De La Sécurité informatique, ou le récit du dernier pwnage en date chez OVH

[gruik]

j'ai vu passer ce lien il y a quelque minutes heures : http://travaux.ovh.net/?do=details&id=8998

avis à tous les HACKERS et autres warlordz en herbe, vous qui ne rêvez que de gloire et de femmes lassives à vos pieds tandis que leurs maris vantent votre skill immodéré, voici donc un bel exemple de comment ca se passe dans la vie réelle chez les w8h8 ("whitehats", pour ceux du fond)

évidement il faut savoir lire entre les lignes, comme souvent et comme souvent c'est un exercice ô combien difficile pour les jeunes bovins que nous sommes, on nous explique donc que le H4ck3R (le vilain) a réussi à pirater la boite mail d'un admin système OVH, de là déjà les mieux plus calibrés d'entre vous commencent je le vois à cogiter ferme, ça veut dire que l'attaquant a du bien préparer son coup, mener sa phase préliminaire de récolte d'infos sur une période possiblement plus longue que le simple "tiain é ci je meu tapé www3-6.disney.com/admin lol ?" suivi d'un nmap, on peut également en déduire que le gars est pas un branquignole complet pour monter ce type d'attaque, c'est qu'il a à la fois des compétences techniques, mais aussi une certaine intelligence dans ce domaine et de la suite dans les idées, ce que confirme la suite dans laquelle on apprend que depuis ce mail il a réussi à accéder le vpn perso de l'admin, de là il a réussi a compromettre un autre admin responsable du backoffice etc.
notez qu'à ce stade, si vous ne voyez toujours pas la beauté de la chose vous avez 2 choix : vous arretez de troller désormais et vous bossez 2x plus votre HTML/CSS et son copain C/C++, soit vous vous mettez au tricot

du point de vue des w8h8, on peut raisonnablement penser que ça doit être la guerre chez eux, les sysadmins avec leur fail2ban vengeur et le tripwire vindicatif prêt à en découdre, la cellule sécu portée à ébullition et le RSSI en mode caca mou, un incident unique pour les remuer tous et dans les ténèbres les lier, il a du s'en dire des choses interessantes, tout ce que nous autres pauvres hères pouvons lire c'est que désormais chaque employé va avoir son propre dongle crypto pour accèder au S.I. d'une part, et quelques spéculations sur les objectifs soupçonnés du vilain, en l'occurence la base de données clients europe (aka piratage indus en bonne et due forme), soit rebondir a nouveau vers le serveur de livraison canadien, avec l'explication du risque qui en est donnée c'est à dire que le pirate ai dès lors accès à l'ensemble des serveurs dédiés OVH, jolies perspectives que ce soit pour un état ou une "cyber-mafia" quelconque (mais est-ce que ça existe vraiment ?)

d'un point de vue technique on apprend néanmoins que les passwords chez eux sont stockés en sha512 salted, ce qui est plutôt très bien (qui peut en dire autant ? dans sa boite ou sur sa propre machine perso ? hein comment ça on est toujours au md5 sur la plupart des applis ?), même si (...) empiriquement ça reste possible à casser, même si en pratique même md5 ça peut s’avérer encore très difficile et laborieux pour peu qu'on ait la bonne stratégie de mots de passe derrière etc., il n’empêche que ça rassure énormément le quidam moyen, et le client encore plus évidement
et par là enfin on en arrive à la communication, oui car le w8h8 communique, ça fait partie de ses prérogatives de w8h8 de mettre de l'ordre dans le SI, dire aux totos vengeurs sur quoi ils doivent mettre l'accent pour plus que ça se reproduise, et rassurer le client, ici OVH rassure l'internaute directement comme à son habitude, y compris Mme Michu à coups de "on a eu un souci, on s'en est rendu compte, c'est maîtrisé on gère, et on ne va pas en rester là on va pas seulement boucher les trous on va aussi mettre des pointes sur les créneaux, aménager des meurtrières et creuser des douves autour comme spécifié par la norme ISO-1337..."

alors voila, me direz-vous pourquoi un post aussi long pour dire si peu de choses, et bien d'abord parceque, et ensuite de manière à.

<junky> huhu
<junky> tu racontes ta vie

ça m'arrive et je le déplore, mais que voulez-vous...

ce qui est certain c'est que du coté des whitehats, ça devait être assez bandant (pour l'avoir déjà vécu) à vivre un incident pareil, surtout si on la chance d'être au coeur de l'action (cellule sécurité de l'entreprise ou à une échelle différente sysadmin pour acter sur le terrain etc.), on en viendrait presque à souhaiter que ça arrive un peu plus souvent :p

l'autre chose, c'est que l'attaquant en question, même si l'on a que très peu d'infos, a dores et déjà un profil qui n'est pas anodin, loin du "h4x0r" de LFI ponceur de RoP, c'est aussi un gars qui connait parfaitement les réseaux, le fonctionnement d'une entreprise et les limites des moyens/ressources alloués à la sécurité des SI, il est probable que les gens chez OVH aient des infos bien plus croustillantes encore (ce qu'ils semblent indiquer à la fin), j'espère juste qu'on aura des détails un jour...