Archives par mot-clé : Technique

Cracker les mots de passe

Publié le par

Quand j’étais jeune responsable informatique, dans les années 1990, il existait une « tradition » chez les administrateurs réseaux de l’époque: le test des mots de passe des utilisateurs pour vérifier la sécurité du réseau informatique que l’on gérait.

C’est ainsi que j’ai découvert le logiciel « crack« , librement distribué et partagé sur internet par les administrateurs réseaux.

C’est aussi à cette époque que j’ai compris l’intérêt de partager des connaissances utiles pour ceux qui souhaitent se protéger, partant du principe que ces connaissances étaient déjà dans les mains de ceux qui veulent attaquer.

Voici donc un billet sur les outils que j’utilise aujourd’hui dans les analyses que j’ai à mener, soit dans le cadre judiciaire, soit dans le cadre professionnel (quel admin n’a pas déjà eu à contourner un mot de passe root, ou un mot de passe BIOS). J’espère qu’il pourra être utile aux experts judiciaires débutants en la matière, ou à tout ceux qui veulent tester leur réseau informatique personnel ou professionnel.

Dernier point: il n’est pas inutile de rappeler que toute utilisation illégale de
ce type d’outils entraîne votre responsabilité juridique. Si vous cherchez à intercepter le mot de passe de votre patron, ou faire une bonne blague à votre collègue, passez votre chemin. Si vous êtes administrateur réseau, vérifiez avant vos tests que vous avez l’approbation et le soutien de votre hiérarchie, ce qui ne coule pas de source. Enfin, chers parents, ou chers enfants, la récupération des mots de passe des membres de votre famille pour s’en servir à leur insu est réprimandée par la loi.

Bref, ce qui est mal est mal, ce qui est illégal est illégal…

S’il n’était mort il serait encore en vie.

Note à mes lecteurs issus ou nageant déjà dans l’univers de la sécurité informatique, ne vous attendez pas à des découvertes techniques incroyables dans ce qui va suivre, considérez ce billet comme une initiation au B.A.BA pour mes lecteurs « mékeskidis » (© Maître Eolas) ou les simples curieux.

—————————————

0) L’outil magique, celui qui impressionne les amis : Ophcrack

Rendez-vous sur le site de téléchargement d’Ophcrack, récupérez le liveCD qui va bien (Vista/7 par exemple), gravez le et bootez votre machine Windows 7. Regardez et admirez, c’est plug and play.

Ophcrack fonctionne très bien également sur des machines virtuelles, par exemples des images disques créées par la commande « dd » et transformées en VM par liveView.

Pour les plus motivés d’entre vous, il existe des « tables arc en ciel » en téléchargement plus ou moins libre sur internet, permettant d’améliorer les performances de récupération des mots de passe. Attention, ces tables peuvent faire plusieurs gigaoctets. Vous pouvez également les faire vous même (par exemple avec RainbowCrack): prévoir un ordinateur TRES puissant et plusieurs mois de calculs…

Ophcrack est un outil précieux lors des perquisitions, où l’on rencontre souvent du matériel sous Windows XP ou Windows 7.

Conseil aux administrateurs réseaux débutants: bloquez très vite le mode « boot sur CD » de tous les postes que vous administrez…

—————————————

1) L’ancêtre, celui qui fera de vous un barbu : crack

Crack est un logiciel de recherche de mot de passe par création de combinaisons de mots courants stockés dans des fichiers. Je dois à ce logiciel ma plus belle collection de « dictionnaires », le mot étant à prendre ici au sens de « liste de mots » (sans définition). J’ai des dictionnaires de mots dans un grand nombre de langues, des dictionnaires de mots écrits en phonétique, des règles de codage/décodage en langage SMS (t1t1 pour tintin), etc. J’ai également récupéré, quand ils ont été disponibles sur internet, tous les fichiers de mots de passe (parfois plusieurs millions) d’utilisateurs…

Comme indiqué en préambule, c’est le premier programme que j’ai
utilisé dans le contexte d’analyse de la sécurité de mon réseau, pour
tester la validité des mots de passe choisis par les étudiants. Je
précise que je suis barbu avec modération. 20% des mots de passe
utilisés par les étudiants ont été trouvés en moins de 5 mn, 80% en
moins d’une heure. J’ai affiché dans le couloir du laboratoire
informatique la liste des mots de passe par ordre de découverte (sans le
nom du compte associé), avec obligation pour chaque étudiant de changer
leur mot de passe… Toute une époque 😉

Crack est un programme conçu pour UNIX et fonctionnant sous UNIX. La rubrique « Troll » de la FAQ est instructive à ce sujet. Ceux qui ont un peu plus de temps, liront avec délice les emails les plus curieux envoyés au développeur de crack.

C’est un programme pédagogique, qui peut encore être utile, même si je dois avouer ne pas m’en être servi depuis longtemps.

—————————————

2) La référence : John l’éventreur

John The Ripper, ou JTR, est l’une des références dans l’univers des briseurs de mots de passe. Bien qu’un peu ancien maintenant, ce logiciel a su évoluer pour utiliser différentes méthodes d’approche.

Il a surtout l’avantage de fonctionner dans beaucoup d’environnements: Windows, Linux, Mac OS, etc. C’est encore un logiciel basé sur des dictionnaires.

Je raconte dans ce billet, une petite anecdote liée à la présence de ce logiciel sur le poste de travail d’un salarié avec le mot de passe du patron dans un fichier texte…

—————————————

3) L’attaque à distance multi-protocoles : Hydra

Si vous devez auditer un ensemble de postes, de serveurs, de protocoles, de services, de trucs à distance, ou tout simplement un ordinateur allumé ciblé, le tout sans bouger de votre poste d’analyse, voici le produit qu’il vous faut: THC-Hydra.

Je reporte ici la description du produit extraite de ce manuel en français: THC Hydra est un crackeur de mot de passe réseau supportant les protocoles suivants: TELNET, FTP, HTTP-GET, HTTP-HEAD, HTTPS-GET, HTTP-HEAD, HTTP-PROXY, HTTP-PROXY-NTLM, HTTP-FORM-GET HTTP-FORM-POST, HTTPS-FORM-GET, HTTPS-FORM-POSTLDAP2, LADP3, SMB, SMBNT, MS-SQL, MYSQL, POSTGRES, POP3-NTLM, IMAP, IMAP-NTLM, NNTP, PCNFS, ICQ, SAP/R3, Cisco auth, Cisco enable, SMTP-AUTH, SMTP-AUTH-NTLM, SSH2, SNMP, CVS, Cisco AAA, REXEC, SOCKS5, VNC, POP3, VMware-Auth, NCP, Firebird.

Le logiciel possède deux modes de fonctionnement: l’attaque par dictionnaires ou par force brute. A ce propos, ne pas oublier les fonctionnalités moins connues du couteau suisse des réseaux: nmap et ses possibilités d’attaque par force brute.

—————————————

4) Le mot de passe BIOS oublié : PC CMOS Cleaner

Toute la description est dans le titre. La encore, un liveCD à télécharger pour booter ensuite dessus. Rapide, efficace, mais modifie le scellé ce qui est interdit.

Sinon, la vieille méthode dite de « la pile BIOS à enlever » marche toujours, mais il faut savoir la trouver, surtout sur les ordinateurs portables. Encore une fois, interdit dans le cas d’un scellé.

—————————————

5) Efficace mais long : les emails

La meilleure de toutes les solutions est un constat simple que je fais souvent: la grande majorité des gens n’utilisent qu’un ou deux mots de passe, pour tous les systèmes d’authentification qu’ils rencontrent.

Il est donc très probable que l’utilisateur de l’ordinateur analysé ait choisi son mot de passe « habituel » pour s’enregistrer sur un site quelconque de téléchargement de démos, d’achats en ligne ou de webmail. Parmi tous les sites en question, il n’est pas rare que le mot de passe utilisé lors de la procédure d’inscription soit envoyé EN CLAIR dans l’email de confirmation de création du compte.

Il suffit donc d’analyser les correspondances emails (Outlook, Thunderbird, traces logs des différents navigateurs, etc) pour retrouver un ensemble d’emails du type « votre mot de passe est bien ZorroDu69, merci de conserver cet email » (oui, merci). Quand vous listez ensuite tous les mots de passe ainsi trouvés, le nombre dépasse rarement 3 ou 4. Il ne reste plus qu’à les tester sur le compte ciblé pour trouver le bon.

C’est l’application d’une des bases de l’ingénierie sociale…

—————————————

Conclusion

L’amoureux de la vie privée que je suis commencera par un conseil sur les mots de passe: choisissez les de manière à ce qu’ils ne puissent pas apparaître dans une liste de mots de passe, et suffisamment longs pour qu’ils résistent à une attaque par force brute. Je donne souvent l’exemple des premières lettres des mots d’une chanson ou d’un poème, en mélangeant majuscules et minuscules, ex: LsLdvdLBmCdULm, auxquelles vous ajoutez quelques chiffres (en majuscule, non, je plaisante), ex: LsLdvdL1844BmCdULm1896. C’est beau, c’est long, c’est bon, c’est difficile à deviner quand on vous regarde taper sur le clavier (sauf si vous chantonnez).

Mais attention, ce n’est pas inviolable (cf point n°0 sur Ophcrack et le boot sur cédérom).

Ensuite, un conseil encore plus pénible: choisissez un mot de passe très différent pour chaque compte informatique. Dix comptes, dix mots de passe. 50 comptes, 50 mots de passe. Un mot de passe pour Twitter, un autre pour Facebook, un autre pour Gmail, etc. Évidemment, la nature humaine est ainsi faite que la mémorisation parfaite de tous ces mots de passe devient un tantinet compliquée. Je vous recommande donc le logiciel KeePass pour stocker de façon sécurisé tous vos mots de passe. Ce logiciel est même certifié par l’ANSSI, c’est dire. Il peut également générer des mots de passe très long aléatoirement, avec la possibilité de faire des copier/coller, ce qui revient à ne même pas connaître le mot de passe que vous utilisez.

Du coup, vous n’avez à retenir vraiment qu’un seul mot de passe, jamais mis par écrit: celui de l’accès à KeePass. De plus, ce logiciel est à double authentification (présence d’un fichier à choisir + mot de passe). Vous pouvez même placer KeePass sur le Cloud pour pouvoir y accéder de partout !

Cracker des mots de passe est une activité assez amusante, un petit défi technique accessible à tous. Il est par contre plus difficile pour certains étudiants de garder à l’esprit que tout ce savoir technique doit servir du bon côté de la Force. Quoi qu’il en soit: sit vis vobiscum !

SSTIC OpenVPN Synology Freebox et iPhone

Publié le par

Ça y est, c’est fini, le SSTIC 2013 est terminé…

Comme l’année dernière, les trois jours de conférence ont été très intéressants. J’ai encore appris de nombreuses choses, sur l’univers de la sécurité informatique, sur les spécialistes qui habitent cet univers, sur mes nombreuses lacunes techniques et sur ma faible paranoïa…

J’ai également rencontré de nombreuses personnes avec qui j’ai pu discuter longuement. Pour la plupart, ces personnes me lisent sur ce blog et en apprécient le contenu, ce qui n’a pas gâté mon plaisir. J’étais très heureux de croiser autant de personnes passionnées par l’informatique et qui, pour la grande majorité, ont choisi le côté clair de la Force. J’y ai même rencontré une experte judiciaire en informatique jeune, jolie, compétente et sympathique. Je vous assure que c’est fort rare.

Le blog est toujours en ligne cette année, mon compte Twitter aussi. Il
faut dire que j’ai été beaucoup plus prudent que l’année dernière: je
n’ai pas du tout utilisé mon ordinateur portable (pourtant j’aurais été
un des rares Windows 8 de l’amphi ;-), et mon smartphone était en mode
avion, puis timidement en 3G pour quelques tweets. Pas de connexion dans
l’amphi, pas de connexion dans la rue, pas de connexion à l’hôtel: on
n’est jamais assez prudent.

Mais c’est un peu pénible de ne pas pouvoir répondre à ces emails, de ne pas pouvoir se connecter à son blog, de ne pas pouvoir lire dans ses flux RSS ses blogs préférés. Bref, c’est un peu pénible de ne pas pouvoir avoir un accès sécurisé à Internet.

Tout cela, c’est un peu de ma faute: j’ai tellement procrastiné sur le sujet que je me suis retrouvé « Gros-Jean comme devant » la veille du départ au SSTIC. Du coup, pendant le SSTIC, j’ai un peu enquêté à droite et à gauche pour savoir comment les plus paranoïaques des spécialistes de la sécurité sortaient couverts. Chacun dispose de ses outils, mais les mots suivants sont revenus souvent: VPN, TLS, cryptage chiffrage chiffrement, OpenVPN, bières, sauts en parachute…

Comme je ne pratique pas tous ces concepts, je me suis au travail dès ce week-end. Voici donc la solution qui me convient, et que je partage ici avec vous.

Contexte :

– Je dispose d’un magnifique iPhone que je souhaite utiliser, dans des conditions de bonne sécurité dans un milieu inconnu, pour accéder à internet.

– J’ai la chance d’avoir un NAS Synology DS713+ familial qui permet la mise en place d’un serveur VPN. Après avoir testé plusieurs fournisseurs VPN, je souhaite pouvoir utiliser une solution personnelle que je pourrai peut-être mieux maîtriser.

– Mes activités étant conformes aux lois françaises, et protégées par celles-ci, je souhaite profiter de mon abonnement ADSL personnel, situé en France métropolitaine (avec IP fixe).

– Enfin, plutôt qu’un accès PPTP, je souhaite mettre en place une solution plus sure, basée sur OpenVPN.

Mise en œuvre :

Je vais m’appuyer sur toutes les personnes ayant partagé sur Internet leurs solutions aux différents problèmes que j’ai rencontrés.

1) Installation du serveur VPN sur le NAS Synology:

Très simple et bien expliquée sur cette page du site de Synology.

2) Installation de l’application « OpenVPN connect » sur l’iPhone (sans jailbreak):

A l’heure où j’écris ces lignes, l’application n’est pas disponible sur un compte iTunes français, mais j’ai pu l’installer à partir d’un compte américain. Pour se créer un compte américain, il suffit de suivre les explications de ce site. Une fois installée, ne lancez pas tout de suite l’application.

3) Création des certificats:

Afin de maîtriser correctement la chaîne de sécurité, il me semble préférable de générer soi-même les différents certificats, par exemple pour pouvoir les modifier en cas de compromission. Pour cela, j’ai suivi à la lettre les instructions de cette page (du point n°1 au point n°3) qui utilisent le logiciel XCA.

4) Configuration du serveur VPN sur le NAS Synology:

Une partie des certificats doit être installée sur le NAS et pris en compte par le serveur VPN. J’ai suivi à la lettre les instructions 2 et 3 détaillées sur cette page. Notez que le point n°1 a déjà été fait à l’étape précédente (Création des certificats). J’ai également rencontré plusieurs problèmes lors du point n°4 de cette liste d’instructions, c’est pourquoi je le détaille dans les étapes qui suivent.

5) Récupération du fichier de configuration OpenVPN pour l’iPhone:

– Après avoir rebooté votre NAS pour être sur que le serveur VPN utilise la bonne configuration, retournez dans l’interface d’admin du Synology pour exporter la configuration du VPN server (Connectez-vous à DSM avec les identifiants d’admin. Allez à Menu principal > VPN Server. Cliquez sur OpenVPN sous la section Paramètres dans le panneau gauche. Vous avez un bouton « exporter la configuration » qui va permettre de stocker sur votre ordinateur le fichier qui va servir de base pour la configuration de l’iPhone. Il s’agit d’une archive compressée qui s’appelle « openvpn.zip ».

– Dézippez là sur votre ordinateur.

– Vous voici en possession d’un fichier openvpn.ovpn qui ressemble à cela

dev tun

tls-client

remote YOUR_SERVER_IP 1194

# The « float » tells OpenVPN to accept authenticated packets from any address,

# not only the address which was specified in the –remote option.

# This is useful when you are connecting to a peer which holds a dynamic address

# such as a dial-in user or DHCP client.

# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it’s

# default network gateway through the VPN.

# It means the VPN connection will firstly connect to the VPN Server

# and then to the internet.

# (Please refer to the manual of OpenVPN for more information.)

#redirect-gateway

# dhcp-option DNS: To set primary domain name server address.

# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

proto udp

script-security 2

ca ca.crt

comp-lzo

reneg-sec 0

auth-user-pass

6) Modification du fichier openvpn.ovpn obtenu à l’étape précédente:

– « YOUR_SERVER_IP »doit être remplacée par l’adresse IP fixe de votre box ADSL. Étant heureux propriétaire locataire d’une freebox avec adresse IP fixe, je n’ai pas eu besoin de me replonger dans mes souvenirs du paramétrage de dyndns.

– J’ai décommenté la ligne « redirect-gateway » (mais je ne suis pas sur de son impact dans le temps)

– Il faut supprimer la ligne « ca ca.crt » et la remplacer par:

<
ca
>

—–BEGIN CERTIFICATE—–

xxx

—–END CERTIFICATE—–

<
/ca
>

<
cert
>

—–BEGIN CERTIFICATE—–

xxx

—–END CERTIFICATE—–

<
/cert
>

<
key
>

—–BEGIN CERTIFICATE—–

xxx

—–END CERTIFICATE—–

<
/key
>

– Il faut ensuite remplacer les « xxx » par les contenus respectifs des fichiers certificats du client générés à l’étape n°3 « Création des certificats ».

– Il faut enfin corriger la ligne « reneg-sec 0 » en « reneg-sec 3600 ».

7) Transfert du fichier de configuration vers l’iPhone:

– Il faut transférer le fichier openvpn.ovpn modifié à l’étape précédente vers votre iPhone. Pour cela, il faut brancher votre iPhone sur votre ordinateur et utiliser iTunes: Menu iPhone / Apps. Dans « Partage de fichiers », descendre jusqu’à l’application « OpenVPN », la sélectionner, et cliquer sur le bouton « Ajouter… » pour aller chercher le fichier openvpn.ovpn.

– Sur votre iPhone, vous pouvez enfin lancer l’application OpenVPN », et accepter le chargement du profil trouvé dans le fichier openvpn.ovpn. Ne cherchez pas tout de suite à vous connecter…

8) Configuration de votre box ADSL pour le renvoi de port:

Allez dans l’interface de votre box ADSL pour paramétrer le renvoi du port UDP 1194 de l’adresse IP fixe de la box vers l’adresse IP et le même port de votre NAS familial.

9) Connexion VPN de votre iPhone:

Retournez sur votre iPhone, dans l’application OpenVPN et connectez vous dessus avec un compte valide de votre NAS. L’informatique est magique et tout fonctionne. Vous pouvez lire vos emails au SSTIC.

Erreurs possibles :

Il est possible de rencontrer plein d’erreurs tout au long de la procédure que j’indique ici, et il serait illusoire que je puisse vous donner toutes les solutions à vos problèmes. J’ai toutefois rencontré plusieurs difficultés qui m’ont fait perdre un nombre d’heures assez importantes. Je vous les indique ici en espérant faire le bonheur de quelques uns:

– Si vous avez une erreur de ce type:

Cannot load certificate file error:0906D06C: PEM routines:PEM_read_bio:no start line: error:140AD009: SSL routines:SSL_CTX_use_certificate_file:PEM lib

Il est fort probable que vous ayez modifié les certificats lors du copié/collé de l’étape 6. Une sombre histoire d’UTF8 mal géré par OpenVPN. Vous aurez plus d’informations sur cette page. Dans mon cas, j’ai recommencé mon copié/collé sous Notepad sans chercher à mettre en forme, et c’est passé.

– étape 8: vous n’allez pas le croire, mais j’avais déjà programmé sur ma box une redirection du port UDP 1194 vers mon ordinateur, il y a longtemps, lorsque j’ai effectué des tests de connexions à des VPN distants. Lorsque j’ai entré une nouvelle redirection de ce port vers celui de mon NAS, l’interface de la freebox n’a pas bronché, et évidemment, un port ne se redirige qu’une seule fois. Rien n’arrivait à mon NAS. Vérifiez donc qu’aucune redirection du port UDP 1194 n’est pas déjà faite…

Conclusion :

Je ne prétends pas avoir transformé mon iPhone en Teorem de Thales (woa le nom), mais je pense avoir rehaussé mon niveau de sécurité, du moins jusqu’à ma box ADSL. La technique est utilisable pour un ordinateur portable et certainement pour un téléphone sous Android.

Grâce à ce problème simple, j’ai pu m’intéresser d’un peu plus près à mon matériel et à ses configurations logiciels. C’est un week-end de bidouillages à mon niveau qui m’a fait réviser les certificats et découvrir l’arrière boutique de mon NAS Synology (en connexion ssh).

Bref, un hacker je vous dis 😉

Expérience sur l’anonymat

Publié le par

Lorsque j’ai décidé d’ouvrir ce blog en 2006, j’ai pris comme pseudonyme « Zythom » car je voulais séparer mes activités IRL et numérique. Je considérais l’utilisation d’un pseudonyme comme allant de soi dans l’univers numérique.

Dès que j’ai commencé à avoir des lecteurs, je me suis trouvé devant le problème classique de la modération ou pas des commentaires. Après avoir hésité un peu, j’ai fait le choix de modérer les commentaires pour garder le contrôle du contenu du blog. Ce faisant, je sais que mon statut juridique est plus risqué, puisque j’autorise la publication du commentaire. Mais c’est mon choix et je l’assume jusqu’à présent.

Pour compenser un peu, parmi les différents paramètres de la configuration du blog, j’ai choisi d’autoriser la soumission de commentaires anonymes. Cela me semble logique, même si cela encourage quelques personnes à abuser de cette possibilité.

Mais je souhaitais pouvoir aller plus loin dans l’anonymat que je pouvais offrir à mes éventuels correspondants, aussi, en juin 2010, j’ai ajouté à la page contact de mon blog un formulaire PrivacyBox permettant à tout internaute qui le désire de me contacter d’une manière complètement anonyme, sans que je ne puisse avoir de moyens de connaître son identité réelle. Les messages que je reçois via ce formulaire sont de plus automatiquement chiffrés avec ma clef publique OpenPGP.

Maintenant que le service de PrivacyBox va fermer, il est temps pour moi de faire un petit bilan de cette expérience.

Donner la possibilité à des personnes de vous écrire sans contrainte d’identité lève un certain nombre de barrières: la parole est plus libre, plus directe. Des choses peuvent être dites sans fard, sans le verni de la politesse et la retenue de l’éducation. J’ai ainsi reçu des courriers d’encouragements et de soutiens de personnes qui souhaitaient rester anonymes.

J’ai aussi reçu des messages d’insultes, de menaces, de critiques…

Mais j’ai également reçu par ce biais des messages qui m’ont interloqué. Je me souviens en particulier de cette personne qui m’expliquait ses penchants pour les jeunes enfants et qui était tombé sur mon blog parce que j’y parle (souvent) de mes dossiers de recherches d’images pédopornographiques. Cette personne me livrait ses tourments et m’expliquait comment elle surmontait le passage à l’acte en consommant des ouvrages interdits en France mais autorisés au Japon (des mangas spécialisés dans les dessins pornographiques mettant en scène des enfants). J’ai reçu en quelques jours plusieurs messages très crus de sa part sur le sujet, sans pouvoir y répondre puisque la personne n’a pas souhaité me laisser le moyen de la contacter, et pour cause.

J’ai reçu également quelques demandes pour des interventions dans des dossiers, des questions sur le piratage, sur les techniques de contournement ou sur les moyens mis en œuvre par la Justice pour lutter contre telle ou telle fraude. J’y ai répondu dans la mesure de mes capacités et lorsque l’utilisateur me laissait une adresse email pour cela.

J’ai reçu en tout une centaine de messages.

J’ai ainsi été spectateur d’une liberté totale d’expression, sans inhibition.

J’en ai appris beaucoup sur la nature humaine.

J’en ai appris aussi sur moi-même, sur mes propres rouages.

J’ai mené cette expérience pour aller jusqu’au bout de l’anonymat.

Je suis désolé que le service de PrivacyBox ferme.

En tout cas, j’ai eu moins peur en lisant ces emails anonymes, qu’en lisant les commentaires que l’on trouve sous les articles de certains journaux en ligne…

Stockage

Publié le par

La semaine dernière, j’ai reçu un ordinateur sous scellé à fin d’analyse. Pour une fois, il ne s’agit pas de recherche d’images pédopornographiques, mais de retrouver des conversations électroniques.

J’ouvre le scellé, et en extrait le disque dur pour analyse. Le disque dur fait 3To…

Bon, c’est normal, les capacités des disques durs vont en augmentant, mais après vérification, je ne dispose pas de disques durs suffisamment grands, et mon NAS personnel est presque plein. Comment faire une copie pour analyse, sachant qu’il me faut facilement le double de la taille du disque d’origine: pour l’image bit à bit, pour le fonctionnement en VM et pour toutes les données extraites ?

Sachant que le budget de la Justice, déjà exsangue, n’est pas prévu pour m’offrir un joli NAS, et que tout le monde compte sur mon travail d’analyse, rapide, fiable et PAS CHER… il me faut trouver une solution.

Twitter étant mon ami, je lance un tweet SOS à ceux qui me suivent sur le compte @Zythom. Et me voilà en train de tester plusieurs outils gratuits dont je vais un peu vous parler aujourd’hui.

Tout d’abord, il se trouve que je dispose d’un nombre invraisemblable de carcasses d’ordinateurs qui remplissent mon bureau, entre vieilles cartes mères et webcams-qui-ne-marchent-que-sous-XP. J’ai donc cherché dans le lot un vieux PC avec une carte mère acceptant les disques durs SATA. Me voici avec un NEC « Pentium 4 » datant du temps où l’on nommait les PC du même nom que leur processeur.

Une fois la poussière priée d’aller sur les objets alentours, je pars en chasse d’un clavier et d’une souris PS2, d’un écran fonctionnel, d’un cordon d’alimentation et d’un câble réseau catégorie 5e au moins.

En regardant bien la carte mère de cette vieille machine, je compte 4 ports SATA et deux ports IDE. Je fouille alors dans mon stock de disques durs dédiés aux expertises, et j’en extrais un vieux disque dur IDE de 40 Go, deux disques SATA de 3To et un disque tout neuf de 4To.

Me voici prêt à tenter de construire un NAS avec ça.

Les followers qui ne dormaient pas au moment où j’ai posé ma question m’ont proposé les produits suivants:

– Nexenta Community Edition

– XPEnology

– OpenMediaVault

– OpenFiler

– FreeNAS et

– NAS4Free

J’ai testé ces produits avec la machine que j’avais assemblée de bric et de broc. Voici mes constatations, et je demande aussitôt aux passionnés de ces produits de me pardonner mon test simpliste (je ne suis pas un labo de tests non plus!):

– Nexenta CE n’a pas reconnu mes disques durs;

– XPEnology n’a pas fonctionné de manière stable malgré tous mes efforts (je dispose déjà de deux NAS Synology, un vieux DS209j et un DS713+ flambant neuf, donc j’étais motivé);

– OpenMediaVault n’a pas réussi à faire booter ma machine;

– OpenFiler n’a pas reconnu mon disque dur de 4To lors de la configuration SoftRAID;

Le développement de FreeNAS ayant été repris par une société commerciale, j’ai directement testé NAS4Free qui est la suite du développement du code originel de FreeNAS. NAS4Free a reconnu l’ensemble de ma configuration, aucun message d’erreur n’est apparu lors de la constitution du RAID0 qui a aggloméré tous mes disques durs (sauf celui de 40Go qui sert uniquement pour le système au démarrage).

Mon choix s’est donc arrêté sur  NAS4Free.

J’ai donc maintenant un NAS de capacité 10 To 9 To qui me permet de mener à bien la mission d’expertise qui m’a été confiée. L’accès aux disques est rapide, l’incorporation dans mon réseau privé très simple, le partage des données entre machines Linux ou Windows est simple à paramétrer. Bref, une solution que je recommande à tout ceux qui ont un besoin rapide de stockage pour pas trop cher.

Seuls inconvénients: la consommation et le bruit, légèrement supérieurs à ceux de mon NAS perso Synology DS713+ sur lequel s’appuie toute la famille.

Mais si le dernier reste allumé en permanence toute l’année, le NAS4Free ne reste allumé que le temps d’une expertise, c’est-à-dire… quelques nuits 😉

Ma prochaine étape sera de faire l’achat que quelques cartes PCI multiports SATA pour augmenter la capacité de mon NAS improvisé. Je dois pouvoir atteindre les 16 disques durs de 4To, soit 64To!

Ensuite, pour passer à 180To, je testerai le pod de stockage Backblaze que Korben m’a fait découvrir.

De quoi voir venir 😉

————————————————————————–

Source image: inpic.ru

Prise d’image rapide d’un disque dur

Publié le par

Je voudrais vous faire part d’un retour d’expérience sur le sujet de la prise d’image de disque dur. J’en ai déjà parlé un peu sur ce blog, ici et là.

Lorsque l’on me confie un scellé à analyser, la première étape technique consiste à faire une image du disque dur à analyser. Il faut bien sur que l’image soit parfaitement fidèle, car c’est elle (et elle seule) qui sera étudiée ensuite. La prise d’image doit garantir l’accès en lecture seule du disque dur, afin de ne rien écrire sur celui-ci pour ne pas compromettre la preuve.

A ce stade du récit, je me permets de rappeler que cette précaution ne vaut pas pour certains cas, comme par exemple avec les disques durs SSD. En effet, ceux-ci disposent d’un algorithme d’égalisation de l’usure qui peut entraîner le déplacement de données dès la mise sous tension (donc techniquement, les données du disque dur sont modifiées avant même qu’on cherche à y accéder). Mais comme à l’impossible nul n’est tenu…

En pratique, il suffit d’extraire le disque dur du scellé et de le placer dans un duplicateur de disque dur. Sauf, que ces appareils coûtent plusieurs milliers d’euros et qu’aucun tribunal n’a encore accepté de m’équiper… Il me faut donc fabriquer moi-même mon duplicateur, ce que j’ai détaillé dans ce billet intitulé « La nuit, à travers le réseau« .

Mais cette technique me posait plusieurs problèmes: ma station de prise d’image est relativement volumineuse et les temps de copie sont très longs. Ces problèmes ne sont pas gênants lorsque je travaille chez moi, mais deviennent rédhibitoires lors d’une intervention en extérieur où la mobilité et le temps sont des facteurs clefs. De plus, la technique demande de démonter le disque dur à copier, ce qui n’est pas toujours facile à faire, surtout dans le cas d’ordinateurs portables.

Voici donc la méthode que j’utilise, et qui pourrait intéresser des confrères, ou des lecteurs souhaitant faire une copie rapide d’un disque dur complet (sauvegarde, récupération de données…). Elle a été testée sur des ordinateurs de type PC, sous Linux ou Windows.

Je dispose d’un ordinateur portable muni d’un port USB3. Ce type de port USB est 10 fois plus rapide que les ports USB2 encore très fréquents sur les ordinateurs. Mais à l’époque d’écriture du présent billet, de plus en plus de portables disposent de ce type de port, à des prix abordables. Il faut également s’assurer de la présence d’une carte réseau gigabit.

Il faut faire l’acquisition d’un disque dur externe USB3 de grosse capacité pour pouvoir stocker l’image obtenue lors de la copie. J’ai choisi un disque de 3To premier prix (en fait, j’en ai plusieurs en stock car parfois je suis amené à les mettre eux-mêmes sous scellés, mais c’est une autre histoire).

Je me suis acheté un petit switch gigabit et deux câbles réseaux gigabits. Là aussi, un premier prix suffira. 5 ports, c’est très bien.

Il faut disposer d’un lecteur de cédérom USB, très pratique maintenant que beaucoup de portables sont livrés sans lecteur. J’ai opté pour un graveur de DVD premier prix, ce qui me permettra de réaliser des gravures de CD ou de DVD pour réaliser des scellés facilement lorsque le volume de données est relativement faible.

Enfin, il faut télécharger et graver le liveCD DEFT que se doit de disposer tout expert informatique.

Procédure :

1) Vous allumez votre ordinateur portable et branchez votre disque dur externe USB3 (sur le bon port USB, celui qui est bleu à l’intérieur).

2) Vous configurez une adresse IP fixe sur la carte réseau giga (par exemple 192.168.63.1) que vous branchez sur le switch giga.

3) Vous désactivez votre firewall

4) Vous créez un répertoire « partage » sur votre disque dur externe, que vous configurez en partage pour tous #PartagePourTous.

5) Vous branchez votre lecteur de cédérom sur l’ordinateur à copier, que vous branchez lui sur le switch giga.

6) Vous bootez l’ordinateur à copier sur le LiveCD DEFT (en général, le choix du boot se fait par l’appui répété de la touche « Echap »)

7) Sur l’ordinateur à copier, vous tapez:

% ifconfig eth0 192.168.63.100

% ifconfig eth0 up

% mkdir /root/toto

% mount -t cifs //192.168.63.1/partage  -o username=zythom   /root/toto

% dd_rescue  /dev/sda  /root/toto/hd.dd

Avec un peu de chance, si la carte réseau du pc à copier supporte le gigabit/s (ce qui est le cas de beaucoup de cartes aujourd’hui), et si la distribution DEFT reconnaît les différents composants du pc à copier, alors vous aurez réalisé en un temps record, une copie du disque dur de la machine visée. Par exemple, un disque dur d’1 To en moins de 3h. La dernière commande de l’étape 7 crée un fichier nommé « hd.dd » dans le répertoire « partage » situé sur votre disque dur externe USB3. Ce fichier contient une image fidèle (aux erreurs de segments près) du disque dur du pc que vous deviez copier.

Bien sûr, plusieurs étapes ont des chausses trappes:

– à l’étape 6, le démarrage sur le LiveCD peut nécessiter le choix de paramètres de boot particuliers (noapic, nolapic, nodmraid, vga=xxx…)

– la configuration du réseau à l’étape 7 peut être plus complexe et demande une bonne maîtrise des paramétrages, surtout en cas de carte réseau particulière.

– la commande « mount » indiquée à l’étape 7 suppose que votre ordinateur portable est une machine Windows avec un compte protégé par mot de passe (demandé lors de l’exécution de mount). Il faut adapter la commande si vous êtes sous Linux ou Mac OS.

Cette procédure ne fonctionnera pas à tous les coups, mais permettra dans un grand nombre de cas, d’avoir une copie rapide de disque dur, à un coût raisonnable.

N’hésitez pas à me faire part de vos améliorations en commentaires.

———————————————-

Source image Megaportail

Ce moment magique où le disque dure

Publié le par

Mon activité d’expert judiciaire en informatique est connue de mon entourage et de mes amis, en particulier le fait que je sais « faire parler » un disque dur. Il m’arrive donc parfois d’être contacté par un ami qui m’avoue son désespoir de ne plus arriver à lire les données de son disque dur. La conversation donne en général ceci:

« Je n’arrive plus à accéder à mon disque dur externe. J’y stocke les photos de la famille. Je me suis pris les pieds dans l’alim et le disque dur a volé dans la pièce… Quand je l’ai rebranché, plus rien. »

Ce moment gênant où le disque dur ne démarre plus…

« … mais rassure moi, tu as bien des sauvegardes? »

Ce moment troublant où l’on réfléchit à la date de la dernière sauvegarde.

« Heu, mouis, mais pas récentes. »

« Bon. Qu’est ce qu’il fait comme bruit ton disque dur? »

« Et bien, justement, il ne fait plus aucun bruit. Enfin, si, un petit sifflement d’une seconde, puis rien pendant deux secondes, puis de nouveau un petit sifflement… »

« Ok. Ton disque dur est mort. Tu peux faire une croix sur tes données. »

Ce moment particulier où l’on annonce que toutes les données sont perdues à jamais…

« Non!? Et tu ne peux rien y faire? Même toi?

« Bah. A l’impossible nul n’est tenu. Si ton disque est mort, à part l’intervention d’une société spécialisée avec démontage en salle blanche, je ne vois pas. »

Le deuil.

Étape 1: le choc.

Cette courte phase du deuil survient lorsqu’on apprend la perte. C’est une période plus ou moins intense où les émotions semblent pratiquement absentes.

Exemple: « …!? »

Étape 2: la colère.

Phase caractérisée par un sentiment de colère face à la perte. La culpabilité peut s’installer dans certains cas. Période de questionnements.

Exemple: « Mais c’est nul! Tu peux rien faire? Mais alors, comment je vais récupérer mes données? $#%!§ (biiip) »

Étape 3: le marchandage.

Phase faite de négociations, chantages…

Exemple: « Non, mais tu peux vraiment rien faire? Et si je t’envoie le disque dur, tu peux essayer quand même? Avec un peu de chance… Et puis, toi, tu sais y faire avec ça. A chaque fois que je t’appelle, mon PC remarche, même quand tu interviens à distance! »

Étape 4: la dépression.

Phase plus ou moins longue du processus de deuil qui est caractérisée par une grande tristesse, des remises en question, de la détresse.

Exemple: « Toutes les photos depuis la naissance du dernier!!! Pourtant, j’avais décidé d’acheter ce disque dur pour faire des sauvegardes. Mais bon, voilà, plutôt qu’un disque de secours, c’est vite devenu un disque principal, avec toute la place qu’il proposait. Comment je vais faire? »

Étape 5: l’acceptation.

Dernière étape du deuil où l’endeuillé reprend du mieux. La réalité de la perte est beaucoup plus comprise et acceptée. L’endeuillé peut encore ressentir de la tristesse, mais il a retrouvé son plein fonctionnement. Il a aussi réorganisé sa vie en fonction de la perte.

Exemple: « Écoute, j’ai bien compris que je n’avais aucune chance de récupérer mes données, mais plutôt que de jeter le disque dur, je te l’envoie pour que tu tentes l’impossible, même le démontage. Si tu y arrives, c’est fantastique, et si tu ne peux vraiment rien faire, c’est tant pis pour moi. »

Une fois le disque dur récupéré, j’ai immédiatement branché celui-ci sur une prise de courant. Résultat: bzzz (1s) « … » (2s) bzzz (1s), etc.

Comme expliqué à mon camarade, je ne suis pas magicien. Un disque dur est un miracle de technologie, une mécanique de précision. Tellement précis que les têtes de lecture sont profilées pour flotter sur un coussin d’air au plus près des plateaux magnétiques.

Je démonte quand même le boitier USB. J’en extrais le disque dur que je branche directement sur mon PC. Même bruit particulier. Comme si quelque chose empêchait les plateaux de se mettre à tourner. Je pars me coucher.

Le lendemain soir, je retrouve le disque dur que j’ai posé sur mon bureau où il va finir sa vie comme presse-papier. Je le regarde, pensif. Bzzz, « … », bzzz, « … », c’est vraiment comme si le moteur électrique n’arrivait pas à lancer la rotation des plateaux. J’inspecte les vis particulières qui scellent le boitier. Je sais que si je l’ouvre, dans l’atmosphère normalement poussiéreuse de mon bureau, je condamne définitivement les données stockées sur les plateaux.

Il ne me reste plus qu’une seule chose à tenter, une méthode que je tiens de mon père, qu’il tenait lui même de son père.

Je branche le disque dur sur une alimentation SATA externe que j’utilise lorsque je n’ai plus assez de branchements issus de l’alimentation de mon PC. Je constate qu’il fait toujours ce bruit de « démarrage bloqué ».

Je le saisis fermement.

Je le soulève de 10 cm au dessus de mon bureau.

Je frappe cette mécanique de précision, sensible et fragile, sèchement sur la surface de bois de mon bureau.

Une fois.

Deux fois.

Sur la tranche.

Sur le dessus.

Ce moment fascinant où l’on tape sur le bureau avec un disque dur.

Et ce soir là, un petit miracle s’est produit. Quelque chose que je n’avais jamais vécu auparavant. Le genre de truc qu’on lit sur internet sans vraiment y croire, du même genre que le coup du congélateur. Impossible ou improbable, il a toujours quelqu’un qui vous jure que ça marche, que ça a marché.

J’ai frappé un disque dur sur mon bureau, et il s’est remis à fonctionner. La méthode utilisée par mes père et grand-père sur leur télévision fonctionne donc. C’était donc vrai, la force brutale peut vaincre l’ingénierie la plus pointue.

J’ai pu récupérer toutes les données et rendre à un papa heureux toutes ses précieuses photos. J’ai certainement un peu entamé la durée de vie de son disque, mais je l’ai prévenu: « fais tes sauvegardes et prie pour que ton disque dure ».

—————

– Cette anecdote n’a aucun intérêt si ce n’est peut-être parce qu’elle est parfaitement authentique.

– J’engage mes lecteurs à ne pas répéter cet acte désespéré sur leurs propres disques durs, et encore moins sur des disques durs ne leur appartenant pas. Il s’agit effectivement ici d’un miracle. Et par définition, cela ne se reproduira pas.

– Aucun scellé n’a été blessé pendant cette séquence.

On ne peut pas toujours tout cacher

Publié le par

Chaque mission est un défi, et puisque les magistrats me confient plutôt des missions techniques, il s’agit souvent pour moi d’un défi technique. Mais comme je le répète assez souvent sur ce blog, à l’impossible nul n’est tenu. Quoique.

Deux entreprises sont en conflit commercial, et l’une accuse l’autre d’avoir récupéré par l’intermédiaire d’un transfuge un certain nombre d’informations confidentielles. Les dites informations sont contenues dans des fichiers PDF qui auraient été emmenés par le salarié débauché sur son ordinateur portable personnel. Le salarié concerné nie les faits et affirme n’avoir jamais manipulé ces fichiers sur son ordinateur personnel.

La justice a fait saisir l’ordinateur en question et comme les enquêteurs disponibles sont occupés ailleurs à faire monter le taux d’enquêtes résolues, je suis désigné pour mener à bien l’investigation. Ma mission: trouver trace du fichier « SuperConf.pdf ». Me voici donc à la maison dans mon bureau à faire l’analyse du matériel saisi. J’ai déjà expliqué ici comment je procède pour copier le disque dur afin de créer une copie parfaite (aux secteurs défectueux près). J’ai déjà raconté aussi ici les galères rencontrées dans certains démontages d’ordinateurs portables.

Dans le cas présent, une fois l’image du disque dur effectuée et transformée en machine virtuelle, je commence par me « promener » dans le système de fichiers, pour « sentir » un peu le profil de l’utilisateur de l’ordinateur: quels sont les logiciels installés, les raccourcis, l’organisation général de la machine, etc.

Très vite, je tombe sur un effaceur de traces redoutable: Eraser. Là, je me dis tout de suite que mes chances de retrouver des traces du fichier PDF recherché sont assez minces. Mais, le travail devant être fait, je lance une recherche du nom de fichier dans la zone allouée du disque dur, dans la zone non allouée, dans la table des fichiers effacés/non effacés, et partout où je peux retrouver un fragment de fichier PDF.

Comme prévu, aucun fichier « SuperConf.pdf ». Par ailleurs, la liste des fichiers effacés est parfaite vide.

Par contre, je découvre un fichier non effacé qui s’appelle « SuperConf.myd » qui se trouve dans le répertoire « Documents and SettingscépasmoiApplication DataAdobeAcrobat »…

Étrange.

Une petite recherche sur Internet me laisse penser qu’il s’agit d’un fichier associé au système de gestion de base de données MySQL. Mais que vient faire ce SGBD dans le logiciel Acrobat? Je fouille un petit peu plus sur le disque dur pour finalement réaliser qu’il ne s’agit pas de l’habituel « Reader » gratuit mais bien de la version complète du logiciel phare de chez Adobe. Une recherche plus approfondie sur Internet ne donne pas grand chose (à l’époque;) sur l’association Acrobat/MySQL…

Comme je n’ai rien d’autre à me mettre sous la dent, je décide d’installer MySQL et ses outils sur une machine vierge et d’y transférer l’ensemble des fichiers .MYD récupérés sur le scellé (enfin sur son image). Je ne m’étendrai pas ici sur la configuration d’une instance MySQL et sur les différents échauffements toujours nécessaires pour dérouiller mes connaissances sur ce merveilleux langage qu’est SQL. J’arrive à « monter » les différents fichiers .MYD dans le SGBD et à lancer quelques commandes SELECT * dans le requéteur.

Et là, avec une certaine surprise je dois dire, je découvre que le logiciel Acrobat garde trace de tous les fichiers qu’il a manipulés, avec les informations associées: Auteur, mots clefs, nom du fichier, chemin d’accès, taille du fichier, dates diverses, sujet et d’autres encore. Et en l’espèce, tout ce qui concernait mon fichier « SuperConf.pdf »: Erazer avait effacé toute trace du fichier d’origine, mais n’avait rien retiré des traces laissées dans la base de données interne d’Acrobat.

J’ai pu ainsi rendre un rapport précisant bien que le fichier « SuperConf.pdf » avait bien été présent sur l’ordinateur mis sous scellé. Avec bien entendu toutes les réserves que je fais à chaque fois et que je rencontre trop rarement autour de moi: les dates ne prouvent pas grand chose, la présence du fichier ne signifie pas nécessairement que sa manipulation ait été faite par le propriétaire de l’ordinateur, etc.

J’ai ainsi pu vérifier une fois encore le principe de l’échange de Locard, ou son équivalent informatique:

On ne peut chiffrer ou déchiffrer une donnée, l’inscrire ou la supprimer d’une mémoire, sans apporter et déposer une trace sur l’ordinateur, sans modifier et prendre quelque chose qui s’y trouvait auparavant.

Je dois admettre que j’ai au final passé beaucoup plus de temps à essayer de rédiger un rapport clair et facilement compréhensible qu’à mener les investigations techniques…

Pour ceux qui ont peur de se faire voler leur ordinateur

Publié le par

Je lis ici ou là que des journalistes se sont faits voler leurs ordinateurs sur lesquels se trouvaient des données confidentielles en rapport avec leurs enquêtes. Un doute soudain me fait croire (à tord sans doute) que ces données confidentielles n’auraient pas fait l’objet d’une protection suffisante, concernant leur accès (chiffrement) et/ou concernant leur récupération (sauvegarde).

Je me rends compte (aidé par un fidèle twitterer) que je n’ai jamais abordé ici cet aspect du problème. J’ai bien évoqué les difficultés rencontrées lors des expertises judiciaires (d’aujourd’hui ou de demain) face au chiffrement, mais je n’ai jamais indiqué la méthode que je recommande à ceux qui souhaitent protéger leurs données. Je vais essayer de corriger cela maintenant, modestement et à mon niveau.

Toute d’abord, évacuons le problème de terminologie: on entend souvent parler de cryptage, voire de chiffrage, mais ces mots sont incorrects. Le seul terme admis en français est celui de chiffrement. Par ailleurs, l’opération inverse du chiffrement est le déchiffrement. Il est cependant admis de désigner par décryptage, ou décryptement, un déchiffrement effectué de manière illicite par un attaquant, typiquement sans disposer de la clé secrète mais après avoir trouvé une faille dans l’algorithme de chiffrement (source). Joie et richesse de la langue française.

Enfin, il ne s’agit pas d’un cours sur le chiffrement, ni d’une présentation se prétendant universelle, mais de la solution que j’utilise pour protéger les données du cabinet d’avocat de mon épouse, ainsi que les données que je conserve suite à mes différentes expertises judiciaire (en général les rapports et leurs annexes).

J’utilise pour cela un outil opensource gratuit très simple d’usage et très puissant: TrueCrypt.

Constatant que le volume de données à protéger par chiffrement est relativement limité (je ne chiffre pas mes photos de vacances, même celles où je suis déguisé d’une façon ridicule – mais drôle), j’ai mis en place le chiffrement d’un GROS fichier d’environ 2Go, fichier destiné à contenir toutes les données que je souhaite protéger.

Je n’ai pas choisi de chiffrer tout un disque dur ou toute une partition, je n’ai pas choisi de chiffrer mes clefs USB, je n’ai pas choisi de chiffrer la partition où se trouve mon système d’exploitation, même si tout cela est possible avec TrueCrypt.

Toute l’astuce d’utilisation (et toute la contrainte) tient dans le fait que le GROS fichier va être manipulé par TrueCrypt afin de faire croire au système d’exploitation (Windows 7, Vista, XP, 2000, Mac OS X, GNU/Linux) que vous avez accès à un nouveau (petit) disque dur de 2Go.

Ce disque dur (virtuel) s’appelle un « volume TrueCrypt ».

Le site officiel décrit parfaitement (en anglais) la manière de créer et d’utiliser un tel volume: cela se trouve ici.

Une fois le volume TrueCrypt créé, la seule vraie contrainte est de l’associer (à la main) à une lettre[1] pour qu’il soit vu et utilisable comme une clef USB. Il ne faut pas non plus oublier de le désassocier AVANT d’éteindre l’ordinateur ou de déplacer le GROS fichier.

Cette solution a de nombreux avantages:

– TrueCrypt est un logiciel opensource et gratuit.

– TrueCrypt existe en version installable localement ou en version portable sur clef USB (par exemple dans le package LiberKey).

– La copie du GROS fichier de 2Go ne pose aucune difficulté, par exemple pour un transfert d’un pc à un autre, un transfert vers une clef USB ou un transfert par internet.

– La sauvegarde des données est aussi simple que d’habitude, puisque le GROS fichier est considéré par tous les logiciels ou procédures de sauvegarde comme un fichier normal. Vous pouvez d’ailleurs le copier dans un répertoire partagé sur le réseau sans craindre pour l’accès aux données. Vous pouvez en graver une copie sur DVD.

– Une taille de 2Go permet au GROS fichier d’être manipulé simplement par tous les systèmes d’exploitation (un conseil quand même: donnez au GROS fichier un nom simple, sans accent, sans espaces et pas trop long, par exemple « perso »).

Attention quand même, la protection tient grâce à votre mémorisation d’un mot de passe suffisamment robuste pour ne pas être deviné. Un mot de passe très long est conseillé. Astuce: prenez les 1er caractères de chaque mot de votre chanson favorite et insérez-y quelques chiffres. Exemple avec la Marseillaise: Aedlp1789Ljdgea1889Cndlt1989Lesel. Utilisez de préférence le couplet 7, dit couplet des enfants… Et bien sur, évitez de chanter en tapant votre mot de passe.

Pour les plus exposés d’entre vous, ceux qui risquent d’être menacés par leur cambrioleur pour obtenir leur mot de passe, TrueCrypt propose un mécanisme de double protection: votre GROS fichier contient alors deux parties, chacune protégée par un mot de passe. Le 1er mot de passe donne accès à des données sans importance (mais confidentielle quand même, ne prenez pas les gangsters pour des imbéciles), alors que le 2e mot de passe donne accès aux vraies données que vous souhaitez protéger. En cas de menace, vous ne donnerez sous la torture que le 1er mot de passe en jurant que c’est le seul. Il n’y a aucun moyen (même pour un expert judiciaire:) de vérifier l’existence d’un 2e mot de passe pour accéder à une 2e partie éventuelle. Ce mécanisme doit être prévu lors de la création du GROS fichier, et s’appelle « Hidden TrueCrypt volume« .

N’oubliez pas que cette méthode ne protège pas vos emails. Il faut plutôt lire ce billet.

Si avec cela vous n’arrivez pas à protéger vos données, plus personne ne peut rien pour vous.

[Edit du 03/11/2010] Je vous invite à tester TrueCrypt en suivant le mode opératoire décrit par la blogueuse Kozlika dans une série de billet qu’elle a écrite. Bonne lecture 🙂

——————–

[1] Dans le cas d’un OS Windows.

——————–

Cliquez sur l’image pour l’agrandir. Crédit darkroastedblend.com

Cave ne ante ullas catapultas ambules

Publié le par

Je suis en train de terminer une expertise informatique particulièrement éprouvante qui m’a pris presque tout mon temps libre depuis quatre semaines.

Être expert judiciaire, c’est en général une activité parallèle à une activité principale, les magistrats voyant dans cette activité principale la garantie d’un certain niveau de compétence et d’une mise à niveau permanente.

Dans mon cas, je suis salarié dans une école d’ingénieurs. Cela occupe mon temps de 9h à 19h, coupé par une pause d’une demi heure pour avaler une saladette devant mon ordinateur.

Depuis quatre semaines, donc, de 21h à 23h, et les quatre dimanches concernés, j’ai consacré toutes mes forces à analyser le contenu de plusieurs scellés qui m’ont été confiés pour en retirer 60 Go de films et photographies pornographiques et pédopornographiques.

Lors du devis initial adressé au Procureur de la République, j’avais indiqué qu’il me faudrait sans doute 30 heures de travail, ce qui dans mon cas représente une « grosse » expertise. A 90 euros de l’heure (tarif spécial service public), le devis me paraît toujours élevé. Mais, quand on sait que l’on sera (peut-être) payé deux ans plus tard…

Mais si vous comptez bien, j’ai déjà passé plus de 60 heures dans la gadoue… et je n’ai pas encore terminé. Que se passe-t-il donc? Je suis tombé sur un PC infecté par de nombreux virus, vers et autres chevaux de Troie…

Et bien quoi, me direz-vous, ne suffit-il pas de passer un bon coup d’antivirus pour nettoyer tout cela? Certes, mais alors, quid de la volonté de l’utilisateur de télécharger tous les fichiers trouvés sur l’ordinateur?

Si vous lisez le serment prêté par l’expert judiciaire, et que j’ai modestement placé en sous-titre de ce blog, j’ai juré de donner mon avis en mon honneur et en ma conscience. Un avis, cela se donne quand on le demande: c’est le but des missions confiées par le magistrat. L’honneur, concept relativement complexe, a à voir avec l’éthique personnelle et le sentiment du devoir. Et enfin, j’ai déjà parlé ici de la conscience et de ses difficultés.

Ma vision personnelle des missions est qu’il faut savoir y lire « l’esprit de la mission ». Personne ne m’a demandé dans cette expertise de savoir si oui ou non l’ordinateur qui m’a été confié appartient sans le savoir à un réseau de stockage distribué. Une sorte d’Amazone S3 version bad boys. Mais imaginez un peu la scène si c’était vrai, si un ordinateur contaminé, non content d’être dans un botnet pour spammer le monde entier, était utilisé pour stocker des données forcément compromettantes, comme par exemples des images pédopornographiques.

Dois-je, en ma conscience, dire au magistrat: « mais je n’ai pas regardé car vous ne me l’avez pas demandé »? Non. Mais dans ce cas, le travail est gigantesque: il faut analyser le code de chaque virus, de chaque ver, de chaque cheval de Troie pour savoir ce qu’il cherche à faire en s’étant implanté sur cet ordinateur… Et cela prend du temps, beaucoup de temps…

Alors, pour rester dans une fourchette de temps raisonnable (j’ai également une date limite pour réaliser une expertise judiciaire), je procède de la façon suivante: j’utilise plusieurs antivirus, je note toutes les détections faites lors des analyses (nom du programme malveillant, nom du fichier infecté), et je me renseigne sur les sites des éditeurs d’antivirus sur l’activité de chaque programme malveillant détecté. Et comme chaque éditeur utilise une terminologie différente, cela prend encore plus de temps.

Je compile tout cela pour le magistrat, afin de donner mon avis à cette question qu’il ne m’a pas posée: l’utilisateur est-il responsable de l’arrivée sur cette machine des fichiers illégaux que j’y ai trouvés.

Et parfois, ce n’est pas facile d’y répondre.

Un conseil: installez un bon antivirus.

Gestion de stress

Publié le par

Cet après-midi là, tous les ordinateurs du travail se sont mis à planter (sauf le mien;). Mon téléphone a commencé à crépiter et mes voisins de bureau à venir me voir, goguenards.

Aussitôt, je suis aller rejoindre mon équipe en salle serveurs.

Première chose, redémarrer la production. Comprendre ensuite si possible, mais arrêter le moins longtemps possible la structure. Et pour cela, il faut un peu de calme: je prends les téléphones de mon équipe pour éliminer le plus possible les interférences avec le monde extérieur. Je deviens le seul point d’entrée du service informatique (je réponds à tous les appels, poliment mais très succinctement: « Nous avons un gros problème, nous nous en occupons, merci de votre appel mais il va falloir patienter »).

Nous commençons une analyse de tous les symptômes du problème. Les serveurs sont très lents. Seuls les serveurs Windows semblent atteints. Il est difficile, voire impossible, d’ouvrir une session distante dessus. Une attaque virale?

Je continue de répondre aux appels et à accueillir les personnes qui se déplacent jusqu’au service (en général des étudiants envoyés par les professeurs à la pêche aux informations).

Est-ce une instabilité liée au système de virtualisation? Dans ce cas, pourquoi les machines virtuelles GNU/Linux ne semblent pas affectées?

Je suis calme et ma sérénité gagne toute l’équipe. Nous sommes en train de faire un diagnostic différentiel sans canne et sans Vicodin… Les hypothèses fusent librement et nous les soupesons chacune pour trouver une piste.

Qu’est-ce qui peut bien mettre tout notre système par terre? Nous lançons iptrafic pour regarder les trames réseaux.

« Tiens, les machines de Casablanca se synchronisent sur notre WSUS local. Pas bon ça! »

« Peut pas être en rapport avec le problème, les débits en jeux sont trop faibles: 10Mb/s d’un côté, 2Gb/s de l’autre, un rapport de 200 entre les deux… »

« Un problème de synchro entre les deux annuaires, alors »

« OK, reboote l’un des deux serveurs AD, attend qu’il soit en ligne et reboote le deuxième ensuite, on verra bien »

La situation de crise est bien là. L’école est arrêtée, je sais que l’on me reprochera d’avoir failli. Mais le moment n’est pas encore à assumer le problème, le moment est à la recherche d’une solution pour retrouver un bon fonctionnement…

Nous sommes calmes, les gestes sont précis et les hypothèses, plus ou moins loufoques, sont passées au crible les unes après les autres.

« Si c’est un problème réseau, on est mal »

« C’est sur, nous n’avons pas de sondes temps-réel, à peine une surveillance snmp des principaux switches. »

« Tous les serveurs Windows fonctionnent au ralenti, plusieurs personnes n’arrivent pas à s’y connecter, ceux déjà connectés ont des timeouts, et certaines machines sous XP se figent »

« Regarde la carte réseaux de la console, elle clignote comme une folle. »

« Bon, pas le temps de lancer un Wireshark. On reboote le cœur de réseau. Si ce n’est pas cela. On débranche tout. On arrête toutes les VM, tous les serveurs physiques, et on redémarre tout ».

Et comme dans une opération dans un bloc chirurgical, nous arrêtons le cœur (trois alimentations à mettre sur off), nous comptons jusqu’à dix, puis l’on remet tout sous tension.

Le cœur de réseau repart… Sur nos écrans, nous lançons différents tests pour jauger le fonctionnement des serveurs. Je regarde les courbes de charge. Il faut environ une minute pour que les autotests du cœur de réseau aboutissent et que le système soit de nouveau opérationnel. Nous retenons notre souffle.

Les étudiants dans le couloir nous font des petits signes d’encouragement. Les cours reprennent. Le problème est résolu. Notre switch principal était en vrille. Pourquoi? Pour l’instant, nous ne savons pas. J’ai peur d’une attaque virale qui serait passée à travers les antivirus. Il faudra bien que cela nous arrive, maintenant que l’on a abandonné Novell…

L’alerte aura durée un quart d’heure. C’est trop, beaucoup trop. Maintenant il faut que j’explique à 1000 personnes que je n’ai pas été capable d’empêcher cela. Mais pendant un quart d’heure, l’équipe a fait corps et travaillé avec une puissance que l’on ne trouve que dans les situations d’urgence.

Et ça, c’est beau.