Sommaire

• Petit résumé de sécurité informatique
• 12 idées fausses sur la sécurité
• Les acteurs
• Les menaces
• Les techniques d’attaque
• Les typologies
• Les phase d’une attaque
• Les bonnes pratiques

Sans communiquer la procédure de chaque type d’attaque, il est malgré tout souhaitable que Madame Michu comprenne les mécanismes mis en oeuvre lors des attaques pour qu’elle puisse comprendre le bien fondé de chaque mesure de sécurité.

Les typologies d’attaques

Il existe plusieurs méthodes pour permettre à un hacker d’accéder à l’ordinateur ciblé.

Les attaques directes

Dans ce cas le hacker, à l’aide d’un logiciel ou d’un script attaque directement l’ordinateur de sa victime.
Hélas de nombreux logiciels circulent sur Internet et permettent ce type de méfait sans connaissance particulière. C’est une méthode très prisée des hackers en herbe.

Les attaques indirectes par rebond

Cette attaque est très prisée des hackers. En effet, le rebond a deux avantages :

• Masquer l’identité (l’adresse IP) du hacker.
• Éventuellement, utiliser les ressources de l’ordinateur intermédiaire car il est (peut-être) plus puissant (CPU, bande passante…) pour attaquer.
• En utilisant plusieurs ordinateurs intermédiaires (un grand nombre = encore plus de puissance) il est possible de s’attaquer à de gros serveurs.

Le principe en lui même, est simple : Les paquets d’attaque sont envoyés à l’ordinateur intermédiaire, qui répercute l’attaque vers la ou les victimes. D’où le terme de rebond.
Avant l’attaque finale, il est nécessaire de réussir une attaque sur chaque ordinateur intermédiaire.

Les attaques indirectes par réponse

Cette attaque est un dérivé de l’attaque par rebond. Elle offre les même avantages, du point de vue du hacker. Mais au lieu d’envoyer une attaque à l’ordinateur intermédiaire pour qu’il la répercute, l’attaquant va lui envoyer une requête.
L’ordinateur victime va exécuter la requête vis à vis d’un autre ordinateur ou d’un site auquel il a accès normalement.
Et c’est cette réponse à la requête qui va être envoyée à l’ordinateur du hacker.

Idéal pour accéder à des informations confidentielles.

Les phases d’une attaque

1- La reconnaissance

Pour mener son attaque le pirate rassemble un maximum de données sur sa victime. Il dispose pour cela d’un certain nombre de moyens légaux et illégaux.

Les moyens légaux

Parmi les moyens légaux on note Google, Les forums, Le site web de la victime, mais aussi un certain nombre de services de Internet :

• WHOIS : en quelque sorte l’annuaire Internet
• L’ARIN : l’affectation des adresses IP.
• Les caches des serveurs DNS permettent de lire (dans certaines mesures) les sites visités par la victime une fois que l’on connaît son adresse IP.

Les moyens illégaux

• Fouiller les poubelles.
• Voler le matériel ciblé ou des documents importants.
• L’ingénierie sociale. Notons que le Phishing et les Spywares sont des outils très employés lors de cette phase.

Une fois le pirate en possession d’un nombre de données qu’il juge satisfaisantes pour mener son attaque il passe à l’action.

2- Le balayage

Cette phase consiste à trouver le point d’entrée dans le système d’information ciblé. C’est un travail à large spectre qui met en oeuvre plusieurs outils :

Le WarDriving

Le wardriving (de l’anglais, war pour wireless access research – et de driving pour conduite) consiste à balayer des réseaux sans fil à l’aide d’un ordinateur, d’un PDA ou d’un smartphone en utilisant une automobile comme moyen de transport. Le but est de pénétrer sans autorisation dans ces réseaux pour obtenir librement et anonymement un accès à internet ou aux postes connectés.
Cette technique s’est principalement développée avant la sécurisation systématique des connexions sans fil. Elle tend aujourd’hui à disparaître, mais quelques réseaux Wi-Fi restent encore, par négligence ou méconnaissance de leurs propriétaires, accessibles librement, sans chiffrement ni clé d’accès. De plus, une protection de chiffrement utilisée naguère couramment (le WEP, Wired Equivalent Privacy) peut être cassée en une dizaine de minutes par interception et analyse des échanges réseau. Les clés WPA (Wi-Fi Protected Access), ont un plus haut niveau de sécurité, même si certaines techniques sont actuellement en cours de développement pour en venir à bout. Leur sécurité devient bonne avec des clés de chiffrement longues (20 caractères, par exemple).

Le wardriving est utilisé pour pouvoir accéder à internet au nom d’une autre personne et donc pouvoir, par exemple, se livrer à des actes de piratage sans pouvoir être inquiété.

Les wardrivers utilisent de temps à autre un GPS (ex: un GPS Bluetooth) connecté à un PDA où est installé une application qui répertorie les coordonnées géographiques, les SSID, les adresses MAC… des points d’accès balayés pour ensuite les importer dans un logiciel de cartographie (ou site tel google-maps) pour avoir une carte complète des réseaux balayés ainsi que toutes les informations récoltées.

Dans ce cas le pirate tende de pénétrer le réseau par le point d’accès WiFi ou la Box Internet.

Le balayage du réseau

En utilisant un scanner de ports (logiciel), le pirate tente de détecter les ports ouverts, identifier les services hébergés et obtenir des informations sur le système d’exploitation d’un ordinateur distant.

En envoyant certains paquets il teste le firewall du réseau (le pont levis du réseau en quelque sorte).

Un autre programme utilitaire permet de suivre les chemins qu’un paquet de données (paquet IP) va prendre pour aller de la machine locale à une autre machine connectée , dans le cas présent la victime.

Le scanner de ports logiciel (utilisé ci-dessus pour tester les ports ouverts du réseau) peut aussi être utilisé pour tester les ports disponibles en écoute sur l’ordinateur choisi comme victime.

Un autre utilitaire (Nessus) signale les faiblesses potentielles ou avérées sur les machines testées. Ceci inclut, entre autres :

• • les services vulnérables à des attaques permettant la prise de contrôle de la machine, l’accès à des informations sensibles (lecture de fichiers confidentiels par exemple), des dénis de service…
  • les fautes de configuration (relais de messagerie ouvert par exemple)
  • les patchs de sécurité non appliqués, que les failles corrigées soient exploitables ou non dans la configuration testée
  • les mots de passe par défaut, quelques mots de passe communs, et l’absence de mots de passe sur certains comptes systèmes. Nessus peut aussi appeler le programme externe Hydra pour attaquer les mots de passe à l’aide d’un dictionnaire.
  • les services jugés faibles (on suggère par exemple de remplacer Telnet par SSH)
  • les dénis de service contre la pile TCP/IP.

Une fois la/les vulnérabilité/s identifiée/s, le pirate choisi une méthode de pénétration.

3.1- L’accès par attaque du logiciel ou du système d’exploitation

Une fois la vulnérabilité ciblée l’attaque peut prendre différentes formes :

• • Le débordement de la pile : généralement cette vulnérabilité permet de contourner un fonctionnement légitime du système ciblé. Le pirate jouit des privilèges d’un administrateur de la machine.
  • En s’attaquant aux mots de passe faibles : sans modifier aucun logiciel ou système d’exploitation, le pirate accède aux privilèges les plus élevés. Des logiciels spécialisés mènent automatiquement des attaques à partir d’un dictionnaire des mots de passe faibles également par force brute.

3.2- L’accès par l’attaque du réseau

Le pirate peut choisir de s’attaquer au réseau pour atteindre l’ordinateur cible.

• • Se connecter au réseau en utilisant l’adresse MAC d’un utilisateur légitime. Ce type de protection est illusoire mais on lit souvent de tels conseils sur les forums.
  • Saturation de la table ARP : le switch quitte son fonctionnement de switch pour devenir un HUB. Tous les paquets sont alors dirigés sur tous les ports facilitant ainsi l’intrusion.
  • Empoisonnement du cache DNS : sur un réseau, lorsqu’un hôte cherche à en joindre un autre, il faut mettre en relation l’adresse ip et l’adresse physique (MAC) de l’interface sur laquelle est configurée l’adresse IP. Le protocole ARP permet d’établir cette correspondance. Si un attaquant exploite ce protocole, il lui sera possible d’usurper l’adresse MAC du destinataire et\ou de l’expéditeur. des logiciels permettent d’emprunter les adresses physique des interfaces spécifiées.
  • L’usurpation d’adresse IP (en anglais : IP spoofing ou IP address spoofing) consiste à envoyer des paquets IP en utilisant une adresse IP source qui n’a pas été attribuée à l’ordinateur qui les émet. Le but est de masquer sa propre identité lors d’une attaque d’un serveur, ou d’usurper en quelque sorte l’identité d’un autre équipement du réseau pour bénéficier des services auxquels il a accès.
  • Le « vol de session TCP » (également appelé détournement de session TCP ou en anglais TCP session hijacking) est une technique consistant à intercepter une session TCP initiée entre deux machine afin de la détourner.
  • Dans la mesure où le contrôle d’authentification s’effectue uniquement à l’ouverture de la session, un pirate réussissant cette attaque parvient à prendre possession de la connexion pendant toute la durée de la session.

3.3- Le déni de service

Le but du déni de service est de faire en sorte que la cible ne puisse plus répondre.
La technique employée est de saturer la cible de requêtes afin de provoquer un débordement de la pile, lequel a généralement pour conséquence l’effondrement du service. A cette occasion le pirate peux récupérer des droits illégitimes sur la machine.

4- Maintien de l’accès

Afin d’éviter la perturbation visible du système cible à chaque tentative d’accès, le pirate va mettre en place différents outils pour lui permettre une connexion plus aisée lorsqu’il reviendra. Ce peut être :

• • Mise en place d’un cheval de Troie.
  • Mise en place d’une porte dérobée (backdoor).
  • Mise en place de rootkits pour replacer certaines fonctions du système d’exploitation.

5- Faire disparaître les traces

Le but est de pouvoir mener son attaque sans être pris. Pour cela :

• • Les logiciels installés modifient les fichiers logs de manière à effacer les évènements révélateurs de l’intrusion.
  • Installer des fichiers et répertoires cachés.

J’ai, volontairement passé sous silence le détail de ces attaques (vous vous doutez pourquoi), et de toute manière Mme Michu aurai eu la migraine 🙂
En plus, il y a bien d’autres possibilités, toutes plus subtiles les unes que les autres. Le seul but était de montrer que les outils pour mener les attaques sont foison et que les occasions de nuire ne manquent pas.
Conclusion : quelques bonnes habitudes permettent d’éviter au maximum les cybermésaventures.
C’est certain, si la NSA ou la DCRI vous suspecte de terrorisme, vous aurez beaucoup de mal à vous protéger : leurs ordinateurs sont bien plus gros que le votre et vos bras sont bien petits… 😀
Mais qui irai croire que Mme Michu mène des actions contre les intérêtes de la France ?

Sommaire
Précédent : Les menaces – Suivant : Les bonnes pratiques