Les attaques exploitant des vulnérabilités encore
inconnues
Les
attaques exploitant des vulnérabilités inconnues sont particulièrement
dangereuses car les mesures préventives n’ont pas pu être prises en avance.
Un exemple récent est l’attaque du 25 juin 2004 perpétrée
par des hackers basés en Russie qui a transformé des serveurs IIS en
distributeurs de codes malicieux.
Le nombre de ces zero day
exploits, loin d’être négligeable, semble croître rapidement.
Ceci tient à plusieurs raisons :
* De nouvelles
vulnérabilités sont régulièrement découvertes dans les composants logiciels
tiers utilisés par les applications.
* Les possibilités
de manipulation des requêtes sont virtuellement illimitées, ce qui rend les
combinaisons d’attaques et les vulnérabilités potentilles impossibles à
répertorier. Par exemple, un caractère utilisé dans des attaques injection
SQL peut être codé de six manières différentes tout en restant valide pour
SQL. Ce qui fait que l’instruction <SELECT> peut être codée de 86 manières
différentes !
* Combinant les
différentes techniques d’attaque pour en concevoir de nouvelles, les hackers
cherchent constamment à innover afin de contourner les filtres de sécurité
mis en place.
Conclusion
Vol de données confidentielles, détournement de transactions, rupture de
service, atteinte à l’image de marque : les risques sont bien réels pour les
entreprises qui continuent d’ouvrir leurs applications critiques au Web et
de déployer des sites Web de plus en plus transactionnels.
Les hackers bénéficient d’un environnement favorable : des
applications Web présentant de nombreuses failles potentielles, des
possibilités d’interaction à distance via les accès Web, de multiples
techniques pour parvenir à déstabiliser, voire prendre le contrôle des
applications sans être inquiétés par les firewalls traditionnels en place.
Des contre-mesures ont cependant été développées pour
protéger les systèmes d’information vis-à-vis de l’Internet comme, par
exemple, des firewalls applicatifs qui suppriment les codes malicieux dans
les pages Web. Des correctifs sont régulièrement mis à la disposition des
utilisateurs pour protéger leurs systèmes.
Vous pouvez, vous-même, vous protéger en interdisant
l’activation de contrôles ActiveX des scripts et en augmentant le niveau de
sécurité de votre navigateur Web.
Attaques Dos et DdoS
Il existe cependant des attaques moins ciblées, d’un niveau
que nous qualifierons d’inférieur d’un point de vue informatique.
Le pirate ne cherche plus cette fois à prendre contrôle de
votre application mais cherche seulement à perturber le fonctionnement de
vos serveurs. C’est le Deny of Service (DoS) ou le Distributed Deny of
Service (DdoS).
* DoS : le pirate,
seul, cherche à perturber votre serveur en envoyant un nombre important de
requêtes. Si le nombre est suffisamment important, le serveur sera saturé et
s’arrêtera de fonctionner. S’il ne l’est pas alors, l’application sera
seulement ralentie.
* DdoS : cette
technique est beaucoup plus agressive que la précédente car le pirate
n’utilise plus un petit nombre de machines mais des réseaux entiers pour
congestionner l’accès au serveur.
Si le réseau d’accès est suffisamment robuste, seul le serveur en souffrira
et cessera finalement de fonctionner. Mais si le réseau d’accès n’est pas
suffisamment robuste, toutes les machines du réseau sur lequel se trouve le
serveur cible en souffriront.
Microsoft et Yahoo ont déjà subi ce genre d’attaque. Il existe heureusement
des parades comme, par exemple, de bloquer les adresses IP des machines
attaquantes car ce type d’attaque n’est pas discret et se repère facilement
sur un réseau. Les IDS peuvent, en outre, remplir cette fonction.
L’usage du Web par browser
(juin 2004) :
1. MSIE 6.x
77%
2. MSIE 5.x
17%
3. Mozilla
2%
4. Netscape 7.x
1%
5. Safari
1%
Cela veut dire qu’en moyenne 94% du surf est effectué par
un browser de type Internet Explorer mais cela ne signifie pas que 94% du
trafic total d’Internet soit du surf.
Ces chiffres ne signifient pas grand-chose si on ne stipule
pas que plus de 90% des browsers Web ont la fonctionnalité Java activée et
sont par conséquent des cibles potentilles pour certains hackers.
Les attaques par le système d’exploitation
Nous ne cherchons à référencer que les systèmes
d’exploitation les plus usuels. Il existe deux types de hackers :
* les
occasionnels qui représentent 75% des attaques : ils parcourent l’Internet dans l’intention
d’attaquer une machine au hasard en utilisant des failles de sécurité déjà
publiées ; ils n’apportent strictement rien jà la communauté informatique,
leurs attaques sont simplement faites pour nuire ;
* les
déterminés qui représentent 25% des attaques : ils cherchent à attaquer un compagnie ou un
système ciblé ; certains permettent de mettre en évidence des failles de
sécurité et ainsi améliorent la sécurité générale des systèmes
d’information, mais ce n’est malheureusement pas souvent le cas pour la
majeure partie d’entre eux qui ont des inten! tions malhonnêtes et souvent à
but lucratif.
D’après une étude de Symantec, les systèmes Microsoft représentent à eux
seuls 75% des attaques globales avec interruption de service, ce qui est
assez conséquent et normal vu la prédominance de Microsoft sur le marché du
client/serveur. Ces chiffres sont cependant à nuancer car il est préférable
que la machine s’arrête de fonctionner plutôt que de laisser l’attaquant
entrer dans son système d’information.
Il faut souligner que les systèmes libres ne sont pas
épargnés par les hackers. Des outils, les rootkits, permet de prendre le
contrôle de systèmes Unix ou Linux.
Les hakcers déterminent le type d’OS en analysant les temps
de réponse et la configuration du protocole TCP/IP. Cette technique est
appelée fingerprinting. Il
existe aujourd’hui des techniques pour s’en prémunir que ce soit par les
firewalls et/ou IDS ou par modification des paramètres de configuration
réseau des serveurs.
Notons cependant qu’aujourd’hui la communauté s’accorde à
dire que l’OS le plus sécurisé en termes de clients est Darwin (MacOS X),
tout simplement parce qu’il est basé sur un OS libre et bien sécurisé de
type BSD (Unix – Berkeley Software Design).
A cela il faut ajouter qu’il est propriétaire et, par
conséquent bénéficie de la sécurité par l’obscurité.
Les attaques combinées
Le phishing
Le phishing, la plus actuelle des menaces, repose sur trois
impostures et sur votre naïveté (nous sommes plus de 700 millions de pigeons
potentiels connectés sur l’Internet).
* Envoi de
l’hameçon :
vous recevrez un mél qui a l’air de venir d’un destinataire de confiance,
mais provient en réalité de l’attaquant.
*Attente
que ça morde :
le mél vous demande de cliquer sur un hyperlien qui vous dirige sur un site
Web ayant l’air d’être celui d’un site de confiance, d’après son adresse et
le look de la page affichée. C’est en réalité celui de l’attaquant.
* Le site
Web de l’attaque par phishing,
sur lequel vous emmène la deuxième imposture, vous demande,
pour préparer la troisième imposture, celle qui fait mal, d’entrer des
renseignements tels que votre couple login et mot de passe, vos coordonnées
bancaires, notre numéro de carte de crédit… Avec ces renseignements, comme
l’attaque est en général &! agrave; but lucratif, l’attaquant usurpe votre
identité, en utilisant les renseignements que vous lui avez aimablement
fournis, pour vider votre compte bancaire ou attaquer notre réseau.
Le panaché
Citons maintenant la combinaison redoutable entre toutes,
fléau des temps modernes qui arrive par la messagerie :
c’est le quartet : spam + mass mailer + ver +
phishing,
le tout simultanément.
Le ver est là pour installer un logiciel espion, un cheval
de Troie ou une porte dérobée sur votre poste de travail, pour exploitation
ultérieure.
Par exemple, le ver Bugbear.B, apparu en 2003 et véhiculé par la messagerie,
se cache en mode dormant sur votre poste de travail, se fait oublier, mais
s’active automatiquement si vous contractez l’une des milliers de banques,
dont plusieurs françaises, contenues dans sa liste. Il envoie ensuite
l’intégrale des échanges électroniques entre vous et votre banque à on ne
sait qui.
Les
