CERTA
Centre d'Expertise gouvernemental de
Réponse et de Traitement des Attaques informatiques
|
CERTA Centre d'Expertise gouvernemental de |
|
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2011-12
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-012.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-012/ 1 CDN et protection contre les DDOSIl est souvent d'usage de dire que les CDN pour Content Delivery Network permettent de se prémunir des attaques par déni de service distribué. Le concept de CDN est relativement simple, il consiste, pour un site donné, en la mise en cache de son contenu sur de nombreuses machines (le CDN à proprement parlé). L'usage particulier des DNS permettra d'aiguiller un client vers le cache le plus proche en terme de temps et de nombre de sauts. Si le cache consulté dispose déjà de la page, c'est lui qui distribue le contenu sinon il s'adresse d'abord au serveur source (« le vrai serveur ») afin d'obtenir la page et la délivre ensuite au client. L'idée est évidemment de supporter une charge plus importante en distribuant largement le contenu au sein du CDN qui pourra le fournir efficacement et localement au client. Cependant, il y a quelque temps, des chercheurs ont montré qu'il pouvait y avoir un biais dans ce système. En effet, comme tout système de cache, le CDN fonctionne bien dans le cas de contenus statiques comme des pages en HTML simple, des images ou vidéos. Si le site source est dynamique, cela se complique... En effet, pour chaque requête spécifique, un nouvelle mise en cache aura lieu. Ainsi, si l'on prend une requête GET avec quelques paramètres, il suffit que l'un de ces paramètres varie pour qu'une nouvelle mise en cache ait lieu suivant la règle « une requête = un contenu spécifique ». Une nouvelle requête au serveur source sera alors engendrée. Dans ce cas précis, le CDN n'est plus d'une grande utilité puisque pour chaque requête de client, on a une requête sur le serveur source. Un botnet utilisant ce genre de technique serait à même d'annuler en partie les effets bénéfiques de l'utilisation d'un CDN. Cependant, il est alors possible d'identifier la présence de ces machines zombies dans un réseau car elle vont occasionner un important trafic à destination de la cible avec des requêtes variant très peu mais toujours sur la même page. Ces même chercheurs ont d'ailleurs montré qu'il était possible d'améliorer la technique d'attaque pour que ce défaut particulier du botnet soit supprimé et que l'attaque en DDOS exploite à son avantage et de façon optimale la présence du CDN. 2 Correction de l'alerte CERTA-2011-ALE-002 : produits AdobeComme prévu par Adobe, la vulnérabilité annoncée la semaine dernière (voir l'alerte CERTA-2011-ALE-002) concernant les logiciels Adobe Flash Player, Adobe Reader et Adobe Acrobat a été corrigée pour ces produits. Pour rappel, cette vulnérabilité permet l'exécution de code arbitraire à distance via des documents spécialement conçus. Compte tenu du fait que cette vulnérabilité est actuellement exploitée activement sur l'Internet, le CERTA recommande vivement l'installation de ces mises à jour. 4.3 Documentation
3 Vrais faux certificats SSLLe CERTA a émis un avis (CERTA-2011-AVI-169) à propos de l'émission, et de la révocation par certains navigateurs, de certificats SSL. Un compte d'une autorité d'enregistrement (RA) affiliée à l'autorité de certification (CA) Comodo présentait une vulnérabilité. Cette brèche a été exploitée par des attaquants qui ont émis frauduleusement neuf certificats sur sept domaines différents. L'un de ces faux certificats a été utilisé pour monter une attaque trompant les internautes. L'incident a été detecté le 15 mars 2011. L'autorité de certification immédiatement révoqué ces certificats. Elle a également contacté des éditeurs de logiciels pour la mise en liste noire de ces certificats. La mise à jour des listes de révocation (CRL) et des serveurs de vérification OCSP ne suffit pas à se prémunir contre l'utilisation de ces certificats :
Les navigateurs suivants ont fait l'objet de mises à jour :
Au-delà des navigateurs, d'autres logiciels clients peuvent être touchés : messagerie, messagerie instantanée... 4 SCADA - Publications de vulnérabilités4.1 ActualitéCette semaine a vu se mutiplier les publications de vulnérabilités des systèmes industriels, ou d'outils les exploitant :
Cette actualité montre que les systèmes industriels deviennent un terrain d'attaques informatiques qui se banalise. Des preuves de faisablité, détournables en code d'exploitataion, sont publiées. Des outils, dits de test, mais utilisables de manière hostile, sont téléchargeables. La réactivité des éditeurs et des intégrateurs de systèmes industriels sera mise à rude épreuve. 4.2 RecommandationsFace à ces menaces qui se « démocratisent », le CERTA recommande, dans la mesure des possibilités des systèmes et des contraintes règlementaires et industrielles, au moins l'application des mesures classiques d'hygiène informatique :
4.3 Documentation
|
||||||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||||
)
