Archives par mot-clé : Tome2

Sonnette d’alarme

Publié le par

Cette anecdote est 100% véridique et est publiée avec l’accord du responsable informatique concerné.

PREAMBULE

Je suis parfois appelé dans le cadre d’expertise privée. Je n’aime pas particulièrement cela, dans la mesure où j’ai fait le choix de servir la justice (relire le serment de l’expert judiciaire en tête de ce blog) plutôt que de mettre en place une activité d’indépendant pourtant beaucoup plus lucrative. Etre inscrit sur la liste des experts judiciaires, cela donne beaucoup de responsabilités (et de soucis), des honoraires payés parfois à 400 jours et des soirées à trier de tristes images.

Mais c’est aussi une certaine visibilité pour les personnes souhaitant faire appel aux services d’un informaticien compétant à l’esprit indépendant (au sens « donnant son avis en son honneur et en sa conscience »). C’est pourquoi quelques personnes choisissent de faire appel à mes services parce qu’ils ont vu mon nom sur la liste des experts judiciaires. En général, je refuse poliment, en expliquant que je travaille exclusivement avec les magistrats ou les OPJ.

Dans le cas présent, mon interlocuteur m’a expliqué qu’il était face à un problème incroyable sur lequel tout le monde séchait. C’était donc « mission impossible » et cela m’a intrigué.

FIN DE PREAMBULE

Le système informatique de l’entreprise Diaspar[1] présente un dysfonctionnement dont personne n’a pour l’instant trouvé la cause. La panne appartient à la plus terrible des catégories: panne aléatoire non reproductible.

A mon arrivée sur les lieux, mandé par le Directeur de Diaspar, je rencontre le responsable informatique, Mr Alvin, qui me décrit le tableau suivant:

« Nous avons tout vérifié: le câblage, les actifs, les branchements. Nos différents fournisseurs sont intervenus à tous les niveaux. Le réseau a été audité, ausculté, monitoré. Nous avons dessiné le diagramme d’Ishikawa. Nous avons utilisé les cinq pourquoi. Rien n’y fait, le problème est toujours là. Le système fonctionne normalement et paf, les serveurs sont injoignables. Notre seule solution est de rebooter les hubs… »

A la mention de « hub », je dresse l’oreille. Après vérification, le cœur de réseau de l’entreprise est assez ancien: ethernet 10 Mb/s non commuté. Bienvenu dans le monde réel.

Je passe la matinée à étudier les vérifications effectuées par les différentes personnes intervenues avant moi.

Mr Alvin m’invite à déjeuner (c’est l’avantage des expertises privées[2]). Pendant le déjeuner, je pose quelques questions sur le réseau et son historique. Mr Alvin m’apprend alors quelque chose d’intéressant. Le câblage est utilisé par trois systèmes distincts: informatique, téléphonie et vidéosurveillance. Chaque système est indépendant avec ses propres serveurs: serveur informatique pour l’un, PABX pour l’autre et régie vidéo pour le dernier. Un câble réseau dans l’entreprise est donc affecté (exclusivement) à l’un de ces trois réseaux. Cette affectation est décidée à l’aide d’une « rallonge » dans une armoire de câblage (on parle alors de jarretière de brassage, qui a dit que les techniciens n’étaient pas poètes[3])…).

Je me dis que je tiens quelque chose: n’y aurait-il pas eu confusion dans une armoire de brassage? Une caméra ne serait-elle pas branchée sur le réseau informatique? Hélas, Mr Alvin n’étant pas né de la dernière pluie, il avait déjà pensé à ce cas de figure et fait vérifier l’intégralité des armoires de brassage.

Je m’accroche néanmoins à cette idée et par la force de l’expérience, pose la question suivante: n’y aurait-il pas eu des modifications d’affectation de pièces, un bureau transformé en atelier par exemple?

Mr Alvin réfléchit et m’indique que l’ancien bureau du contremaitre a effectivement été transformé en atelier lors de l’agrandissement de la zone de production. Mais à quoi bon, toutes les prises ont été débrassées, testées et réaffectées, puis vérifiées…

Le subconscient (de Murphy) faisant son travail, je réattaque sur le sujet lors de la visite de l’entreprise, l’après-midi. Face à l’ancien bureau transformé en atelier, je pose quelques questions au contremaitre.

Zythom: « Y a-t-il eu des modifications apportées sur le câblage dans votre bureau? »

Le contremaitre: « Ben, ya bien la sonnette du téléphone. »

Zythom: « La sonnette? »

Le contremaitre: « Oui. Comme j’entendais pas le téléphone sonner quand je travaillais dans l’atelier adjacent, j’ai fait ajouter une sonnette dans l’atelier reliée à mon téléphone. La preuve, regardez, elle est toujours là. Mais elle sert plus parce que j’ai changé de bureau et que j’ai un téléphone portable. »

Sur le mur de l’atelier trônait toujours une grosse sonnette en forme de cloche.

En suivant les fils de la sonnette j’aboutis à l’ancienne prise de téléphone. Et sur cette prise se trouve maintenant branché un ordinateur de contrôle d’une machine outils.

Avec l’accord de Mr Alvin, je démonte la prise et nous découvrons un superbe branchement (avec dominos) de la sonnette sur le réseau informatique…

Dès que les échanges informatiques du réseau atteignaient une valeur critique, la self de la sonnette interagissait avec le système et flanquait la pagaille.

J’ai toujours regretté de ne pas avoir demandé au contremaitre si la sonnette sonnait de temps en temps.

Mais je suppose que non…

—————-

[1] Diaspar est le nom de la Cité éternelle du roman « La Cité et les Astres » de Sir Arthur Charles Clarke. Le héros s’appelle Alvin.

[2] Dans le cadre des expertises judiciaires contradictoires, il est interdit de manger avec l’une des parties. Vous pouvez manger avec toutes les parties, mais en général, elles ne souhaitent pas se trouver autour d’une table de restaurant et partager un moment de convivialité… Avec les avocats, ce serait parfaitement possible, mais en général leurs clients ne comprennent pas qu’ils puissent se parler IRL. Donc, c’est sandwich en solitaire.

[3] Et bien sur, honi soit qui mal y pense.

Slap-happy

Publié le par

J’exerce le doux métier de responsable informatique et technique dans une école d’ingénieurs. Comme mes homologues, j’ai mis en place une sécurité informatique essentiellement basé sur des mots de passe et sur une séparation des réseaux. Les utilisateurs doivent changer régulièrement leurs mots de passe et les choisir suffisamment compliqués. Mais certains étudiants aiment jouer avec le feu et cherchent à pirater le compte d’un professeur… Voici la dernière anecdote en date.

Un professeur décide de faire un examen en deux parties à un mois d’intervalle. Il constate avec surprise que quelques étudiants ont vu leurs résultats quadrupler en passant de 04/20 à 16/20 d’une épreuve à l’autre.

Il décide d’approfondir le problème et soupçonne rapidement une tricherie: ces étudiants semblent avoir eu accès au sujet de la deuxième épreuve. Après avoir étudié toutes les fuites possibles, il subodore un vol de mot de passe et vient me voir.

La plupart des systèmes informatiques sont journalisés et le mien ne fait pas exception. Me voici donc à explorer les fichiers de LOG où sont stockés les connexions des utilisateurs. J’y découvre que le professeur semble s’être connecté au système le soir dans les salles informatiques en libre service.

Par mon expérience d’expert judiciaire en informatique, je connais bien la différence entre personne physique et compte informatique, et le danger du raccourci de langage qui consiste à dire « Untel s’est connecté » au lieu de dire « le compte d’Untel a été utilisé ».

Une simple vérification auprès du professeur me permet de comprendre que son compte informatique a été utilisé hors sa présence. Son mot de passe avait donc été volé.

Il y a plusieurs façon de voler un mot de passe: enregistreur de frappe (keylogger), attaque par dictionnaire, mot de passe facile à deviner lors de la saisie (prénom, nom commun…). Ayant à cœur de sécuriser mon système informatique du mieux possible, je mène ma petite enquête pour connaître la méthode utilisée.

En analysant les fichiers de LOG des connexions utilisateurs, je me rends vite compte que parmi les étudiants suspectés de tricherie, deux se sont connectés sur des ordinateurs voisins de celui sur lequel le compte du professeur a été abusivement utilisé.

En étudiant les fichiers de LOG des impressions, je me rends compte qu’un autre étudiant a imprimé un fichier portant le même nom que le fichier contenant le corrigé de l’examen et appartenant au professeur.

En interrogeant le professeur, celui-ci jure qu’il ne stocke pas de données aussi confidentielles sur son compte pédagogique (le compte accessible en salle de cours). Nous vérifions ensemble. Effectivement, aucune trace visible du corrigé sur son compte. Néanmoins, notre système informatique permet une récupération personnelle des données effacées: clic droit, menu « recouvrer les fichiers » (OS Novell Netware). Et hop, voici qu’apparait le fameux corrigé! Le professeur m’indique alors avoir fait transité le fichier par son compte réseau, puis sur sa clef USB, avant de l’effacer. Il ne connaissait pas la fonctionnalité de récupération de données (les étudiants oui, et c’est moi qui le leur enseigne…).

Restait à savoir comment les étudiants avaient obtenus le mot de passe.

Je convoque tout mon petit monde dans mon bureau et prend mon air le plus sévère. Après quelques minutes sur la sellette, les étudiants m’ont expliqué leur façon de faire: lors d’un cours en amphithéâtre, l’un d’entre eux avait son ordinateur portable allumé. Au moment où le professeur s’est connecté sur l’ordinateur de l’amphithéâtre pour son cours, l’étudiant a tourné discrètement la webcam de son portable pour filmer le professeur saisissant son mot de passe.

Une fois en salle informatique, l’étudiant s’est connecté sur le compte du professeur, et ne trouvant rien, a eu l’idée de vérifier les fichiers effacés. CQFD.

Les quatre étudiants ont eu zéro et sont passés en conseil de discipline. Ils n’ont pas été exclus.

Je les aime bien mes étudiants. Ils sont juste un peu parfois irresponsables et insouciants.

Je me méfie maintenant des webcams, des appareils photos, des caméras, des stylos, des lunettes, des montres, des nounours, des miroirs, des ordures, des volants…

L’Ours

Publié le par

Pendant nos trois semaines de camping aux Youessai, nous avons rangé soigneusement tous les soirs notre nourriture dans les containers en acier présents sur chaque emplacement de camping, suivant en cela les consignes strictes des Rangers qui nous conseillaient d’y mettre tout ce qui peut attirer un ours: dentifrice, chewing-gum, crèmes diverses, etc. Et chaque jour, à chaque randonnée, nous cherchions désespérément à apercevoir un ours.

C’est pourquoi, lorsque nous sommes arrivés à notre avant dernier camping, nous avons été plutôt contents quand le Ranger de l’accueil nous a prévenu qu’il y avait un ours qui s’introduisait dans le camping presque toutes les nuits. Juste un peu inquiets quand il a précisé qu’il y avait deux ou trois voitures fracturées chaque semaine…

Nous avons donc, un peu plus que d’habitude, scrupuleusement rangé toutes nos affaires « odorantes » dans le container anti-ours.

Et nous sommes partis en randonnée.

Et après quelques heures de marche plus ou moins silencieuse, nous sommes tombés nez à nez avec un ours, au beau milieu des séquoias.

Je dois dire que les huit enfants et quatre adultes sont restés très calmes, avec une petite pointe de stress assez palpable. Sans perdre notre sang froid, nous avons vérifié si l’animal était accompagné de ses petits (signe qu’il s’agit d’une femelle et là attention si elle pense que ses petits sont en danger). Puis nous nous sommes regroupés, prêts à crier très fort si l’animal s’approchait un peu trop (cela les fait fuir, en théorie).

J’avais mes propres « petits » à l’œil quand j’ai réalisé que je portais le sac à dos contenant tout le goûter… Discrètement, j’ai donc sorti du sac à dos le caméscope et l’appareil photo, afin de pouvoir abandonner sans autre forme de procès le précieux goûter si l’ours décidait de me choisir pour cible…

Et c’est ainsi que pendant plusieurs longues minutes, cet animal sauvage s’est promené à une dizaine de mètres de nous (sans nous prêter la moindre attention). Nous, par contre, entre deux gouttes de transpiration, nous l’avons mitraillé avec nos appareils photos.

1ère photo (floue car j’avais la trouille…)

Coin repas des randonneurs précédents.

Nous battons retraite, notre goûter est sauf, nous aussi.

La forêt était magnifique, avec ses arbres grandioses, et l’instant était magique.

Pendant la nuit, nous avons entendu des gens crier et faire du bruit en provenance de l’autre côté du camping. Ils n’avaient qu’à pas l’inviter…

Si vous passez faire du camping à YNP, je vous recommande vraiment White Wolf Campground.

Cette semaine, c’était la rentrée des classes et le soir, à table, chacun a raconté SA rentrée. Ma fille puînée m’explique que sa maitresse lui a demandé d’écrire une petite dissertation sur le thème « raconte ta meilleure journée des vacances ».

Zythom (papa ému): « Alors, quelle journée as-tu raconté? »

Mafifille: « J’ai raconté LA journée de l’Ours… »

Souvenirs, souvenirs

Publié le par

De retour de vacances, vous voici à la tête d’un bon paquet de photographies numériques. Voici les conseils de tonton Zythom…

Tout d’abord, je suis NUL en photographie. Comme beaucoup de personnes, je prends plein de photos avec un petit appareil photo numérique standard (enfin il était standard au moment de son achat, il est ringard un an après, et aujourd’hui qu’il a trois ans…) d’1.3 mégapixels.

Quand je dis NUL, c’est que je me contente du mode AUTO de prise de vue, car je sais à peine changer de mode et surtout pas faire les réglages moi-même (NUL je vous dis).

Mais je m’en sors relativement bien, car je récupère les photos des autres sur mon ordinateur.

De retour des USA, je me suis donc retrouvé à la tête de 2500 photos issues de cinq appareils photos numériques différents. Quand j’écris « différents », je pense bien sur aux modèles, mais aussi aux dates et heures respectives de chaque appareil… qu’il va bien falloir synchroniser si on veut pouvoir faire un rangement quelconque. L’un des appareils était en 2005 (probablement la date usine), un autre à l’heure californienne (mais pas à l’heure d’été), etc…

Etape 1: sauvegarde.

Gravure sur DVD de l’ensemble des photos, vérification du DVD sur un autre lecteur, copie des photos sur l’ordinateur de travail avec conservation des photos sur le portable. Ceinture, bretelles et sourire de la crémière comme toujours en informatique… Logiciel préféré: CDBurnerXP (gratuit).

Etape 2: synchronisation horaire.

Dans ce cas là (et dans bien d’autres, mais pas toujours) « google is my friend » (blogspot also indeed): j’ai trouvé un petit utilitaire bien pratique: JpgTime. Vous placez les photos de chaque appareil photo dans un répertoire séparé (un appareil, un répertoire) et vous trouvez une photo commune par couple d’appareils photos (un coucher de soleil, un gâteau d’anniversaire, etc). Et hop, le logiciel vous corrige les dates, heures, minutes et secondes des 500 photos du répertoire en ajoutant l’intervalle de temps nécessaire (il faut juste ne pas avoir modifié la date pendant le séjour).

Etape 3: mélange.

Ensuite, il ne reste plus qu’à utiliser l’excellent IrfanView pour modifier les noms de fichiers des 2500 photos. Pour ma part, j’ai choisi de nommer chaque photo ANNEEMOISJOURHEUREMINUTESECONDEANCIENNOM.jpg à partir des informations EXIF extraites automatiquement par IrfanView (et qui viennent d’être corrigées par JpgTime si vous suivez correctement).

Je mélange ensuite l’ensemble des photos des cinq appareils dans des répertoires ANNEEMOISJOURs.

Etape 4: première élimination.

Il est enfin possible de parcourir les 2500 photos. Si vous mettez 5 secondes par photo, vous allez en avoir pour 3 plombes (3h28’20 »). Il faut donc faire défiler très rapidement (et à la main) les 2500 photos pour éliminer sans pitié les photos floues, noires. Bref, toutes celles manifestement ratées. J’en profite au passage pour tourner de 90° les photos qui en ont besoin, corriger les yeux rouges et les sous exposées. Mon outil préféré pour cela: Picasa. Simple, rapide avec sauvegarde des originaux.

Etape 5: panoramas.

Je vous l’ai déjà dit en début de billet: je suis NUL en photographie. Mais face à certains paysages, j’ai vraiment envie de les emporter chez moi en poster. Donc, j’achète des posters (plus précisément, des calendriers). Mais je veux aussi pouvoir agrandir mes propres photographies… et avec un 1.3 mégapixels on ne va pas très loin. Sauf si on prend plusieurs photos que l’on assemble ensuite! C’est tout l’intérêt des photos numériques. A l’aide de l’excellent Hugin et un peu de chance, j’ai pu obtenir quelques belles photos comme celle-ci (issue d’un assemblage de sept photos):

Taille originale avant transfert sur le blog: 10792 x 1875

Etape 6: gravure et envois.

L’étape précédente (qui en pratique a duré plusieurs jours) avait pour objectif de retirer les photos ratées, sans trop faire de choix sur les photos. En effet, chaque famille ayant ses propres critères de sélection, j’envoie à chaque propriétaire d’appareil photo un DVD à ce stade et les moutons seront bien gardés. Gardez un exemplaire de DVD pour vous, c’est toujours une sauvegarde de plusieurs jours de travail. Il reste 2300 photos.

Etape 7: sélection finale.

Objectif: conserver 30% des photos prises et les faire développer sur papier photo. Il faut faire ce travail seul et avoir un mental d’acier. A chacun sa technique. Personnellement, je procrastine.

Etape 8: développement.

Il faut absolument s’obliger à développer ses photos pour les transmettre aux générations suivantes. Je vous laisse choisir le meilleur site de développement photos.

Etape 9: évaluation.

Il ne reste plus qu’à faire évaluer vos albums par vos amis et enfants. S’ils s’endorment au delà de la 10e page, c’est que vos vacances n’intéressent que vous.

Et c’est souvent le cas 🙂

Deep sand

Publié le par

La voiture qui me précède s’arrête et ses occupants me font des signes d’appel au secours. Je suis bien en peine de leur porter secours: je suis moi-même en difficulté.

Nous sommes à Death Valley (la vallée de la mort), il est 18h, le soleil va bientôt passer derrière les montagnes. La température est encore de 35°C malgré le ciel nuageux. Cela fait deux heures que nous roulons sur de la « dirty road » (piste non goudronnée) sans rencontrer âme qui vive.

Nos deux voitures viennent de s’ensabler.

Mais revenons en début de journée.

Nous partons de Yosemite National Park où nous venons de passer plusieurs jours. Comme chaque fois, les huit enfants des deux familles se répartissent dans les deux voitures pendant que les quatre adultes font le point sur le trajet. Cela fait deux semaines que nous sommes en camping sous tente et ce soir nous couchons à l’hôtel, près de Death Valley. A nous les bonnes douches…

Le point sur le trajet se passe de la manière suivante: l’équipage n°2 (c’est nous) entre dans le GPS le point d’arrivée visé et, muni des informations de Tommy, propose un trajet. L’équipage n°1, adepte des cartes routières papiers, étudie ce trajet et propose des modifications, des détours, des points de ravitaillement possibles, etc.

Les chambres d’hôtel étant réservées, nous avons le temps de prendre le chemin des écoliers. Nous décidons donc de quitter l’autoroute à « Big Pine » (cela ne s’invente pas) et de pénétrer dans le parc de Death Valley par le nord en empruntant des pistes non goudronnées.

L’un des objectifs est d’aller voir les dunes Eureka. Quelques miles sur les pistes américaines, c’est un peu l’aventure pour nos gros vans 7 places de 2 tonnes…

Ce que nous ignorions, c’est que la piste pour « voitures normales » s’arrête là. Après, vers l’Est, c’est réservé aux 4×4…

Inconscients de nous engouffrer dans une impasse pour nos véhicules, nous poursuivons. La conduite est un peu sportive, les voitures « flottent » un peu sur le sable dans certains passages… jusqu’à l’enlisement.

Nous venons d’arriver à un endroit appelé « Deep sand » (sable profond).

Source: Death Valley National Park

Il est 18h, le soleil va bientôt passer derrière les montagnes. La température est encore de 35°C malgré le ciel nuageux. Cela fait deux heures que nous roulons sur la piste sans rencontrer âme qui vive.

Tout le monde descend des voitures.

Le « truc » dans ces cas là pour éviter que grands et petits ne prennent peur, c’est de plaisanter et de montrer une belle assurance: « ça, c’est de l’Aventure! Encore quelque chose d’extraordinaire à raconter à l’école! ». Je fais le fier et le blasé, mais j’ai un peu peur. Nous avons de l’eau, des tentes, le plein d’essence, de la nourriture; personne n’est blessé, nous savons où nous sommes, nous ne manquons pas de matériel. Mais c’est ma première expérience d’ensablement.

Comme je ne peux plus avancer puisque la voiture n°1 bloque le passage, je passe naturellement la marche arrière, je débranche l’ESP et commence à « godiller » avec le volant. Par chance, je découvre à ce moment là que nos deux voitures sont des tractions et non des propulsions. Après quelques minutes d’efforts, je sors du sable et arrive à reculer d’une centaine de mètres.

La voiture n°1 est, quant à elle, posée sur le sable, roues avant complètement ensablées. Comme « vu à la télé », nous creusons et plaçons des pierres derrière les roues. Mais quand le conducteur accélère, les roues tournent un peu puis se bloquent: le système ESP détecte un glissement qu’il juge anormal et ordonne aux freins de bloquer les roues avant. Et sur cette voiture, il ne peut pas être désactivé…

Et Paf le chien!

C’est alors qu’il faut imager douze personnes ayant envie d’une bonne douche chaude mues par l’énergie du désespoir: tout le monde se bouscule pour trouver une place, qui derrière, qui sur les côtés, pour pousser la voiture. Il ne manquait que Taillefer pour entonner la Chanson de Roland pour galvaniser les troupes.

Et ainsi, mue par onze chevaux-sueurs, la traction de deux tonnes s’est trouvée propulsée sur plusieurs mètres. Inutile de dire que son conducteur a écrasé le champignon pour faire demi-tour et rejoindre le véhicule n°2 sur le sable dur.

Tout le monde remonte en voiture. Nous fonçons jusqu’à la piste « en dur ». Nous refaisons toute la piste en sens inverse. Nous prenons la route normale jusqu’à l’hôtel où nous arrivons la nuit à 23h. Les douches sont sublimes.

Le lendemain, avec un ciel sans nuage, la température montera jusqu’à 48°C à l’ombre.

Le silence des hargneux

Publié le par

Cette communication (y compris les pieces jointes) est reservee a l’usage exclusif du destinataire (des destinataires) et peut contenir des informations privilegiees, confidentielles, exemptees de divulgation selon la loi ou protegees par les droits d’auteur. Si vous n’etes pas un destinataire, toute utilisation, divulgation, distribution, reproduction, examen ou copie (totale ou partielle) est non-autorisee et peut etre illegale. Tout message electronique est susceptible d’alteration et son integrite ne peut etre assuree. [Société Y] decline toute responsabilite au titre de ce message s’il a ete modifie ou falsifie. Si vous n’etes pas destinataire de ce message, merci de le detruire immediatement et d’avertir l’expediteur de l’erreur de distribution et de la destruction du message. Merci.

This transmission (including any attachments) is intended solely for the use of the addressee(s) and may contain confidential information including trade secrets which are privileged, confidential, exempt from disclosure under applicable law and/or subject to copyright. If you are not an intended recipient, any use, disclosure, distribution, reproduction, review or copying (either whole or partial) is unauthorized and may be unlawful. E-mails are susceptible to alteration and their integrity cannot be guaranteed. [Société Y] shall not be liable for this e-mail if modified or falsified. If you are not the intended recipient of this e-mail, please delete it immediately from your system and notify the sender of the wrong delivery and the mail deletion. Thank you.

Qui de nos jours prête attention à ce type de phrase ajoutée en fin d’email?

Et pourtant, ce qui est arrivé à ce chef d’entreprise pourrait tout aussi bien vous arriver à vous tous:

Mr Bowman commence tous les matins son travail par la lecture de ses emails. Il reçoit un coup de téléphone d’un de ses salariés, Mr Poole, qui demande un entretien d’urgence avec lui. Lorsque Mr Poole entre dans le bureau de son PDG, il est passablement énervé. Une discussion ombrageuse commence entre les deux hommes où il est question entre autres choses de manques de considération, de duperies, de démission et de prudhommes.

Mr Poole exhibe une feuille de papier sur laquelle est imprimé un email qui lui est adressé et envoyé par Mr Bowman (adresse email, entêtes, signature, etc). Dans cet email, le PDG informe son salarié qu’il est incompétent, que le dossier HAL9000 aurait du être traité d’une façon plus énergique et qu’il envisage de le changer de bureau en direction du sous-sol…

Mr Bowman affirme alors n’avoir jamais envoyé un tel email.

Les deux hommes étudient attentivement le message: il semble authentique. Mr Bowman regarde sur son ordinateur, dans sa liste d’emails envoyés: rien. Mr Bowman comprend aussi qu’il fait face à un problème de sécurité: qui a pu pirater son compte et écrire un tel email en se faisant passer pour lui? Il décide d’appeler une personne étrangère à l’entreprise: un expert judiciaire en informatique.

C’est là que j’entre en scène (tadam).

A peine contacté par téléphone, je me fais expliquer la situation, telle que perçue par les deux hommes. Rendez-vous est pris pour le soir même. Je demande simplement que Mr Bowman, Mr Poole et le responsable informatique de l’entreprise soient présents.

Une fois sur place (après le travail, je suis moi-même un salarié dévoué), je propose à Mr Bowman de changer de mot de passe avec l’aide de son informaticien, et demande à l’informaticien de me présenter le fonctionnement du système d’information de l’entreprise et en particulier la journalisation.

J’ai ensuite étudié avec attention les entêtes contenues dans le message incriminé, pour me rendre compte que l’email avait été écrit en dehors de l’entreprise. Les traces de la livraison de l’email sur le serveur de messagerie de l’entreprise nous ont permis de compléter et recouper l’ensemble des données pour confirmer un envoi effectué à partir d’une adresse internet externe. L’analyse des journaux de la passerelle d’accès à internet (propre à l’entreprise) a permis de montrer que cette adresse externe n’a pas été utilisée depuis un poste de l’entreprise.

Après les investigations vient le temps des explications et de la pédagogie (et de la diplomatie). Il m’a fallu expliquer à Mr Bowman qu’il est extrêmement simple pour un « script kiddie » d’envoyer un email sous une fausse identité, en général pour vendre des pilules bleus, mais parfois pour envoyer un fake.

Tout le monde prend alors conscience en silence des habitudes prises de lire et prendre pour argent comptant les différents emails reçus chaque jour.

En attendant un système plus fiable, universel et authentifié.

Et alors démarrera le vrai temps de Big Brother…

Ecrire sous pseudonyme

Publié le par

Parmi les questions que l’on me pose régulièrement, celle de l’utilisation d’un pseudonyme pour tenir ce blog.

J’y ai pourtant déjà répondu en détail dans ce billet.

Je voudrais compléter en citant ici un court extrait d’un billet de Maître Eolas:

[…] Mon anonymat est un anonymat de confort. Malgré mes avertissements, je reçois chaque jour une douzaine de mails me demandant des conseils juridiques, dont une bonne moitié sans bonjour ni merci ni au revoir (quand ils ne sont pas écrits en langage SMS). Vous imaginez si mon numéro était accessible dans les pages jaunes ?

Quand un journaliste cherche à me contacter (et ils ont été nombreux dans cette affaire), je leur réponds, et je leur donne mon identité pour qu’ils s’assurent que je suis bien avocat. Mon identité n’est pas un secret honteux, je n’ai pas de cadavre dans le placard, je suis bien ce que je prétends être, un avocat au barreau de Paris, tout aussi anonyme dans ce barreau pléthorique que ses 18.000 confrères.

Et en fait, cette situation me convient très bien. Je suis ravi d’entrer dans les prétoires sans attirer autre chose qu’un coup d’œil morne, d’être écouté et traité comme n’importe lequel de mes confrères, et d’être jugé, si j’ose dire, à la qualité de mon travail sur le dossier et non par le prisme d’une sympathie provoquée par mon blog.

Mon anonymat n’est pas celui du dénonciateur anonyme. […]

Cette formulation est bien meilleur que toutes celles que j’aurais pu trouver et s’applique parfaitement à mon cas, toute proportion gardée (je n’ai pas le talent de Maître Eolas).

Beaucoup de mes confrères experts judiciaires connaissent mon nom, soit parce qu’ils l’ont deviné, soit parce que la politesse a voulu que je leur en fasse part lors de retour d’expériences par emails dans un échange de correspondances privées.

Plusieurs collègues informaticiens connaissent mon identité et s’amusent de la lecture de certains billets.

Quelques uns de mes étudiants connaissent l’existence de ce blog et savent que c’est leur « prof d’info » qui le tient. Qu’ils reçoivent ici toute ma sympathie et persévèrent dans leurs efforts pour devenir ingénieur (et dans le choix de leurs lectures).

La Cour d’Appel dont je dépens connait mon blog et mon nom réel. Je n’ai pas d’élément me laissant croire que ce blog est approuvé ou désapprouvé par les magistrats.

Mon hébergeur connait mon nom, dans le respect des mentions légales.

L’activité d’expert judiciaire n’est pas une profession. Un expert judiciaire doit exercer une « vraie » profession pour rester dans le coup d’un point de vue « compétences ». Le nombre d’expertises réalisées en une année est faible et ne doit pas être considéré comme un revenu financier (c’est mon point de vue). Par conséquent, la recherche de clients n’est pas mon objectif. Ce blog n’est pas une vitrine de mon savoir faire (ou de ma maladresse) ni un moyen de me faire « mousser » auprès de mes confrères (que je salue au passage), des magistrats (que je salue respectueusement au passage) ou des avocats (que je salue très respectueusement au passage).

Ecrire sous pseudonyme est un confort pour moi et je suis ravi de travailler avec les OPJ et les magistrats sans attirer autre chose qu’un intérêt professionnel, d’être écouté et traité comme n’importe lequel de mes confrères, et d’être jugé, si j’ose dire, à la qualité de mon travail sur le dossier et non par le prisme d’une sympathie provoquée par mon blog.

Mon anonymat n’est pas celui du dénonciateur anonyme. Je n’ai pas honte de ce blog et toutes les idées exprimées dans les billets sont pleinement assumées.

C’est ici un blog de bonne foi, lecteur. Il t’avertit dés l’entrée, que je ne m’y suis proposé nulle fin que domestique et privée: je n’y ai eu nulle considération de ton service, ni de ma gloire: mes forces ne sont pas capables d’un tel dessein…

Je reste un nain posté sur les épaules de mes prédécesseurs.

Piratage téléphonique

Publié le par

[mode squat sécurisé ON]

https://sid.rstack.org/blog/index.php/276-piratage-telephonique

[mode squat sécurisé OFF]

Merci à Sid de m’avoir proposé la tribune de son blog…

Edit du 20/03/2012: Je place ci-dessous l’anecdote pour archivage.

Lorsque Sid m’a contacté pour de demander d’accepter de rédiger une anecdote sur la sécurité informatique, j’ai aussitôt accepté tant j’étais flatté. Puis je me suis demandé ce qu’un expert judiciaire comme moi pouvait bien avoir à raconter sur un blog de ce niveau, avec des lecteurs aussi pointus sur ce domaine. Un peu comme un médecin généraliste invité à s’exprimer lors d’un séminaire de cardiologues. Alors, soyez indulgents.

J’ai été approché, il y a quelques années de cela, par le directeur général d’une entreprise qui souhaitait me confier une expertise privée dans un contexte délicat: son serveur téléphonique avait été piraté. Malgré mes explications sur mon manque de compétence en PABX, il voulait absolument que j’intervienne sur cette affaire. Il avait eu de bonnes informations sur moi, et, je l’appris plus tard, j’avais le meilleur rapport qualité/prix…

Me voici donc, sur la base d’un forfait d’une journée d’audit, au sein de l’entreprise, un samedi pour plus de discrétion. Etaient présents sur les lieux: le DG, le DT, le RH, le RSI et moi (l’EJ:). Nous avions convenu le DG et moi que je jouerais le candide éclairé.

Nous voici donc à étudier le problème: le PABX de l’entreprise avait été piraté. La preuve était que des fuites avaient eu lieu car des conversations téléphoniques confidentielles avaient été écoutées. Les preuves étaient minces, mais le DG était convaincu de la réalité de ces fuites et de leur cause.

Le PABX était géré par deux services: le service technique (car c’est un système de gestion des téléphones) et le service informatique (car c’est « programmable » avec logiciel et base de données)… Les deux responsables de service avaient mené leur petite enquête et rejetaient implicitement la faute sur l’autre, n’ayant rien trouvé d’anormal dans leur partie.

Avant de les laisser me noyer dans des détails techniques prouvant leurs compétences et leur bonne foi, j’ai voulu en savoir plus sur le principe de fonctionnement de la téléphonie de l’entreprise: chaque salarié dispose-t-il d’un combiné identique, y a-t-il un mode d’emploi, etc.

Et me voici plongé dans le mode d’emploi (relativement simple) du modèle standard de téléphone de cette entreprise. Attention, je vous parle d’une époque pré-ToIP, mais avec des bons « vieux » téléphones numériques quand même. Tout en feuilletant la documentation, je me faisais quelques réflexions générales sur la sécurité : est-il facile d’accéder au PABX de l’entreprise, comment faire pour pénétrer le système, etc.

En fait, je me suis dit qu’il était somme toute beaucoup plus facile d’écouter une conversation en se mettant dans le bureau d’à côté. Et là, le hasard m’a bien aidé: au moment où je me faisais cette réflexion, je suis tombé sur le passage du manuel utilisateur consacré aux conférences téléphoniques. Il était possible de rejoindre une communication téléphonique déjà établie pour pouvoir discuter à plusieurs.

Le Directeur Général me confirme alors qu’une présentation de cette fonctionnalité avait été faite quelques mois auparavant aux salariés. Je demande une démonstration: le directeur technique et le responsable des systèmes d’information retournent dans leurs bureaux et conviennent de s’appeler. Une fois en conversation, je prend le téléphone présent dans la salle de réunion et compose le numéro d’une des deux personnes. Bien entendu, j’obtiens une tonalité occupée. Suivant le mode d’emploi, j’appuie sur la touche ad-hoc du combiné afin de m’inviter dans la conférence téléphonique.

Et me voici en train d’écouter les deux hommes, en prenant bien garde de ne prononcer aucune parole. Au bout de quelques minutes, les deux hommes décident de raccrocher, pensant que je n’avais pas réussi à rejoindre leur conférence téléphonique…

C’est ainsi, que devant le Directeur Général abasourdi, j’ai pu « pirater » une conversation téléphonique en appelant simplement un poste occupé et en appuyant sur un bouton…

Le PABX avait mal été configuré. Tout le monde pouvait écouter tout le monde. Quelqu’un s’en était rendu compte et en avait profité…

J’ai été payé par le patron reconnaissant une journée de travail pour deux heures de réunion 🙂

Mais je ne regarde plus mon téléphone de la même façon maintenant.

Lutte contre la pédophilie

Publié le par

Plusieurs personnes chaque mois me contactent via ce blog pour me demander mon aide dans leur lutte contre la pédophilie. Je voudrais par ce billet leur donner quelques éléments de réponse.

Un expert judiciaire est un citoyen comme les autres.

Il met ces compétences au service de la justice, et, pour permettre aux magistrats de lui confier des missions, il voit son nom inscrit sur une liste dans la cour d’appel dont il dépend.

C’est tout.

Je n’ai aucun pouvoir spécial.

Toute mon activité judiciaire est encadrée par le magistrat qui me choisit pour me confier des missions, et je dois lui rendre compte à travers un rapport dans lequel je donne mon avis en mon honneur et en ma conscience (cf le serment que j’ai prêté et qui est rappelé en sous titre sur ce blog).

Je ne décide pas de lutter contre la pédophilie, j’interviens (souvent) dans des affaires où la police ou la gendarmerie demande à un magistrat de nommer un expert judiciaire pour analyser des supports de stockage afin d’y établir (ou non) la présence d’images (ou de propos) de nature pédopornographique.

Que faire donc si vous tombez sur un site à contenu pédopornographique?

Le plus simple, à mon avis, est de signaler ce site via le site de protection des mineurs sur internet: [MAJ du 16/08/2009] www.internet-mineurs.gouv.fr www.internet-signalement.gouv.fr.

Vous pouvez également signaler ces infractions auprès du commissariat de police ou la gendarmerie la plus proche de votre domicile.

Faites une ou plusieurs copies d’écran (touche « Impr écran » de votre clavier, suivie d’un « copier/coller » dans votre logiciel de traitement de texte favori).

Notez les date et heure de vos copies d’écran.

Imprimez et amenez ces documents lors de votre signalement, afin de répondre aux questions éventuelles.

Et bien sur, ajoutez ce site dans la liste noire de votre logiciel de contrôle parental, et n’en faites pas de publicité autour de vous.

[Edit] Suite à une remarque de David Billard en commentaire, voici quelques sites qui peuvent vous intéresser:

www.actioninnocence.org

www.pointdecontact.net

Une idée dont le temps est venu

Publié le par

L’ESA recrute des astronautes…

1ère étape: trouver un médecin « certifié aviation » pour qu’il m’établisse le certificat médical me permettant de commencer le dépôt d’un dossier de candidature.

Bon, ça, c’est fait. Une demi-journée de congé, 100 km aller, 100 km retour, avec à la clef une bonne nouvelle, je suis en pleine forme et apte à la conduite d’un avion…

2e étape: remplir le dossier de candidature. Il me faut dérouiller mon anglais. Comment dit-on « expert judiciaire » en anglais?…

3e étape: attendre…

Et pendant ce temps là, je rêve un peu. Comment l’ESA peut-elle réussir à envoyer des hommes dans l’espace sans passer par les USA ou la Russie? La réponse est financière et les ingénieurs européens tout à fait capables…

LA question (à deux euros🙂 d’aujourd’hui est plutôt:

comment envoyer un homme sur Mars sans exploser les budgets?

Tous les articles que je peux lire sur le sujet tournent autour du concept d’un voyage de deux ans et demi: 6 mois pour l’aller, 18 mois pour attendre des conditions favorables pour pouvoir revenir et 6 mois pour le retour.

Imaginez qu’un homme soit volontaire pour un voyage de six mois confiné dans un petit vaisseau blindé contre les rayonnements mortels, volontaire pour risquer de s’écraser lors de l’entrée dans l’atmosphère, volontaire pour vivre loin des siens, volontaire pour tenter de survivre dans un milieu hostile, désertique, avec une espérance de vie extrêmement réduite.

Et c’est là qu’une idée m’est venue, la GRANDE idée:

pourquoi vouloir faire un aller/retour?

Pourquoi ne pas faire un aller simple?

Et trouver un volontaire pour survivre sans espoir de retour.

Un volontaire pour explorer Mars et y mourir.

Si je suis retenu pour être astronaute et si l’ESA envoie un homme sur Mars dans ces conditions d’ici 20 ans, j’aurais encore l’âge d’être ce volontaire.

Pour être le premier homme sur Mars.

Pour être le premier homme à surfer avec un Round-Trip Time (RTT) de 40 minutes…

Et être le premier à explorer les gouffres de Mars…

Dommage que je sois déjà trop vieux…

Mais laissez moi rêver.

«Il y a une chose plus forte que toutes les armées du monde,

c’est une idée dont le temps est venu.»

Victor Hugo