CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2007-49
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-049.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-049/ 1 Des incidents traités cette semaine1.1 L'affichage d'une page en fonction de la navigation de l'utilisateur1.1.1 L'incidentLe CERTA a traité cette semaine la défiguration d'un site Web. Celle-ci était particulière, car la page modifiée apparaissait de manière intermittente aux utilisateurs se rendant sur le site : tantôt ils y trouvaient la page légitime, tantôt celle d'un blog, ou bloc-notes. La navigation sur cette dernière page provoquait alors plusieurs requêtes en cascade vers d'autres sites distants. Il s'avère, après analyse, que le fichier .htaccess a été modifié. La nouvelle version effectuait pour chaque visite un filtre sur le champ Referer; en d'autres termes, elle se préoccupe du moyen utilisé pour parvenir à cette page. Si l'utilisateur se rend sur le site suite à un résultat obtenu par un moteur de recherche, il est automatiquement redirigé vers la mauvaise page. S'il tente d'accéder au site directement en tapant l'adresse dans son navigateur, la page apparaît normalement. La nouvelle page .htaccess est donc de la forme :
RewriteEngine On
# Recherche des personnes venant après visite sur un moteur de recherche
RewriteCond %{HTTP_REFERER} .....*(google|msn|yahoo|....
RewriteCond %{HTTP_REFERER} .....(q|query|searchfor|...)\=
# Ces derniers sont dirigés vers une page différente
RewriteRule ^.*$ maPageMalveillante
La modification du fichier a été possible pour deux raisons :
Le CERTA avait mentionné ce même problème dans un article relativement récent publié dans CERTA-2007-ACT-047.
Cet incident montre que la simple visite régulière sur la page d'accueil du site ne permet pas de visualiser systématiquement une défiguration. Il est donc important que tout utilisateur signale un comportement anormal, car celui-ci n'est pas toujours directement visible par les responsables du site. Ces derniers, de leur côté, doivent régulièrement vérifier l'intégrité du site et consulter les journaux du serveur afin de mettre en évidence de telles activités. 1.1.2 Les motivationsCette défiguration particulière a pour principal objectif d'exploiter la navigation des personnes se rendant sur le site depuis un moteur de recherche. Cette méthode peut paraître surprenante sous certains abords, mais est l'illustration de l'article du précédent bulletin d'actualité sur le détournement du service des moteurs de recherche :
Le site de cette administration sert de moyen pour « amplifier » artificiellement la côte de fréquentation de certains sites associés à des mots-clés. Ces sites, affichés par cette méthode comme pertinents dans les moteurs de recherche (pour des mots-clés donnés), contiennent des codes malveillants : ceux-ci tentent d'exploiter plusieurs vulnérabilités lors de la navigation par l'utilisateur. Le site défiguré peut également servir pour effectuer de nouvelles injections de codes vers d'autres sites, et rediriger directement l'utilisateur « exploité » vers d'autres pages dangereuses pour son poste. 1.2 Encombrement de tuyauxCette semaine, le CERTA a traité un incident relatif à la messagerie. Ces derniers jours, une augmentation du volume des courriers non désirés semble avoir pénalisé le traitement de courriers légitimes par certains serveurs de messagerie. Cette hausse concerne plus particulièrement des avis de non distribution ou NDR (Non Delivery Report). Ces courriers, qui ne semblent pas contenir de charge malveillante, sont envoyés à des adresses erronées en ayant pris soin au préalable d'usurper une adresse de retour. C'est alors que le principe des avis de non distribution s'applique, le courrier arrivant à une adresse erronée est renvoyé à l'adresse de retour pour signifier de la non-remise. Cette technique permet à des personnes malveillantes de surcharger les serveurs de messagerie. Plusieurs solutions peuvent permettre de réduire l'impact de ces attaques, que ce soit pour limiter celui d'une réception massive de NDR, ou pour éviter de participer involontairement à celles-ci :
Les trois solutions précédentes peuvent perturber l'utilisateur légitime, qui n'aura pas de retour sur l'envoi de son courrier. Ces solutions doivent donc être considérées en toute connaissance de causes. Dans tous les cas, il est important de journaliser ces événements afin de pouvoir en faire une analyse approfondie a posteriori. 3.4 Documentation
2 Windows Vista Service Pack 1 RCLe premier Service Pack pour Windows Vista sera disponible publiquement en version release candidate la semaine prochaine, et il est d'ores-et-déjà proposé aux abonnés des services Technet et MSDN. Ceci est la dernière phase avant la sortie de la version release-to-manufacturing. Cet article a pour but de détailler les changements les plus importants apportés par ce service pack. Cette mise à jour, dont la version définitive sortirait début 2008, contiendra notamment toutes les mises à jour disponibles précédemment via Windows Update. De nouvelles améliorations dites de « qualité » y seraient également présentes : améliorations de performance (mise en veille prolongée, transferts de fichiers, Internet Explorer 7, durée de charge des batteries, etc.), de fiabilité (compatibilité, pilotes) mais aussi de sécurité (amélioration de RemoteApp, Remote Desktop Protocol, et ajout d'un nouveau générateur pseudo-aléatoire). Deux améliorations de Bitlocker seront également apportées. Il sera maintenant possible de chiffrer tous les volumes et non plus le volume du système seul, et un nouveau mode d'authentification sera proposé, basé sur le TPM (Trusted Platform Module) combiné à une clé USB et un code PIN. Le défragmenteur de disque sera aussi mis à jour et il sera enfin possible de choisir les partitions à défragmenter. Un autre changement important est la suppression de l'outil GPMC (Group Policy Management Console) du système d'exploitation ; il sera maintenant nécessaire (comme sur les autres systèmes) de le télécharger. Enfin, le Service Pack 1 ajoute les fonctionnalités suivantes :
Si ce premier service pack n'est pas aussi révolutionnaire que l'a été par exemple le deuxième service pack de Windows XP, il apporte toutefois quelques améliorations intéressantes. Comme toute mise à jour importante, il est toutefois recommandé d'attendre la sortie de la version définitive de ce service pack pour l'installer. 7.0.1 Documentation
3 Retour sur la fin du MoBiCLe CERTA avait abordé le sujet du MoBiC (Month Of Bug In Captchas) dans ses bulletins d'actualité CERTA-2007-ACT-044 et CERTA-2007-ACT-046. Le MoBiC a pris fin le week-end dernier et l'auteur propose un bilan. 32 systèmes de Captcha ont été testés, 75 vulnérabilités ont été trouvées, et à la date du 1er décembre, seulement 5 ont été corrigées. 3.1 PrésentationLes Captchas (Completely Automated Public Turing test to tell Computers and Human Apart) sont des systèmes maintenant bien connus qui permettent de vérifier la présence d'un humain lors d'une action en ligne. Souvent sous la forme d'une image contenant du texte déformé à recopier, ils sont par exemple utilisés pour l'ouverture de nouveaux comptes de messagerie. Il ne s'agit pas d'éléments de sécurité mais de contrôle permettant de lutter contre l'utilisation automatique et illicite d'un site ; par exemple pour éviter la création automatique de comptes de messagerie permettant l'envoi de SPAM.3.2 La problématiquePlusieurs failles avaient été abordées dans le bulletin d'actualité CERTA-2007-ACT-046. La plupart permettent de contourner le principe de contrôle qu'est censé fournir un Captcha. Par exemple, si le nombre d'images pouvant être créées n'est pas assez grand, il est possible de réaliser une table associant les images et les valeurs attendues et à l'aide de cette table de contourner le Captcha en question sur l'ensemble des sites où il sera utilisé. Mais le MoBiC a aussi mis en avant que plusieurs modules de Captchas sont vulnérables à des attaques de type XSS (Cross Site Scripting) ou à des injections SQL. Bien qu'il s'agit de petits modules qu'il est facile d'oublier de mettre à jour et qui ne sont pas toujours considérés comme un logiciel à part entière, ces outils de contrôle sont des briques logicielles pouvant contenir des vulnérabilités importantes qui se répercutent sur les sites où elles sont utilisées.3.3 ConclusionsLe CERTA recommande qu'avant la mise en place d'un tel système, et comme pour tout logiciel tiers, il soit évalué ainsi que son impact et son intérêt. Il faut éviter d'utiliser des modules « gadgets » au maintien douteux et sans correctif régulier, et privilégier des éditeurs sérieux. Et il faut bien sûr ensuite le maintenir à jour.3.4 Documentation
4 Gestion du temps et synchronisation sous WindowsLorsque le CERTA est amené à analyser une machine compromise, un des points d'entrée est souvent les journaux du système. Pour qu'ils soient pertinents, l'horodatage de ces journaux doit être cohérent avec celui des autres élements du réseau : passerelle de messagerie, pare-feu ou serveur web... Pour obtenir cette cohérence, il est indispensable d'utiliser une base de temps fiable sur laquelle les machines du SI (Système d'Information) vont se synchroniser. Il est fréquent d'employer le protocole NTP (Network Time Protocol) sur le port 123/udp (RFC-1305, RFC-4330). On trouve d'ailleurs sur l'Internet une hiérarchie de serveurs publics repartis en strates fournissant une source de temps fiable. Certains de ces serveurs utilisent une horloge atomique comme source primaire. Il est aussi possible d'utiliser un signal radio émis par Radio France pour effectuer cette opération via une antenne particulière. Le cas le plus fréquent est de disposer dans son réseau d'une source de temps sous la forme d'un serveur NTP synchronisé sur un référentiel extérieur comme un serveur publique de l'Internet. Il conviendra dans ce cas de ne pas se limiter à une seule source extérieure mais plutôt à un « pool » de serveurs publics. Ainsi, la source locale de temps ne sera pas mise en défaut si son référentiel extérieur venait à disparaître. En outre, une synchronisation unique et initiale n'est pas suffisante pour les éléments du SI. En effet, il est possible de rencontrer des machines sujettes à des dérives de temps relativement importantes pouvant aller jusqu'à 1 heure par semaine (cas déjà observé). Ceci est souvent dû à des horloges internes défaillantes ou mal utilisées par le système d'exploitation. Il sera donc indispensable de procéder à des synchronisations régulières dont la fréquence sera à adapter en fonction des éventuelles dérives constatées. Le système d'exploitation Windows de Microsoft n'échappe pas à la règle et doit être paramétré dans un environnement de production. Le lien http://support.microsoft.com/kb/314054 détaille la façon dont peut être configuré le client NTP sur ce système d'exploitation. L'intervalle de temps entre les ajustements est par exemple défini par la clé suivante : HKLM\SYSTEM\CurrentControlSet\Services\W32Time\Config\UpdateInterval La valeur par défaut donnée par Microsoft est de 100 secondes pour les contrôleurs de domaine, et 360000 secondes pour les postes clients et serveurs standards. Il est donc fortement recommandé de réduire cette valeur. Documentation associée
5 USB Mass Storage : quand la base de registre vous rend serviceAvec l'arrivée des clefs USB U3 et la généralisation de l'utilisation de support de stockage de masse USB comme média d'échange de fichiers, il devient nécessaire de prendre en compte cette évolution dans l'élaboration de la sécurité d'un système d'information. Le CERTA a déjà publié de nombreux articles et notes sur le danger des clefs USB, le danger des clefs U3 (cf. CERTA-2006-INF-006), ou encore sur les problèmes de conditionnement (cf. CERTA-2007-ACT-040). De manière radicale, un des moyens les plus simples est de désactiver totalement les pilotes permettant le chargement de clefs USB. Pour cela, la base de registre peut être d'un grand secours. En effet, la clef suivante: HKLM\SYSTEM\CurrentControlSet\Servicespermet un contrôle total sur l'ensemble des pilotes matériels, des pilotes systèmes, ainsi que des pilotes de services WIN32. Chaque pilote est décrit par une clef de registre contenant plusieurs valeurs (cf. http://support.microsoft.com/kb/103000 pour plus de précisions sur ces valeurs). Une de ces valeurs est particulièrement intéressante : Start. Cette valeur permet de définir la manière dont le pilote est chargé :
Il est alors facile de désactiver le chargement des pilotes USB en attribuant le DWORD 0x04 à la valeur Start des clef suivantes, par exemple :
Il faut enfin faire attention à la désactivation totale du support de l'USB, car cela perturbe aussi la connectique de la souris et du clavier en USB... Documentation
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
![\includegraphics[width=.95\columnwidth]{single}](img1.png)
![\includegraphics[width=.95\columnwidth]{double}](img2.png)