Le blog de John Jean

Partant du postulat qu’aucun réseau n’est fiable, je suis souvent pris de crise de paranoïa. En effet, comment savoir si le Wifi sur lequel je suis connecté à l’hôtel ou dans un café n’est pas victime de sniff d’un petit bidouilleur du coin. Au final, ce schéma n’est pas si paranoïaque que cela, le bidouilleur en question peut tout a fait avoir cracké la clé wep de la connexion et sniffer tout ce qui passe sur le réseau à mon insu.

Je ferai prochainement un billet sur les attaques de type Man in The Middle, en attendant voici pour la théorie sur l’ARP poisoning.

[Lire la suite de l'article...]

La plupart des nouveaux utilisateurs de systèmes Gnu/Linux partent du postulat qu’utiliser un Linux est bien plus sûr qu’un Windows, et que de fait, il n’est pas forcément nécessaire d’avoir un firewall, ou encore de passer de temps à paramétrer son système. Ils ont évidement tort, considérer Linux comme plus secure que Windows est une erreur, et ne pas paramétrer son OS en est une autre. Lors des audits de sécurité, c’est souvent une machine end-user du parc qui fait défaut. Il existe pourtant un module qui fournit à Linux l’intégralité des fonctions de pare-feu: Netfilter. Il intercepte et manipule les paquets IP avant et après le routage. Pour configurer Netfilter en espace utilisateur, on utilise Iptables. Nous devons souvent proposer aux administrateurs et utilisateurs une configuration d’un firewall que nous estimons saine post-audit. Ce billet reprend la plupart des informations que nous mettons en avant dans le rapport.

[Lire la suite de l'article...]

Alors là y’a pas à dire, j’ai rarement fait mieux comme titre racoleur ! J’aurai du préciser qu’il faut un accès physique à la machine (en tout cas à son lecteur CD) mais ça aurait fait un titre trop long. Vous avez parfois besoin d’accéder à une machine sans en connaitre le mot de passe: vous avez oublié votre mot de passe, vieille machine ressortie du grenier, maintenance, audit de sécurité, et pour certain d’entre vous, bidouilles que je ne veux pas connaitre :) Quand j’avais besoin de tripoter un Windows XP sans connaitre le password administrateur j’utilisais un Live CD de OphCrack qui permet de cracker les hashs LM et NTLM (donc ceux de windows) à l’aide de Rainbow Tables, ou simplement en méthode bruteforce. Grosso-modo, il load les hashs de la SAM au boot et donc en extrait les passwords selon la méthode que vous avez défini.

Tout ça c’est révolu grâce à un développeur fou qui vient de release un programme qui permet de se logger sur l’ensemble de ces OS sans en connaitre le mot de passe administrateur (ou root pour le coup):

• Windows Server 2008 Standart SP2
• Windows 7
• Windows Vista Business SP0
• Windows Vista Ultimate SP1 / SP0
• Windows Server 2003 Enterprise
• Windows XP SP1 / SP2 / SP3
• Gentoo 2.6.24
• Ubuntu 2.6.24
• Debian 2.6.18-6
• Fedora 2.6.25.9-76

Le mieux c’est que cette liste n’est pas exhaustive, cela correspond simplement aux OS qu’il a testé.

[Lire la suite de l'article...]

La plupart des développeurs utilisent généralement le MD5 pour stocker les données sensibles de leurs utilisateurs (mot de passe, parfois numéro de carte bleu, et ainsi de suite…). Ces derniers ont tendance à considérer cette méthode de cryptage comme fiable alors qu’elle ne l’est pas. En effet, dès 1996, des chercheurs en sécurité ont mis en exergue la possibilité de créer des collisions. En 2004, les collisions complètes sont découvertes et le MD5 n’est dès lors plus considéré comme fiable d’un point de vue purement cryptographique. Cependant, sa facilité d’implémentation avec PHP à l’aide de md5(); et la méconnaissance des développeurs fait que cette méthode est encore très largement rependue au détriment de fonctions de hachage plus récentes et donc plus robustes comme SHA-256.

Suite à ces découvertes, plusieurs logiciels ont vu le jour afin de permettre de bruteforcer cette méthode de cryptage (et pas uniquement celle-ci). Je suis souvent amené à devoir cracker ces chaines pour montrer au décideur pressé que le travail d’obfuscation des données par son développeur ou sysadmin n’est en réalité pas vraiment fiable. « Oui vous avez réussi à accéder à ma base de donnée, et alors ? Les données de nos clients sont cryptées» . Pour montrer au décideur qu’il fait fausse route, je me dois donc souvent de « décrypter»  une ou plusieurs informations.

[Lire la suite de l'article...]

Après un mois d’inactivité blogesque du à mon travail, je fais un petit saut pour vous raconter comment  empêcher d’autres webmasters de vous piquer votre bande passante. Le hotlinking c’est quoi ? Simple: Vous avez un site Internet et hébergez des images que vous avez créés ou trouvées pour illustrer vos propos. Google image passe faire un tour par là, et hop, l’ensemble de vos images, créations, captures d’écran, logos se retrouvent sur le moteur. Jusqu’ici tout va bien, sauf que si vous êtes convenablement positionné sur un mot clé, une ribambelle de bloggers fainéants vont utiliser votre image pour illustrer leur billet. Qu’ils utilisent votre image sans vous en avertir, c’est une chose, mais qu’en plus au lieu de l’héberger, ils la pompent directement depuis votre serveur, c’en est une autre. Le hotlinking c’est ca, le fait d’utiliser des images hébergées sur un autre site que celui où elles sont affichées (site internet, forum, etc).

[Lire la suite de l'article...]

… Et si possible avec une gestion des accès utilisateurs cohérente. Voici une question qui revient souvent et pour laquelle certains webmasters sont un peu perdus. En effet, pour des raisons de sécurité évidente, Mysql n’autorise par défaut pas les connexions distantes. Ce billet s’adresse donc aux personnes ayant plusieurs machines / serveurs à disposition et souhaitant rendre Mysql contactable à distance sur le 3306. Le but est donc d’avoir un serveur Mysql central, sur lequel plusieurs autres serveurs pourront venir chercher les informations dont ils ont besoin. Plusieurs raisons: méthode de sécurisation (!), authentification unifiée, besoin d’un serveur robuste pour un site, etc…

[Lire la suite de l'article...]

Toujours lors de nos audits de sécurité, une faille qui revient très régulièrement est la mauvaise configuration d’une protection par le biais d’un htaccess. La plupart des administrateurs ou webmasters fouinent sur le net afin de créer leur .htaccess, et de fait, se retrouvent avec des choses dont ils n’ont pas réellement besoin, ou en tout cas qu’ils n’ont pas tout à fait compris. Bon, je pense que mon teasing a fait son petit effet, y’a plus qu’à cliquer sur le lien suivant pour lire la suite.

[Lire la suite de l'article...]

Pour les audits de sécurité informatique, je suis souvent amené à cracker des clés WEP. La distribution communément utilisée pour cela est BackTrack. Tout d’abord parce que c’est un LiveCD, mais également parce que les softs nécessaires à l’audit WiFi sont déjà compilés. Mon nouveau laptop dispose d’une carte Wifi Intel Corporation PRO/Wireless 3945ABG. J’ai googlé pour voir si un endroit recensait les méthodes d’attaques avec cette carte, et je n’ai pas trouvé de résultat pertinent. J’ai donc entrepris de rédiger un HowTo afin que cela puisse servir aux personnes moins expertes, en tout cas moins patientes et qui entreprendraient de tester la sécurité de leur réseau.

[Lire la suite de l'article...]

Une nouvelle mise à jour de Wordpress (2.7), il ne m’en aura pas fallu plus pour que je sois re-re-re-retenté par l’aventure blogesque.  Je vous encourage vivement à mettre à jour votre actuel Wordpress, pleins de nouveautés interessantes font leur apparition dans cette version (Interface admin revu et corrigée, suivi des commentaires par thread, Possibilité de mettre à jour les plugins en un clic, possibilité de répondre aux commentaires…etc).

[Lire la suite de l'article...]