Pour compléter le sujet des attaques informatiques de base, je suis obligé de faire un parenthèse sur les Anonymous et les attaques DDOS.

Les Anonymous sont un groupe ou plusieurs groupes (normalement un mouvement de base était unique mais certain se sont revendiqués Anonymous est on déclenchés des opérations en parallèle.)

On retiendra la redécouverte de Guy Fawkes (le masque des Anonymous le représente) grâce au film V for Vendetta.

A ne pas confondre avec des pirates qui pénètrent les réseaux pour y voler des informations, ceux-ci utilisent des méthodes d'occupation appelée attaque DDOS.

Maintenant l'attaque DDOS, ça ressemble à quoi ?
Pour faire une comparaison avec la vrai vie, vous pouvez représenter une manifestation visant à bloquer un rue ou un bâtiment. Celle-ci dérange les structures en place par occupation. Il faut un grands nombres de participants pour que la manifestation fonctionne et celle-ci est efémaire. Si il n'y a personne, c'est un échec. Mais dans le cas contraire, c'est que ce mouvement devrait être écouté vu qu'il représente un masse importante de personnes. Mais des lois ont été votée dans la majorité des pays afin de rendre ces revendications illégales.

Si je vous parles des attaques DDOS, c'est que cela est la méthode technologique de manifester. Je vous encourage à prendre en compte ces attaques informatiques comme une forme de manifestation et non comme un crime.

Voila maintenant que vous savez que vos e-mail circulent en claire sur le réseau et que tous points de transmissions à accès à l'ensemble du contenu, je vais vous présenter les attaques "Man In The Middle".

Ce que l'on nomme attaque "Man In The Middle" ou "L'Homme Du Milleu" et une technique qui consiste à faire transiter tout le flux réseau d'une cible par un point de surveillance.

Une fois le flux dérivé, il est très facile d'écouter ou même modifier le contenu transmit à la cible.

Pour déclencher un attaque MITM, il existe plusieurs solutions.

La plus simple mais nécessitant une complicité des transporteurs d'information (opérateurs télécoms ou des entreprises propriétaires des peerings) est d'installer un système de capture de trafique sur un des points de transmissions. C'est en gros ce que PRISM utilise avec un apport considérable par des remontées d'informations en temps réel des plus grands noms de l'IT.

Une autre méthode très connue est l'"ARP Spooging". Cette techniques permet de dérivé tout le trafique de la cible connectée au même réseau que vous (accès wifi dans un bar, hôtel ou tout autre endroit public). Lorsque j'ai découvert cette faille qui est toujours d'actualité, je n'ai pu m’empêcher de tester cette technique dans un bar avec un accès WIFI et c'est plutôt grisant de voire les cibles s'énerver en essayant d'accéder à FaceBook et se retrouvant sur une page du FBI indiquant que le site était coupé pour raison légale. J'en suis resté là mais il m'aurait été facile de créer un fausse page de LogIn FaceBook et pirater leur compte.

Dans une attaque MITM, il est aussi possible de vous voler votre cookie de session. Prenez l'exemple de votre compte bancaire. Vous entrez votre nom et mot de passe, vous passez le deuxième niveau d'authentification et là quelqu'un vous vole votre cookie et à accès à votre compte. C'est pourquoi il vous faut vous déconnecter du site lorsque vous avez terminé. Cela déconnecte aussi la session volée. De plus, ne vous connectez pas sur des sites sensibles depuis des accès public. Un bon administrateur système ou réseau peut récupérer vos mot de passe e-mail et bien plus.

Actuellement, l'on peut faire ça avec un simple Smartphone Android rooté.

Je ne vous donnerais pas plus d'infos sur le piratage mais sachez que n'importe quel intermédiaire traitant votre flux réseau non crypté est à même d'en modifier le contenu. Je vous conseil vivement de préférez le protocole HTTPS à HTTP. Cela ne vous protégera pas contre la NSA mais face aux petits pirates qui vous voles votre identité ou utilise votre carte bancaire à votre insu et ces futurs ingénieurs qui découvrent ces technologies dans nos universités.

Ah l'e-mail, le plus répandu des moyen de communication !

De nos jours, qui n'utilise pas l'e-mail pour transmettre des messages, photos, documents, et autres.

Mais quel est le niveau de sécurité d'un e-mail ?

Pour la majorité d'entre nous, la meilleure analogie est la lettre postale. En effet, si ce n'est le côté dématérialisé, le fonctionnement est très proche d'un système postal. Les offices de post, les boîtes aux lettres, les transporteurs et le courrier.

Toutefois un e-mail n'est pas comparable à une lettre cachetée mais celui-ci est comparable à une carte postale. C'est à dire que tous les intermédiaires ayants eu le courrier entre leurs mains pourra consulter l'intégralité du contenu (Je ne vous site pas de source, j'ai moi-même testé ces techniques avec succès dans le cadre du développement d'un filtre anti-spam pour Microsoft Exchange dans les années 2003 et la technologie n'a pas évolué d'un poil. Je pouvais même lire les adresses e-mail du champs CCI). 

De plus, lorsque vous envoyez votre courrier (carte postale) depuis l'étranger, vous n'avez aucune idée par quelle chemin il sera acheminé (avions, bateaux, distributeurs).

Maintenant une petite réflexion, vous pourrez discuter avec des politiques, fonctionnaires, banquiers, avocats et même des spécialistes en sécurité informatique qui vous diront qu'ils transmettent des documents sensibles par e-mail et sans cryptage (le cryptage d'un e-mail est tellement complexe que peut de monde peut en faire usage et de plus si votre destinataire n'y est pas préparé, celui-ci ne servira à rien).

Je vous rappel encore une fois, lorsque vous recevez un mot de passe par e-mail, celui-ci à déjà été enregistré par l'ensemble de la chaîne de distribution. Changer vos mots de passe transmis par e-mail immédiatement.

Conclusions: L'e-mail devrait être utilisé uniquement dans le même but que la carte postale. Malheureusement cette solution est tellement pratique qu'elle est maintenant utilisée pour transmettre des informations très sensibles. Cela permet un espionnage extrêmement facile et des dérives de la part de personnes qualifiées ainsi que des petits malins dans votre entourage. Je vous présenterais les attaques "Man In The Middle" avec des technique comme l'"ARP Spoofing". Cela vous donnera une idée que l'ignorance collective est le meilleur moyen de surveillance. Alors questionnez-vous est investiguez les sujets qui vous tiennent à cœur.

A bon entendeur.

Pour se détendre un peu, voici quelques films qui me font penser au sujet actuel ou qui peuvent ouvrir à de nouvelles réflexions.

En grande partie du cinéma américain... (Ils sont plein de défauts mais faut reconnaître, question cinoche, ils sont forts!)

Pour des raisons légales, je ne peux malheureusement pas vous fournir les films. Je vous donne le résultat de recherche Google vous permettant de découvrir les différant liens pouvant vous informer. A vous de vous fournir le film (pour la plupart, je suppose que ce ne sera pas un problème, en plus pour nous, suisses, voici un résumé de vos droits et la loi qui va avec).

Les films :

• Spy Game - Une petite immersion dans le cinéma de la CIA
  
• Le terminal -  Basé sur des fait réel, le film sur Mehran Karimi Nasseri, bloqué en zone international dans un aéroport
• Lord of War - Basé sur des fait réel, le film sur Youri Orlov, trafiquant d'arme
• Cybertraque - Basé sur des fait réel, le film sur Kevin Mitnik, hacker le plus médiatique de cette époque
• Hackers - Le premier film sur les hackers et le premier film d'Angelina Jolie en vrai garçon manqué!
• Antitrust - Le contrôle par l'information à tout prix, quelques phrases du film (copié de wikipédia):
• • Nous exerçons un métier binaire. Vous êtes le un ou vous êtes le zéro. Vous êtes vivant ou mort.
  • Le seul monopole que nous ayons est celui de l'excellence. 
• V for vendetta - Secret d'état, mais à quel prix
• Aeon Flux - Secret d'état, mais à quel prix
  
• Bienvenue à Gattaca - Le contrôle extrême exige des méthodes extrêmes
• Mise à prix - Témoins et protections
  
• Largo Winch - Le monde des grandes entreprises
  
• The corporation - Le monde des grandes entreprises (se fait très vieux)
• Shooter - Exécuteur de l'ombre (peut connu mais vraiment un bon film)
• Opération Espadon - Exécuteur de l'ombre (commence à vieillir)
• Le Chacal - Exécuteur de l'ombre (se fait très vieux)
  
• Jason Bourne - Expérience gouvernementale
  
• Die Hard - Attaques d’ampleurs
  
• 007 - Espion cinématographique du MI6
• Triple X - Ingérence et coups d'état
• Mission Impossible - Corruption et coups d'état
  
• The Island - Comment cacher l'horreur humaine

Comme j'en oublie, j’essayerais de compléter la liste et remontrais le post, mais cela devrait vous occupé déjà un bon moment !

Bon divertissement !

La première raison ne nous concerne pas vraiment, c'est que les citoyens américains eux-même semblaient ne pas en avoir conscience. Toutefois dans ce cas, c'est normal d'avoir un système de surveillance dans son propre pays qui nous protège et anticipe les incidents. (Je reviendrais plus tard sur les dérives que cela peut entraîner.)

Dans notre cas, c'est plus critique, comme cité dans le post précédant, si la NSA à des locaux privés chez les opérateurs télécoms, il faut bien se résoudre à l'évidence, qu'est ce qui les empêchent de faire pareil chez Microsoft, Google, Apple, Amazon, Cisco, Oracle, Facebook, Tweeter, LinkedIn, Adobe, ..., ces mêmes entreprises qui vous fournissent des services de téléphonie, messagerie, cryptage, stockage, cloud, géolocalisation, ..., et c'est ce que les documents révélés ces derniers jours semblent affirmer. N'oubliez pas non plus ceux dont on ne parle pas, combien de services américains utilisons nous et dans les domaines stratégiques tel que l'états, l'armée, et toutes les entreprises internationales faisant de la recherche et stockant leur données chez ces entreprises.

Cela crée un réel déséquilibre du fait que tous ces géants de l'IT sont américains, sans compter les autres secteurs d'activités. Cela nous amène à une dépendance totale envers les Etats-Unis et sans la moindre possibilité de contrôle. N'oubliez pas le conflit gazier russo-ukrainiens. Quand on nous ferme les vannes et sans alternative, on n'a plus que nos yeux pour pleurer.

Lors des premières révélations, les entreprises concernées ont tout nié (celles-ci étaient tenues au secret d'état). Puis ces entreprises ont compris qu'elles risquaient de tout perdre et que la confiance que nous pouvions leurs porter avait été grandement entachée. C'est une des principale raison qui agite tout ce petit monde.

En tant que professionnel de l'informatique, je peux vous assurer que le cloud Microsoft, Apple, Google, Amazon ne m'inspire plus confiance, tous comme les téléphones, routeurs et par-feu Cisco. N'oubliez pas non-plus vos téléphones mobiles (Android, IOS, Windows Phone) qui contiennent tant de données si précieuses ainsi que votre géolocalisation.

Comment pouvons nous être sure que la NSA ne partage pas non plus nos informations commerciales avec les entreprises américaines ou même nos informations étatiques ou militaires. La réponse c'est que l'on nous l'assure.