CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2009-43
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-043.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-043/ 1 MS08-067 : un an après1.1 Rappel des faitsUne année s'est écoulée depuis la sortie hors cycle du correctif MS08-067 de Microsoft. Pour rappel, ce correctif comble une vulnérabilité du service Serveur de Microsoft Windows. Cette faille exploitable via RPC promettait l'apparition rapide de vers afin de compromettre tous les machines vulnérables. En effet, moins d'un mois après l'édition du correctif, de nouveaux codes malveillants dénommés, en autre, Conficker font leurs apparitions. Conficker/Downadup/Kido obtient un très fort écho médiatique. 1.2 Constat et recommandationsMalheureusement, aujourd'hui encore, le CERTA et ses
homologues relèvent de nombreuses compromissions de
machines au travers de cette vulnérabilité. Cette
date anniversaire est donc une occasion de rappeler les bonnes
pratiques à mettre en
Enfin, d'autres bonnes pratiques, comme utiliser des mots de passe fort ou consulter régulièrement les journaux d'événements des équipements comme le pare-feu ou le serveur proxy restent toujours applicables. 1.3 Documentation
2 Linux s'invite dans les téléviseursAprès les équipements informatiques, les smartphones et autres assistants
personnels, c'est au tour des téléviseurs d'avoir
leur firmware basé sur le
noyau Linux. Il est en effet possible aujourd'hui d'acheter ce
type de téléviseur, et donc d'ajouter un nouvel
équipement dans le système informatique
domestique, sans forcément en être conscient. Et il n'aura pas fallu longtemps avant de voir des
méthodes de modification de ces firmwares apparaître. Ces derniers sont
chiffrés à l'aide d'une méthode
relativement simple (chiffrement XOR avec une clé évidente). Il
est donc très facile de télécharger un
exemplaire du firmware sur le site
du constructeur, de le déchiffrer, d'y appliquer des
modifications. Il suffit ensuite de chiffrer de nouveau en
suivant la même méthode et en s'assurant que les
mécanismes de contrôle (non
sécurisés, par exemple CRC-32) soient
validés. On peut imaginer un très large éventail de
modifications possibles du téléviseur lorsqu'un
shell est à
disposition : connexion au réseau WiFi domestique, lecture des partages NFS et CIFS,
etc. Du point de vue de la sécurité, l'ajout du téléviseur dans le parc informatique augmente la surface d'attaque. On peut prédire l'apparition prochaine de vulnérabilités sur ce type d'équipements, voire de codes malveillants d'autant plus qu'ils fonctionnent bien souvent avec des processeurs ARM. C'est-à-dire ceux que l'on retrouve dans plusieurs smartphones bien connus. Il est donc important d'intégrer ce risque pour le système d'information lorsque ce type d'équipement se situe dans le système d'information, via un port réseau traditionnel. Ce type de téléviseur moderne intègre aussi maintenant des capacités de traitement de protocole multimédia comme UPnP ou DLNA. Il est, par exemple, facile de dissimuler à l'arrière de la télévision une clé USB WiFi et une clé de stockage afin de voler des informations accessibles par ce réseau sans fil. 3 De l'information utile ?Un constat assez rapide de l'existant : les journaux applicatifs des serveurs de résolution de noms (DNS) sont rarement exploités, voire souvent ignorés. Pourtant, ces mêmes journaux fournissent nombre d'informations qui peuvent se révéler utiles pour réaliser de multiples tâches :
De petits scripts « maison » et des commandes standards (grep, cut, sed, perl, etc.) permettent bien souvent de mettre en place plusieurs vérifications et d'assurer assez simplement les tâches précédentes. Il ne s'agit ici que d'illustrations de l'exploitation possible, à des fins de sécurité dans son réseau, des journaux des serveurs de résolution de noms. À cette fin, on notera l'importance que la politique de filtrage garantisse que tous les flux DNS transitent bien nécessairement par les serveurs dont les journaux sont analysés. Il convient cependant de garder à l'esprit qu'il existe des contraintes juridiques fortes notamment en matière de surveillance du trafic réseau. Le CERTA recommande donc de respecter ces dernières et de se rapprocher d'un service juridique avant de mettre en place de telles mesures.
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre pour
éviter une infection par le ver