 |
|
||||
|
 |
 |
|||
|
|
||||||||||||
|
|||||||||||||
|
|||||||||||||
|
|||||||||||||
|
1) Introduction
CanSecWest est une conférence sur la sécurité qui réunie environ 200 spécialistes. Elle propose une session unique, avec des présentateurs souvent sollicités, avec en général 1 heure de présentation par orateur. À l'exception d'une présentation juridique et d'une présentation de statistiques, tous les sujets traités sont techniques voire très pointus, ils n'en demeurent pas moins instructifs. Le compte-rendu est relativement long, allez aux points qui vous intéressent.
2) Sécurité réseau
David Dittrich a présenté les dénis de service répartis et comment les détecter de manière artisanale avec les logiciels tcpdump, tcpslice, tcpdstat et tcptrace. Pour en savoir plus :
Jonathan Wilkins, Microsoft, a présenté son logiciel Taranis. Pour aller au delà de la présentation, je pense que cela montre que lorsque plusieurs serveurs sont dans le même VLAN, la compromission d'un serveur peut entraîner facilement celle des autres serveurs sur le même réseau, même avec un commutateur. Cela montre enfin, qu'un commutateur sur un réseau exposé pourra être victime de dénis de service dès qu'un serveur connecté à ce commutateur a été compromis. Il faut donc qu'un commutateur reliant des serveurs exposés ne doive pas servir à d'autres tâches. Pour en savoir plus :
Sébastien Lacoste-Seris et Nicolas Fischbach, Colt Telecom, ont présenté les règles de sécurité à appliquer à son infrastructure IP, comme ils l'avaient fait à l'OSSIR et à Eurosec, en traitant de nombreux sujets, du contrôle d'intégrité des configurations des routeurs à IPv6. Pour lutter contre les attaques au niveau 2 sur STP (Spanning Tree
Protocol), ils recommandent de surveiller quel commutateur est le
commutateur maître, filtrer sur les adresses MAC (associées statiquement
aux adresses IP) et activer BPDU pour filtrer STP. Ils recommandent
de désactiver globalement ou par port CDP (Cisco Discovery Protocol).
Sur les VLAN il est possible d'ajouter ou de supprimer des VLAN ou de créer
des boucles STP provoquant des dénis de services, en injectant des
trames 802.1q par exemple. Ils recommandent Netflow comme technique de détection des dénis de service. Pour lutter contre ceux-ci, l'Unicast RPF (Reverse-Path Forwarding) permet de refuser le trafic qui n'a pas un chemin inverse équivalent. Il faut cependant prévoir des exceptions avec une ACL pour des services comme la gestion de réseau, les journaux et ping à partir du routeur lui-même. Les autres techniques sont la limite de débit sur les types de paquets ICMP, UDP, et TCP SYN, le TCP intercept, et le routage des réseaux indélicats vers un réseau inexistant. Cette dernière technique utilise le routage BGP et doit être configurée avec soin mais elle est moins coûteuse en performance que des ACLs. Enfin sur MPLS, ils ont rappelé que le contrôle d'un routeur dans un nuage MPLS permettait le contrôle de tout le nuage, par exemple avec MPLS FRR (Fast ReRoute). Le modèle de sécurité de MPLS repose uniquement sur la "confiance" dans le nuage MPLS, comme pour Frame Relay ou ATM. En conséquence, il est important qu'un nuage MPLS s'arrête au dernier routeur de l'opérateur (Provider Edge), et surtout pas sur le routeur du client. Pour en savoir plus :
3) Sécurité des réseaux sans-fil
Dave Pollino, @stake, a présenté les principales phases du protocole au niveau Ethernet dans 802.11b. Il a montré pourquoi les lacunes du protocole permettaient des attaques comme la coupure d'un client vis-à-vis d'une borne ou l'usurpation d'une session. Mike Schiffman, @stake, a présenté Radiate, un toolkit pour construire des tests de réseau sans fil. Ce toolkit fonctionne sur Linux 2.4.7, au dessus du pilote permettant de construire une borne sur un serveur Linux, avec une carte Ethernet sans-fil munie du composant Prism 2. Il a indiqué que Radiate sera publié prochainement. Pour en savoir plus :
4) Sécurité de la voix sur IP
Ofir Arkin, @Stake, a rapporté son expérience de son étude de la sécurité de la voix sur IP. Il s'est concentré sur le protocole le plus répandu et le plus utilisé SIP. L'ensemble des protocoles de voix sur IP et des services associés ont été définis sans aucune considération de sécurité. Il démontre avec une dizaine d'attaques de nature très diverses, comment dans le cas de SIP, il est possible de faire du déni de service, détourner les communications, les écouter, téléphoner gratuitement, journaliser les appels, créer des canaux cachés, etc. Il est même possible de se faire appeler en usurpant un poste de téléphone en Voix sur IP d'une victime tout en permettant à celui-ci de fonctionner normalement. Les systèmes de voix sur IP reposent sur le respect de la norme par les clients. Il suffit de développer son propre client de voix sur IP pour s'offrir une foule de possibilités d'attaques. Cette présentation a montré que la Voix sur IP avait été faite dans l'urgence, en privilégiant de multiples fonctionnalités : choix d'aiguillage des communication, discussion à plusieurs, etc, sans prendre en compte la sécurité. En conséquence la voix sur IP n'est pas prête pour une utilisation professionnelle en entreprise. Pour en savoir plus
5) Détection d'intrusion
Marty Roesch, fondateur de Sourcefire et auteur de Snort, a présenté
les évolutions récentes de Snort et son objectif en transformant un
logiciel libre en une société commerciale. Le logiciel Snort connaît des évolutions très importantes. À moyen terme, la version 2.0 sera un cadre général permettant la construction de différents types d'IDS et de boîtiers. À court terme dans 1.9 sont ajoutées beaucoup de nouvelles fonctionnalités : nouveaux mots clé, format de stockage pour les analyses après coup (Snort Universal Format) tout en gardant le contexte, avec un nouveau logiciel pour l'analyse : Banyard. Les autres évolutions majeures sont des améliorations de performances. L'algorithme de recherche de chaîne va être changé, ainsi que son usage, divisant par 500 le coût CPU des tests sur certains flux HTTP. Les plug-in très lents comme ceux sur les bases de données et XML sont sortis de l'analyse temps réel. J'ajoute que des boîtiers de type de ceux projetés par Sourcefire existent déjà, par exemple chez Silicon Defense. Dug Song (Arbor Networks), a montré une fois de plus une limite des logiciels de détection d'intrusion, en présentant la première mise en oeuvre complète de méthodes d'évasion des NIDS, implémentées dans son logiciel fragroute. Jeff Nathan et Brian Caswell-McKesson, de l'intégrateur gouvernemental américain MITRE ont montré que dans le cadre de très grands réseaux, la partie sonde de la détection d'intrusion pouvait fonctionner sur des débits de plusieurs gigabits de données avec différentes techniques de duplication et de répartition de charge. Par contre, la gestion des données, l'analyse et la corrélation ne marchent pas. Ils ont testé la majorité des logiciels de gestion, de corrélation et d'analyse du marché sans succès. Alfred Huger et Oliver Friedrichs de SecurityFocus ont fait la promotion de leur logiciel ARIS. Un des composants d'ARIS est de construire un IDS planétaire en regroupant des données issues de tous les clients, afin de détecter avant les concurrents les attaques massives. À mon avis, leur présentation n'était pas crédible. Elle amènerait même à se poser des questions sur la pérennité du nouveau modèle d'affaires de la société, qui auparavant se contentait de vendre des avis de sécurité, sans fabriquer de logiciels. Pour en savoir plus :
6) Pots de miel
Lance Spitzner, Sun, a introduit les mots de miel. Il distingue comme
Martin Roesch deux types : ceux en production, pour permettre de construire
un dossier de preuve en cas d'intrusion sur un site de commerce électronique
par exemple, et ceux de recherche, pour du contre-espionnage et la découverte
d'exploitations de vulnérabilités inconnues. Niels Provos (Université du Michigan) a présenté son logiciel "honeyd". C'est un logiciel libre qui permet d'émuler sur *BSD, Linux ou Solaris un ensemble de machines en réseau, de manière totalement virtuelle, afin de construire un pot de miel. Pour en savoir plus :
7) Firewalls
Jed Haile, Nitro Data Systems a présenté le logiciel libre Hogwash. La présentation appelle ces firewalls les GIDS : Gateway Intrusion Detection Systems. Ce terme est à mon avis une erreur, et augmente à la confusion entre la sécurité passive de la détection d'intrusion qui analyse ce qui passe, et celle active d'un firewall qui décide si le trafic doit passer ou pas. Dans le cas présent, même si Hogwash peut laisser passer le premier paquet de données d'une session car il ne permet pas encore de reconnaître une attaque, il ne laissera pas passer le second et les suivants dès que l'attaque a été reconnue. Il n'en demeure pas moins que ce type de filtre pose de pires difficultés de configuration qu'un système de détection d'intrusion car les faux-positifs vont couper des communications légitimes. Pour en savoir plus :
8) Tests de vulnérabilités
Rain Forrest Puppy (pseudonyme) a listé des outils de test de serveurs web pour annoncer la sortie de son logiciel libre Whisker 2.0, basé sur la bibliothèque libwhisker également utilisée par Nikto et White Hat Arsenal. Whisker 2.0 est modulaire, permettant l'ajout de plug-ins. Il a insisté sur le besoin de systèmes de test de serveurs web allant au-delà des tests de CGIs, en supportant les systèmes XML-RPC, SOAP, et Microsoft .NET, de même que le Javascript dans les pages HTML du serveur. Pour en savoir plus :
9) Sécurité Linux
Solar Designer (pseudonyme) et Rafal Wojtczuk ont présenté le projet
Owl. Je pense que ce type de distribution, peut servir à construire des serveurs à risque comme des serveurs sur Internet. Crispin Cowan, WireX, a introduit les différents types de débordements
de tampons pour présenter Immunix, un logiciel commercial de sécurisation de
Linux, qui inclut notamment plusieurs protections contre les débordements
de tampons avec StackGuard, les chaînes de format avec FormatGuard, les
fichiers temporaires avec RaceGuard et la mise en cage avancée avec SubDomain.
La version en logiciel libre de ce logiciel est toujours disponible.
10) Sécurité Microsoft
Matthew Conover, Entercept Security Technologies, a présenté .NET. HD Moore de Digital Defense a présenté un certains nombre de problèmes de sécurité dans les applications web avec .NET. Il a par exemple relevé que des attaques classiques comme l'insertion SQL reste valide avec .NET. Dans la gestion des sessions, si la session n'est pas gérée dans un cookie mais dans l'URL, il est possible de rediriger l'utilisateur pour lui faire créer une nouvelle session et obtenir son identification. Il y a également un débordement de tampon dans le paramètre SessionID du cookie. Enfin il relève que dans 5 livres sur .NET, 4 ont des exemples avec des failles de sécurité, ainsi que le Microsoft IBuySpy Store Sample ou dans la documentation MSDN sur XML. Il ajoute également qu'il y a de nombreuses erreurs possibles dans l'analyse syntaxique de SOAP et XML. Je rappelle que Microsoft .NET a été publié avant la décision de Microsoft de faire attention à la sécurité. Les nouvelles versions ont été reportées de 6 mois, afin d'y intégrer une qualité et une sécurité qui n'était pas dans les méthodes de travail de Microsoft. Bien que .NET ait déjà bénéficié de 350 jours d'audits externes qui montrent la volonté de Microsoft vis-à-vis de la sécurité, les présentations à CanSecWest montrent qu'il est préférable d'attendre les nouvelles revues internes, et éviter d'utiliser .NET en production dans l'immédiat. Pour en savoir plus :
11) Développement et analyse logiciel
Ivan Arce et Gerado Richarte de Core Security, ont donné leur expérience de développement d'un logiciel d'intrusion : Core Impact. Ils ont conclu que pour un tel développement, il fallait utiliser un langage interprété, privilégier la construction d'une bibliothèque et avoir une procédure de mise en oeuvre générique des exploitations. Ce type de logiciel se caractérise par la difficulté des tests. Halvar Flake de Blackhat Consulting a montré comment utiliser les
graphes pour décompiler une application. Ce n'est pas une présentation
directement liée à la sécurité mais la décompilation de binaires est
indispensable en sécurité quand les sources ne sont pas disponibles,
dans l'audit de code et les enquêtes par exemple. Silvio Cesare a expliqué comment construire et analyser des programmes binaires utilisant le format ELF, utilisé sur la majorité des systèmes Unix. D'un coté, beaucoup de binaires ne respectant pas le format vont fonctionner, ce qui facilite les attaques, de l'autre, un binaire respectant le format ELF va donner beaucoup d'informations qui facilitent son analyse. HSC recommande que l'usage des logiciels d'intrusion dans l'entreprise ne soit faite qu'avec la collaboration de consultants en sécurité. Pour en savoir plus :
12) Stéganographie
Mark Loveless (Bindview) a fait le point sur la réalité derrière ce que les médias ont rapporté après sur le 11 Septembre, sur l'utilisation de la stéganographie par Al Quaeda et des groupes terroristes de l'Internet. Les tests de Niels Provos (Université du Michigan) ont montré qu'il n'y avait pas d'utilisation de la stéganographie sur Internet. Les témoignages qu'il a réunis confirment que les agences gouvernementales contrôlent la grande majorité des systèmes de messagerie anonymes sur Internet, ainsi qu'elles peuvent décrypter des messages PGP dans certaines conditions. Le fait qu'elles puissent n'est pas secret, seule la méthode est secrète. Niels Provos a ensuite rapporté le résultat de ses recherches avec son logiciel stegdetect. Celui-ci détecte l'utilisation des logiciels de stéganographie JPHide (Unix et Windows), Outguess et JSteg. Les premiers tests ont souvent donné des faux-positifs, en trouvant jusqu'à 1% des images trouvées sur Ebay avec de la stéganographie, mais à force d'améliorations, il apparaît qu'il n'y a aucun usage de la stéganographie sur Internet, ni dans les fichiers des serveurs web, ni dans les News. Pour en savoir plus :
13) Vers Internet
Dug Song, Arbor Networks, a présenté une étude des vers de l'Internet.
Pour cela, un groupe de chercheurs a utilisé une adresse classe A entière,
représentant environ 1/250 ème de l'Internet tout entier, en analysant
le trafic vers les ports 80 (HTTP).
14) Aspects juridiques
Richard Salgado, du ministère américain de la justice (Computer Crime and Intellectual Property Section) a fait le point sur les situations dans lesquelles la législation US permet à des administrateurs de réseaux d'avoir des journaux, de regarder les en-têtes, ou d'écouter les communications. Pour en savoir plus :
15) CanSecWest
La conférence CanSecWest fait appel à une population limitée d'experts qui se connaissent. Les orateurs n'étaient pas tous américains puisque des orateurs anglais, français, polonais, israélien et argentins démontraient son caractère international. Malheureusement cette conférence souffre de gros problèmes d'organisation et de respect d'un programme avec des horaires. C'est cependant une conférence unique où toutes les présentations sont réalisées par des personnes très compétentes, expertes dans leur domaine, bien que certains fassent inévitablement baisser l'intérêt en faisant la promotion de leur produit ou en reprenant un discours qu'ils ont déjà fait. Les présentations sont concrètes, d'un niveau très au-dessus de la moyenne et ont des implications immédiates dans la sécurité.
16) Conclusion
La difficulté d'usage des IDS est toujours à l'ordre du jour, ce qui n'empêche pas de nouvelles tendances dans la lignée avec le firewall filtrant sur de l'analyse de contenu et les pots de miels. Ces solutions ne sont pas encore prêtes à l'emploi et rien ne dit qu'elles le seront un jour. L'éventail des possibilités de sécurité sous Linux devient de plus en plus large et Microsoft .NET dans sa version actuelle est à éviter. Hervé Schauer |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
Last modified on 7 November 2007 at 17:56:05 CET - webmaster@hsc.fr
Information on this server - © 1989-2010 Hervé Schauer Consultants |
|
