on his head, and waited for his hair to grow back before sending the messenger out. When the courier arrive, his head was shaved and the message was read, giving information about upcoming Persian attacks.

Though Histiaeus may not have known as much, he was one of the early practitioners of steganography, the practice of hiding one message inside another, innocent-looking message. Later on, secret inks were used, and Morse code messages were woven into a sweater was worn by a courier. Now, thanks to VoIP and applications like Skype, steganography is undergoing another revolution, IEEE Spectrum reports.

As communication turned to bits and bytes rather than paper and ink, steganography followed suit. Binary codes could be hidden in an image file, or an mp3 audio file, and then decoded using simple software. But this practice had limits: the file’s size would grow with the messages embedded, and long messages would make files so large they’d raise a red flag.

Internet Protocol, commonly known as IP, governs the way information is sent around the Web. IP breaks the information into tiny parts, known as packets, and then routes them all to the desired destination. When the packets arrive with the receiver, they’re out of order—IP puts the information back together, and delivers it the final step. A few standards were changed, and Voice Over Internet Protocol, VoIP, became the de facto way of facilitating voice and video.

VoIP uses a series of protocols to essentially create an open, unmediated link between two computers. VOIP applications also provide a way to make sure the packets are ordered quickly and correctly — and deal with latencies in the network. Information flows more quickly and fluidly. And that’s a goldmine for anyone trying to send hidden messages.

There’s only the smallest possible time for interception to happen since all data is stored locally rather than redirected through a central server. Plus, since so much data is being sent back and forth, large messages can be sent without causing any alarm. Unlike an image or video, which can be downloaded and analyzed at anytime, there’s no way to get at and store files sent with VoIP.

IEEE Spectrum found three different ways that messages could be encrypted and sent via VoIP, with little or no possibility for detection or interception. By delaying specific packets, corrupting packets, or changing the identification information of packets, users can sort out their message, which is then easily decoded by freely available software. In the course of a Skype call that only lasts a few minutes, massive amounts of data can be sent—without any detection or permanent record.

Steganography has positive implications – concealing sources for journalists, talking without government censorship – but it’s also a potential hiding point for terrorists. A 2001 USA Today article described fake eBay listings in which routinely altered pictures of a sewing machine contained malevolent cargo.“ Which side VoIP helps more, remains to be seen.

[collectionneur]

Sur le blog ''pour convaincre'', on fait part d'une nouvelle intéressante pour tout les possesseurs de voitures neuves ''technologiquement évolué'' :

http://pourconvaincre.blogspot.com/2010/03/cyberattaque-contre-votre-voiture.html

Un employé viré d'une concession au Texas à ''piraté'' les voitures vendu par celles ci et à causé certains ''désagréments''  :O

[Mani]

Des pirates informatiques basés en Chine volent des documents sensibles en Inde

PEKIN (AP) — Des pirates informatiques basés en Chine ont volé des informations relatives à la sécurité nationale en Inde, ainsi que 1.500 mails provenant des bureaux du dalaï lama, et d'autres documents sensibles, ont annoncé mardi des chercheurs du "Citizen Lab" de l'Université de Toronto.

Ces derniers ont dit avoir réussi à observer l'opération des hackers pendant près de huit mois, et à remonter jusqu'à des serveurs basés en Chine, même s'ils n'ont pas de preuves d'une éventuelle implication des autorités chinoises.

Depuis le début de l'année, des enquêteurs spécialistes en sécurité informatique ont à plusieurs reprises fait état d'attaques, sur Google ou d'autres sociétés, venues de Chine.

Selon les universitaires, ces hackers ont réussi à voler des informations dans des ordinateurs de bureaux diplomatiques indiens à Kaboul, Moscou ou ailleurs, récupérant des documents "confidentiels", dont un sur la sécurité dans le nord-est indien, à la frontière chinoise.

Des informations personnelles, données bancaires, et documents juridiques ont également été pillés, selon ce rapport, qui dit ne pas connaître l'identité ou la motivation des pirates de ce "réseau de l'ombre".

Selon le directeur du "Citizen Lab" de l'université de Toronto, Rob Deibert, le gouvernement indien a été averti en février.

Les services du dalaï lama, le chef spirituel du bouddhisme tibétain, qui vit en exil en Inde, ont dit avoir été également informés, et travailler à sécuriser ses systèmes informatiques avec les chercheurs canadiens. AP

nc/v

[g4lly]

http://bugbrother.blog.lemonde.fr/2010/05/14/55-000-webmails-piratables-sur-les-sites-gouvfr/

55 000 webmails piratables sur les sites .gouv.fr

On imagine mal la NSA, ou la CIA, proposer aux internautes de les contacter grâce à une adresse email de type @laposte.net ou @wanadoo.com. C’est pourtant ce que proposent la Direction du renseignement militaire (DRM), qui utilise deux adresses @yahoo.fr, et la Direction de la Protection et de la Sécurité de la Défense (DPSD), qui utilise une adresse @laposte.net et une autre @wanadoo.fr. Je m’en étais étonné en 2005, dans un article consacré à guerre de l’information que se livrent les grandes puissances mondiales en terme d’intelligence économique, d’espionnage industriel, et de guerre électronique.

La DPSD et la DRM sont loin d’êtres les seules entités de l’armée dans ce cas. Citons, ainsi, l’Ecole militaire, le Commandement Air des Systèmes de Surveillance, d’Information et de Communication, le service de santé des armées, le responsable de la communication de l’armée de terre sur le quart sud-est de la France, la direction des ressources humaines de l’armée de l’air et la direction du personnel militaire de l’armée de l’air, un administrateur civil de la Délégation aux affaires stratégiques, placée sous l’autorité directe du ministre de la Défense et chargée du conseil géopolitique, stratégique et prospectif…

Les mails de Sarah Palin et de députés piratées

Non content de déléguer la gestion de leurs boîtes aux lettres électroniques à des sociétés privées dont certaines sont contrôlées par des entreprises américaines, ces militaires prennent aussi le risque, tout bête, de se voir pirater leurs adresses e-mails. Car le problème, avec ces webmails, c’est qu’il suffit de cliquer sur le lien “J’ai oublié mon mot de passe” pour se voir proposer de répondre à une ou deux questions du type “Où avez-vous rencontré votre conjoint ?” pour réinitialiser le mot de passe, et donc prendre le contrôle de la boîte aux lettres. Ce qui est arrivé, l’an passé, à Sarah Palin, leader du parti républicain aux Etats-Unis. Sa question supposée secrète était “où avez-vous rencontré votre mari?” La réponse était sur le web. Deux députés français se sont également récemment fait ouvrir leurs boîte aux lettres virtuelles de cette manière.

L’attaque contre Twitter, menée par le désormais célèbre Hacker Croll, se fondait également sur une faille de sécurité des webmails. En l’espèce, un employé de Twitter utilisait Gmail, qui proposait d’envoyer le mot de passe oublié à une adresse e-mail secondaire. Cette dernière, hébergée chez hotmail, était désactivée. Croll n’a eu qu’à la réactiver pour récupérer le mot de passe…

Une étude a montré que 20% des internautes pouvaient deviner les réponses aux questions de sécurité de leurs amis. Au Texas, des chercheurs se sont aperçus que 30% des noms de jeune fille des internautes pouvaient être obtenus en consultant des archives publiques.

Une équipe britannique a établi qu’un cracker avait à peu près 1 chance sur 80 de trouver la réponse aux questions de sécurité de type “Quel est le nom de jeune fille de votre mère ?” en se basant uniquement sur les noms les plus courants. En Corée par exemple, où la concentration des noms est la plus forte, vous avez 40% de chances que le nom en question soit Kim, Park ou Lee.

Des centaines de milliers de webmails vulnérables

Pour mieux mesurer l’ampleur du problème, j’ai proposé à Nicolas Kayser-Bril, “datajournaliste” à Owni.fr, de développer une petite application, que nous avons intitulé mail.icio.us, afin de voir combien d’adresses e-mails vulnérables sont disponibles sur les sites des principales administrations. Et force est de constater qu’elles sont légions.

On dénombre ainsi près de 55 000 webmails piratables sur l’ensemble des sites en .gouv.fr, des dizaines de milliers d’associations sur celui du Journal Officiel, des centaines de mairies sur service-public.fr, mais également, et c’est plus gênant, des centaines de contacts dans les ambassades et d’adresses d’expatriés sur le site du ministère des Affaires étrangères, de militaires ou prestataires sur celui de la défense nationale, des dizaines d’experts automobiles sur celui de la sécurité routière, de professionnels de l’éducation nationale, une trentaine de députés…

Aux Etats-Unis, on trouve ainsi plus de 750 000 webmails sur l’ensemble des sites en .gov, dont plus de 25 000 sur les serveurs de l’armée américaine, un millier sur ceux de la NASA, la National Science Foundation ou la Chambre des représentants, et près de 100 sur le site du FBI… La situation est encore plus critique dans les pays où les fonctionnaires n’ont pas d’autre choix que d’utiliser des webmails, par manque d’infrastructure locale. En Afrique, la plupart des ministres utilisent des boîtes mail hébergées par Yahoo. Et sur les 40 contacts de l’Agence Internationale à l’Energie Atomique en Afrique, par exemple, pas moins de 21 utilisent Yahoo.

Mailicious

Ces données ont été récupérées à partir de listes des administrations aux Etats-Unis, en France et en Allemagne. Nous avons ensuite utilisé l’API de Google Search pour obtenir une estimation du nombre de pages contenant une adresse webmail @hotmail.fr (et .com), @yahoo.fr (et .com), @laposte.net ou @voila.fr, les plus “simples” à pirater. Cette estimation n’est pas extrêmement fiable, ce qui explique les différences de résultats entre nos données et celles que vous pourrez trouver en faisant une recherche vous-même. Par ailleurs, le chiffre compte des pages, qui peuvent contenir plusieurs adresses e-mail.

Regardez vous-même combien d’adresses de webmail sont disponibles sur les sites des administrations en utilisant l’application ci-dessous. Il suffit d’entrer le nom de l’institution, vous pourrez ensuite aller vérifier les adresses e-mails vulnérables via les moteurs de recherche Google, Yahoo et Bing.

Alors que le Pentagone se prépare sérieusement à la “cyber-guerre“, tout comme la gendarmerie française, il est frappant de constater des failles béantes dans la sécurité des administrations nationales. Le gouvernement dépense des dizaines de millier d’euros pour assurer la sécurité de ses communications privées (voir chez Thales, par exemple). L’utilité de ces défenses est sérieusement diminuée si un assaillant peut avoir accès à de nombreuses boîtes e-mails au sein de l’administration.

Une fois à l’intérieur d’une boîte mail, un cracker peut facilement gagner la confiance des collègues ou des supérieurs en se faisant passer pour sa victime. Il est alors plus facile de leur envoyer des logiciels malveillants en pièces jointes. Une bonne partie de l’opération Aurora, lors de laquelle Google a été attaqué en Chine, s’appuyait sur ce type de stratégie (voir cette présentation).

Les solutions sont très faciles à implémenter. Il suffit d’utiliser des webmails plus sécurisée ou d’utiliser les solutions mises à disposition par l’administration (les adresses de type prenom.nom@ministere.gouv.fr). Rajoutez à ça un bon mot de passe et vos communications en ligne deviennent beaucoup, beaucoup plus sûres. Ca n’empêchera pas un assaillant déterminé d’avoir accès à vos données. Mais ça lui compliquera la tâche.

Contactées, la DRM et la DPSD n’ont pas voulu répondre à nos questions.

A suivre, une interview d’Eric Filiol, directeur d’un laboratoire de virologie et de cryptologie qu’il avait créé du temps où il était lieutenant-colonel de l’armée française, et un manuel de contre-espionnage informatique, pour apprendre à se protéger. En attendant, je vous invite aussi à tester la robustesse de vos mots de passe… :

[g4lly]

Lors du 16e parlements des enfants, 577 enfants ont voté grâce au vote électronique de l'Assemblée Nationale ... et le truc est tombé en panne, comme si c'était la premiere fois que 577 personnes - députés normalement - votaient en même temps dans l'hémicycle 

http://bugbrother.blog.lemonde.fr/2010/06/07/vote-electronique-les-enfants-font-tomber-le-parlement/

...

Après un premier cafouillage (30 s’étaient trompés, 6 avaient voté “CONTRE“), le système de vote électronique du Parlement est tombé : les enfants votent semble-t-il “trop vite“…

Les “électroniciens” de l’Assemblée n’ont semble-t-il rien pu y faire, le président a donc appelé les enfants à voter à main levée.

[Rob1]

Mais lol  :lol: