"La cybercriminalité..." linux en ligne de mire

par **zashugan** » 14 Jan 2004 21:32

Les pirates multiplient les ruses pour tromper les internautes. Dans un rapport de plus de 100 pages présenté mardi 13 janvier, le Club de la sécurité des systèmes d'information français (Clusif) s'inquiète de la montée en puissance de la cybercriminalité touchant les particuliers et les entreprises, en s'appuyant sur des exemples concrets. Parmi les inquiétudes : les téléchargements illicites dans les entreprises, c'est-à-dire le détournement des moyens informatiques mis à la disposition des employés. Avec notamment le cas d'un salarié de Lucent Technologies qui avait conçu un site personnel dénonçant les abus - selon lui - d'une société. Le 11 juin 2003, le tribunal de grande instance de Marseille l'a condamné ainsi que son employeur, considérant que le fautif a agi dans l'exercice de ses fonctions. La multiplication de ces situations amène les entreprises à se demander comment surveiller leurs salariés tout en respectant leur vie privée. Autre point abordé : les virus. Sobig, Bugbear, Slammer, Mimail... En 2003, ils ont été particulièrement nombreux et dangereux. Pour François Paget, chercheur antivirus chez l'éditeur informatique Network Associates, "il faut en finir avec l'idée reçue selon laquelle le virus est le fait de personnes qui ne cherchent qu'à s'amuser ou à relever un défi. Aujourd'hui, le virus informatique est utilisé à des fins de malveillance. Il transporte des outils dédiés à des tâches indélicates et frauduleuses." De fait, le virus Bugbear contenait 1 500 noms de domaines bancaires, provenant des quatre coins du monde. Son objectif était de rechercher des mots de passe. L'étude du Clusif confirme également que les données personnelles et bancaires sont des informations très convoitées par les pirates. Elles sont souvent obtenues en soudoyant du personnel d'entreprises ou en piratant des bases de données. Par ailleurs, le Clusif note l'émergence du "phishing", du verbe "fish", pêcher, orthographié "ph" comme le font souvent les pirates dans leur jargon. La technique du phishing consiste à exploiter la crédulité des internautes en "lançant un filet", le plus souvent via un envoi massif de courriels non sollicités, afin de rabattre des internautes vers de faux sites web bancaires ou d'achat en ligne. "Les cas de phishing se sont démultipliés en 2003 et font des milliers de victimes. Car, contrairement à ce que soutiennent certains spécialistes, il n'est pas du tout évident, pour tout un chacun, de se rendre compte que le site est un faux", note le Clusif dans son rapport. Le phishing est rentable pour les escrocs, car sur plusieurs millions de courriels envoyés il suffit qu'une très faible proportion d'internautes tombe dans le piège pour générer des revenus illicites. En septembre 2003, un homme a été arrêté en Roumanie pour une escroquerie qui a coûté 500 000 dollars aux utilisateurs de comptes du site d'enchères e-Bay. Selon le Clusif, cette forme de malveillance est de plus en plus répandue. Rien qu'aux Etats-Unis, le vol d'identité prend des proportions colossales : le chiffre de 17 millions d'identités volés est avancé par le Clusif. Enfin, le Clusif a mis en avant les problèmes liés aux logiciels libres (dits "open source"), dont le plus connu est le système d'exploitation Linux. Pourtant, jusqu'à présent, ceux-ci avaient la réputation d'être extrêmement sécurisés. "En 2003, plusieurs événements semblent altérer la réputation de sécurité des systèmes d'exploitation open source", affirme Pascal Lointier, président du club, qui se fonde sur un certain nombre de faits, et notamment une tentative de corruption de la dernière version de Linux. "Les systèmes d'exploitation libres ne sont pas forcéments écrits par des experts en sécurité et contiennent des failles", note-t-il. Les produits de Microsoft, et notamment son logiciel d'exploitation Windows, souvent décriés pour leurs failles de sécurité, ne sont désormais plus les seuls visés par les responsables de la sécurité des entreprises. Article du journal LeMonde.fr _________________ "Quand j'étais petit à la maison, le plus dur c'était la fin du mois... Surtout les trente derniers jours" coluche

par **iraysyvalo** » 14 Jan 2004 22:38

Je veux bien qu'il soit president du Clusif, mais il est completement a cote de la plaque: meme Fort Knox peut etre penetre si la securite est mal geree .... Il occulte aussi la grande force des systemes libres : les sources sont ouverts ..

par **zashugan** » 14 Jan 2004 23:53

clusif !! c'est la premiere fois que j'entends parler d'eux! Est c'est léquivalent en Info du CNRS ?

par **gla** » 15 Jan 2004 00:52

Club de la Securité des Systèmes d'Informations Français. C'est une association d'utilisateurs (industriels & services) concernés par les problèmes de sécurité informatique.

par **ldidier** » 15 Jan 2004 01:43

Normalement le CLUSIF est constitué d'expert en en sécurité informatique, de RSSI, DI, etc. Ce qui est dommage, c'est que le CLUSIF qui donne certes de bonne informations, soient si mal à l'aise avec l'open source, et surtout abonde souvant dans le sens de certains grand cabinet de consulting, qui ne sont pas totalement neutre. Mais ceci dit il faut rappeler que certain logiciel open source ont cette année et même le noyau montré un certain nombre de faille. Mais il faut rester clair en disant que ce qui compromet un daemon, ne compromet pas forcement le systéme comme dans windows. En plus bon nombre de faille ne permettait qu'une exploitation local et non distante. Mais bon je dirais qu'être président ne limite pas la possibilité de dire des bétises....

par **minimalist** » 15 Jan 2004 02:26

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-01-14 20:32, zashugan a écrit: Les pirates multiplient les ruses pour tromper les internautes. Parmi les inquiétudes : les téléchargements illicites dans les entreprises, c'est-à-dire le détournement des moyens informatiques mis à la disposition des employés. Avec notamment le cas d'un salarié de Lucent Technologies qui avait conçu un site personnel dénonçant les abus - selon lui - d'une société. Le 11 juin 2003, le tribunal de grande instance de Marseille l'a condamné ainsi que son employeur, considérant que le fautif a agi dans l'exercice de ses fonctions. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ca date et c'est nul leur scoop: La société est ESCOTA et je connaissais perso le gars... Licencié pour faute grave et 200'000frcs pour 2 semaines <IMG SRC="images/smiles/icon_eek.gif"> Le site a été referencé 1 ou 2j .. Dans le fond, j'aprouvais completement son action d'information (pr ceux de la region du 06, vous me comprendrez...) Mais sur la forme,... <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_lol.gif"> vous comprendrez en lisant... <a href="http://www.moto-net.com/p_article_print.php?RefArticle=211" target="_blank">http://www.moto-net.com/p_article_print.php?RefArticle=211</a> <a href="http://www.transfert.net/a9052" target="_blank">http://www.transfert.net/a9052</a> extrait: En septembre 2000, Nicolas B., 27 ans, excédé par les conditions de sécurité et les tarifs pratiqués sur la portion d'autoroute qu'il emprunte tous les jours en moto, crée un site satirique pour dénoncer ces abus. Le ras-le-bol exprimé par le jeune informaticien était pourtant bien compréhensible, dans la mesure où son trajet quotidien Saint-Raphaël-Nice (71 km dont 52 sur l'A8) lui coûte 60 FF l'aller-retour ! Illustrées à l'aide de photos glanées sur le site d'Escota, les pages de Nicolas B. ne sont pas tendres avec la société de gestion des autoroutes. Devenue "Escroca", Escota est présentée comme "un ******ur économique puissant et bien membré". Nicolas B. réalise les pages depuis son domicile. Mais, ne disposant pas de connexion internet, il effectue la mise en ligne sur son lieu de travail, dans les locaux de Lucent Technologies. Une semaine après la mise en ligne, Escota porte plainte en référé. Le site, hébergé chez Multimania, est immédiatement retiré. 'echec' 'cyber-criminel apréhendé' Il ne faut pas embetter le grand mechant loup, sinon il vous en*$@~ Je vois pas prk la clusif en parle mais bon... fo pas chercher je pense <IMG SRC="images/smiles/icon_biggrin.gif">

par **ldidier** » 15 Jan 2004 09:54

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-01-15 01:26, minimalist a écrit: <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-01-14 20:32, zashugan a écrit: Les pirates multiplient les ruses pour tromper les internautes. Parmi les inquiétudes : les téléchargements illicites dans les entreprises, c'est-à-dire le détournement des moyens informatiques mis à la disposition des employés. Avec notamment le cas d'un salarié de Lucent Technologies qui avait conçu un site personnel dénonçant les abus - selon lui - d'une société. Le 11 juin 2003, le tribunal de grande instance de Marseille l'a condamné ainsi que son employeur, considérant que le fautif a agi dans l'exercice de ses fonctions. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ca date et c'est nul leur scoop: La société est ESCOTA et je connaissais perso le gars... Licencié pour faute grave et 200'000frcs pour 2 semaines <IMG SRC="images/smiles/icon_eek.gif"> Le site a été referencé 1 ou 2j .. Dans le fond, j'aprouvais completement son action d'information (pr ceux de la region du 06, vous me comprendrez...) Mais sur la forme,... <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_lol.gif"> vous comprendrez en lisant... <a href="http://www.moto-net.com/p_article_print.php?RefArticle=211" target="_blank">http://www.moto-net.com/p_article_print.php?RefArticle=211</a> <a href="http://www.transfert.net/a9052" target="_blank">http://www.transfert.net/a9052</a> extrait: En septembre 2000, Nicolas B., 27 ans, excédé par les conditions de sécurité et les tarifs pratiqués sur la portion d'autoroute qu'il emprunte tous les jours en moto, crée un site satirique pour dénoncer ces abus. Le ras-le-bol exprimé par le jeune informaticien était pourtant bien compréhensible, dans la mesure où son trajet quotidien Saint-Raphaël-Nice (71 km dont 52 sur l'A8) lui coûte 60 FF l'aller-retour ! Illustrées à l'aide de photos glanées sur le site d'Escota, les pages de Nicolas B. ne sont pas tendres avec la société de gestion des autoroutes. Devenue "Escroca", Escota est présentée comme "un ******ur économique puissant et bien membré". Nicolas B. réalise les pages depuis son domicile. Mais, ne disposant pas de connexion internet, il effectue la mise en ligne sur son lieu de travail, dans les locaux de Lucent Technologies. Une semaine après la mise en ligne, Escota porte plainte en référé. Le site, hébergé chez Multimania, est immédiatement retiré. 'echec' 'cyber-criminel apréhendé' Il ne faut pas embetter le grand mechant loup, sinon il vous en*$@~ Je vois pas prk la clusif en parle mais bon... fo pas chercher je pense <IMG SRC="images/smiles/icon_biggrin.gif"> </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Cette histoire dénote bien l'attitude plutôt idiot de certaine compgnie qui sous couvert d'une pseudo atteinte, font tous et n'importe quoi. Maintenant Le CLUSIF, n'avait pas à utiliser cette exemple. Cela rejoint ce que j'écrivais plus haut, certain au CLUSIF aime se faire mousser. Mais comme ils n'ont pas le niveau ils raconte ce qu'il peuvent. C'est aussi un moen de se faire passer pour ce que l'ont est pas ou plus.

par **vanvan** » 15 Jan 2004 10:16

"Les systèmes d'exploitation libres ne sont pas forcéments écrits par des experts en sécurité et contiennent des failles", note-t-il. je trouve la phrase un ptit peu limite quand même, sachant le nombre de personnes qui travaillent sur le noyau que ce soit pour redhat, mandrake ou debian, ..., et dont la réputation et les compétences ne sont plus à faire. En gros, chez nous y a que des pros et les autres, ils ont qu'à retourner à leurs cours. Par contre en ce qui concerne les failles de sécurité linux comme windows ( carrément plus pour ce dernier ) c kler que les deux ne sont pas parfaits. Un gars super compétent qui voudra rentrer sur ce type d'OS n'aura pas trop de soucis pour trouver une porte d'entrée, par contre c kler qu'un script kiddies aura plus de facilité sur des produits Microsoft. Exemple pour linux: dernièrement un collègue de travail c fait hacker sa mandrake 9.2 par un gars d'Asie et c vu poser sur la bécane un rootkit, mais bon heureusement la réactivité sous linux étant plus forte, ça c réglé rapidement. Mais pour rester objectif, je pense que le gars aurait dû indiquer que malgré une augmentation des attaques sur linux, celles portées à Windows l'était beaucoup plus. C ki qui c pris un procès aux fesses car son OS est pas assez sécurisé ? c pas linux en tout cas. En gros c, linux pas bon alors que + de 55 % des serveurs web sur Internet sont sous Apache, ça dénote bien une sensibilisation du public aux produits linux et à ses sécurités même si faille il peut y avoir ( heureusement elles sont rares ). qui a dis que la sécurité à 100 % existait ?

par **loubard** » 15 Jan 2004 10:23

De toute façon fo pas rêver. S'il existait un système parfait Il n'y aurait pas 50000 distribs sur le marché mais une ou deux.... et puis le risque zéros n'existe pas. En plus de sa linux et tout autres unix ou open source est destiné aux gens curieux . Je rappelle quand même que les modifs apportés aux OS de type linux sont vérifiées et validées par des professionnels.. alors que chez krosoft ont se demande qui valide......... (mais bon on leur jette pas la pierre je viens de telecharger le dernier SP de windows (140 Mo)) ARF!!! <IMG SRC="images/smiles/icon_boxe2.gif"> En tout cas il exista pas un seul firewall au monde qui tourne sous windows (je parle des firewall materiel type netasq etc .......... c'est bien un signe non ??? <IMG SRC="images/smiles/icon_biggrin.gif">

par **vanvan** » 15 Jan 2004 11:06

à la limite y a peut être l'as400 qui (peut être) est plus sécurisé. Par contre bonjour la facture et le produit propriétaire.

par **svart** » 15 Jan 2004 11:34

J'ai lu l'article et je suis allé visité le site du CLUSIF. Je l'avais déjà parcouru hier après un article du JDN. Il existe dans toutes les corporations des associations d'entreprises, souvent présentés comme des "clubs", dans le sens anglo-saxon du terme, le CLUSIF est une émanation de sociétés informatiques : <a href="https://www.clusif.asso.fr/fr/clusif/tendance/" target="_blank">https://www.clusif.asso.fr/fr/clusif/tendance/</a> regardez le joli graphique et le très joli chiffre censé prouver l'indépendance du CLUSIF : 49% d'entreprises "ayant une offre en rapport avec la sécurité informatique" et 51% d'utilisateurs (mais là pas de précision sur leur nature). Le CLUSIF est un lobby "sécurité informatique", comme "Entreprise et progrès" est un lobby "télécoms"'. Leur rôle est d'influencer l'opinion, en se réclamant d'une objectivité de façade. L'effet : vendre de la sécurité informatique, en recommandant habilement d'utiliser les outils et les "solutions" des 49% d'entreprises "ayant une offre en rapport avec la sécurité informatique". Partant de ça, logique de dénigrer Linux, non ? Ces entreprises, fondant leur offre sur le "'marché", qui est dominé par M$, ont des solutions surtout pour M$... Et que leur restera-t-il si les gens utilisent des systèmes sécurisés ? C'est pourquoi il leur faut 1) convaincre que M$ est un système souhaitable 2) contrecarrer la concurrence. Il est certain que le CLUSIF compte des personnes physiques ou morales liées à M$... Le JDN est rempli d'article de ce genre depuis quelques temps. La réponse de M$, un temps désarçonné, est en train de s'organiser. Etudes prépayées, données truquées, relais d'information par le CLUSIF et autres médias par exemple. Linux sera attaqué sur les mêmes points que M$ - parce que le grand public ne saura pas qu'il s'agit là d'une stratégie. 2004 va être saignant. N'attendez pas du CLUSIF des infos objectives et détachées. Ca porte un nom : propagande.

par **kerozene** » 15 Jan 2004 11:47

Je trouve l'analyse de Svart excellente à titre personnel... Cependant en tant que modérateur et avant que la passion ne se déchaine sur le topic, je vous prie de bien vouloir faire attention à ce qu'il est dit, et principalement dans tout ce qui pourrait être considérer comme de la diffamation.... Merci d'avance, Kerozene

par **svart** » 15 Jan 2004 12:06

Tu as raison ! J'espère avoir été le plus circonstancié possible et ne pas nuire à votre (excellent) site. Mon propos n'est pas de diffamer (raconter des choses fausses dans une volonté de nuire ou de dénigrer) mais d'apporter un éclairage sur une communication qui peut surprendre... La communication d'aujourd'hui, de plus en plus performante, efficace, aidée en cela par des outils théoriques, mathématiques et scientifique, évoluant rapidement grâce à des relais idéologiques et financiers, DOIT être comprise et disséquée si l'on veut s'en prémunir (ce qui n'est pas une obligation). Je ne prétends pas savoir faire cela. Pour mieux analyser et comprendre les discours ambiant, je recommande <a href="http://acrimed.samizdat.net/" target="_blank">http://acrimed.samizdat.net/</a> (voire si le sujet vous intéressse : <a href="http://www.rezo.net" target="_blank">www.rezo.net</a>). Ca fait un moment que je me dis que ce qui se passe en "communication" et dans les "grands médias" existe aussi, fatalement, dans le domaine de la micro-informatique. Peut-être même plus : cet univers est un univers où un discours orienté, propagandiste, sera moins facilement détecté du fait du jargon employé, et de l'absence de données sociales directes avec les systèmes d'information (un SI contient des choses, et des relations entre ces choses, mais ne préjuge pas de la nature de ces choses). Avec la loi sur la LEN, l'accroissement de l'utilisation de Linux (ce qui implique plus de mauvaise publicité) et le lobbying réorganisé des acteurs majeurs du domaine informatique, si Linux et la communauté Libre veut franchir l'obstacle, il sera important de ne pas nier le pouvoir intellectuel de la communication et d'en user avant que ses adversaires ne la renverse. = opinion personnelle qui n'engage que moi. Il serait intéressant d'analyser plus finement l'article du monde.

par **zashugan** » 15 Jan 2004 23:51

Autre propos d'un autre problème que j'aimerais élucider avec vous sur une autre catégorie de failles supposée de linux-selon le post de "Danette" sur un forum clubic! Extrait choisi : <A HREF="http://forum.clubic.com/forum2.php3?post=2437&cat=24&cache=cache&p=1" TARGET="_blank">http://forum.clubic.com/forum2.php3?post=2437&cat=24&cache=cache&p=1</A> Danette a écrit : youhou !!! Les nunuches de l'informatique !!! Il faut arrêter de dire n'importe quoi et de toujours tout ramener à MS. Des buffers overflow, j'en ai rencontré quelque soit les OS (Unix & co). Et puis, j'ai l'impression que beaucoup de ceux qui racontent n'importe quoi ici n'ont jamais taper un morceau de code de leur vie. Pour info .NET de chez MS justement permet d'éviter les Buffer overflow en proposant un monde "managé" par sa CLR. Alors, les anti-MS primaires peuvent rentrer chez eux. Sous Linux et Unix, il y a eu (et il y a toujours) des belles failles de sécurité basées sur le buffer overflow. Alors il faut se réveiller et arrêter de croire bêtement que Linux est "L'OS absolu" protégé naturellement contre toutes les attaques. D'autant plus que c'est notoirement connu que c'est un des OS qui comporte le plus de failles.  Pour revenir sur le processeur, en tant que développeur, moi je trouve ça une excellente idée. C'est comme .NET, autant avoir un environnement le plus sécurisé qui nous empêche de faire des $%#&! dans le code. Ne jamais faire la moindre erreur de code ou de bugs est une utopie. Par contre, si on arrive à créer des environnements contraingnants pour nous forcer à faire du code propre : tant mieux ! J'ai commencé à coder sur ADA et c'était un langage super qui gérait les erreurs de contraintes à ma place. En passant au C/C++, ça a été la cata pendant un moment... Depuis C#, c'est maintenant le bonheur intégral à nouveau ! Allez bye et réfléchissez pour une fois avant de vous avancer sur des sujets que vous ne maîtrissez pas. Ah la, la... j'vous jure ces jeunes, ça dit vraiment n'importe quoi dans les cours de récré. <IMG SRC="images/smiles/icon_wink.gif"> Donc, le monde linux pour moi est plus ou moins nouveau et j'aimerais maintenant avoir aussi un avis éclairé pour contredire les propos de Danette, qui j'en suis sûr sont infondés. Mais ne connaissant pas grand chose dans la programmation et les failles (linux ou Ms)!! j'aimerais que vous me dites en quoi il a (peut-être) tort !!! <IMG SRC="images/smiles/icon_wink.gif">

"La cybercriminalité..." linux en ligne de mire

Qui est en ligne ?