HACK MOAR

Et voila, les medias, politiques et academiques tiennent une nouvelle histoire, et ils ne vont pas la lacher avant un moment. Le Monde nous reparle donc des Hackers Chinois. Et le probleme prend de l'ampleur puisqu'on - enfin quand je dis "on" je parle de la France ici - devrait bientot subir des cyber attaques massives (ca, ca releve de la "competence" de Gadi Evron - LoLoL).

Tres chers tous, je suis extremement navre de vous decevoir, mais il n'y a pas grand chose qui a change depuis ces dernieres annees, et lorsque je lis qu'une chercheuse "tire la sonnette d'alarme", ca me donne envie de pleurer.

Retour en arriere, 2001 - 2002. Annees fastes en compromissions puisque l'on assistait a la naissance de Code Red ('Hacked by Chinese' ca vous rappelle quelque chose? Visiblement tout le monde a la memoire courte dans ces milieux), Nimda. Ca c'etait la partie visible de l'iceberg. Au dessous, exploits CVS, sadmind pour Solaris, exploits CRC32 pour le daemon SSH, et autres apache-nosejob, apache-scalp et exploits Unix de ces messieurs de TESO, Gobbles et consorts. Certes toutes ces failles ont fini dans le "domaine public" mais pendant quelques mois voire annees, elles ont permi a certaines personnes de s'introduire dans les machines les plus importantes de la planete, et accessoirement de backdoorer les sources d'un grand nombre de daemons Unix.

Quelle difference avec aujourd'hui? Aucune. Seulement aujourd'hui le bruit ambiant est moindre, il n'y a plus de gros vers tels que Blaster ou Sasser compromettant 90% des machines d'un reseau en une journee. On peut donc s'apercevoir plus aisement qu'une machine s'est fait compromettre par un biais annexe. Les 0days ont toujours existe, et existeront encore un bon moment, que leur usage releve d'une organisation gouvernementale ou d'un "petit genie" ne change pas grand chose, la portee de l'exploit reste la meme et ses consequences identiques. Le "C'est extrêmement sophistiqué, cela a franchi toutes les protections", ca existait aussi en 2001, et les protections ne sont pas meilleures en 2007...

Il est dommage que la France soit aussi "au fond" dans ce domaine. Rien a change depuis mon passage au CERT RENATER (passage de 4 ans quand meme), seule une minuscule minorite de personnes comprennent ce qui se passe reellement et les enjeux associes, et curieusement (ou pas), il n'y a ni politique, ni journaliste dans le lot.

Allez, autre exemple de "c'est extremement sophistique, cela a franchi toutes les protections", l'affaire Media Defender, dont les details figurent ICI. Ou comment annihiler tout le business model d'une boite en publiant 6 mois de mails. Dans le jargon de la securite informatique, ca s'appelle "avoir acces a un compte de messagerie" (je reviendrais sur l'aspect VoIP une autre fois). C'est tellement 1992AD tout cela...