A propos des augmentations ridicules dans les grands groupes (mais pas que)

Je fais l'écho de mon post précédent (qui a 8 mois déjà). Je suis sorti du comité de revue des consultants avec la nausée. Malgré nos résultats, malgré notre discipline sous le feu des projecteurs, malgré la pénurie de pentesters... mon équipe a la même part que toutes les autres. Mon constat est encore plus consternant que celui de l'année précédente. 2,2% à partager dans l'équipe...

OK, pas la peine de chipoter, je n'aurai rien d'autre. Mon meilleur a posé sa dem, c'est bien le seul avantage que j'y vois. Les 3 nouveaux n'auront rien. Il me reste 5 gars et les 2,2% de 9 personnes. J'ai 2 gars au dessus du lot qui mérité qu'on les aligne sur le marché (en gros 10% d'augmentation par an).
Allons-y dans un premier temps pour leur mettre 10, un 3ième m'a demandé 5% sinon il va voir ailleurs. Et les 2 derniers les 2,2%. Mais voilà, ça dépasse. Au final j'en ai 2 à 7%, un à 2% et 2 à 1% alors qu'ils sont bons.

Alors je fais comment moi pour garder mon équipe dans la durée sur un marché hyper tendu et agressif ?

Quand la sécurité ne vaut rien.

Petite réflexion passagère sur la valeur de la sécurité.

Il m'est arrivé régulièrement de voir des phases d'avant vente inclure sur les fonds des prestataires candidats des travaux identiques à certaines prestations de sécurité : état des lieux, benchmark, refonte d'architecture...
Ou encore l'équipe de l'intégrateur faisant la recette elle-même sans la moindre impartialité, sans se remettre en cause et surtout sans tester des scénarios non prévus (évidemment).
J'ai entendu un récent retour de FireEye déconseillant de faire des tests indépendants sur leur plateforme car les résultats sont rarement concluants (ce qui est malheureusement fort probable). Ils détectent les APT inconnues, mais à base d'éléments connus (par eux seuls).

Un autre exemple est Google qui partage les recherches et les découvertes de ses chercheurs à tout le monde. Ou encore leur nouveau scanner de vulnérabilités.

La sécurité a un coût, mais peu de valeur...

Que choisir ? (manque d'information et obsolescence programmée)

En ce moment je cherche à acheter <insérer un nom de bidule ici>. Déjà je ne sais pas si ça va vraiment m'être utile, mais je finis par me décider... Bon je vais éviter de prendre de la merde, mais parfois ça peut s'avérer être un bon choix. J'ai entendu des maçons polonais qui achetaient des perceuses à 15€ et qui en étaient contents. Elles restaient rentables même en lâchant au bout de 6 mois 1 an. En fait plus tu prends de la qualité bien chère, plus tu ... Ah en fait non, la durée de garantie est identique...

Bref, moi c'est un <bidule> de l'ordre de 400€ qui m'intéresse, pour un usage de l'ordre de 3 ou 4 fois par an en espérant que l'engin tienne 10 à 15 ans, mais sans garantie... J'hésite quasiment à en prendre un en location. J'en ai vu à 15€ la journée, mais il faut aller le chercher et il sera assez vieux et pas dans un état très terrible.

Ok ! Continuons dans notre choix, existe 5 marques connues de <bidule>. 2 sont vraiment pour les pro et hors de prix. Une marque est reconnue sur le marché, mais profite un peu trop de sa réputation pour utiliser des matériaux trop fragiles... Et les 2 autres n'apportent pas d'innovation et ne sont pas non plus réputés pour la qualité.

Allons, voir les commentaires. Pas mal de commentaires de gens satisfaits et d'autres déçus en général par le rapport qualité prix. Sauf que le prix baisse régulièrement et le commentaire n'indique pas le prix d'achat... Les commentaires sont quasi-tous rédigés après la première utilisation... et quand on trouve des commentaires sur une utilisation plus régulière sur des forums, le produit n'est plus au catalogue.

Pour l'anecdote, j'avais acheté une plaque de cuisson sur Internet. Après réception j'ai reçu un mail pour laisser mon avis. Quelques mois après j'ai eu un problème de feu qui s'éteignait tout seul. Un réparateur est venu et a tordu la sonde thermique. 1 mois après ça recommence et le nouveau réparateur a retiré un bouton de réglage pour accéder à des valves et a réglé avec la vraie méthode la sonde... J'ai alors voulu poster mon avis et je me suis rendu compte que le lien n'était valable qu'un mois et qu'il n'y a pas d'autre moyen pour poster son avis.

Les fabricants ne publient aucune statistique sur les retours et sur les types de panne. Il n'est pas souvent possible d'acheter des pièces de rechange. En fait on peut tomber très facilement sur des cas d'obsolescence programmée. J'ai presque parfois tendance à croire qu'avant on ne cherchait pas à diminuer le coût de fabrication et limitant la quantité de matière à l'épaisseur nécessaire pour que le matériel fonctionne durant le temps de garantie.

Bref, il est très difficile de choisir quoique de soit de nos jours (même si ce n'était pas mieux avant). Très peu de fabricants ne diffusent des statistiques de retour matériel et la transparence est loin d'être au rendez-vous...

A propos d'orange

Disclaimer : Je ne cherche pas à faire de la diffamation, ce qui va suivre reflète ce que je pense vraiment.

Update : J'avais raté ce discours de Stéphane Richard : "A chaque attaque, nous progressons". Au moins il y a du positif :-)

A l'annonce d'un deuxième piratage de données à caractère personnel depuis le début de l'année chez orange, je ne peux m'empêcher de réfléchir à cette situation (allez savoir pourquoi). Ma piste principale est qu'il n'y a pas vraiment plus de piratage qu'avant, mais qu'on en parle plus (Why Has There Been So Much Hacking Lately? Or Is It Just Reported More? A Freakonomics Quorum). En effet orange étant opérateur Internet, il est soumis à l'obligation de notifier les personnes victimes d'un vol de données (legifrance).

Il est évident qu'orange a une surface d'attaque immense entre les jeux éphémères, les sites promotionnels, les différents portails, les applications pour les utilisateurs et les applications internes. De plus les jeux et sites promotionnels sont généralement créés par des startups qui n'ont aucune idée des bonnes pratiques de codage. Côté portail, on peut repérer des grosses pointures comme Laurent BUTTI qui maitrise son sujet (vous trouverez de nombreux articles dans MISC (où il publie à titre personnel ?) ou dans les archives de l'ossir). Mais force est de constater qu'il travaille aussi bien en boite blanche qu'en boite noire... Si vous voulez lire plein de discussion d'expert sécurité d'orange, leur blog est pas mal.

D'un autre côté orange veut devenir un leader en sécurité informatique et pour cela a racheté Atheos, mais j'ai peur que ça tourne comme pour AQL (racheté en 2007) dont le CESTI a depuis été fermé (pas vraiment de message officiel, mais AQL ou orange ne figure plus sur le site de l'ANSSI).

Mais il ne faut pas confondre centre de cout et centre de profit. Ces sociétés ont été rachetées pour vendre du service directement aux clients d'orange business service et non pour servir l'interne. A noter qu'on trouve un entretien de Nicolas Furgé (responsable des offres sécurité chez OBS) qui noie le poisson en mélangeant les experts qui sont sur des projets internes et ceux qui travaillent pour les clients. Et hop ! OBS devient ainsi la "plus importante société de services européenne dans le marché de la cyberdéfense, renforçant son positionnement d’acteur majeur dans ce domaine sur le plan mondial".

Pour l'anecdote, après le piratage d'un jeu à 2 balles d'orange en 2009 (ou 2010, je ne trouve pas d'archive), quelques pentesters d'AQL ont voulu faire du proactif et ont failli se faire licencier pour tentative d'intrusion... De quoi mettre la bonne ambiance et donner envie de contribuer à sa société.

Pour faire un peu dans l'analyse, je dirai qu'orange a une surface d'attaque colossale et qu'on n'entend pas parler de tous les piratages et surtout que  les piratages ne sont pas tous détectés... La sécurité au sein d'orange n'est pas en avance sur les autres sociétés et les process internes sont vieux jeu. orange va conserver Athéos telle quelle et vendre du service, pourtant 130 experts supplémentaires ne seraient pas inutiles pour améliorer la sécurité interne d'orange. Je m'attends à davantage de piratages massifs tels que peuvent en subir des Google, Microsoft et Facebook et j'espère qu'orange mette en place une "vraie" dynamique sécurité en interne (à différencier d'un service minimum pour réparer la casse).
Petite idée pour la fin : Ca serait beau qu'orange soit une des premières société française à mettre en place un bug bounty (viadeo en a déjà un).



Quelques archives de piratages d'orange :
http://www.ehackingnews.com/2012/10/news-nullcrew-hacked-orange-uk.html
http://www.dslreports.com/forum/r22439596-Orange-French-Portal-Hacked-250-000-accounts-compromised

Ou encore le fail du logiel HADOPI et de la plateforme web qui allait avec :
http://sid.rstack.org/blog/index.php/413-hadopi-et-orange-unis-pour-le-pire
J'avais souvenir que Sid disait (à l'instar d'EADS) qu'il y avait des experts reconnus chez orange, mais que bien souvenant dans les grands groupes, ils ne sont pas consultés sur des projets sur lesquels ils auraient pu apporter leur précieuse expertise.

Review: The practice of network security monitoring

Je suis un fidèle lecteur de Richard Bejtlich et j'avais beaucoup aimé The art of network security monitoring. C'est pourquoi j'ai sauté sur son nouveau bouquin The practice of network security monitoring.

Pour tout vous dire, je l'ai reçu samedi et fini ce soir. Finalement autant parce que j'en attendais beaucoup que parce qu'il est creux. En effet une des idées que je défends et que Richard défend également est qu'il vaut mieux connaître des techniques et des stratégies que de savoir utiliser bêtement des outils.

Et son livre en est presque l'exemple opposé. Je vais un peu détailler les chapitres. (Le sommaire complet du livre est ici.)

Partie 1 (50 pages) : 
Chapitre 1 : On en retient qu'il n'y a pas de défense parfaite et qu'il faut monitorer son réseau pour savoir ce que fait le pirate, comment il est rentré et ce qu'il a volé. La sécurité est un cercle d'amélioration continu...

Chapitre 2 :  Le NAT c'est pas cool il faut sniffer là où ce n'est pas NATé donc derrière le firewall sur chaque patte interne alors que sans NAT on aurait pu sniffer simplement sur la patte externe.

Partie 2 (60 pages) :
J'installe Security Onion en local ou en distribué (juste des options à cocher lors de l'installation).

Partie 3 (70 pages) :
Très légère introduction pleine de capture d'écran aux outils suivants : tcpdump, dumpcap et tshark, Argus et Ra, Wireshark, Xplico, NetworkMiner, Squil, Squert, Snorby, ELSA.
Vous en apprendrez largement autant en cherchant chaque nom sur Google.

Partie 4 (120 pages) :
On commence enfin à voir de la valeur ajoutée.
Chapitre 9 : En 20 pages on a plein de définitions et le fonctionnement d'un CIRT. La finalité n'est pas de remonter des alertes, mais de traiter les alertes. C'est intéressant mais beaucoup trop court à mon goût.

Chapitre 10 : Compromission d'un serveur avec scan du réseau interne. Bonne démonstration de l'utilisation de Squil, Tshark et Bro. En plus macro on voit comment suivre les sessions pour identifier les rebonds et tracer les actions du pirate.

Chapitre 11 : Compromission d'un poste utilisateur et rebond sur un autre poste de travail. Belle démonstration de ELSA et Bro

Chapitre 12 : Comment dumper automatiquement les exe des communications réseau et envoyer manuellement les hash à virustotal.
Utilisation du module ATP1 (proof of concept) qui permet de rechercher des IOC (indicators of compromise) dans les différentes traces (DNS, certificats, MD5 de fichiers).
Utilisation de la MHR (malware hash registry) de la Team Cymru. qui fait un peu comme VirusTotal mais via des requêtes DNS.

Chapitre 13 : A l'instar du NAT, les proxy font sauter la correspondance des adresses IP. Bref il vaut mieux avoir accès aux logs du proxy.
Explication du mécanisme d'Offloading qui consiste à laisser la carte réseau calculer les checksums des paquets, ce qui fait que les tcpdump générés par le système d'exploitation sont à 0x0000. Ces fichiers sont parfois ignorés par les outils d'analyse dont Bro.

Conclusion : Ca va être compliqué avec le Cloud ?!

Bref, je n'ai trouvé que le chapitre 4 à mon goût, mais du coup c'est vraiment trop court pour assouvir ma faim. Je ne peux recommander ce livre qu'aux débutants qui auraient la volonté d'installer Security Onion, mais pas aux personnes qui connaissent le sujet et qui auraient voulu y découvrir de nouvelles techniques.

Update 22/08/13 : Un post sur le blog pauldotcom confirme exactement mon avis, mais en étant plus gentil.

Menace sur nos libertés (spoiler)

Ca y est j'ai fini de lire le bouquin de Julian Assange. J'en ferai un moins grand éloge que Korben (il file un lien torrent pour le télécharger).

Le gros point négatif de ce livre est le fait qu'il s'agisse d'une retranscription d'une conversation. Ce n'est malgré tout pas si décousu que ça, mais en fait les auteurs ont eu le droit d'ajouter des précisions disséminées un peu partout dans le livre, mais rassemblées à la fin. Il faut quasiment lire le livre avec 2 marques pages pour aller de la référence au commentaire. Personnellement j'ai vite abandonné...


Bref je n'arrive pas à savoir si le but était déjà d'avance de faire un livre comme un groupe de rock sortirait un live-album, mais si vous voulez un avant-goût vous pouvez lire le même genre de dialogue entre Assange et Schmidt (Google).

Passons au contenu. Il y a un côté assez élitiste dans le discours (moi, je ne parle pas de ce genre de chose avec mes amis). Je ne suis pas du tout littéraire, mais ça me fait penser au siècle des Lumières lors d'une rencontre entre Voltaire et Rousseau. Or donc les 4 amis échangent leurs expériences personnelles en matière de privation de liberté et font le point sur 3 libertés fondamentales : liberté de mouvement, liberté de pensée (et de communiquer) et liberté d'interagir économiquement.

Par exemple Wikileaks avait été coupé par Amazon suite à une demande de l'Etat. Puis le financement Paypal avait lui aussi été bloqué pour empêcher Assange de monter une nouvelle infrastructure. Jacob Appelbaum indique pour son cas avoir subit des contrôles trop poussés au passage des frontières, parfois dans le but de l'empêcher de donner des conférences sur Tor et parfois juste pour le harcèlement.

Jérémie Zimmermann (de la Quadrature du Net) parle de son combat contre Hollywood qui essaie d'imposer des lois au parlement européen alors que personne n'a rien à y gagner !

Ce livre est un fourre-tout dans lequel on explique que pour la modique somme de 10 millions d'euros on peut enregistrer toutes les communications des citoyens d'un Etat pour une année et que beaucoup d'Etat y songe et feront le tri plus tard dans ce qui est utile et ce qui ne l'est pas. On parle de Bitcoin comme moyen économique libre de toute institution.


Ce que j'en retiens, c'est d'abord que les Etats font de plus en plus de surveillance et que pour les Etats-Unis en particulier ils ont le poids pour faire céder des acteurs "indépendants" comme Facebook, Google, Twitter, Paypal, Mastercard, ... Et ensuite que des lobbies comme Hollywood ou Mastercard/Visa (ou encore Google?) arrivent à dicter certaines règles aux Etats...

Bref aucune découverte dans ce livre, mais plutôt un retour d'expérience de personnes qui vivent des pressions des Etats ou des lobbies.

Petit état de l'art du cassage de mots de passe (matériel)

M'intéressant un peu au cassage de mots de passe, j'ai fait quelques tests et j'avoue être assez content du résultat car des mots assez longs sont tombés :

Mais pas à n'importe quel prix... Force est de constater qu'avec un quad core on prend vite 2 semaines dans la vue pour seulement décliner genre 100 000 fois un dictionnaire de 15 Go :D

Il m'est alors passé par la tête de lorgner du côté des professionnels. Encore une fois pour tomber sur un concours de b*** il suffit de chercher "benchmark" sur le forum de hashcat. On tombe alors sur ce genre de bête :

 

Là on est dans une toute autre catégorie. Outre le fait que ces 8 cartes AMD 7970 coûtent encore 300€ chacune, celles-ci consomment 300W, ce qui nécessite donc plus de 2400W (sans oublier de quoi faire fonctionner la carte mère). Ce boitier serveur a donc 3 alimentations. Je doute trouver ça à Montgallet ou sur leboncoin...

Moins visible cette fois-ci, c'est l'aération. Là encore ce boitier dispose de 3 ventilateurs 12cm en frontal et des cartes graphiques dont le modèle évacue l'air chaud sur le dessus (dans la configuration ci-dessus). Les GPU tournent à fond et sont en général overclockés.

Si maintenant vous chercher une configuration plus accessible il est recommandé de commencer avec 3/4 cartes graphiques espacées d'un slot pour les laisser respirer et limite laisser le boitier ouvert.

Pensez simplement à faire le ménage de temps en temps.

Pour continuer dans les astuces (ou dans l'état de l'art), il faut savoir qu'on peut utiliser des GPU de constructeurs différents (au final c'est toujours AMD) et surtout qu'on peut mettre des GPU différentsdans une même machine. Cela semble poser encore quelques problèmes sous Windows 7, mais passe très bien sous Linux. C'est un bon point pour la récup ou pour évoluer progressivement.

Dernier point, un projet appelé VirtualCL permet d'échanger les instructions openCL par le réseau. Cela permet d'utiliser plusieurs machines en cluster. Autant la charge est faible pour du cassage en bruteforce, autant elle explose quand on travaille avec un dictionnaire. Pour ce dernier point vous pouvez consulter cette présentation. Il s'agit d'un membre actif de hashcat qui a ainsi réalisé un cluster de 25 GPU composé de 4 types différents de cartes graphiques.

Evidemment pour rentabiliser ce genre de matériel, le propriétaire en a fait son activité : http://stricture-group.com/ (audit de password, cassage de hash, ...)

Si vous avez été attentif, seul AMD est cité et non Nvidia. Etrangement Nvidia ne fournit pas de fonction pour faire le décalage de bit. A cause de cette fonction, à matériel équivalent, AMD est 4 fois plus rapide que Nvidia.

La sécurité informatique avec un oeil extérieur

Au hasard de mes balades numériques je suis tombé sur le document suivant : Enquête sur la sécurité numérique des entreprises. La première chose qui saute aux yeux est que le rapport n'est pas écrit par un spécialiste du domaine (Bruno Gruselle) et qu'il ne semble pas non plus destiné aux acteurs du domaine. Il est indiqué qu'un questionnaire a été utilisé pour mener les entretiens avec 21 entreprises, mais les réponses semblent très libres et finalement c'est très plaisant à lire car des vérités ressortent et j'ai décidé de les retranscrire ici en espérant vous donner envie de lire ce rapport.
Bonne lecture.

Introduction :
Le premier point d'attention est de bien distinguer la sécurité informatique de la sécurité de l'information. Ces deux facettes sont gérées généralement par les mêmes acteurs alors que la sécurité des données serait plutôt du périmètre de la protection du patrimoine. Bien sûr cette remarque concerne surtout les grosses entreprises.

Les risques :
Les RSSI reconnaissent que les risques numériques sont critiques pour l'entreprise, mais qu'il faut distinguer parmi les attaques le bruit de fond (phishing, scans de ports, sites Internet piégés par des kits d'exploit) des attaques pouvant avoir un impact important (intrusion, fraude). A noter qu'en matière de phishing, il y a et aura toujours un taux incompressible d'erreur (humaine ?) qui devrait être pris en compte par les solutions de sécurité mises en place pour dépanner les utilisateurs qui se sont fait piéger.

Le niveau des attaques dépend souvent de la réputation et de la visibilité des entreprises. Pour les banques l'impact d'une attaque réussie serait très mauvais pour leur réputation. La préoccupation actuelle est aux APT (bizarrement écrit Advanced Permanent Threat partout sauf une fois Persistant) dans le sens où une bonne configuration des FW et un patch management correct ne sont plus suffisants. Surtout qu'en face nous avons des pirates professionnels.

Un point intéressant qui ressort est l'isolation de certains réseaux. Par exemple il est préférable d'isoler les systèmes critiques (SCADA) et les environnements R&D. Bien qu'ayant un coût important, cette mesure permet d'éviter bon nombre de risques.

En ce qui concerne les environnements type SCADA, l'enjeu n'est pas la confidentialité (à part les secrets de fabrication, configuration, ...) mais la disponibilité. On parlait avant de sûreté de fonctionnement, mais on converge vers la sécurité informatique.

L'organisation :
Côté organisation il semble que la plupart des entreprises ont mis en place un réseau de correspondants sécurité qui ont pour rôle de s'assurer que la politique de sécurité est appliquée et d'être en soutien aux utilisateurs pour les questions de sécurité.

En ce qui concerne le RSSI, il peut être dans la direction sécurité du patrimoine (sous la DG), sous le DSI, ou bien il n'y a pas vraiment de RSSI, mais un groupe d'acteur de chaque direction (DSI, RH, juridique, métier, ...). Il ressort qu'un RSSI sous la DSI gère de la sécurité Informatique alors qu'un RSSI sous la DG sera plus à même de faire de la gouvernance, avoir un rôle de prescripteur et d'assistance aux projets.

"Ainsi comme le souligne l'un des interlocuteurs, la notion de RSSI est une aberration car il faut concevoir la sécurité comme tout autre fonction et pas comme un métier à part. On doit faire évoluer pour intégrer la sécurité dans les besoins de tous les projets et pas comme une contrainte externe portée par une direction qui intervient en dernier ressort."

"Certaines des personnes concernées jugent toutefois que le manque de contraintes (comme celles qui peuvent peser sur le secret de la défense nationale) conduit à donner un poids plus important aux problématiques d'économies de préférence à celles de sécurité."

"Si la relation avec la CNIL est en général bien cadrée - du fait de la prise en compte des obligations réglementaires ou légales qui pèsent sur l'entreprise - le contact avec l'ANSSI est parfois plus compliqué. Pour certaines interlocuteurs, l'agence est encore trop peu réactive et s'intéresse encore trop aux grands comptes lés à l'Etat plutôt qu'à l'ensemble du tissu économique."

"L'une des personnes interrogées souligne que l'un des défis de sécurisation est de faire venir les utilisateurs à la sécurité plutôt que de les obliger à appliquer des mesures qu'ils ne comprennent pas ou qu'ils trouvent inutiles, voire incompréhensibles."

"Les éléments contractuels doivent être suffisamment précis pour englober la responsabilité du sous-traitant à un niveau équivalent à celui des sociétés appartenant au groupe."

"Le cadre juridique - quand il est clair et précis - s'avère en fait d'une grande aide et simplifie le travail de sécurisation."

Les orientations :
Plusieurs entreprises commencent à mettre en place un SOC (équipe de supervision dédiée).
Il va être important de créer un dispositif d'alerte et de gestion de crise.

La sensibilisation et la formation est toujours une priorité.
"Pour autant il faut noter l'existence de deux tendances antinomiques : d'une part on ne peut pas tout miser sur l'utilisateur et il faut concevoir la sécurité en imaginant que l'utilisateur va faillir. D'autre part les failles ou les attaques importantes (APT) sont le plus souvent détectées par les utilisateurs. Il est donc indispensable de faire de l'information, de la sensibilisation et de la formation."
" Il existe deux niveaux de formation : directement après le recrutement qui permet généralement de présenter les risques, la politique de sécurité mise en place et les outils de l'entreprise. Ensuite dans le cycle de vie de l'employé, se déroulent des modules spécifiques sur les SI et leur sécurité."

La progression du cadre juridique et réglementaire qui va apporter de nouvelles contraintes : déclaration des incidents, création d'un CIL, gestion des lois au niveau international.

"Enfin, quelques personnes rencontrées se sont étonnées de l'absence d'un outil juridique qui permettent d'imposer un certain niveau de confidentialité aux informations non industrielles détenues par leurs entreprises (de type secret des affaires)."

Protection des mots de passe

On le voit tous les jours maintenant, des sites sont compromis et des tonnes de miyons de mots de passe sont volés !

Dommage pour vous votre mot de passe Paris75 est grillé dans le monde entier à cause du dernier site à la mode www.glandouille.com. En plus il faut le changer sur 36 sites et en urgence sur votre messagerie, ebay et paypal !

Bon on a tendance à toujours taper sur l'utilisateur, mais quand bien même il utiliserait un mot de passe complexe. qu'est-ce qui empêche un site de stocker ses mots de passe en clair ou en XOR ou encore en md5 ? Rien du tout... (ou peut-être PCI-DSS...)

Finalement je suis tombé sur un article disons sympa qui présente des statistiques non pas seulement sur la résistance des mots de passe, mais aussi sur la robustesse des algorithmes de hachage (je n'aime pas écrire hachage car je l'emploie comme un anglicisme).
http://resources.infosecinstitute.com/the-exponential-nature-of-password-cracking-costs

Dans un premier temps on commence avec un gentil MD5 et on voit qu'un mot de passe avec les 4 catégories de caractères est résistant à partir d'une longueur de 7 caractères alors qu'il faut plus de 10 lettres pour avoir un semblant de résistance identique. (Pas la peine d'évoquer un code PIN de 4 chiffres ici.) A mon avis les graphes sont au pif, mais l'idée est là :D

Maintenant ce qui est sympa c'est la comparaison de MD5 à bcrypt qui est un algorithme créé exprès pour protéger les mots de passe et non pour faire de la vérification d'intégrité (obligation de performance tout ça... bien pratique pour faire du bruteforce rapide).

Or donc bcrypt est basé sur un algorithme qui nécessite beaucoup de cycles processeur pour hasher un mot de passe. J'ai cru lire qu'un md5 prenait 1ms et un bcrypt 0,3s, soit 300 fois plus longtemps. Mais le plus beau dans l'histoire c'est qu'on peut même choisir le nombre d'itérations pour gonfler encore le temps de traitement. Et c'est ainsi qu'on obtient un algorithme robuste avec 6 caractères quand il en faut plus de 10 en MD5.

Et donc pour conclure, si on fait embête à choisir des mots de passe très longs, c'est parce que potentiellement ils sont mal protégés ! Mais en lui même le mot de passe n'est pas forcément mauvais.

Rainbow tables

Dans toute la petite ribambelle de blogs que je suis, celui de Robert David Graham me plaît particulièrement car il passe son temps à casser les mythes de la sécurité informatique. Je vous invite à suivre son blog Errata Security.

Un article récent m'a particulièrement interpellé car je faisais partie de ceux qui se trompait et il s'agissait de l'utilisation des Rainbow Tables. Il explique à juste titre que c'est loin d'être la panacée quand le minimum de précaution est respecté, c'est à dire désactiver le stockage des hash LM et mettre une politique de complexité des mots de passe à 8 caractères contenant 3 des 4 catégories suivantes : minuscules, majuscules, chiffres et caractères spéciaux.

Les rainbow tables sont malgré tout très grosses. La seule table présentant en intérêt serait "ntlm_mixalpha-numeric#1-8_40000" sur http://www.freerainbowtables.com/tables/ et on peut s’asseoir sur les caractères spéciaux et les mots de passe de plus de 8 caractères.

Mais le plus important est que la recherche des hashs dans la rainbow est séquentielle (ce qu'on peut voir dans l'image ci-dessous avec le cassage de "p@sswor", puis "d"). L'opération se fait hash par hash, ce qui fait que le nombre de hash multiplie d'autant le temps de calcul. Dans une entreprise avec 10000 comptes utilisateurs et un historique de 5 mots de passe on atteint facilement 60000 hashs. Je me souviens avoir passé une nuit à l'hôtel pour casser 300 hashs, alors pas la peine de faire le calcul pour 60000.




Bref si on veut casser un maximum de mots de passe (disons pour faire des statistiques), il faut s'en remettre au cassage avec GPU et un bon dictionnaire. Ce dictionnaire contient 14 millions de mots de passe unique et avec quelques mutations (min/maj et concaténation de chiffres à la fin) on casse très rapidement une grosse moitié des hashs. Vous trouverez quelques bases de mots de passe sur le site de skullsecurity. Mais la meilleure source de mots de passe, ce sont les résultats des audits précédents qu'il faut anonymiser et conserver précieusement. C'est sur cette idée que c'est basé Rob Fuller quand il a créé White Chapel dont l'idée est de créer une base de mots de passe issus de toutes les sources possibles (mysql, sqlserver, vnc, Active Directory) et de tout rehasher avec tous les algorithmes possibles.




Voilà encore une bonne raison de faire de la capitalisation :-)

BYOD, BYOC, BYOA

J'avais commencé à écrire des banalités et comme toujours c'est après 30 minutes de réflexion que les idées intéressantes commencent à pointer leur nez. (Néanmoins ça part quand-même dans tous les sens.)

Que se passe-t-il actuellement en entreprise ? Les VIP hyper-connectés qui ont besoin de tout savoir en temps réel ont reçu un nouveau gadget : un smartphone ! Après le VPN et le webmail, voici le nouvel outil d'esclavagisme moderne (quand s'est subi, il y a des présidents divorcés qui le vivent très bien).

Or donc le smartphone permet d'envoyer des e-mails dès qu'on a une idée, aussi bien le jour que la nuit ! Mais ne soyons pas trop méchant, cela permet aussi de travailler dans les transports au lieu de lire 20minutes ou Métro et ainsi optimiser ses journées qui par le fait font 2 heures de plus qu'avant. Mais ce qui coûte le plus cher au entreprise c'est le terminal qui se doit d'être toujours dernier cri. Alors que pour l'utilisateur sur le long terme c'est le forfait qui fait mal. Il y a donc un aspect gagnant/gagnant à faire du BYOD et laisser les employés utiliser leur propre téléphone pour le travail.

Les employés vont donc d'eux-mêmes se rendre un peu plus esclaves de l'entreprise pour ressembler à leurs chefs. Mais je pense qu'après y avoir goûté on fait vite machine arrière et qu'on profite simplement d'Internet sur le téléphone et qu'on met en sourdine les notifications mail.

Pour continuer sur le sujet, je pense que le phénomène tablette actuel est à mourir de rire en entreprise. Je n'ai jamais vu quelqu'un taper un Word de 20 pages avec les pouces. Si c'est juste pour le lire et faire des remarques de cochon avec un stylet, non merci. C'est déjà assez pénible d'avoir un chef qui imprime tout et fait des corrections au stylo puis scanne le résultat en PDF. C'est juste du manque de respect.

Et le BYOC... je crois que ça n'a même pas eu le temps de décoller. Les processeurs sont maintenant largement assez puissants pour qu'on ne ressente pas le besoin d'amener sa bête de course perso au travail.

Pour finir le BYOA, bring your own application. Grâce aux applications portables il est possible de conserver son environnement personnel et ses petites habitudes au travail. C'est là qu'il y a le plus à gagner et le plus à perdre si ce n'est pas maîtrisé. En effet j'approuve le fait d'utiliser Notepad++ portable plutôt qu'un Ultraedit piraté, mais on croise parfois des Photoshop CS6 portable dont j'émets quelques doutes sur le respect de la licence et sur l'acquittement des droits d'utilisation. Dernier point encore, la mise à jour de tout ce petit bazar... Il est facile de conserver un Firefox portable obsolète pendant des années et ainsi faire peser des risques au SI de l'entreprise. Je pense que les entreprises ont beaucoup à gagner en mettant en place un kiosque d'application en libre accès, mais en sachant maîtriser les navigateurs alternatifs qui vont sur Internet.

Shadow IT

Au hasard de mes balades sur Internet je suis tombé sur un concept bien familier sur lequel je n'avais pas encore mis de nom : Le shadow IT !

Mon ressenti est que ce phénomène émerge dans les environnements trop procéduriers. Pour côtoyer les process ITIL au quotidien, autant je les trouve utile pour les services offerts aux clients car il faut être irréprochable autant je trouve qu'ils ne sont pas adaptés pour des applications "internes".

Je pense qu'on assume plus facilement ses erreurs que celles des autres. De ce fait on peut accepter que son application tombe en panne plus souvent et qu'elle soit remise en place en "best effort". Alors pourquoi perdre son temps en gestion de projet, à faire une expression de besoins, un dossier d'architecture, des demandes de changements, une recette, une pré-prod, une prod, ... tout ça pour mettre en place un webservice Java avec une base Oracle alors qu'au niveau du dimensionnement une macro excel aurait suffi ?

De mon propre exemple, j'ai fait développer un système de tableau de bord en Excel + Access rien que pour éviter de perdre moitié du budget en gestion de projet et moitié du temps de développeur pour générer un rapport pdf totalement figé. Et au final j'ai une solution hyperflexible que je peux modifier à volonté !

Au niveau de l'équipe informatique elle-même, je ne pourrai dire combien de fois j'ai vu un équipement décommissionné recommencer une nouvelle vie comme ferme de virtualisation avec un ESX largement dimensionnée pour faire des expérimentations BYOD et commencer à devenir un élément clé alors qu'il n'y a même plus un disque dur en spare...
Et cet environnement de maquette Internet qui fournit un accès sans proxy fort appréciable pour toutes ces petites choses qui ne mériteraient pas de faire dépasser son quota Internet de la semaine :-)
Et ce serveur Linux qui permet d'héberger des fichiers discrètement pour d'autres projets.

Bref du shadow IT on en voit partout et surtout dans la DSI elle-même ;-)