Ces dernieres semaines un nombre assez préoccupant de Worms sont apparus sur la plate-forme de M$. Le dernier est un digne représentant: nommé NIMDA (admin à l'envers) il est si efficace pour sa transmission que certains buisness conseillent d'abandonner IIS ! On peut noter aussi une prise de conscience des pouvoir publics (Le FBI est sur le coup) et une montée en fleche des actions de certaines entreprises de securite informatique.
Suite a la propagation de nimda (admin a l'envers ...) et a la detection dans mes logs de traces, j'ai voulu faire un script qui genere un rapport d'attaque.
Il est dispo en telechargement, bien que très sommaire.
Depuis 15h20 (donc ~9h20 heure de NYC, cad pile-poil une semaine apres l'attentat), j'enregistre beaucoup d'attaques sur mes machines, plusieurs trous connus de IIS 4 et 5: Bug Unicode, Printer.ISAPI, FrontPage, etc.
La nouveauté par rapport a Code Red I & II: ce vers se propage aussi par email (via un README.EXE) et en faisant télécharger ce README.EXE a partir de code javascript inséré sur les pages web des machines infectées.
Bref, beaucoup plus méchant à terme que les vers connus jusqu'à présent...
Après la boucherie de new-York, il est inévitable que la paranoïa s'installe. Des voix s'élèvent pour réclamer des mesures apparemment définitives, qui permettraient enfin de traquer l'information où qu'elle se trouve. Une interview de Phil Zimmermann, l'auteur de PGP (Pretty Good Privacy), trouvée dans le n° du 15 septembre de "Futur(e)s", une newsletter publiée par Futur(e)s. Zimmermann examine de manière pondérée (et en faisant référence en américain à la notion fondamentale de liberté publique), l'exigence d'une "backdoor" sur les logiciels de cryptographie.
Zdnet, après le choc des attentats aux Etats Unis, propose une série d'articles concernant le bien fondé des systèmes de surveillance électronique des réseaux de communications.
En clair, comment les Etats-Unis, souvent présentés à la pointe du progrès en terme de renseignements, n'ont pas pu prévenir un drame tel que cette nation vient d'en connaitre, une opération terroriste de cette ampleur ne pouvant se faire sans un minimum de planification.
Deux argumentations sont données :
- Les moyens technologiques de renseignement, si ils peuvent être probants, ne seront jamais efficaces contre des gens déterminés. Donc les USA se sont leurrés à vouloir croire qu'ils représentaient la panacée ultime.
- Les moyens technologiques sont bons, mais l'interprétation des résultats aurait été fausse. En clair, on tombe dans l'erreur humaine, 'compréhensible' du fait du sentiment d'invulnérabilité des américains sur leur sol.
Ceci relance bien sur le débat sur la libéralisation de la cryptographie et du respect de la vie privée ...
Alors, quel est votre avis ?
PS : tous les liens proviennent de ZDNet
Note du modérateur: Désolé cette nouvelle aura mis quelques jours à être approuvée. D'autres nouvelles sont passées récemment autour du même sujet.
Sur sa première page, le site de Nessus informe que l'accès du site, principalement les mises à jour des tests, est restreint à certaines entreprises et personnes qui contribuent à Nessus. L'auteur, met en cause l'attitude de celles qui se basent sur Nessus pour proposer des services de test de vulnérabilité en ligne, sans contribuer au developpement de Nessus.
vnunet.com annonce l'existance d'un nouveau cheval de Troie pour Linux qui aurait été découvert par Qualys, la "célèbre" entreprise de sécurité.
L'article est très vague et fort peu technique; on y trouve les idées suivantes :
Le cheval est similaire au célèbre outils d'administration Back Orifice
Il s'installe sur le port UDP 5503 et plus et s'annonce sur un serveur web grand breton
Il se propage par EMail
Mais le dernier argument fait oublier tout le reste ;-) :
S'il se répand, il risque de faire bien plus de dégats que Code Red car 58% des serveurs tournent sous Apache, et donc majoritairement sous Linux, alors que Windows NT ne représente que 25%
Note du modérateur: Merci à Meszigues pour avoir aussi proposé cette nouvelle.
Tout est dans la news de la Mandrake security team
Mandrake Linux Security Update Advisory
Package name: kernel
Date: August 28th, 2001
Advisory ID: MDKSA-2001:071
Affected versions: 8.0
Problem Description:
A security hole was found in the earlier Linux 2.4 kernels dealing with iptables RELATED connection tracking. The iptables ip_conntrack_ftp module, which is used for stateful inspection of FTP traffic, does not validate parameters passed to it in an FTP PORT command. Due to this flaw, carefully constructed PORT commands could open arbitrary holes in the firewall. This hole has been fixed, as well as a number of other bugs for the 2.4 kernel shipped with Mandrake Linux 8.0
Histoire d'avoir des armes conceptuelles lors de la vague de désinformation qui suivra le prochain virus à frapper les produits Microsoft, j'ai commis un article (6000 mots, en français):
>Les virus informatiques comme sous-produits des logiciels exclusifs. Ce que le titre dit, l'article le démontre.
Ce midi est sortie la nouvelle version de SmoothWall, la distribution Linux dédiée aux passerelles sécurisées, en version bêta 0.9.9.
Parmi les nouveautés, on peut citer :
Le support du modem ADSL USB Alcatel Speedtouch, le support des modems ADSL PPTP et PPPOE, le support du HTTPS/SSL, un gestionnaire de VPN, un gestionnaire d'accès à la DMZ, Snort pour la détection d'intrusions, une nouvelle interface web, le support de 17 langues, un gestionnaire de mises à jour ...
Tous les bêta testeurs sont les bienvenus pour débusquer dans la distrib tous les bugs qui pourraient s'y cacher. De cette façon, elle sera finalisée le 27 août prochain.
Elle est dispo en téléchargement en France, sur le site kesako
Merci à tous ceux qui participeront ;-)
La méthode de cryptage utilisée par le Wireless Ethernet 802.11, WEP (Wired-Equivalent Privacy), n'est absolument pas sécurisée selon plusieurs articles parus.
Des attaques permettant de récupérer la clé de cryptage en 15 minutes d'écoute du réseau ont été trouvées. Sachant qu'une seule clé est générée pour tout le réseau, cela met en cause la protection de tout le réseau.
Il en faut pas s'affoler pour autant : cela signifie que les données peuvent être interceptées au niveau de la couche liaison. Si les couches plus élevées (utilisation de IPSec, SSH, ...) encryptent les données à transmettre, cela ne pose pas de problème.
Depuis quelque jours on trouve sur différents forum le code d'une simple page PHP qui indique le nombre de tentative d'intrusion par le virus Red Code sur un serveur apache sous linux/unix. Le subtil commentaire en fin de page doit faire réflechir les utilisateur d'IIS.
Aujourd'hui un petit dossier dans Libération sur Code Red et SIRCAM. Comme toujours, c'est un peu approximatif mais très instructif.
Un article décrit les différents types de virus et surtout Code Red et SIRCAM, un deuxième montre les soucis d'une société qui a subi de plein fouet l'attaque, et le dernier attaque Microsoft et explique en quoi une trop faible diversification des logiciels pourrait conduire à de graves problèmes. A noter, quelques interventions de Bernard LANG sur la monoculture du logiciel.
Un virus/ver assez dangereux (W32/Sircam) circule sur Internet depuis une huitaine de jours. Ecrit en Delphi et utilisant les faiblesses de Windows/Outlook (express), celui-ci se propage en s'envoyant aux correspondants de votre carnet d'adresse avant d'effacer le contenu de votre disque dur...
Il est conseillé aux administrateurs systèmes/réseaux de filtrer les messages contenant ce ver (assez facile à détecter grace à son texte).
Note du modérateur: il est possible de régler définitivement tous ces problèmes en configurant postfix de la manière suivante. Editez main.cf et rajoutez:
Ainsi, tout attachement type executable windows sera refusé systèmatiquement. Il est certainement possible de faire la même manipulation pour les autres daemon smtp.
Une nouvelle sur Slashdot avec une amusante pointe d'ironie, alors je me permets de la traduire directement.
"SSH communication Security Corp a annoncé hier sur Bugtraq que leur version commerciale de SSH 3.0.0 a un trou de sécurité. Techniquement ce n'est pas un accès root direct, mais pouvoir avoir un accès "adm", "daemon", ou "sys" n'est pas très bon quand même.
Etrangement, pas d'annonce sur leur site web. Si vous utilisez la version à 99ドル ou à 475,ドル mettez à jour en version 3.0.1 maintenant car le trou est très simple à utiliser (...)
Si vous utilisez OpenSSH ou d'autres programmes pour lesquels vous n'avez pas payé, aucune inquietude à avoir."
En gros, le projet PROTOS permet de tester les différentes implémentations de service d'annuaire de type LDAP vis à vis de différents types de paquets mal formés ou contenant des données non attendues. Ce type de vulnérabilité peut permettre des accès non autorisés ou bien des attaques de type DoS.
On a entre autre comme système affecté : OpenLDAP, 1.x avant la version 1.2.12 et 2.x avant la version 2.0.8
Bien sûr les implémentations commerciales sont aussi affectées.
L'algorithme PRNG (qui génère des nombres aléatoires) est vulnérable suite à une erreur de design, cela concerne TOUTES les versions d'openSSL. La dernière version 0.9.6b corrige le problème ...
Pour les serveurs de production, un patch est disponible couvrant les versions 0.9.5 et 0.9.6a
Un bug vient d'être trouvé sur le générateur de nombre pseudo-aléatoires d'openSSL, pas si aléatoire que ça...
Pas de risques pour l'instant, ce bug semble peu exploitable. Mais soyez méfiants, surveillez les correctifs.
A noter que seul EngardeLinux a sorti un patch pour l'instant.
La version 1.8 de Snort vient de sortir. Pour celles/ceux qui ne connaissent pas, c'est un outil de détection d'intrusion (IDS) opensource. Et c'est un des meilleurs toutes catégories confondues et dont l'utilisation connaît une explosion ces derniers temps.
Cette version apporte bcp de nouveautés: "stateful inspection", défragmenteur IP hautement performant, tagging (enregistrement du traffic émanant d'hôtes suspects), plusieurs nouvelles options de formatage du rapport généré, détection d'ARP spoofing, décodeur 802.1Q...
En somme bcp de bonnes choses pour cet excellent outil de sécurité qui plaque au mur RealSecure&Co (j'exagère à peine).
Les 2 projets de détection d'intrusion, Prelude et Trithème, viennent à l'occasion du Libre Software Meeting, de décider de fusionner leurs projets respectifs afin d'optimiser les compétences de développement et les capacités du logiciel qui résultera de cette coopération (qui conservera le nom Prelude). L'équipe de Trithème apportera ses connaissances en matière d'architecture distribuée, de corrélation à long terme et non linéaire, de fonctions host-based -- notamment dans un premier temps le logging centralisé à partir de capteurs distribués, de contre-mesures et de processus de réponse automatisés, et enfin participera au développement d'une console admin tout cela profitant de l'architecture fortement modulaire de Prelude afin de l'étendre de manière distribuée vers des capacités hybrides et d'aide à la décision. Les deux équipes de développement se rejoindront sous peu en conservant un fonctionnement coopératif et libre.
Toutes ces améliorations se feront donc de manière totalement transparentes pour les utilisateurs et seront intégrées au cours des futures versions de Prelude.
Pour rappel, Prelude est un système de détection d'intrusion écrit à partir de zéro en C et développé depuis 3 ans. Prelude est distribué sous la licence GPL.
La prochaine version de Prelude (0.4) incluera un moteur de signature capable de lire l'ensemble des règles Snort.
De plus, des tests d'utilisation CPU ont été effectué avec un traffic "normal" sur le réseau de l'UAB. Celui-ci avait un débit oscillant entre 300KBits/s et 9MBits/s. Alors que l'utilisation CPU était quasiment identique pour les deux produits pour des débits faibles, Snort utilisait plus de 33% CPU de plus que Prelude lorsque le débit approchait le MegaBits/s et jusqu'à plus de 300% pour des débits maximaux de 9MBits/s avec le même "ruleset".
Il semblerait que les publications des communautés de sécurité informatique ne fassent pas l'unanimité :
Anti Security s'oppose à la publication des failles systeme et plus particulierement à la diffusion d'exploits comme la fameuse liste Bugtraq en pronant l'anti-disclosure.
Morceaux choisis :
[Ces listes de diffusion] ont fait plus de mal a l'underground et au Net qu'ils n'ont fait pour les aider. Car ils mettent a la porte de gamins des outils devastateurs.
...
Comme des munitions, allant de la cryptographie, des armes a feu, aux missiles, les exploits ne doivent pas etre diffuses publiquements
...
A chaque publication d'exploit sur bugtraq, un holocauste digital peut etre cree, et beaucoup de gamins utilisent ces informations pour attaquer des systemes non prepares.
On croit réver...
Le principal intérêt de ces listes réside JUSTEMENT dans la découverte de ces failles et du danger qu'elles représentent pour mieux en parrer toute éventuelle attaque.
Comment pourrait-on améliorer un systeme sans connaitre, diffuser et corriger les bugs qui l'affaiblissent et leur(s) exploitation(s) possible(s) ?
L'existance d'attaques sur un "systeme non préparé" (comme ils disent) démontre, à mon avis, plus le manque de suivi du développement et/ou un grave probleme dans l'administration du systeme, plutot qu'un risque d'holocaust digital (pff)....
C'est officiel la nouvelle version de Bastille Linux (ensemble de scripts permettants de renforcer la sécurité de systèmes à base de Linux) vient de sortir.
Le but est de simplifier et d'automatiser l'administration de systèmes Linux.
L'équipe de MandrakeSoft a travaillé sur la réalisation de l'interface graphique.
Voici les nouvelles fonctionnalitées de Bastille Linux :
- La distribution Red Hat est maintenant supporté pour les versions 6.0 à 7.1, ainsi que la Mandrake pour les versions 6.0 à 8.0
- Pour les nouveaux utilisateurs, une interface graphique a été ajoutée
- Cette nouvelle mouture supporte à présent iptables (inclus dans les noyaux 2.4) pour la gestion des règles de Firewalling
Un article paru sur libé résume les résultats d'une étude anglaise sur le choix des mots de passe, étude faite sur un panel de 1200 personnes. Il en ressort 4 grandes familles d'utilisateur: les familiaux (47%) choisissent les noms de leurs proches ('ingrid', 'médor','jeankevinleboulet',...), les fans de stars (32%, 'homersimpsons', 'fabien',...), les obsessionnels (11%) utilisent des mots de passe qui reflètent leur orientation sexuelle ('prendsmoisurlegravier','nutella',...), et enfin les crypteurs (9%) qui utilisent de vrais mots de passe.
Là où ça dérape un peu, c'est quand [libé nous dit que] les crypteurs s'échinent à mettre au point des formules incassables, mais en pure perte selon les experts.