Archives par mot-clé : Professionnel

Casser les mots de passe de ses utilisateurs avec le plus gros dictionnaire français du monde

Publié le par

En tant que responsable de la sécurité des systèmes d’information de mon entreprise, j’ai plusieurs missions, dont celle de la sensibilisation à la sécurité informatique de mes utilisateurs. Pour cela, j’utilise plusieurs approches : les messages de sensibilisation (phishing, ransomware, etc.), les messages opportunistes lorsqu’une crise (chez les autres) est médiatisée, les vidéos de sensibilisation, les interventions dans les services, auprès du COMEX, etc.

Je fais intervenir des sociétés spécialisées dans les attaques éthiques, pour aller plus vite et pour avoir un regard externe, regard externe qui est souvent mieux perçu que celui du local de l’étape. Mais je mène parfois des audits internes moi-même. Voici un retour d’expérience que je partage avec vous, parce que cela illustre (pour les jeunes) l’un des aspects de la cybersécurité, et parce que cela peut peut-être aider un ou deux RSSI débutants qui passeraient par là, sait-on jamais.

Je précise que la méthode que je présente ici n’est qu’une des nombreuses méthodes existantes.

1ère étape : Récupérer la base de données des utilisateurs

Dans l’environnement de mon entreprise, comme c’est souvent le cas, les comptes des utilisateurs sont gérés par Microsoft Active Directory. Problème, il faut des droits particuliers pour pouvoir accéder à la base de données des utilisateurs. Or, le RSSI que je suis ne dispose pas de droits permettant cet accès…

Il m’a donc fallu contourner le problème : je suis passé par la console de gestion de mon antivirus++ que l’on appelle un EDR. En effet, la console de gestion de mon EDR me permet d’exécuter des commandes sur toutes les machines sur lesquelles cet EDR est installé.

Je me suis donc connecté sur un contrôleur de domaine secondaire pour y ouvrir un terminal particulier via la console EDR et j’ai exécuté la commande suivante :

ntdsutil "ac i ntds" "ifm" "create full c:\temp\SSI" quit quit

Cette commande crée une copie des fichiers NTDS.dit et SYSTEM qui contiennent toutes les informations utiles pour moi et les place dans le répertoire c:\temp\SSI du contrôleur de domaine. J’ai ensuite compressé ce répertoire dans une archive avec mot de passe. Puis j’ai supprimé tout le contenu de ce répertoire, par sécurité.

Problème : ma console EDR ne me permet pas de télécharger le fichier c:\temp\SSI.7z car il dépasse la taille autorisée… Il m’a donc fallu demander un peu d’aide : j’ai attendu 24h puis j’ai ouvert un ticket de demande de récupération du fichier SSI.ZIP au support informatique à partir des sauvegardes quotidiennes de cette machine. C’est passé crème.

Attention, le fait d’avoir mis les fichiers NTDS.dit et SYSTEM dans une archive avec mot de passe permet de garantir la confidentialité de ces données, surtout qu’elles se sont trouvées dans plusieurs sauvegardes, sur l’ordinateur de l’ingénieur qui a traité ma demande ET sur mon propre ordinateur…

2e étape : Constitution du plus gros dictionnaire de mots français du monde

J’ai déjà évoqué sur ce blog en détail comment j’ai eu l’idée d’utiliser tout le contenu du site Wikipédia français. Vous trouverez le résumé dans le billet intitulé « Dictionnaire français pour hashcat« , et le détail technique sur mon dépôt GitHub

Voici les commandes utilisées :

wget https://dumps.wikimedia.org/frwiki/latest/frwiki-latest-pages-articles-multistream.xml.bz2
bzcat frwiki-latest-pages-articles-multistream.xml.bz2 | tr "\040\041\042\043\044\045\046\047\050\051\052\053\054\056\057\060\061\062\063\064\065\066\067\070\071\072\073\074\075\076\077\100\133\134\135\136\137\140\173\174\175\176" "\n" > toto
cat toto | tr -s "\n" | awk '!x[$0]++' | sort > wikipedia.fr.txt

Voir aussi dans ce billet l’explication de la commande awk utilisée.

Le fichier wikipedia.fr.txt ainsi obtenu contient plus de 29 millions de mots, incluant tous les mots de la langue française, mais aussi les noms de lieux ou lieux dits, les prénoms, les noms de famille, les mots surannées, le jargon de toutes les professions, les mots d’argots ou de patois, les sigles, les marques, beaucoup de mots latins ou en grec ancien, et des mots en d’autres langues courantes (anglais, allemand…) ou moins courantes (breton, corse, leetspeak…).

Bref, vous voici avec un fichier quasi parfait pour une attaque par dictionnaire.

3e étape : Préparer une machine de calcul

Pour craquer des mots de passe par une attaque par dictionnaire, il est préférable d’utiliser une machine performante. Dans mon cas, mon entreprise ne me donne pas accès à une telle machine, mais mon radiateur oui.

Les lecteurs de ce blog savent que je me suis fabriqué un radiateur qui me chauffe l’hiver tout en minant des cryptomonnaies. Ceux qui veulent en savoir plus peuvent lire ce billet. L’hiver étant fini, j’ai une machine disponible avec plusieurs cartes GPU (anciennes). Mais une machine de gamer actuelle suffirait.

La machine est sous Windows, avec WSL, mais une machine GNU/Linux serait aussi bien quand on maîtrise bien l’installation des drivers des cartes graphiques.

J’ai ensuite installé hashcat par le cassage des mots de passe, VeraCrypt pour garder en sécurité à l’abri des regards tous les fichiers et mots de passe découverts et le packet Impacket pour utiliser le script Python secretsdump.py que j’installe dans WSL.

Enfin, je récupère la règle OneRuleToRuleThemAll que je place dans le répertoire « rules » de hashcat.

4e étape : A L’ATTAAAAQUE

Je décompresse mon fichier SSI.7z protégé par mot de passe, dans mon containeur sécurité VeraCrypt et récupère le fichier NTDS.dit et SYSTEM

J’exécute ensuite la commande suivante dans WSL sous Windows :

secretsdump.py LOCAL -ntds NTDS.dit -system SYSTEM -outputfile hash.txt

Le fichier hash.txt contient les mots de passe de mes utilisateurs, chiffrés sous forme de hashs. Je peux enfin lancer la commande suivante :

hashcat -m 1000 -a 0 -w 1 hash.txt wikipedia.fr.txt -r rules/OneRuleToRuleThemAll.rule

Je peux laisser la machine travailler, et quatre heures après, j’ai cassé environ 10% des mots de passe de mes utilisateurs.

Conclusions

Il y a beaucoup de choses à dire, et sans doute beaucoup de monde à son avis sur le sujet, mais voici les actions que j’ai menées suite à la découverte (en quelques heures) de 10% des mots de passe de mes utilisateurs :

  • Tous les utilisateurs sont protégés par une authentification multifactorielle. La faiblesse de leur mot de passe n’est pas en soit catastrophique. Je n’ai donc pas obligé les utilisateurs dont j’ai pu craquer le mot de passe à en changer, sauf pour les comptes de service et les utilisateurs à privilèges (admin, etc.) où les mots de passe peuvent être réellement aléatoires et gérés par des coffres forts de mots de passe.
  • J’ai communiqué auprès de l’ensemble des utilisateurs pour les prévenir qu’il ne faut pas utiliser des mots de passe du type « AbracaDabra@2025! » qui, bien que longs et complexes (17 signes mélangeant majuscules, minuscules, chiffres, caractères spéciaux), sont trouvés par une attaque par dictionnaire. Le message est difficile à entendre, donc merci le MFA.
  • J’ai fait modifier les vérifications lors du changement de mot de passe, pour diminuer la probabilité de succès d’une attaque par dictionnaire.

Si vous avez des réactions constructives à ce billet, n’hésitez pas à laisser un commentaire.

Héberger son serveur chez soi

Publié le par

J’aime bien mettre les mains dans la technique, d’abord parce que ce n’est pas sale, mais aussi parce que je suis curieux et que j’aime tester des trucs.

Lorsque j’ai ouvert ce blog, il était hébergé sur une plateforme de blogs et je n’avais presque rien à faire. Mais j’étais très dépendant du bon vouloir de la plateforme de garder ce service ouvert, surtout qu’il s’agissait d’un service gratuit proposé par le « G » de GAFAM, habitué à fermer des services, y compris ceux rencontrant un certain succès.

C’est donc autant par curiosité, par envie d’apprendre, que par soucis de la maîtrise de ce blog, que je l’ai migré sur un serveur que j’héberge chez moi.

J’ai donc installé un serveur Debian sous forme de machine virtuelle sur mon NAS et un WordPress sur lequel j’ai migré mon blog. Debian parce que c’est la distribution GNU/Linux que j’apprécie le plus, et en place dans les différentes entreprises dans lesquelles j’ai travaillé comme RSSI, et WordPress parce qu’il s’agit du CMS le plus utilisé dans le monde, et que j’avais envie d’étudier sa sécurisation, également pour le travail.

J’ai donc configuré toutes les protections possibles sur ce WordPress, même si je sais qu’il sera piraté un jour. J’ai fait au mieux des connaissances que j’ai pu acquérir.

J’ai ensuite mis en place un système de sauvegarde du serveur et du WordPress, vers un autre NAS et vers un stockage en ligne.

Mais exposer un serveur sur internet depuis l’adresse IP attribuée par mon fournisseur d’accès à internet pose plusieurs problèmes :
– j’ai une fibre Free avec IP fixe (ce qui est pratique), mais sujette à quelques coupures de temps en temps.
– il est facile de retrouver mon identité réelle à partir de cette adresse IP, ce qui en soit n’est pas un problème car mon identité n’est pas secrète, mais je souhaite segmenter le plus possible mes activités de blogueur de mes activités professionnelles et personnelles.
– certains billets rencontrent parfois un succès, surtout si un « gros compte » des réseaux sociaux le met en valeur. Un gros afflux de visiteurs crée une sorte d’attaque DDoS qui met en difficulté ma liaison internet.

J’ai donc fait le choix d’utiliser le CDN Cloudflare, car celui-ci propose un compte gratuit pour un nom de domaine unique, avec presque toutes les fonctionnalités. Comme je suis curieux, cela m’a permis d’apprendre beaucoup de choses sur le paramétrage relativement complexe d’un CDN, et de régler les problèmes de coupure (grâce aux caches), d’anonymisation de mon adresse IP et d’attaque DDoS.

Il y a néanmoins plusieurs défauts dans ce choix : le premier (et le plus important) est de dépendre d’un acteur tiers supplémentaire (Cloudflare) en plus de mon FAI (Free), de mon registraire (BookMyName). Le deuxième est que je confie à ce partenaire beaucoup d’informations sur mes lecteurs. Le troisième est que ce partenaire peut changer très vite sa politique de service. Et enfin, tout le paramétrage se fait « sur la prod » puisque je n’ai pas d’environnement de tests (tester, c’est douter ^^).

Plusieurs lecteurs de ce « vieux » blog viennent lire les billets grâce à son flux RSS, et m’ont signalé des difficultés d’accès à ce flux RSS. Après enquête dans les logs fournis par Cloudflare, je me suis rendu compte que deux options anti-bots cochées par mes soins bloquaient aléatoirement le flux RSS des billets du blog :

Les deux options fautives

Normalement tout doit être rentré dans l’ordre maintenant, et vous devriez pouvoir utiliser vos lecteurs de flux RSS préférés.

Prochain objectif : abandonner le front WordPress pour le remplacer par un site statique, beaucoup plus rapide. Mais ça, c’est une autre histoire.

La cyber, c’est super

Publié le par

Quand on fait de la sensibilisation à la cybersécurité, tous les slogans sont intéressants, dès lors qu’ils marquent les esprits et contribuent à faire prendre conscience à chacun qu’il a un rôle à jouer dans la sécurité informatique de l’entreprise.

Lors des réunions d’échanges avec mes confrères et consœurs RSSI, je note souvent quelques punchlines que je trouve intéressantes, et je les teste sur mes collègues de travail ou sur les utilisateurs de mon entreprise.

Par exemple, j’aime assez la phrase d’autodérision suivante : « Avant une attaque cyber, on se demande souvent à quoi sert le RSSI. Et après une attaque cyber, on se demande à quoi il a servi… »

Autres exemples que je place dans mes visuels de sensibilisation :
– La sécurité commence par votre esprit, pas par votre clé secrète.
– Protégez votre vie privée et votre tranquillité d’esprit.
– Lock it down, protect it up, and block the hackers.
– Stay safe online. Don’t be quick to click
– Secure your data, secure your future
– Vous fermez bien votre porte à clé, alors pourquoi ne pas verrouiller votre poste de travail ?

Un jour, lors d’une petite intervention devant mes collègues, j’ai terminé ma présentation par une pirouette assez triviale en disant :
J’ai la chance d’avoir la plus grande équipe de l’entreprise, car *tous* les salariés travaillent pour la sécurité informatique. Et oui, la cyber, c’est super !

Sans que je m’y attende, mes collègues se sont appropriés cette dernière phrase, et me font souvent un clin d’œil quand on se croise, ponctué d’un « la cyber, c’est super« . J’ai donc adopté cette petite phrase que j’utilise presqu’à chaque fois pour finir une intervention, ce que je vais faire dans ce billet :

Et pour résumer mon intervention, retenez bien ceci :
[silence de deux secondes]
La cyber, c’est super

Source image Microsoft Designer

Se faire croissanter

Publié le par

Il y a une tradition que j’aime bien et que je retrouve sous une forme ou sous une autre dans toutes les entreprises dans lesquelles je suis intervenu et qui illumine le quotidien des responsables cybersécurité.

Mais avant, je dois rappeler le contexte : vous pouvez mettre en place tous les systèmes de sécurité possibles, il faut bien qu’à un moment ou à un autre, l’utilisateur puisse travailler… Car, après avoir vérifié son badge à l’entrée de l’entreprise, après lui avoir autorisé l’accès à la porte de son bureau, après lui avoir demandé son (dernier) mot de passe valide, puis un deuxième facteur d’authentification par un moyen alternatif, et enfin après un redémarrage pour l’installation des mises à jour de sécurité qui l’oblige à ressaisir son mot de passe (s’il n’a pas expiré entre temps) et son deuxième facteur d’authentification, vous êtes bien obligé de le laisser accéder à son ordinateur de travail.

Sauf que, l’utilisateur est une personne qui a la bougeotte : il lui prend parfois l’envie de s’éloigner de son ordinateur pour un temps supérieur à la seconde, en le laissant sans surveillance ou pire, sous la surveillance de ces collègues de l’openspace.

Et là, je me permets une courte citation d’un sonnet de Pierre de Ronsard :

De soupirs et de pleurs il convient de me repaistre,
Te voyant au cercueil, hélas ! trois fois hélas !

Source BNF

Car le responsable cyber est fourbe par nature et par construction, il sait profiter de la faiblesse humaine, comme les assaillants contre lesquels il lutte souvent seul. Et il est gourmand.

La règle est donc : toute personne laissant son ordinateur sans surveillance avec sa session ouverte se verra croissanté.

Car, une personne malveillante (un collègue) ou le responsable cyber (forcément malveillant) se fera un malin plaisir de s’installer devant l’ordinateur laissé seul avec une session ouverte, afin d’envoyer sous l’identité de l’utilisateur imprudent un email à tous ses collègues de travail, les informant qu’il amènera des croissants pour tout le monde dans la matinée du prochain jour ouvré…

Variante : envoyer un email à toute l’entreprise pour informer qu’une souris à boule à port ps/2 est à vendre, faire proposition.

Variante 2 : proposer d’amener des petits pains, mais attention à la polémique avec les collègues qui utilisent (à tord) l’expression « pains au chocolat » ou « chocolatines ». Mais les polémiques, c’est bien aussi, cela permet de sensibiliser l’utilisateur imprudent.

Conseils : quand vous vous faites croissanter, ne vous vexez pas. Prenez le comme une incitation à être plus vigilant. Si vous êtes « croissanteur », ne piégez pas « méchamment » un collègue en envoyant un email à toute la Direction, restez soft, car un jour aussi, vous serez croissanté 🙂

Pour finir, je précise que je ne me suis pas encore fait croissanter, mais que cela arrivera forcément un jour. Et ce jour là, vous sentirez une faiblesse dans La Force.

Source Bing image creator

L’incendie intérieur

Publié le par

J’ai étudié le fonctionnement du cerveau humain lorsque j’ai travaillé avec des neurologues et des éducateurs de jeunes enfants, pendant ma thèse sur les réseaux de neurones formels. Cela me passionnait et la complexité du cerveau humain me fascine toujours, surtout quand il s’agit du fonctionnement de mon propre cerveau. Je suis d’ailleurs un adepte de l’introspection.

L’introspection (du latin « introspectus ») désigne l’activité mentale que l’on peut décrire métaphoriquement comme l’acte de « regarder à l’intérieur » de soi, par une forme d’attention portée à ses propres sensations, états ou pensées.
Il s’agit en psychologie de la connaissance intérieure que nous avons de nos perceptions, actions, émotions, connaissances, différente en ce sens de celle que pourrait avoir un spectateur extérieur.
Source Wikipédia

Hélas, l’introspection a ses limites, car comme l’a si bien écrit Auguste Comte : « On ne peut pas se mettre à la fenêtre pour se regarder passer dans la rue« . Et j’en ai fait l’amère expérience.

Remontons un peu dans le temps, de quelques mois. En tant que responsable de la cybersécurité, je dois mener à bien dans mon entreprise beaucoup de projets de sécurité informatique, et ces projets m’amènent à travailler avec beaucoup de personnes. Comme dans toutes les entreprises, cela se passe parfois bien, et parfois moins bien : je me heurte à des résistances ou des comportements hostiles.

Rien de neuf sous le soleil, mais cette fois j’ai eu à gérer un comportement très hostile qui m’a demandé beaucoup d’énergie. Sans entrer dans des détails inutiles, je me suis attaché à remplir mes missions et à garder une attitude professionnelle, mais la collaboration se passait très mal. J’ai changé mes méthodes, mes analyses, mes outils, mes arguments. Je me suis remis en cause, j’ai travaillé plus, et plus longtemps. Et, sans vraiment m’en rendre compte, je me suis mis à tourner comme un hamster dans sa cage : beaucoup d’énergie dépensée pour peu de résultats.

Ma hiérarchie demande des résultats, et c’est bien normal puisqu’en échange je touche un salaire avec une partie liée à des objectifs. Donc, moins j’avais de résultats, plus je déployais d’efforts, d’analyses, de stratégies, de techniques de contournement, pour arriver à avancer sur mes projets. Petit à petit, la pression augmentait. J’essayais de remettre en cause mes compétences, mes connaissances, mon savoir-faire, mon savoir-être, mais rien n’y faisait.

Mon regard introspectif et ma logique d’analyse de mes propres sensations ne me donnaient aucun indice sur ce qui était en train de se passer dans mon cerveau : une petite voix intérieure me soufflait de stopper cette spirale infernale d’épuisement mental.

Quand j’écris « petite voix intérieure », le lecteur que je suis (comme vous, je lis ce texte, je suis même le premier à le lire), le lecteur que je suis, donc, imagine quelqu’un qui parle à voix basse, comme une sorte de diablotin/ange posé sur l’épaule. Mais ce n’est pas cela du tout : la partie consciente de mon cerveau, celle qui tient les commandes, est seule à la manœuvre.

la conscience serait un phénomène mental caractérisé par un ensemble d’éléments plus ou moins intenses et présents selon les moments : un certain sentiment d’unité lors de la perception par l’esprit ou par les sens (identité du soi), le sentiment qu’il y a un arrière-plan en nous qui « voit », un phénomène plutôt passif et global contrairement aux activités purement intellectuelles de l’esprit, actives et localisées, et qui sont liées à l’action (par exemple la projection, l’anticipation, l’histoire, le temps, les concepts…).
Extrait de la page « conscience » de Wikipedia

La conscience s’appuie sur un ensemble complexe de circuits neuronaux qui s’organisent en réseaux pour traiter les entrées sensorielles, les relayer jusqu’au cortex, puis les traduire en sorties comportementales ou psychiques. La variété des comportements nécessite que certains réseaux soient sélectionnés en fonction des différents types de situations vécues. Cette sélection est réalisée par les neurones dits modulateurs, qui libèrent de la sérotonine, de la noradrénaline ou de la dopamine.

La conjonction de plusieurs disciplines – l’anatomie, la neurobiologie comportementale et la neuropharmacologie – a permis de définir une entité dénommée « circuit de la récompense », constituée de structures cérébrales en interrelation (noyau accumbens, septum, amygdale, hippocampe, cortex préfrontal), elles-mêmes sous la dépendance des afférences dopaminergiques venant de l’aire tegmentale ventrale.
Le cortex préfrontal est impliqué dans la motivation et la focalisation de l’attention, l’amygdale est considérée comme étant le centre des émotions, et l’hippocampe serait le régulateur de la mémoire. Quant au noyau accumbens, il jouerait un rôle d’interface entre les émotions et les sorties motrices. Toutes ces structures se projettent sur l’hypothalamus, qui régule les fonctions neurovégétatives de l’organisme, c’est-à-dire les fonctions vitales telles que le rythme cardiaque ou la régulation thermique, des fonctions métaboliques comme la faim et la soif, et également la reproduction. L’aire tegmentale ventrale, enfin, reçoit les informations de plusieurs régions cérébrales, dont l’hypothalamus, et transmet ses ordres au noyau accumbens et au reste du circuit de la récompense en modifiant la libération de dopamine
Source « Le circuit de la récompense » de Jean-Pol Tassin

Un stress intense peut briser le circuit de la récompense en modifiant la libération de dopamine.

Non seulement j’étais de plus en plus déprimé en quittant mon travail, mais j’y allais de plus en plus « avec la boule au ventre ». Plus le temps passait, plus le fonctionnement « normal » de mon cerveau se dégradait et j’en étais le spectateur inconscient. La dopamine est indispensable à la survie de l’individu car elle joue un rôle dans la motivation. Ma « petite voix intérieure » me soufflait de plus en plus fort de tout arrêter PAR TOUS LES MOYENS et mon angoisse se transformait en pensées sombres.

Je me mettais à transpirer abondamment en pleine réunion, ou à balbutier en pleine intervention, comme une crise de panique sans raison. Je dormais beaucoup mais mal, je me réveillais au milieu de la nuit sans pouvoir me rendormir. J’étais tout le temps fatigué.

Les gens sont parfois victimes d’incendie, tout comme les immeubles. Sous la tension produite par la vie dans notre monde complexe leurs ressources internes en viennent à se consumer comme sous l’action des flammes, ne laissant qu’un vide immense à l’intérieur, même si l’enveloppe externe semble plus ou moins intacte.
Herbert J. Freudenberger, psychologue et psychothérapeute américain

Vous l’avez compris, j’ai été victime d’un épuisement professionnel (je vous invite à lire cette page très intéressante de Wikipédia car elle décrit beaucoup d’autres situations très différentes de la mienne).

Bref, j’ai fait un « burn-out« .

Si j’ai décidé d’écrire ce billet, c’est parce que je m’en suis sorti grâce à deux RSSI qui ont osé briser le tabou du silence et témoigner lors d’une conférence à laquelle j’ai assisté. Je n’oserai sans doute pas faire de même car j’ai encore du mal à en parler, mais j’ai la chance d’avoir ce blog qui me sert de thérapie.

Je m’en suis sorti grâce au soutien de Mme Zythom qui a su m’entourer de son amour sans me juger ni me donner les conseils bateaux du type « non mais ça va aller » ou « il y a plus à plaindre que toi ». Le burn-out est un incendie intérieur ne laissant qu’un vide immense.

Je m’en suis sorti grâce à l’intervention de mon nouveau chef qui a su reconnaître ma situation d’épuisement et prendre les bonnes décisions de soutien.

Ce qui est sûr, c’est que je ne m’en suis pas sorti grâce à mon cerveau.

La revue Next INpact vit ses derniers instants sauf si

Publié le par

Parmi les rares abonnements payants auxquels j’ai souscrits, celui de Next INpact arrive loin devant : c’est pour moi une revue tenue par des journalistes spécialisés de très haut niveau et particulièrement compétents. C’est aussi la seule revue dont je lis les commentaires publiés sous les articles, car les abonnés partagent une passion commune, celle de l’informatique.

Si j’écris ce billet, c’est parce qu’après 23 années d’existence, la revue risque de disparaître, et que j’ai la chance de pouvoir atteindre quelques milliers d’internautes à travers ce blog, non seulement pour vous encourager à vous abonner à cette revue qui ne vous imposera aucune publicité, mais surtout pour aller voir les financiers de votre entreprise et leur parler de mécénat et défiscalisation :

Nous pouvons être sauvés grâce au soutien des acteurs du numérique, à l’aide de mécénats défiscalisables – le mécénat d’entreprises ouvrant droit à une réduction d’impôt égale à 60 % du montant du don (IR ou IS) dans la limite de 0,5 % du chiffre d’affaires ou 20 000 euros maximum en cas de dépassement de cette limite.
Je reste convaincu que certains souhaiteraient que nous poursuivions notre aventure aussi longtemps que possible. Une fois que la société INpact mediagroup sera fermée, il ne sera plus possible de revenir en arrière. Si vous souhaitez nous aider, c’est maintenant ou jamais.

Si vous connaissez Bernard Arnaud (ou son conseiller fiscal), ou si vous travaillez dans une entreprise du numérique capable de comprendre les enjeux autour de cette formidable équipe, ne tardez pas.

Le Paris

Publié le par

Il y a quatre ans, j’ai fait un pari relativement osé : changer d’orientation professionnelle et quitter mon foyer pour aller travailler à Paris la moitié de la semaine. Chaque dimanche soir, je quitte l’amour de ma vie pour prendre un train qui m’amène dans la capitale, et chaque mercredi ou jeudi soir, je fais le chemin inverse. J’ai pris une « coquette studette » près de mon travail pour pouvoir m’y rendre à pied tous les jours, et j’y mène une vie de moine nerd. Cela a été facilité par le départ des enfants du nid familial, et parce que la femme qui partage mon existence voyait que je dépérissais dans mon ancienne entreprise où j’avais pourtant passé 25 ans, que nous nous aimons et qu’elle a soutenu ma démarche.

Dans le billet sur le télétravail que j’ai écris avant le confinement, je n’ai pas abordé l’impact qu’il peut avoir sur un couple. En effet, aujourd’hui, « télétravail » signifie pour des millions de personnes travailler depuis son domicile familial sans faire le trajet quotidien habituel. Il n’y a pas de terme pour la personne qui alterne télétravail et « télémaison », c’est-à-dire qui alterne travail à distance de son entreprise (en famille) pendant plusieurs jours, et vie à distance de sa famille (en entreprise) pendant plusieurs jours.

Attention, je ne me plains pas, car il s’agit d’un choix personnel, d’un choix de couple, mais avant tout d’un choix. Je ne me compare pas aux travailleurs qui vivent loin de leur famille pendant plusieurs mois, voire plusieurs années, souvent dans un pays étranger. En général, ils n’ont pas le choix, c’est une question de survie. Je les plains, eux, car ils ne voient pas grandir leurs enfants, ils ne vieillissent pas auprès de leur conjoint, et sont souvent honteusement exploités. Ce n’est pas mon cas.

Mon épouse et moi, nous vivons des vies de célibataires pendant 3 jours, et nous sommes heureux de nous retrouver et de passer 4 jours ensemble, chaque semaine. Une nouvelle jeunesse, un nouveau pari.

Trois années et demi se sont passées sur ce rythme de vie. Professionnellement, j’étais heureux d’apprendre à nouveau beaucoup de choses, dans une école de commerce prestigieuse. Mais, avec 4 chefs en 3 ans, il ne m’était pas facile de construire quelque chose dans la durée, la politique salariale de l’entreprise était nulle (0% d’augmentation pour le personnel en 3 ans) et la valse des DSI n’aidait pas à la négociation.

C’est alors que s’est produite une chose dont j’avais entendu parler, le soir dans les recoins de l’openspace, lorsqu’on évoque les mystères de la vie et les mythes des évolutions de carrière : j’ai été appelé par un chasseur de têtes.

UN CHASSEUR DE TÊTES

Rien que le nom évoque une aventure épique dans la forêt tropicale…

Le processus de recrutement qui s’en est suivi mériterait un billet à lui tout seul…

Il m’a fait une offre que je ne pouvais pas refuser. J’ai donc présenté ma démission au dernier DSI que j’ai eu comme chef, j’ai quitté cette école de commerce prestigieuse pour un groupe d’écoles privées moins prestigieuses, j’ai changé de coquette studette en proche banlieue pour une coquette studette dans Paris intra-muros. J’y mène maintenant une vie de moine nerd 4 jours par semaine.

Le nouveau travail est plus difficile, plus exigeant, avec plus de pression. Je suis toujours en période d’essai, avec un chef dont je ne sais pas s’il va vouloir me garder.

A 59 ans. Un nouveau pari. Un nouveau Paris. Le Paris de mes rêves.

Un monde nouveau, on en rêvait tous
Mais que savions-nous faire de nos mains ?
Zéro, attraper le Bluetooth
Mais que savions-nous faire de nos mains ?
Presque rien, presque rien

Les pirates ne prennent pas de vacances / Hackers don’t take vacations

Publié le par

Voici le message que je viens d’adresser à mes utilisateurs. Si cela peut être utile à l’un de mes lecteurs, ou à ses utilisateurs…

++++ English version below

Bonjour,

Les pirates ne prennent pas de vacances, mais vous oui (enfin j’espère). Voici quelques consignes qui devraient vous permettre de partir en toute sécurité informatique :

L’emploi de smartphones, d’ordinateurs portables et de tablettes facilite et accélère le transport et l’échange de données. Parmi les informations stockées sur ces supports, certaines peuvent présenter une sensibilité importante, tant pour vous-mêmes que pour [l’entreprise]. Leur perte, leur saisie ou leur vol peut avoir des conséquences majeures sur vos activités et sur leur pérennité. Il vous faut donc, dans ce contexte de nomadisme, les protéger face aux risques et aux menaces qui pèsent sur elles, tout particulièrement lors de vos déplacements à l’étranger.

Sachez que les cybercafés, les hôtels, les lieux publics et les bureaux de passage n’offrent aucune garantie de confidentialité. Dans de nombreux pays étrangers, quel que soit leur régime politique, les centres d’affaires et les réseaux téléphoniques sont surveillés. Dans certains pays, les chambres d’hôtel peuvent être fouillées sans que vous vous en rendiez compte. Ces menaces ne sont pas inspirées de romans policiers ou d’un film d’espionnage, mais attestées régulièrement par l’actualité.

Avant de partir

  • Prenez connaissance de la législation locale. Des informations sur les contrôles aux frontières et sur l’importation ou l’utilisation de la cryptographie sont disponibles sur le site de l’ANSSI. Par ailleurs, le site du ministère des Affaires étrangères et européennes donne des recommandations générales.
  • Vos appareils ne doivent contenir aucune information autre que celles dont vous avez besoin pour votre voyage. Y compris des photos, vidéos, ou des œuvres numériques qui pourraient vous placer en difficulté vis-à-vis de la législation ou des mœurs du pays visité.
  • Sauvegardez les données que vous emportez et laissez la sauvegarde en lieu sûr. Vous récupérerez ainsi vos informations à votre retour en cas de perte, de vol ou de saisie de vos équipements.
  • Évitez de partir avec des données sensibles. Privilégiez, si possible, la récupération de fichiers chiffrés sur votre lieu de mission en accédant au réseau de [l’entreprise] avec une liaison sécurisée (VPN de [l’entreprise]), sinon à une boîte de messagerie en ligne spécialement créée et dédiée au transfert de données chiffrées. Il faut supprimer les informations de cette boîte après lecture.
  • Utilisez un filtre de protection écran pour votre ordinateur. Cela vous permettra de travailler à vos dossiers pendant vos trajets sans que des curieux puissent lire ou photographier vos documents par-dessus votre épaule.
  • Marquez vos appareils d’un signe distinctif (comme une pastille de couleur). Cela vous permet de surveiller votre matériel et de vous assurer qu’il n’y a pas eu d’échange, notamment pendant le transport. Pensez à mettre un signe également sur la housse.

Pendant le voyage

  • Gardez vos appareils, support et fichiers avec vous. Prenez-les en cabine lors de votre voyage. Ne les laissez jamais dans un bureau ou dans la chambre d’hôtel (même dans un coffre). Protégez l’accès de vos appareils par des mots de passe forts. Ne communiquez pas d’information confidentielle en clair par téléphone ou tout autre moyen de transmission de la voix (services de VoIP comme Teams).
  • En cas d’inspection ou de saisie par les autorités, informez immédiatement [l’entreprise].
  • Fournissez les mots de passe et clés de chiffrement si vous y êtes contraint par les autorités locales puis alertez le support informatique de [l’entreprise].
  • En cas de perte ou de vol d’un équipement ou d’informations, informez immédiatement le support informatique de [l’entreprise]. Demandez conseil au consulat avant toute démarche auprès des autorités locales.
  • N’utilisez pas les équipements qui vous sont offerts (clés USB) ou que vous trouvez abandonnés. Ils peuvent contenir des logiciels malveillants. Les clés USB, de par leurs multiples vulnérabilités, sont un vecteur d’infection privilégié par des attaquants. Ne connectez pas vos équipements à des postes ou des périphériques informatiques qui ne sont pas de confiance. Attention aux échanges de documents (par exemple : par clé USB lors de présentations commerciales ou lors de colloques). Emportez une clé destinée à ces échanges et jetez-la après usage.
  • Ne rechargez pas vos équipements sur les bornes USB libre-service. Certaines de ces bornes peuvent avoir été conçues pour copier les documents à votre insu. Privilégiez les prises électriques avec un adaptateur ad hoc.

A votre retour de voyage

  • En cas de doute, analysez ou faites analyser vos équipements. Ne connectez pas les appareils à votre réseau avant d’avoir fait ou fait faire au minimum un test anti-virus et anti-malwares.

Je vous souhaite de passer de bonnes vacances en toute sécurité informatique.

++++ English version

Hello,

Hackers don’t take vacations, but you do (I hope so). Here are a few instructions that should help you to travel in complete computer security:

The use of smartphones, laptops and tablets makes it easier and faster to transport and exchange data. Some of the information stored on these media may be highly sensitive, both for you and for [the enterprise]. Their loss, seizure or theft can have major consequences on your activities and on their sustainability. In this context of nomadism, you must therefore protect them from the risks and threats they face, especially when travelling abroad.

Please be aware that cybercafés, hotels, public places and temporary residence do not offer any guarantee of confidentiality. In many foreign countries, regardless of their political regime, business centres and telephone networks are monitored. In some countries, hotel rooms can be searched without your knowledge. These threats are not based on detective stories or a spy movie, but are regularly documented by current events.

Before you leave

  • Read about local legislation. Information on border controls and on the import or use of cryptography is available on the french ANSSI website. In addition, the website of the french Ministry of Foreign and European Affairs provides general recommendations (in French).
  • Your devices must not contain any information other than the information you need for your trip. Including photos, videos, or digital artworks that could put you in difficulty with the legislation or morals of the country visited.
  • Back up the data you are carrying and leave the backup in a safe place. You will then recover your information upon your return in the event of loss, theft or seizure of your equipment.
  • Avoid leaving with sensitive data. If possible, you should prefer to recover encrypted files at your place of assignment by accessing the [enterprise] network with a secure connection ([enterprise] VPN), otherwise an online mailbox specially created and dedicated to the transfer of encrypted data. The information in this box must be deleted after reading.
  • Use a screen protection filter for your computer. This will allow you to work on your files during your travels without curious people being able to read or photograph your documents over your shoulder.
  • Mark your devices with a distinctive sign (such as a color sticker). This allows you to monitor your equipment and ensure that there has been no exchange, especially during transport. Remember to put a sign on the cover as well.

During the trip

  • Keep your devices, media and files with you. Take them in the cabin when you travel. Never leave them in an office or hotel room (even in a safe). Protect access to your devices with strong passwords. Do not communicate confidential information in plain text by telephone or any other means of voice transmission (VoIP services such as Teams).
  • In the event of inspection or seizure by the authorities, inform [the enterprise] immediately.
  • Provide passwords and encryption keys if required by local authorities and then alert [enterprise] IT support.
  • In the event of loss or theft of equipment or information, immediately inform [enterprise] IT support. Ask your consulate for advice before approaching local authorities.
  • Do not use the equipment offered to you (USB keys) or that you find abandoned. They may contain malicious software. USB keys, due to their multiple vulnerabilities, are a preferred infection vector for attackers. Do not connect your equipment to workstations or computer peripherals that are not trusted. Beware of document exchanges (for example: by USB key during commercial presentations or during conferences). Carry a key for these exchanges and discard it after use.
  • Do not charge your equipment at self-service USB terminals. Some of these terminals may have been designed to copy documents without your consent. Use electrical outlets with an appropriate adapter.

On your return from your trip

  • If in doubt, test or have your equipment tested. Do not connect devices to your network until you have performed or had performed at least one anti-virus and anti-malware test.

I wish you a pleasant holiday, in complete IT security.

Yours sincerely,
Bien à vous,
Zythom

Le blog va prendre quelques semaines de vacances. A bientôt

La détection automatique des anomalies

Publié le par

Lorsque son entreprise utilise Google Workspace ou Microsoft 365, le RSSI peut accéder à des outils de supervision fournis par ces deux grands éditeurs. Ces outils donnent accès à des systèmes d’alerte plus ou moins paramétrables qui permettent d’avoir des informations concernant la sécurité informatique des comptes.

Bon, voilà pour la théorie.

En pratique, quand vous devez superviser 30 000 comptes, si vous ne voulez pas être submergé d’informations, il faut « faire confiance » à des règles pré-paramétrées et à des filtres qui vous alertent quand ils repèrent un problème. Il est de plus très difficile d’être expert de chaque outil de supervision et de chacune des briques de sécurité fournies, car les règles d’alerte et les filtres changent très souvent, et sont adaptés par les équipes Google et Microsoft, sans prévenir les équipes de sécurité de leurs clients.

Si en plus vous êtes comme moi en charge de la coordination de la sécurité informatique d’une grande école de l’enseignement supérieure, alors les mois de juin et de décembre sont un peu particuliers… En effet, beaucoup d’utilisateurs se déplacent d’un coup dans le monde entier, ce qui affole les outils de détection. C’est le charme du travail avec une grande population d’étudiants.

Mais si en plus, l’école accueille un très grand nombre d’étudiants étrangers, en provenance d’un grand nombre de pays, alors là c’est le pompon : les outils détectent des connexions en provenance de PAYS A RISQUE : Syrie, Russie, Iran, Irak, Libye, Chine, Tchétchénie, Yémen…

Alors, comme toute l’année, le RSSI prend son bâton de pèlerin, et vérifie que oui, ce compte est bien attribué à une personne qui vit dans ce pays, et que oui, il est probable qu’à ce moment de l’année, cette personne soit rentrée chez elle, même dans ce pays identifié comme PAYS A RISQUE par les outils de détection américain. C’est un travail long et fastidieux, mais qui a le mérite de me faire voyager par procuration.

Et de temps en temps, je tombe sur un compte réellement compromis, en général par un pirate ayant récupéré les identifiant/mot de passe de l’étudiant quand celui-ci les utilise sur d’autres comptes, ailleurs sur la planète, et que ceux-ci se sont faits piratés…

A ce moment-là démarre une autre traque, plus délicate : la recherche des données ayant été compromises, exfiltrées par le pirate. Il faut ensuite prévenir les personnes concernées, faire les déclarations auprès des organismes appropriés (CNIL, dépôt de plainte…).

Mais ça, c’est une autre histoire. Pour l’instant, je rêve de SOC et d’armés d’experts qui pourraient m’aider dans ces tâches parfois un peu absurdes et rébarbatives : tiens, untel est-il vraiment parti en vacances/travail/famille à tel endroit ?

Le DSI devenu RSSI

Publié le par

Ceux qui me suivent depuis le début sur ce blog savent que j’ai un parcours professionnel particulier : diplôme d’ingénieur en poche, j’ai passé une thèse sur les réseaux de neurones comme maître assistant, puis travaillé comme maître de conférences, puis comme professeur-chef de projet informatique dans une école d’ingénieurs généralistes en mode startup (lire cette série de billets), où je suis ensuite devenu responsable informatique, DSI, et enfin directeur technique et informatique.

Puis, en désaccord avec le directeur général sur l’importance des moyens humains à consacrer au développement du numérique, j’ai quitté début 2019 l’entreprise que j’avais contribué à développer, pour rejoindre une magnifique structure où j’apprends à endosser les habits du RSSI.

Mon âge et mon parcours font dire à certains de mes jeunes collègues que je me comporte encore comme un DSI, plutôt que comme un expert technique.

J’ai déjà écrit dans un billet ce que je pensais du profil idéal du RSSI, que je vois comme la fusion d’un expert technique et d’un expert des processus de son entreprise.

Ce que je n’ai pas écrit, c’est comment moi je me situe face à ce profil idéal… Et bien je pense être un DSI expérimenté de petite structure, expert des processus de son ex PME, qui s’est lancé le défi d’apprendre à devenir un expert technique cyber tout en découvrant les processus métiers de sa nouvelle entreprise internationale…

Bref, je suis un débutant en cyber et un bleu dans l’entreprise !

C’est excellent pour la taille des chevilles et de la tête, et cela me rappelle mes débuts dans la recherche quand mon mentor me disait : « Zythom, tout ce que tu as cru apprendre en classes préparatoires et en école d’ingénieurs, il va falloir maintenant le comprendre réellement, et il y a beaucoup de travail ! ».

C’est exactement ce qu’il se passe depuis trois ans et demi : beaucoup des « réflexes » que j’avais pu acquérir comme DSI sont à désapprendre pour être mieux appris, et surtout compris dans le nouveau contexte de la sécurité informatique d’une grande entreprise. Il y a un effet d’échelle.

Un exemple ? Prenons le chiffrement du disque d’un ordinateur portable sous Windows. Comme DSI de PME, il m’a suffi de regarder ce que Microsoft proposait comme solution, puis de retenir Bitlocker, de rédiger un mode d’emploi, puis de demander au personnel concerné de chiffrer sa machine, avec mon appui et celui du service informatique. Comme RSSI dans une structure de grande taille, il m’a fallu étudier toutes les solutions avec les experts techniques (beaucoup plus pointus que moi sur le sujet) et retenir avec eux la solution qui pouvait être déployée sur une grande échelle, puis gérée par l’équipe support face à tous les incidents possibles (un utilisateur se trouvant à l’étranger et oubliant sa clé de déchiffrement, par exemple).1

J’ai encore beaucoup à apprendre, et beaucoup de coups à recevoir, avant de perdre les habits soyeux du DSI pour l’armure cabossée du RSSI. Mais l’aventure est passionnante 🙂

1 – Pour la petite histoire, nous avons retenu le logiciel Cryhod qui cochait toutes les cases.

Avec le temps, j’ai réussi à me concentrer sur les missions du RSSI, sans toutefois oublier complètement les contraintes d’un DSI, ni les exigences d’un professeur, et petit à petit, j’ai compris les codes de l’entreprise, et j’ai pu réussir à construire une stratégie d’amélioration de la sécurité informatique, par petits pas.

Mais si je devais donner un seul conseil aux jeunes RSSI qui, comme moi, débutent sur ce marché, c’est de s’inscrire aux deux organismes phares du secteur : le CESIN et le CLUSIF, de participer aux échanges, aux retours d’expérience, et aux salons professionnels.

Pour l’instant, ma soif d’apprendre n’a pas diminué, et je continue de creuser mon sillon.