Archives par mot-clé : Expert

Conversation entre un libriste et un expert judiciaire

Publié le par

Il m’arrive d’être contacté par email par un internaute qui m’interpelle sur un point et, parfois, une conversation épistolaire s’amorce, donnant lieu à des échanges intéressants. Ce fut le cas avec Hoper, et cela donne ce billet à quatre mains, publié simultanément sur nos blogs respectifs.

——————————————————–

Hoper:

Bonjour Zythom,

Je vais commencer par me présenter à minima. Informaticien, un peu blogueur,
et un peu « énervé » quand il s’agit de défendre nos libertés, j’ai
découvert votre blog en 2011. Je vous lis encore à l’occasion, et
j’aurai quelques questions sur votre activité.

Par exemple la personne qui avait « défacé » votre blog vous reprochait de
ne pas être suffisamment du coté de la « justice ». Vous êtes vous déjà
demandé si, au contraire, vous ne le seriez pas déjà un peu trop ? Je
m’explique.

Nous vivons une époque merveilleuse ou tous les citoyens sont
surveillés en permanence (prism, affaires des journalistes sur écoute,
etc.) et ou les lanceurs d’alertes concernant la surveillance excessive (et illégale)
mise en place par nos gouvernements « démocratiques » sont traqués comme
des terroristes.

Pendant ce temps Vous fouillez dans la vie privée des gens. A la requête
d’un juge certes, mais tout de même. Tout le monde est manipulable… Ça ne vous met pas mal à l’aise ?

Zythom:

Bonjour Hoper,

Je vais me présenter rapidement pour les lecteurs de votre blog: je suis ingénieur en informatique, je travaille comme directeur informatique et technique dans une grande école d’ingénieurs où je sévissais auparavant comme enseignant-chercheur, et j’exerce en parallèle l’activité d’expert judiciaire en informatique. Je raconte ma vie sur mon blog perso: « Zythom – blog d’un informaticien expert judiciaire. Je vais essayer de répondre correctement à vos questions…

Lorsqu’un crime est commis, et qu’un ordinateur est trouvé sur place, il me semble normal de saisir l’ordinateur et de l’examiner. Pour l’expert judiciaire qui sera affecté à cette tache, « examiner » signifie répondre à un ensemble de questions posées par un magistrat instructeur. Souvent, surtout quand il s’agit de chercher des preuves photographiques, cela nécessite de plonger dans la vie privée des utilisateurs de cet ordinateur.

En modifiant les éléments d’identification des affaires dans lesquelles j’interviens, en « romançant » pour reprendre le mot du procureur dans l’Affaire Zythom, je parle souvent sur mon blog de mes interventions dans la vie privée des gens. Par exemple, dans les billets « Une vie privée« , « Je cherche la vérité« , « Emilie 4 ans » ou « Ad nauseam« . Je concluais d’ailleurs ce dernier billet ainsi:

Quand j’ai un doute, ou que je me sens mal à l’aise, je ne dois pas me
contenter de dire: je mets en annexe, les autres feront le tri. Il faut
décider ce qui relève de la mission. Il faut décider ce qui relève de la
dénonciation de crime.

Le reste, c’est la vie privée.

Et parfois, c’est dur de faire les choix, quand on sait qu’on peut briser une vie.

Mais briser la vie de qui? Celle de l’utilisateur du disque dur? Celle de sa prochaine victime s’il y en a une? La mienne?

Ce qui montre que j’ai parfaitement conscience des risques que j’affronte.

Mais j’assume pleinement cette responsabilité. J’ai choisi de prêter le serment suivant: « Je jure d’apporter mon concours à la Justice, d’accomplir ma mission, de faire mon rapport, et de donner mon avis en mon honneur et en ma conscience. » et j’entends bien y rester fidèle.

Puis-je être l’objet d’une tentative de manipulation ?

Ma réponse est simple: oui, tout le temps.

Je vais développer un peu.

Nous vivons dans une société où chacun est libre de déposer une plainte et de demander l’action de la justice. Certains abusent de cette possibilité pour, par exemple, déstabiliser un concurrent, chercher à obtenir des informations commerciales confidentielles, etc. L’expert judiciaire peut se retrouver au milieu de conflits violents, par exemple entre deux entreprises qui veulent se détruire mutuellement. Chaque partie cherche à obtenir de l’expert un rapport favorable à sa cause.

L’expert judiciaire doit résister à des tentatives d’intimidation, voire même à des attaques physiques. Je décris dans ce billet une agression dans un dossier qui a entraîné la ruine de l’expert judiciaire ! 

Vous le voyez, l’expert judiciaire n’a pas tous les pouvoirs. Son action est encadrée par la loi, et son rôle consiste à donner un avis sous la forme d’un rapport. Et le magistrat n’est pas tenu de suivre cet avis. Les avocats peuvent également « attaquer » le rapport de l’expert, avant son dépôt (par la rédaction de dires), ou après son dépôt en demandant une contre-expertise. Je pratique d’ailleurs beaucoup ce genre d’activité en lien avec des avocats, ou des associations, pour les aider à rédiger des dires. J’en parle dans ce billet intitulé « Contre expertise« . Je vous invite à le (re)lire et j’en reporte ici la conclusion:

Enfin, chaque citoyen peut se voir accusé injustement d’un fait dont il
est innocent. Beaucoup croient que la découverte de la vérité s’effectue
« automatiquement » et « gratuitement » à travers des enquêtes sérieuses
menées avec tous les moyens (humains et financiers) d’une justice
moderne.

Ils se trompent lourdement.

Sur le chiffrage des données, j’ai toujours encouragé mon prochain à l’utiliser pour protéger sa vie privée, soit avec des VPN (« Vie privée, vie publique« , « Fournisseurs de VPN« , ou « SSTIC OpenVPN Synology Freebox et iPhone« ), soit avec des containers TrueCrypt.

Hoper:

« Lorsqu’un crime est commis, et qu’un ordinateur est trouvé sur place, il me semble normal de saisir l’ordinateur et de l’examiner.« 

Pour moi les choses sont loin d’être aussi simples.

Je m’interroge justement sur ce sujet. Pardonnez je vous prie ma totale méconnaissance du droit (je serai bien en peine d’expliquer la différence entre un crime et un délit par exemple, tout en sachant qu’elle est fondamentale légalement parlant).

Je m’interroge donc, sur ce qui peut autoriser un juge à demander l’analyse d’un équipement informatique. Quels sont les actes suffisamment graves pour justifier une telle intrusion dans la vie privée ? Sachant que, sauf erreur de ma part, Lopsi 2 autorise une intrusion à distance dans des cas aussi bénins que l’assistance aux sans papier, je me dis que, quelle que soit la faute commise, un juge pourrait décider de saisir mon matériel informatique.

Est-ce le cas ?

Zythom:

Je ne suis pas juriste, je ne peux pas prétendre connaître la bonne réponse à cette question, mais l’action des magistrats est encadrée par la loi. Ils ne peuvent pas faire ce qu’ils veulent et, de plus, les décisions qu’ils prennent peuvent être contestées, avec l’aide d’un avocat qui vous assistera dans la défendre de vos intérêts.

Pour une réponse plus pertinente, il faudrait poser la question à un magistrat, ou au moins à un juriste.

Hoper:

Autre question, même si cela tourne un peu autour du même sujet.

Êtes vous d’accord avec toutes les lois françaises ?

Si vos conclusions d’expert conduisaient un jour à inculper une personne

pour quelque chose que vous ne condamneriez pas vous personnellement…

(ou alors une beaucoup plus lourdement que vous ne l’auriez fait)

Cela ne vous poserai pas un problème ?

En résumé, je trouve qu’humainement et moralement parlant, vous prenez beaucoup de risques pour une justice qui semble (vue de loin hein) de moins en moins « juste ». Vous ne le faite pas pour l’argent. Pas non plus pour vos pairs qui vous attaquent en justice, tentant de limiter de façon totalement inadmissible votre liberté d’expression.

Alors… pourquoi ?

Zythom:

Il m’arrive d’avoir dans un dossier une faiblesse humaine: ma sensibilité, mon « opinion », mes préjugés s’imposent à moi et brouillent mon avis (je rappelle que je ne « juge » pas une personne, je donne un avis technique en réponse à des questions qui me sont posées).

Heureusement, la méthode scientifique est là pour m’aider à garder la tête froide et à me défaire de ce type de réflexes primaires.

Un expert judiciaire est là pour donner un avis scientifique sur un point technique. Son opinion politique, ses préjugés sur le comportement de telle ou telle partie à la cause n’importent pas. Il en va de même pour les magistrats.

Et de même que la science peut se tromper, l’expert judiciaire peut également se tromper. J’ai alors à faire face à ma conscience. D’où la référence à ce concept dans le serment de l’expert judiciaire: « donner mon avis en mon honneur et en ma conscience. »

Je ne suis pas d’accord avec toutes les lois françaises. J’ai en détestation le concept même de copyright et j’ai un avis très critique sur la HADOPI (soit ironique comme dans ces deux billets ici et là, soit plus technique comme dans ce billet).

Alors pourquoi est-ce que je souhaite mettre mes compétences techniques à la disposition de la justice ?

Je pense qu’il faut d’abord préciser un point: il y a d’un côté les lois, votées par les hommes et femmes politiques que les citoyens ont élus, et d’un autre les magistrats qui constituent l’un des éléments clefs de l’institution judiciaire. Je me méfie comme de la peste du mot « justice » qui a plusieurs sens, et je vous invite à lire sur ce point l’excellent article de Wikipédia, dont voici un extrait:

« La justice est un idéal souvent jugé fondamental pour la vie sociale et la civilisation.
En tant qu’institution, sans lien nécessaire avec la notion, elle est
jugée fondamentale pour faire respecter les lois de l’autorité en place,
légitime ou pas. La justice est censée punir quiconque ne respectant
pas une loi au sein de sa société avec une sanction ayant pour but de
lui apprendre la loi et parfois de contribuer à la réparation des torts
faits à autrui, au patrimoine privé ou commun ou à l’environnement. »

Si une mission me pose un problème de conscience, j’ai la possibilité de la refuser. Pour l’instant, ce n’est jamais arrivé.

Je ne travaille effectivement pas pour la justice (en tant
qu’institution) pour l’argent, ni pour mes pairs. Je travaille pour
l’institution judiciaire parce que cela me rapproche de l’univers de ma femme qui est
avocate.

Et cela me paraît une excellente raison 😉

Hoper:

Dans plusieurs billets, vous semblez avoir des doutes sur vos activités. Je ne parle pas seulement de la gêne que vous décrivez lors des perquisitions, mais de l’activité en général.

Je cite :

« Après tant de coups, après tant de désillusions, je me suis rendu compte que les seuls dossiers qui pouvaient avoir mérité d’avoir eu envie de devenir expert judiciaire étaient les énigmes posées par les scellés que l’on me confie dans les instructions. Et comme la plupart du temps, il s’agissait de recherche d’images ou de films pédopornographiques, je me dis que je suis un con. »

C’est tout de même assez fort comme paragraphe…

Pouvez vous développer ? Car ici, en substance, on comprend « Tout ce que j’ai fait n’a pas servi à grand chose d’autre que de me fournir des défis techniques à relever.

Avouez qu’il y a alors de quoi se poser des questions.

Zythom:

C’est un peu la raison d’être de mon blog: l’écriture me permet de travailler sur mes frustrations, sur mes angoisses et sur mes faiblesses. Et parfois, cela donne une phrase un peu désabusée.

Travailler pour l’institution judiciaire, c’est mettre ses compétences au service de la justice. Mais c’est aussi découvrir un univers très contraint, très attaqué et très peu soutenu, avec des moyens financiers d’un autre âge. C’est dur de voir que l’idéal que l’on peut avoir sur la Justice n’est pas soutenu par les élus, ni par le justiciable.

Enfin, il m’a fallu aussi un certain temps pour digérer le fait que, non, l’expert judiciaire n’est pas accueilli à bras ouvert par une institution reconnaissante de son implication citoyenne, non, tous les experts judiciaires ne sont pas compétents, non, l’amour de la technique n’est pas suffisant pour être un bon expert judiciaire, etc.

Quand j’ai commencé l’activité d’expert judiciaire, je voulais aider la justice à découvrir la vérité. Maintenant, je suis plus intéressé par les défis techniques, tout en sachant que cela aide à découvrir la vérité. C’est gagnant/gagnant. Mais parfois, quand le dossier est difficile à digérer, en particulier en matière pédopornographique, j’ai plus de mal.

L’écriture sur le blog m’aide beaucoup, et bien entendu le soutien de mes proches.

Hoper:

Vous indiquez que vous avez la possibilité de refuser une mission qui vous semblerait vraiment contraire à vos principes.

C’est une très bonne chose en théorie. Mais avez-vous réellement tous
les éléments pour faire un choix éclairé dans la pratique ?

D’après les exemples que vous donnez, on à plutôt l’impression que vous
n’avez qu’une connaissance très limité du contexte de la mission
proposée, peu ou pas d’éléments techniques, et que l’on vous demande
généralement de donner une réponse « la toute de suite maintenant ».

Ne pensez vous pas, dans ces conditions, qu’il serait possible de
regretter un jour d’avoir accepté une mission ? Pas parce qu’elle vous
prendrait plus de temps que prévu, ni parce qu’elle nécessiterai des
compétences spécifiques, mais bien parce qu’elle vous poserai un
problème éthique ?

Zythom:

Vous avez la possibilité de refuser une mission dès votre désignation par un magistrat. Personne ne peut vous obliger à accepter une mission, sauf cas exceptionnel que je n’ai jamais connu.

Une fois votre mission accepté, si des événements qui vous étaient inconnus posent un problème éthique, il est toujours possible de se déporter, en expliquant les raisons aux parties et au magistrat. Le plus tôt est le mieux, surtout si des frais importants doivent être engagés. Le cas s’est présenté plusieurs fois pour moi quand je me suis rendu compte que j’avais été en relation client/fournisseur avec un participant à la première réunion d’expertise, et que ce fait pouvait mettre en cause mon impartialité.

Hoper:

Concernant le chiffrement, vous encouragez donc son utilisation afin que chacun puisse protéger sa vie privée. Vous le faite en sachant qu’un chiffrement correctement implémenté vous empêcherai de remplir une mission qui vous aurait été confiée.

N’y aurait-il pas, dans cette attitude, une sorte de contradiction ?

Zythom:

Il n’y a pas de contradiction à être pour la défense de la vie privée, et être amené à devoir entrer dans la vie privée des gens.

Imaginez un policier qui encourage à s’équiper de portes blindées pour empêcher les cambriolages, alors qu’il doit lui-même forcer des portes dans le cadre d’enquêtes criminelles (par exemple).

Hoper:

Quand je m’interroge sur le respect de la vie privée, vous me répondez :

L’expert doit se limiter à la mission qui lui a été confié. Tout ce qui
n’entre pas dans le cadre de cette mission doit être écarté.

C’est très bien mais que faire si, a contrario, la mission donnée est trop limitée ?

Exemple : « Trouver toutes les images pédopornographiques présentes sur
cette machine »… En oubliant de vous demander d’en chercher la
provenance ! (téléchargement effectué par l’utilisateur ou « piratage »
etc.)

Si les questions qui vont ont étés posées ne sont pas assez nombreuses, il y a le risque d’aboutir à un mauvais jugement non ?

Zythom:

Oui. C’est pour cela qu’il arrive souvent que le magistrat, ou l’enquêteur, me contacte pour discuter avec moi des missions, avant leur rédaction définitive.

Si ce n’est pas le cas, et si les missions sont imprécises, il est toujours possible de contacter le magistrat après coup pour se faire préciser un point obscur. Il est malheureusement difficile d’arriver à joindre un magistrat, et quand on y arrive, il vaut mieux aussi que ce soit pour une bonne raison (il n’est pas là pour vous expliquer un point de procédure).

Mais si l’affaire n’est pas claire, que les parties sont de mauvaises fois, que l’expert n’est pas très bon, que les missions sont imprécises et que le magistrat s’appuie un peu trop sur son rapport pour prendre sa décision, alors oui, cela peut aboutir à de mauvais jugements. C’est je crois, l’origine du proverbe: « Un mauvais arrangement vaut mieux qu’un bon procès« .

Heureusement, c’est rare, car les experts sont de mieux en mieux formés aux procédures juridiques, et les avocats, enquêteurs et magistrats de plus en plus compétents en matière informatique.

Hoper:

Concernant les erreurs, manipulations etc, vous me rappelez très justement que l’on peut demander (qui paye !?) une contre expertise. Bien. Mais ce nouvel expert devra t-il répondre exactement aux même questions, ou sa mission peut elle être élargie (cf exemple ci dessus) ?

Zythom:

Quand vous n’êtes pas content d’une expertise, il vous est possible d’en demander une autre au magistrat. C’est la contre-expertise. Si la demande n’est pas solidement argumentée, le magistrat va la refuser pour éviter les dépenses inutiles, car en général toutes ces expertises sont payées par l’une des parties qui fait l’avance (elle sera remboursée si elle « gagne » le procès, par la partie perdante, je simplifie). Si la demande est acceptée, la mission peut être élargie, si le magistrat le décide ainsi.

Sinon, vous pouvez toujours demander une expertise privée, à vos frais, pour venir critiquer scientifiquement le rapport de l’expert judiciaire. Je me suis d’ailleurs fait une spécialité en la matière, puisque je traite aujourd’hui plus d’expertises de ce type que d’expertise judiciaire. Mais tout cela à un coût, que l’État ne prend pas en charge.

Hoper:

A propos des experts maintenant. Vous expliquez vous même ne pas réellement savoir comment ils sont choisis, comment leur compétences sont validées etc. Soyons optimistes, et partons du principe qu’une très grande majorité d’expert sont effectivement très compétents dans leur domaine d’expertise. Il reste forcément des cas isolés, des personnes qui n’auraient pas eu être inscrite sur les listes.

J’imagine qu’après plusieurs échecs (conclusions remises en cause par des contre expertises justement), la question de leur « suppression » doit se poser ? Ca arrive souvent ? Sait on pourquoi une personne n’est plus sur la liste ?

 

Zythom:

Auparavant, le seul moyen de faire sortir un mauvais expert des listes était une procédure de radiation, procédure plutôt infamante.

Aujourd’hui, puisqu’il faut demander tous les cinq ans sa réinscription sur la liste, beaucoup d’experts disparaissent des listes, soit parce qu’ils ne redemandent pas leur inscription, soit parce que leur demande de réinscription est refusée. C’est plus discret et moins infamant. Mais la procédure de radiation existe toujours.

Hoper:

Que se passe il si un expert judiciaire tombe sur une difficulté technique qu’il n’arrive pas à résoudre seul. A t-il le droit de « faire appel à un ami » ? Je suppose que le secret de
l’instruction l’en empêche ? Même si il s’agit de demander l’aide d’un
autre expert judiciaire ?

Zythom:

L’expert termine toujours son rapport par une phrase affirmant qu’il a rempli seul et en personne sa mission. Donc il n’a pas le droit de faire intervenir de son proche chef une autre personne dans la procédure.


Mais il lui est possible de se documenter auprès de tierces personnes, sans livrer le détail du dossier. Il n’est pas interdit de poser une question purement technique sur une liste de diffusion, ou sur Twitter. Cela m’arrive souvent. On ne peut pas tout savoir, mais on doit savoir qu’on ne sait pas tout 😉

Si par contre, je dois faire intervenir une société dans l’analyse d’un disque dur parce que celui-ci ne fonctionne plus, je dois demander auparavant l’autorisation du magistrat qui m’a désigné. Le rôle de l’expert judiciaire est bien encadré.

Hoper:

Le fonctionnement de la justice en France est quelque chose de très mal
connu par l’écrasante majorité de la population (moi le premier).
Inconnue et répressive, il est logique que l’administration judiciaire
fasse « peur ». D’où l’importance des blogs (le votre, celui de Maitre
Eolas et de beaucoup d’autres). Merci beaucoup pour le temps passé à
nous éclairer sur ces sujets.

Zythom:

Merci Hoper pour cet échange qui aborde des questions intéressantes qui me sont souvent posées lors des différentes rencontres que j’ai pu avoir IRL avec des internautes, mais que je n’avais jamais abordées ici. Et merci aussi pour le temps passé.

Cracker les mots de passe

Publié le par

Quand j’étais jeune responsable informatique, dans les années 1990, il existait une « tradition » chez les administrateurs réseaux de l’époque: le test des mots de passe des utilisateurs pour vérifier la sécurité du réseau informatique que l’on gérait.

C’est ainsi que j’ai découvert le logiciel « crack« , librement distribué et partagé sur internet par les administrateurs réseaux.

C’est aussi à cette époque que j’ai compris l’intérêt de partager des connaissances utiles pour ceux qui souhaitent se protéger, partant du principe que ces connaissances étaient déjà dans les mains de ceux qui veulent attaquer.

Voici donc un billet sur les outils que j’utilise aujourd’hui dans les analyses que j’ai à mener, soit dans le cadre judiciaire, soit dans le cadre professionnel (quel admin n’a pas déjà eu à contourner un mot de passe root, ou un mot de passe BIOS). J’espère qu’il pourra être utile aux experts judiciaires débutants en la matière, ou à tout ceux qui veulent tester leur réseau informatique personnel ou professionnel.

Dernier point: il n’est pas inutile de rappeler que toute utilisation illégale de
ce type d’outils entraîne votre responsabilité juridique. Si vous cherchez à intercepter le mot de passe de votre patron, ou faire une bonne blague à votre collègue, passez votre chemin. Si vous êtes administrateur réseau, vérifiez avant vos tests que vous avez l’approbation et le soutien de votre hiérarchie, ce qui ne coule pas de source. Enfin, chers parents, ou chers enfants, la récupération des mots de passe des membres de votre famille pour s’en servir à leur insu est réprimandée par la loi.

Bref, ce qui est mal est mal, ce qui est illégal est illégal…

S’il n’était mort il serait encore en vie.

Note à mes lecteurs issus ou nageant déjà dans l’univers de la sécurité informatique, ne vous attendez pas à des découvertes techniques incroyables dans ce qui va suivre, considérez ce billet comme une initiation au B.A.BA pour mes lecteurs « mékeskidis » (© Maître Eolas) ou les simples curieux.

—————————————

0) L’outil magique, celui qui impressionne les amis : Ophcrack

Rendez-vous sur le site de téléchargement d’Ophcrack, récupérez le liveCD qui va bien (Vista/7 par exemple), gravez le et bootez votre machine Windows 7. Regardez et admirez, c’est plug and play.

Ophcrack fonctionne très bien également sur des machines virtuelles, par exemples des images disques créées par la commande « dd » et transformées en VM par liveView.

Pour les plus motivés d’entre vous, il existe des « tables arc en ciel » en téléchargement plus ou moins libre sur internet, permettant d’améliorer les performances de récupération des mots de passe. Attention, ces tables peuvent faire plusieurs gigaoctets. Vous pouvez également les faire vous même (par exemple avec RainbowCrack): prévoir un ordinateur TRES puissant et plusieurs mois de calculs…

Ophcrack est un outil précieux lors des perquisitions, où l’on rencontre souvent du matériel sous Windows XP ou Windows 7.

Conseil aux administrateurs réseaux débutants: bloquez très vite le mode « boot sur CD » de tous les postes que vous administrez…

—————————————

1) L’ancêtre, celui qui fera de vous un barbu : crack

Crack est un logiciel de recherche de mot de passe par création de combinaisons de mots courants stockés dans des fichiers. Je dois à ce logiciel ma plus belle collection de « dictionnaires », le mot étant à prendre ici au sens de « liste de mots » (sans définition). J’ai des dictionnaires de mots dans un grand nombre de langues, des dictionnaires de mots écrits en phonétique, des règles de codage/décodage en langage SMS (t1t1 pour tintin), etc. J’ai également récupéré, quand ils ont été disponibles sur internet, tous les fichiers de mots de passe (parfois plusieurs millions) d’utilisateurs…

Comme indiqué en préambule, c’est le premier programme que j’ai
utilisé dans le contexte d’analyse de la sécurité de mon réseau, pour
tester la validité des mots de passe choisis par les étudiants. Je
précise que je suis barbu avec modération. 20% des mots de passe
utilisés par les étudiants ont été trouvés en moins de 5 mn, 80% en
moins d’une heure. J’ai affiché dans le couloir du laboratoire
informatique la liste des mots de passe par ordre de découverte (sans le
nom du compte associé), avec obligation pour chaque étudiant de changer
leur mot de passe… Toute une époque 😉

Crack est un programme conçu pour UNIX et fonctionnant sous UNIX. La rubrique « Troll » de la FAQ est instructive à ce sujet. Ceux qui ont un peu plus de temps, liront avec délice les emails les plus curieux envoyés au développeur de crack.

C’est un programme pédagogique, qui peut encore être utile, même si je dois avouer ne pas m’en être servi depuis longtemps.

—————————————

2) La référence : John l’éventreur

John The Ripper, ou JTR, est l’une des références dans l’univers des briseurs de mots de passe. Bien qu’un peu ancien maintenant, ce logiciel a su évoluer pour utiliser différentes méthodes d’approche.

Il a surtout l’avantage de fonctionner dans beaucoup d’environnements: Windows, Linux, Mac OS, etc. C’est encore un logiciel basé sur des dictionnaires.

Je raconte dans ce billet, une petite anecdote liée à la présence de ce logiciel sur le poste de travail d’un salarié avec le mot de passe du patron dans un fichier texte…

—————————————

3) L’attaque à distance multi-protocoles : Hydra

Si vous devez auditer un ensemble de postes, de serveurs, de protocoles, de services, de trucs à distance, ou tout simplement un ordinateur allumé ciblé, le tout sans bouger de votre poste d’analyse, voici le produit qu’il vous faut: THC-Hydra.

Je reporte ici la description du produit extraite de ce manuel en français: THC Hydra est un crackeur de mot de passe réseau supportant les protocoles suivants: TELNET, FTP, HTTP-GET, HTTP-HEAD, HTTPS-GET, HTTP-HEAD, HTTP-PROXY, HTTP-PROXY-NTLM, HTTP-FORM-GET HTTP-FORM-POST, HTTPS-FORM-GET, HTTPS-FORM-POSTLDAP2, LADP3, SMB, SMBNT, MS-SQL, MYSQL, POSTGRES, POP3-NTLM, IMAP, IMAP-NTLM, NNTP, PCNFS, ICQ, SAP/R3, Cisco auth, Cisco enable, SMTP-AUTH, SMTP-AUTH-NTLM, SSH2, SNMP, CVS, Cisco AAA, REXEC, SOCKS5, VNC, POP3, VMware-Auth, NCP, Firebird.

Le logiciel possède deux modes de fonctionnement: l’attaque par dictionnaires ou par force brute. A ce propos, ne pas oublier les fonctionnalités moins connues du couteau suisse des réseaux: nmap et ses possibilités d’attaque par force brute.

—————————————

4) Le mot de passe BIOS oublié : PC CMOS Cleaner

Toute la description est dans le titre. La encore, un liveCD à télécharger pour booter ensuite dessus. Rapide, efficace, mais modifie le scellé ce qui est interdit.

Sinon, la vieille méthode dite de « la pile BIOS à enlever » marche toujours, mais il faut savoir la trouver, surtout sur les ordinateurs portables. Encore une fois, interdit dans le cas d’un scellé.

—————————————

5) Efficace mais long : les emails

La meilleure de toutes les solutions est un constat simple que je fais souvent: la grande majorité des gens n’utilisent qu’un ou deux mots de passe, pour tous les systèmes d’authentification qu’ils rencontrent.

Il est donc très probable que l’utilisateur de l’ordinateur analysé ait choisi son mot de passe « habituel » pour s’enregistrer sur un site quelconque de téléchargement de démos, d’achats en ligne ou de webmail. Parmi tous les sites en question, il n’est pas rare que le mot de passe utilisé lors de la procédure d’inscription soit envoyé EN CLAIR dans l’email de confirmation de création du compte.

Il suffit donc d’analyser les correspondances emails (Outlook, Thunderbird, traces logs des différents navigateurs, etc) pour retrouver un ensemble d’emails du type « votre mot de passe est bien ZorroDu69, merci de conserver cet email » (oui, merci). Quand vous listez ensuite tous les mots de passe ainsi trouvés, le nombre dépasse rarement 3 ou 4. Il ne reste plus qu’à les tester sur le compte ciblé pour trouver le bon.

C’est l’application d’une des bases de l’ingénierie sociale…

—————————————

Conclusion

L’amoureux de la vie privée que je suis commencera par un conseil sur les mots de passe: choisissez les de manière à ce qu’ils ne puissent pas apparaître dans une liste de mots de passe, et suffisamment longs pour qu’ils résistent à une attaque par force brute. Je donne souvent l’exemple des premières lettres des mots d’une chanson ou d’un poème, en mélangeant majuscules et minuscules, ex: LsLdvdLBmCdULm, auxquelles vous ajoutez quelques chiffres (en majuscule, non, je plaisante), ex: LsLdvdL1844BmCdULm1896. C’est beau, c’est long, c’est bon, c’est difficile à deviner quand on vous regarde taper sur le clavier (sauf si vous chantonnez).

Mais attention, ce n’est pas inviolable (cf point n°0 sur Ophcrack et le boot sur cédérom).

Ensuite, un conseil encore plus pénible: choisissez un mot de passe très différent pour chaque compte informatique. Dix comptes, dix mots de passe. 50 comptes, 50 mots de passe. Un mot de passe pour Twitter, un autre pour Facebook, un autre pour Gmail, etc. Évidemment, la nature humaine est ainsi faite que la mémorisation parfaite de tous ces mots de passe devient un tantinet compliquée. Je vous recommande donc le logiciel KeePass pour stocker de façon sécurisé tous vos mots de passe. Ce logiciel est même certifié par l’ANSSI, c’est dire. Il peut également générer des mots de passe très long aléatoirement, avec la possibilité de faire des copier/coller, ce qui revient à ne même pas connaître le mot de passe que vous utilisez.

Du coup, vous n’avez à retenir vraiment qu’un seul mot de passe, jamais mis par écrit: celui de l’accès à KeePass. De plus, ce logiciel est à double authentification (présence d’un fichier à choisir + mot de passe). Vous pouvez même placer KeePass sur le Cloud pour pouvoir y accéder de partout !

Cracker des mots de passe est une activité assez amusante, un petit défi technique accessible à tous. Il est par contre plus difficile pour certains étudiants de garder à l’esprit que tout ce savoir technique doit servir du bon côté de la Force. Quoi qu’il en soit: sit vis vobiscum !

En vrac

Publié le par

#0

C’est la première année où je vais effectuer plus d’expertises privées dans le cadre de mon activité free-lance (lire ce billet) que d’expertises judiciaires. Un signe de l’âge des temps ?

#1

J’ai une sœur formidable qui a repris le flambeau de mes parents (tous les deux instituteurs) : elle est professeur des écoles en maternelle dans une ZEP. Comme ce billet décrit exactement son travail, je vous en recommande la lecture.

#2

Je suis toujours en train de passer des entretiens pour voir ce que je vaux sur le marché du travail. Négatif côté ANSSI (dommage, j’aurais aimé travailler avec des roxors), négatif côté Google, négatif pour l’instant côté EADS… Je continue ma crise de la cinquantaine en cherchant tranquillement. Mais je ne me fais pas trop d’illusion: beaucoup de structures préfèrent investir dans la jeunesse pas trop chère. Alors, je réfléchis de plus en plus à développer mon activité d’indépendant pour voir si je peux sauter le pas (voir point #0). Encore faut-il en avoir le courage !

#3

Mon utilisation de Twitter a sensiblement évolué : je poste de moins en moins de tweets et devient de plus en plus un lecteur passif des conversations des autres. C’est assez frustrant. Mais j’ai de moins en moins de choses à dire et toujours autant de choses à apprendre. C’est ainsi. N’hésitez pas à me suivre (@Zythom), vous êtes sur de ne pas voir votre TL floodée… Par contre, je vous préviens, je RT des tweets qui peuvent être vieux de la veille, voire de plusieurs jours 😉

#4

Le blog en version anglaise/américaine se développe. Je remercie tous les traducteurs bénévoles pour leur travail. Il y a au moins cinq billets dans les tuyaux à paraître bientôt. Il ne me reste plus qu’à trouver un Maître Eolas américain qui me prendrait dans sa blogroll sous son aile…

#5

Le billet précédent, intitulé « je suis trop faible« , a fait réagir beaucoup de monde, en commentaire ou par email. Je vous remercie tous ! J’espère ne pas avoir inconsciemment abusé du procédé rhétorique qu’on appelle chleuasme, mais vos messages d’encouragement m’ont fait du bien: vous êtes mon groupe de soutien 🙂

#6

Côté « défis des potes« , le prochain est une participation au marathon de Jersey dans 16 jours. Je cours un relais de 7,5 km dans une équipe de 5… Je déteste courir, j’ai mal partout depuis une semaine que je m’entraîne. Mais c’est toujours pour la bonne cause, pour lutter contre le crabe.

#7

Dans six mois se dérouleront les élections municipales. J’en parlerai peu sur ce blog, mais je postule pour repartir pour une nouvelle mandature de conseiller municipal. Et peut-être comme adjoint au maire cette fois. On verra bien, car contrairement à la dernière fois, il y aura une ou plusieurs listes face à nous. En tout cas, les coups bas ont déjà commencé avec des accusations mensongères dans la presse o_O. Welcome IRL.

#8

Côté pro, la rentrée des étudiants s’est bien passée. Les dégâts liés à l’incendie de la mi-août ont été réparés. J’ai fini mes cours et TD de présentation des systèmes informatiques et techniques. J’aime bien remettre pendant une semaine ou deux ma vieille casquette de professeur, mais je préfère quand même me concentrer sur la maintenance et le développement des systèmes de l’école.

#9

Les enfants grandissent et m’apportent joie, fierté et amour. J’en parlerai de moins en moins sur ce blog pour les laisser développer leur propre vie numérique et respecter leur vie privée. Un pseudo ne cache pas grand chose. Je verse quand même une petite larme en pensant à l’un de mes premiers billets, écrit en 2006, et qui expliquait pourquoi j’ouvrais ce blog. La petite fille de 12 ans dont je parlais alors est en étude de médecine maintenant…

#A

Je n’ai pas encore pu faire le saut en parachute que mes amis m’ont offert cet été pour mes 50 ans. J’ai dépensé tout l’argent pour profiter des vacances avec ma femme et mes enfants. On ne vit qu’une fois et maintenant la cigale mange des pâtes… Mais je ne désespère pas le faire en 2013. J’ai choisi de faire au moins le premier saut des six sauts prévus dans une PAC. Pour l’instant, je regarde les autres le faire en vidéo. Vivement que je puisse m’élancer, tenu à bout de bras par un instructeur !

#B

J’avance très doucement sur mon retour dans les réseaux de neurones. Je passe trop de temps avec mon fils sur Xbox360 sur les différents Call of Duty… Il me reste deux enfants à la maison, j’essaye d’en profiter au maximum sans les envahir. Après, il sera trop tard ! Et je pourrai toujours revenir sur mes rêves de chercheur dans cinq ans. Stay tuned.

Si vous avez cliqué sur tous les liens de ce billet, vous avez ma considération distinguée 😉

————————————–

Source photo JSBG : les animaux sautent aussi en parachute…

Je suis trop faible

Publié le par

Je suis fasciné par son regard d’une infinie tristesse, malgré son sourire forcé. Le visage de cette petite fille est rempli, dévoré par ses deux grands yeux marrons. J’ai son visage sur des dizaines de photos, prises sous des angles différents. Elle regarde parfois l’objectif, parfois dans le vide. Le plus dur, c’est quand ses yeux plongent dans les miens.

Sur chaque photo d’elle, un sexe d’homme. Près de son visage, dans sa bouche ou dans ses mains. Sans être médecin, je lui donne cinq ou six ans. Je suis en pleine expertise judiciaire sur des photos pédopornographiques.

Je suis seul dans mon bureau, chez moi, porte fermée, avec interdiction donnée à mes enfants de me déranger. Je les entends passer près de ma fenêtre en riant. Il fait beau, c’est un beau week-end de printemps.

Nouvelle photo, toujours d’elle. Ses grand yeux m’obsèdent. Son petit corps nu semble si fragile qu’on a envie de la protéger, de traverser l’écran pour empêcher cet homme de l’approcher, de lui faire du mal, de la violer. Mais je suis impuissant à agir, je ne peux que regarder et prendre des notes pour mon rapport.

J’ai honte de ma faiblesse, de mes réactions, de ma sensiblerie. Tant de personnes travaillent dans des conditions difficiles: médecins, pompiers, gendarmes, policiers… Mais ils se soutiennent, se parlent, échangent, évacuent par des mots les horreurs qu’ils cotoient.

Moi, je suis seul. Je n’ai pas de formation pour gérer ce que je ressens, ce que je vois. Je suis un simple informaticien qui aide la justice. Je n’ai que ce blog.

Photo suivante. Cela fait maintenant trois heures que mon cerveau absorbe ces images, que je les inventorie. Je fais une pause, je ferme les yeux. Pourquoi est-ce que je n’arrive pas à contenir mes larmes ? Je suis un homme, je dois savoir gérer mes émotions. Je laisse la crise passer. Je suis un homme, rien de ce qui est humain, je crois, ne m’est étranger (Térence).   

Je suis un faible.

Je reprends mes investigations, un peu apathique. Rien ne m’oblige à passer autant de temps sur chaque photo. J’accélère la visualisation. D’autres filles, d’autres visages, d’autres âges, d’autres hommes, tant de positions.

Il est tard, la nuit est avancée. Je termine mon rapport, je rédige les annexes, grave les DVD. Pour faciliter la lecture du rapport papier par les OPJ, greffiers et magistrats, j’évite les illustrations, je les repousse en fin de rapport, en annexe.

J’ai choisi quelques photos parmi les plus marquantes.

J’ai choisi celles où cette enfant regarde l’appareil photo avec ses grands yeux tristes, avec dans la bouche ce sexe aussi grand que sa tête.

J’ai encore cette image dans la tête.

Il faut que j’arrive à gérer mes émotions.

Les autres experts y arrivent bien.

Je suis trop faible.

—————————————

Source photo: chilloutpoint.com

L’ANSSI et le test Google

Publié le par

Je fais partie des premières générations d’étudiants de lycéens à avoir été autorisées à utiliser une calculatrice électronique au baccalauréat. J’ai donc connu les deux systèmes: la règle à calcul et les tables de logarithmes versus la calculatrice électronique. Autant vous dire que j’ai choisi mon camp immédiatement !

Et pourtant, je me souviens des querelles sans fin opposant les « pour » et les « contre », avec en ligne de mire la disparition des capacités intellectuelles des générations futures. Au passage, si je constate effectivement une baisse des aptitudes au calcul mental de mes étudiants, je me permets de constater une hausse très nette de leurs compétences dans bons nombres de domaines utiles au métier de l’ingénieur (mais j’y reviendrai).

Les professeurs de l’époque ont du s’adapter au monde nouveau qui s’imposait à eux. Ils ont du revoir les problèmes qu’ils donnaient à leurs élèves, parfois depuis plusieurs décennies. En effet, certains problèmes devenaient ridiculement faciles dès lors que l’on disposait de ce magnifique instrument de calcul. J’appelais ces problèmes « les tests calculatrices ». Certains professeurs ont mis plus de temps à s’adapter, ce qui m’a permis d’avoir parfois des notes inespérées, en particulier en chimie. Je me souviens de ces vieux professeurs qui nous grommelaient « comment ferez vous pour calculer vos logarithmes si la calculatrice tombe en panne »…

Il faut savoir accepter le progrès, s’adapter et accepter que certaines compétences deviennent obsolètes. L’utilisation des tables de logarithmes en fait partie.

L’accès facile à internet pour tous les étudiants, partout et tout le temps grâce aux téléphones mobiles, a changé la donne pour beaucoup d’enseignants et révolutionne la manière d’appréhender beaucoup de problèmes. Est-il nécessaire d’apprendre par cœur telle ou telle somme d’information quand elle est facilement accessible ? Quel type de savoir faut-il enseigner : la connaissance qu’une information existe, savoir la retrouver ou la connaissance en elle-même ? Chaque professeur répond à ce type de question selon sa pratique et son savoir-faire. Mais cela donne parfois lieu à ce que j’appelle « des tests Google », c’est-à-dire des tests où les réponses se trouvent facilement avec un moteur de recherche.

Je suis personnellement en plein questionnement sur mon devenir professionnel : je fais ma petite crise de la cinquantaine et, malgré un travail que j’aime et qui me propose encore beaucoup de défis, j’ai du mal à admettre que je ne pourrai plus jamais changer d’emploi dans les 15 années à venir, si je ne le fais pas maintenant. Je suis donc en train de répondre à des annonces et de passer des entretiens. Vu mon profil et mon expérience d’expert judiciaire, je recherche un poste dans l’analyse inforensique. Au passage, je remercie les lecteurs de ce blog et tous les twittos qui ont relayé l’information.

Et parmi les milliers centaines dizaines quelques offres sur ce créneau visibles sur le marché, j’ai répondu à une annonce de l’ANSSI. L’Agence Nationale de la Sécurité des Systèmes d’Information regroupe en effet de nombreux spécialistes de l’investigation numérique, dont quelques uns que j’ai pu rencontrer au SSTIC. C’est donc avec une vrai envie de travailler avec ces personnes que je me suis rendu à l’entretien d’embauche qui m’a été proposé.

J’ai accepté de ne pas dévoiler le contenu de cet entretien, aussi je ne vous donnerai pas de détails sur son déroulement, rien sur la confiscation de mes téléphones à l’accueil, je n’aborderai pas la difficulté de trouver l’adresse, ni la climatisation en panne.

Un point m’a néanmoins surpris: les recruteurs m’ont fait passer ce que j’appelle un « test Google ». Appelé « test technique », il s’agit d’un long formulaire comportant de nombreuses questions techniques sur tous les aspects de l’inforensique. Toutes les réponses de ce test se trouvent facilement sur Google. Sauf que je n’avais pas accès à internet…

Le problème est que je travaille depuis de nombreuses années avec un accès internet (depuis 1990 en fait), et que j’ai pris l’habitude d’intégrer cet outil dans ma manière de travailler. A cinquante ans, je n’apprends plus par cœur les paramètres des commandes UNIX que je n’utilise que de temps en temps. Je n’apprends plus par cœur les définitions des concepts que je manipule. Lorsque j’ai besoin de construire une expression rationnelle, je le fais avec l’aide d’internet. Quand j’ai un doute sur l’orthographe d’un mot, je le googlise.

Bref, j’utilise internet comme une gigantesque encyclopédie. Et de la même manière qu’avec la calculatrice, j’ai oublié la manière de « calculer les logarithmes avec les tables », j’ai placé un certain nombre de mes connaissances « dans le nuage »… Pas toutes bien sur, mais celles qu’il me semble inutile d’encombrer mon esprit. Pareillement, je ne retiens aucun numéro de téléphone ni rendez-vous: une partie de ma vie est dans mon téléphone…

Je sais, c’est mal pour exercer sa mémoire. J’ai longtemps un peu lutté contre cette fainéantise, mais mon naturel a pris le dessus. Pourquoi faire cet effort, quand tant d’autres efforts sont à faire !

Ce qui fait que je me suis trouvé ridicule à ne pas savoir répondre à certaines questions du formulaire ANSSI, telle que « quelle est la différence entre un processus et un thread ». Ne riez pas.

Pourtant, je suis persuadé que la mesure des connaissances, que ce soit pour évaluer un étudiant ou un candidat à l’embauche, doit être autre chose qu’un « test Google ». J’aurais préféré qu’on ai un peu plus confiance en ma capacité à apprendre, à m’adapter. J’aurais préféré qu’on regarde un peu plus mon parcours, mes réalisations, mes succès et mes échecs.

J’aurais préféré qu’on ne me dise pas « bossez un peu plus l’inforensique des systèmes live et revenez dans deux ans ». Même si c’est vrai.

Dans deux ans, j’aurai des lunettes Google et je réussirai tous les tests Google!

Dans deux ans, j’aurai peut-être réussi à travailler avec les meilleurs de l’ANSSI!

Mais dans deux ans, j’aurai 52 ans.

xkcd « Tar » https://xkcd.com/1168/

Les experts peuvent se tromper…

Publié le par

Dans le cadre des rediffusions estivales, le billet du jour, publié en septembre 2009, rappelle que la justice est humaine, et la science aussi.

Bonne (re)lecture.

————————————–

J’ai lu attentivement l’article de Jean-Marc Manach dans InternetActu qui s’intitule « Quand les experts se trompent« , article repris par ailleurs dans Le Monde.fr.

Je dois dire que j’ai déjà écrit quelques mots timides sur le sujet dans ma rubrique « erreurs judiciaires« ,
souvent sur des points de détails ou sur des affaires lointaines, afin
d’éviter de trop attirer les foudres de mes confrères experts
judiciaires, tout au moins ceux qui voient ce blog d’un mauvais œil.

Mais depuis « l’affaire Zythom« ,
je dois dire également que je me sens plus libre d’exprimer ce que je
pense, dès lors que je n’enfreins aucune loi de la République. Enfin, du
fait que je n’appartiens activement à aucun réseau d’experts
judiciaires, je dois rappeler que mes écrits ne reflètent que ma seule
opinion, et non celle de l’ensemble des experts judiciaires.

Je peux donc dire que l’article est excellent et qu’il me sert d’excuse pour un petit rappel sur le sujet.

Les experts peuvent se tromper pour de multiples raisons.

Dans mon billet sur la femme sans visage, je relate une enquête policière détruite par des relevés ADN souillés dès l’usine de fabrication. Les affaires Fourré, Dupas, Martin, Bernard, Castro, Goujon sont là pour nous rappeler que les experts judiciaires n’ont pas toujours brillé par leur infaillibilité.

Même les meilleurs d’entre nous doivent se rappeler que la science évolue au cours du temps. L’expert judiciaire Tardieu ne s’était jamais trompé. Il a seulement subi les ignorances de la science.

En matière informatique, avec les formidables avancées techniques où
tout semble possible, les erreurs potentielles sont nombreuses. Il
suffit pour s’en convaincre de lire par exemple les débats sur la loi
Hadopi (je n‘en parle pas ici).

Moi-même, je suis passé pas loin d’une erreur judiciaire…

Les experts se trompent parfois, mais il y a plusieurs parades à cela.
Contre expertise, collège d’experts et bien entendu les
experts-conseils.

Je parle assez peu (pour l’instant) de mon activité d’expert-conseil sur
ce blog et pour cause, je consacre actuellement toutes mes forces à
l’expertise judiciaire classique. Mais il m’arrive d’être contacté par
un avocat qui souhaite être conseillé sur un dossier par un expert
technique. On parle alors d’expertise privée.

Je l’aide alors à analyser un pré-rapport d’expertise « du point de vue
technique », à rédiger des dires techniques en pointant ce qui m’apparaît
comme des imprécisions techniques (ou des erreurs). Ou alors je
l’assiste comme « expert privé » lors d’une procédure d’expertise menée
par un expert judiciaire.

Et pour éviter toute suspicion d’entente avec un confrère, je n’accepte que des dossiers situés hors de ma Cour d’Appel.

Mais tout cela coûte de l’argent (malgré mes honoraires très bas – pub)
et est difficilement supportable par le citoyen lambda. Encore moins par
le budget de la justice. Même dans mon cas où je travaille uniquement à
distance par échanges GPG pour éviter les frais et honoraires de
déplacements.

Enfin, je voudrais rappeler que dans toute affaire terminée par une
condamnation erronée, l’un des acteurs, à un moment quelconque, a
enfreint une règle essentielle de sa délicate mission. Et directement ou
non, l’erreur est née de cette faute. Par penchant, plus souvent par
imprudence, langueur d’esprit, désir d’arriver à un résultat ou crainte
de laisser un crime impuni, quelqu’un a pris parti contre le prévenu.
Dès lors, il l’a tenu coupable. Il n’a pas conçu la possibilité de son
innocence, et, pour découvrir la vérité, il a cru qu’il suffisait de
chercher des preuves de culpabilité. Les meilleurs s’y laissent aller.
Ils croient bien faire, et préparent « des condamnations plus crimineuses
que le crime » [Montaigne, Essais, livre III, chap.XII].

C’est terrible à dire, mais la justice est humaine, et la science aussi.

Le dernier maillon…

Publié le par

Cette année 2013 a jusque là été plutôt chargée, tant du point de vue professionnel, que du point de vue des expertises judiciaires ou de la préparation de la campagne des élections municipales… C’est aussi une bien belle année du côté privé, avec par exemple l’arrivée des 50 ans et la fête que mes amis viennent de m’offrir 😉

Dans les semaines qui viennent, je vais essayer de profiter de ma petite famille. Je vais donc délaisser un peu ce blog. Mais je sais que vous avez de la lecture avec la parution récente du tome 4, qui permet aux retardataires d’avoir une lecture ciblée de billets sélectionnés. Je remercie au passage tous ceux qui ont acheté ou téléchargé les différents tomes du blog. Cela me fait plaisir de voir que ce modeste blog perso suscite un tel intérêt.

Du coup, je vous ai programmé
quelques billets qui sont des rediffusions d’anciens billets du blog
auxquels je souhaite donner une seconde chance, en général parce qu’ils
ont une place particulière dans mon cœur. Pour repérer rapidement ces
rediffusions, je commencerai toujours les billets par « Dans le cadre des
rediffusions estivales » 😉

Dans le cadre des rediffusions estivales, le billet du jour, publié en août 2009, raconte une anecdote judiciaire où j’ai voulu mettre en avant le rôle des petites mains qui forment souvent le cœur des entreprises. C’est un billet pour lequel j’ai une certaine tendresse.

Bonne (re)lecture.

—————————————

Elle venait d’entrer dans la salle, impressionnée par tant de personnes.

La réunion durait depuis plusieurs heures, j’avais écouté toutes les
explications fournies par les parties, et je ne comprenais toujours pas
pourquoi les deux entreprises en étaient arrivées là.

J’avais surtout compris que le support informatique effectué par la
société de service ne s’était pas déroulé correctement et que les deux
entreprises étaient maintenant au bord du gouffre, l’une parce qu’elle
avait perdu toute ses données et l’autre son plus gros client.

Mais après avoir écouté, dans l’ordre de bienséance hiérarchique, les
grands patrons, puis les avocats, les chefs de service et les chefs de
projet, je ne comprenais pas ce qui avait fait tout capoter.

On me parlait de milliers d’euros de pertes par jour, de licenciements,
de dépôt de bilan. Et moi, je ramenais toujours les débats sur le
terrain de l’expertise judiciaire en informatique,
rappelant que mes missions n’incluaient pas l’analyse comptable et
financière de la situation, mais la recherche des causes techniques
(exclusivement).

Bon, j’avais compris dès le début de la réunion que les rapports humains
s’étaient vite envenimés dans cette affaire qui aurait peut-être pu se
régler plus simplement et plus rapidement si les deux parties avaient
usées d’un peu plus de diplomatie…

Enfin quoi, un serveur ne tombe pas en panne en même temps que son
système de sauvegarde: disques durs en miroir (RAID1), sauvegardes
quotidiennes complètes avec rotation sur trois bandes, archivage d’une
bande chaque semaine hors site.

La société de service me décrit un système de sécurité des données
infaillibles, et un suivi des procédures avec traçabilité, etc. « Nous
sommes certifiés ISO machin, vous comprenez, notre société est au
dessus de tout soupçon, nous n’employons que des personnes compétentes,
suivant des formations régulièrement, nous avons mis en place un système
de télésurveillance avec prise de contrôle à distance qui nous permet
de faire des interventions en un temps record… » m’a expliqué de long en large le patron de la SSII.

« Nous payons très cher un service support qui n’a pas été capable d’empêcher ce désastre… »
Me dit le patron de l’entreprise, entre deux invectives, au milieu de
reproches divers sans rapport avec l’affaire qui nous concerne.

Nous avions passé en revu l’accès distant du support via internet, les
fiches ISO machin d’intervention des techniciens, les rapports, les
dossiers techniques, les courriers recommandés.

Moi, je voulais voir la personne qui avait appelé le support…

Elle venait d’entrer dans la salle, impressionnée par tant de personnes.

Je lui pose les questions d’usage: prénom, nom et intitulé de la
fonction au sein de l’entreprise. Dans un silence à la tension palpable,
elle me raconte sa version de cette journée noire.

Elle: « Comme d’habitude, avant de
partir déjeuner, j’ai mis la bande dans le serveur et lancé la
sauvegarde. Je sais que c’est une opération importante alors je la fais
toujours avec précautions. Mon chef m’a dit que les bandes étaient très
chères. »

Moi: « Comment saviez-vous que c’était la bonne bande à placer dans le boîtier? »

Elle: « Les bandes sont numérotées et je dois mettre la bande correspondant au numéro du jour. »

Moi: « Pouvez-vous préciser? J’avais cru comprendre qu’il n’y avait que trois bandes. »

Elle: « Oui, mais la bande numéro 3 a
été mise de côté par le comptable après la clôture des comptes. Il m’a
dit de mettre la bande numéro 1 les jours impairs et la bande numéro 2
les jours pairs. J’ai trouvé cela astucieux, car avant, je devais à
chaque fois noter dans un cahier le numéro de la bande utilisée. »

Moi: « Montrez-moi ce cahier, s’il vous plaît. Donc depuis huit mois les
sauvegardes ne se faisaient que sur deux bandes. Pouvez-vous me dire ce
qui c’est passé à votre retour de pause déjeuner? »

Elle: « Les assistants m’ont appelé
pour me dire que leurs terminaux ne fonctionnaient plus et pour me
demander de redémarrer le serveur. J’y suis allé et j’ai vu que l’écran
était tout bleu avec des inscriptions que je n’ai pas comprises. Avant
de redémarrer le serveur, j’ai appelé le support. Le technicien m’a dit
que cela arrivait de temps en temps et qu’il fallait que je redémarre le
serveur. Je lui ai dit que la sauvegarde ne s’était pas terminée
correctement. Il m’a dit de la relancer. »

Moi: « Vous avez utilisé la même bande? »

Elle: « Oui. C’est d’ailleurs ce que
m’a demandé le technicien lorsque je l’ai rappelé une heure plus tard
pour lui dire que de nouveau plus rien ne fonctionnait et que la
sauvegarde s’était encore mal terminée. Il m’a alors indiqué que la
bande devait être défectueuse et que c’est ça qui devait « planter » le
serveur. Il m’a alors recommandé d’utiliser une autre bande. C’est pour
cela que j’ai mis la bande n°2 alors que ce n’était pas le bon jour. »

Moi: « Vous n’avez pas de bandes neuves? »

Elle: « On ne m’en a pas donné et j’ai cru que c’était parce qu’elles coûtaient cher. »

Moi: « Mais, quand votre chef vous a dit qu’elles avaient de la valeur,
ne voulait-il pas dire cela à cause des données qui étaient stockées
dessus? »

Elle: « Ce n’est pas ce que j’ai compris. On m’a dit qu’elles étaient chères… »

Moi: « Mais en mettant la deuxième bande, ne vous êtes-vous pas dit que
si elle venait également à être effacée, il n’y aurait plus de
sauvegarde? »

Elle: « Non, je n’ai fait que suivre les indications du support… »

Je l’ai regardé sortir de la salle et j’ai eu une pensée émue pour les
gens qui sont les derniers maillons de la chaîne de commandement, les
petites mains. Ce sont souvent elles qui ont les plus grandes
responsabilités in fine.

Mais je n’ai pas oublié l’ensemble des décideurs:

– un disque dur en miroir sans remontée d’alertes et sans surveillance.
Résultat: depuis plusieurs mois, l’un des deux disques était en panne.
Il ne restait plus qu’à attendre la panne du deuxième, ce qui venait
d’arriver pendant le stress généré par la sauvegarde.

– une mauvaise formation des employés concernant le système de
sauvegarde (et le coût des bandes en regard du coût de la perte des
données). Ils n’avaient pas conscience que lorsqu’une sauvegarde
démarre, elle écrase les données précédentes. Si elle est interrompue
brutalement, la bande est inexploitable. Deux bandes inexploitables à
cause d’un disque en train de tomber en panne et toutes les données sont
perdues…

– une prise de contrôle à distance inopérante en cas d’écran bleu qui aurait du déclencher la venue en urgence d’un technicien.

– la décision du support de sacrifier une deuxième bande de sauvegarde
sans s’être renseigné sur l’existence d’une autre bande de sauvegarde récente et en état.

– la décision de retirer une bande du jeu de trois sans prévenir le
support, surtout quand cela annule la sauvegarde hebdomadaire avec
déport hors site.

– l’absence totale d’exercice de restauration de données et de tests des bandes utilisées.

– la situation de quasi abandon du serveur du point de vue physique avec
traces de serpillière sur la carcasse posée à même le sol et sur la
multiprise parafoudre…

Il y avait beaucoup de choses à dire sur le respect de l’état de l’art
par les deux entreprises. Il y a de nombreuses fois où je n’envie pas le
juge qui doit trancher. Je me contente de rester un simple technicien
de l’informatique.

Mais j’ai encore aujourd’hui une pensée pour le dernier maillon de la
chaîne, celui à qui on dit d’appuyer sur le bouton et qui fait tout
exploser…

———————–

Source image xkcd

Les innocents

Publié le par

Lorsqu’un enquêteur me confie un scellé, celui-ci est bien entendu accompagné d’une mission, comme par exemple : « fournir tous les éléments en rapport avec les faits ». Ce type de mission présente une particularité redoutable : il est impossible de prévoir le temps que l’on va mettre pour analyser le contenu du scellé…

Prenons un exemple. Je suis contacté par téléphone par un enquêteur, en général un gendarme ou un policier. Celui-ci évoque quelques éléments de son dossier en rapport avec la mission qu’il compte me confier. Souvent l’enquêteur me demande conseil sur la rédaction exacte de la mission, pour ne pas faire de bourde (exemple de bourde : « imprimer sur papier toutes les images retrouvées ». Je DOIS effectuer la mission, même s’il y a 20 000 images !).

L’enquêteur aime également être précis sur les termes techniques qu’il va utiliser pour décrire la mission, surtout dans un domaine qu’il ne maîtrise pas forcément. Encore que dans le domaine de l’informatique, gendarmes, policiers et magistrats ont énormément progressé ces dernières années. Je trouve de moins en moins de scellés sans disque dur… Et de plus en plus de scellés avec leurs périphériques USB !

Mais je n’arrive quasiment jamais à avoir une réponse à cette question simple : quelle est la taille du ou des disques durs.

Prenons un exemple plus précis : l’enquêteur m’explique que le propriétaire de l’ordinateur est soupçonné d’échanger des images pédopornographiques. Son ordinateur a été placé sous scellé et ma mission, si je l’accepte, est la suivante (vous remarquerez qu’en fait, il y a plusieurs missions):

– réceptionner le scellé et le briser

– faire une copie des données numériques présentes sur les disques durs présents dans le scellé

– rechercher toutes traces d’images pédopornographiques

– rechercher tous les échanges effectués en rapport avec ces images (emails, sites internet, chat, etc.)

– fournir tous les éléments en rapport avec les faits

– placer sur cédérom ou dvd tous les éléments trouvés, en deux exemplaires

– reconstituer le scellé et rédiger un rapport.

En général, l’enquêteur arrive assez vite sur ce qu’il a en tête depuis le début de la conversation : « acceptez-vous la mission ? ».

A ce stade, j’essaye d’en savoir un peu plus : système d’exploitation, taille des disques durs… En général sans succès. J’essaye aussi de négocier la livraison du scellé à mon domicile (souvent possible, mais de moins en moins).

Mais avant tout cela, il me faut accepter la mission et établir un devis, qui doit aussi être accepté par le magistrat qui supervise l’enquête pour que l’expertise démarre. Autant vous dire que le devis est parfaitement pifométrique au nez doigt mouillé. Dans l’affaire qui m’intéresse, j’ai estimé l’analyse à environ 20 heures de travail, parce que je suis un grand naïf et que je me refuse à établir des devis plus réalistes…

Après prise de rendez-vous et dépôt d’une demi-journée de congés payés, le jour J, à l’heure H prévue, l’enquêteur est à ma porte, avec le scellé. Il vérifie mon identité avec un lecteur d’empreinte rétinienne en me demandant mon nom, et je signe les papiers d’acceptation de mission et de réception du scellé.

Il ne me reste plus qu’à jeter le scellé sur un mur pour le briser, et ma première mission est terminée. Je plaisante. J’ouvre le scellé en coupant le cordon de l’étiquette jaunie par le temps (ce type d’étique date probablement du milieu du siècle dernier) attachée subtilement autour de l’ordinateur. Sache, jeune padawan enquêteur, que je m’amuse beaucoup à essayer d’accéder à l’ordinateur SANS briser le scellé. Seul un Chevalier Jedi sait emmailloter correctement un scellé pour que PERSONNE ne puisse l’ouvrir sans le briser.

On s’amuse comme on peut.

C’est à ce moment-là, dans l’affaire en question, que je me suis rendu compte que le scellé contenait un disque dur de 3 To…

Bien bien bien. Je m’équipe comme il faut d’un nouveau NAS pour absorber l’image du disque dur, plus toutes les données extraites. Soit environ 6 To. Rien que ce travail là m’a pris un mois. Entre réglages, tests divers, hésitations, mesures de performances, le temps s’écoule très vite le soir et les week-ends (n’oubliez pas que le reste du temps j’ai un vrai métier).

Je procède, la main tremblante, à la copie du disque dur. Tout est fait pour qu’il ne tombe pas en panne à ce moment là : ventilateur, onduleur, encens et divers rites liés à ma foi. La copie a duré 48h pendant lesquelles j’ai très mal dormi.

Voici venu le temps de l’exploration préalable de la copie du disque dur. C’est un moment que j’aime bien : en effet, au cœur des ténèbres, j’aime l’odeur du napalm au petit matin… Je me promène l’air de rien sur le disque dur pour regarder à qui j’ai affaire.

Ce disque dur avait l’air d’appartenir à quelqu’un de normal.

Mince.

Je procède alors à la récupération de toutes les images présentes sur le disque dur, effacées ou non. Me voici à la tête de dizaine de milliers d’images. Pendant des jours (en fait des nuits), je trie, je regarde, je cherche des images pédopornographiques: rien !

Je vérifie la présence de logiciels de chiffrage, de stéganographie. J’étudie en profondeur la base de registre qui garde trace de… tout en fait: clefs et disques durs USB installées et branchés, logiciels installés, supprimés, etc. Rien d’intéressant !

Je lis tous les documents doc, pdf, txt, cvs, odt, le contenu des zip, 7z, rar, etc. Nenio !

Je cherche tous les fichiers de grandes tailles, je vérifie la présence de containers TrueCrypt ou équivalent. Niente !

Je dresse la liste de tous les logiciels de communication présents (il y en a beaucoup) : Skype, Windows Live, Outlook, Firefox, Chrome, Internet Explorer… Pour chacun, je dis bien POUR CHACUN, il me faut étudier leurs traces, les messages échangés, leurs bases de données, souvent chiffrées d’une manière propriétaire.

Je commence par les outils de messagerie : déchiffrage des bases, analyse des échanges. Patiemment, outils après outils, avec l’aide des sites spécialisés en inforensique, avec les outils développés par la communauté, je cherche des échanges entre pédopornographes, des éléments en rapport avec les faits. Nichts !

L’enquêteur m’appelle de temps en temps pour me presser connaître l’état d’avancement de mes investigations. Je le tiens au courant. Si je trouve quelque chose, j’ai sa ligne directe et un forfait illimité.

J’attaque ensuite les historiques de navigation. Entre les différents comptes des utilisateurs de l’ordinateur, et les fichiers effacés, je me suis retrouvé avec 800 000 fichiers à analyser ! Cookies, URL, données des caches… Un confrère m’a orienté vers un logiciel que je ne connaissais pas : NetAnalysis. Test de la version d’essai, achat à mes frais de la licence, attente de la réception du dongle. Une fois le dongle reçu, j’analyse les données, je reconstitue les pages consultées à partir des données en cache, y compris les caches effacés. Un mois passe. Nada !

L’utilisation de l’ordinateur semble normale : du surf sur des sites pornographiques (internet, c’est pour le porno), des photos de famille, des films d’amateur, de la musique, des accès Youtube, le bon coin, Meetic. Rien d’anormal. Dim !

Je suis dans le cas de figure où l’on creuse partout sans savoir ce que l’on cherche réellement comme cadavre, dans une affaire où il n’y a pas de corps… Il faut me rendre à l’évidence, j’ai affaire à un innocent !

Mince.

Enfin.

300 heures de travail, à la recherche de preuves ignobles, la peur au ventre de tomber sur des images immondes, pour finalement me dire que l’ordinateur semble normal. Que son propriétaire est normal. Que ses utilisateurs sont normaux.

Soulagement.

Je n’ai pas pu m’empêcher néanmoins d’avoir un petit pincement au cœur quand j’ai rédigé ma note de frais et honoraires dans laquelle je mentionne 20 heures de travail. Mais j’ai travaillé pour la France, j’ai blanchi un innocent, je dispose de deux NAS performants et d’une clim pour mon bureau, j’ai appris à me servir d’un logiciel efficace acheté à mes frais. J’ai occupé mes soirées et mes week-ends.

Je suis heureux.

Mais ce sont quand même les innocents qui demandent le plus d’efforts.

————————————

Source image MegaPortail.

Tome 4

Publié le par

Après pas mal de rebondissements, le tome 4 du blog est enfin prêt 🙂

Le bébé fait 242 pages et le papa se porte bien…

Vous le trouverez au format papier pour un prix modique chez mon éditeur (cliquez sur le lien). Il agrémentera avec élégance votre bibliothèque, ou fera l’objet d’un cadeau original pour vos parents et vos amis 😉

C’est une autre façon de lire le blog et de le faire partager.

Parce que j’aime l’esprit de partage qui règne sur internet, il est également disponible sans DRM dans les formats suivants (cliquez pour télécharger) :

– Pdf (2166 Ko)

– Epub (278 Ko)

– Fb2 (543 Ko)

– Lit (413 Ko)

– Lrf (532 Ko)

– Mobi (578 Ko)

– Papier (242 pages 😉

Bien sûr, les tomes précédents sont encore disponibles, en format papier ou électronique sur la page publications.

Avertissements :

Les habitués du blog le savent, mais cela va mieux en l’écrivant: la
publication des billets de mon blog, sous la forme de livres, est
surtout destinée à ma famille et à mes proches. C’est la raison pour
laquelle j’ai choisi la démarche d’une autopublication. J’ai endossé
tous les métiers amenant à la publication d’un livre, et croyez moi, ces
personnes méritent amplement leurs salaires! Mise en page, corrections,
choix des titres, choix des couvertures, choix du format, choix des
polices de caractère, marketing, numérisation, etc., sont un aperçu des
activités qui amènent à la réalisation d’un livre. Je ne suis pas un
professionnel de ces questions, je vous prie donc de m’excuser si le
résultat n’est pas à la hauteur de la qualité que vous pouviez attendre.
Le fait d’avoir travaillé seul (avec Mme Zythom-mère pour la relecture, merci à
elle), explique aussi le faible prix de la version papier pour un livre
de 242 pages.

Je me dois également, par honnêteté envers les acheteurs du livre, de
dire que les billets en question sont encore en ligne et le resteront.
Les billets sont identiques, à part les adaptations indiquées ci-après.

Le passage d’un billet de blog à une version papier nécessite la
suppression des liens. J’ai donc inséré beaucoup de « notes de bas de
page » pour expliquer ou remplacer les liens d’origine. Dans la version
électronique, j’ai laissé les liens ET les notes de bas de page. Je vous
incite à lire les notes de bas de page le plus souvent possible car j’y
ai glissé quelques explications qui éclaireront les allusions
obscures.

J’espère que ce tome 4 vous plaira. En tout cas, je vous en souhaite une bonne lecture.