Security | AlexIn Tech

Comment Contrer et Déjouer les Attaques DDoS - Guide Complet

Tue, 01 Oct 2024 00:00:00 +0000

Comment Contrer et Déjouer les Attaques DDoS : Guide Complet

Les attaques DDoS (Distributed Denial of Service) sont l’un des types d’attaques les plus courants et redoutés dans le monde numérique. Elles consistent à submerger un serveur, un site web ou une application avec un nombre énorme de requêtes, jusqu’à ce que la cible soit saturée et devienne inaccessible aux utilisateurs légitimes. Ce type d’attaque peut provoquer des pertes financières importantes, endommager la réputation d’une entreprise, voire rendre des services critiques indisponibles. Heureusement, il existe des moyens efficaces pour contrer ces attaques. Aujourd’hui, je vais te montrer comment déjouer les attaques DDoS, notamment en utilisant des services comme Cloudflare, qui simplifient la protection contre ces menaces.

Comment Fonctionne une Attaque DDoS ?

Avant de plonger dans les solutions, il est important de comprendre le mécanisme d’une attaque DDoS. Lorsqu’un utilisateur légitime fait une requête à un serveur (par exemple, lorsqu’il tente de charger une page web), voici ce qui se passe normalement :

Requête client : L’utilisateur envoie une requête via son navigateur ou une application.
Transmission de la requête : La requête passe par différents points sur Internet (routeurs, fournisseurs d’accès, etc.).
Arrivée au serveur : La requête atteint le serveur où le site web ou l’application est hébergé.
Réponse du serveur : Le serveur traite la requête et renvoie la réponse au client, par exemple, le contenu de la page web.

Une attaque DDoS perturbe ce processus en inondant le serveur avec un nombre massif de requêtes. Cela surcharge les ressources du serveur, qui finit par ne plus pouvoir répondre correctement aux requêtes légitimes.

Types d’Attaques DDoS

Il existe plusieurs types d’attaques DDoS, mais voici les plus courantes :

Attaque par volume : L’attaquant envoie un nombre gigantesque de données pour saturer la bande passante.
Attaque protocolaire : Exploite les failles des protocoles réseau (comme le TCP/IP) pour submerger les équipements réseau.
Attaque par saturation d’application : Elle cible directement des services applicatifs comme des bases de données, des serveurs web, etc.

Dans cet article, nous allons surtout nous concentrer sur la protection contre les attaques par saturation d’application, qui visent à submerger les ressources de ton serveur applicatif, comme un serveur web. Ce type d’attaque est particulièrement dangereux car il peut rapidement rendre ton site ou ton application indisponible pour les utilisateurs légitimes.

Les Machines Zombies et Leur Rôle dans une Attaque DDoS

Un élément clé des attaques DDoS est l’utilisation de machines zombies, aussi connues sous le nom de botnets. Ces machines jouent un rôle crucial dans la puissance destructrice des attaques DDoS à grande échelle.

Qu’est-ce qu’une Machine Zombie ?

Une machine zombie est un ordinateur infecté par un malware, qui permet à un attaquant de la contrôler à distance, souvent sans que son propriétaire ne s’en rende compte. Ces machines peuvent être des ordinateurs personnels, des serveurs, voire des objets connectés (IoT) comme des caméras ou des routeurs.

Voici comment une machine devient zombie :

Infection par un malware : Un ordinateur est infecté par un virus, un cheval de Troie ou un autre logiciel malveillant. Cela peut se produire de diverses manières : en téléchargeant un fichier infecté, en cliquant sur un lien douteux, ou même en étant connecté à un réseau non sécurisé.
Prise de contrôle à distance : Une fois infectée, la machine peut être contrôlée à distance par un hacker, souvent sans que l’utilisateur ne soupçonne quoi que ce soit. L’attaquant peut alors intégrer cette machine dans un réseau plus large appelé botnet.
Participation à une attaque DDoS : Le pirate utilise le botnet, composé de milliers voire de millions de machines zombies, pour envoyer un flot massif de requêtes vers une cible. Comme ces requêtes proviennent de nombreuses machines différentes, il devient difficile de distinguer le trafic malveillant du trafic légitime.

Le Rôle des Machines Zombies dans une Attaque DDoS

Les machines zombies sont essentielles dans une attaque DDoS car elles permettent de multiplier les sources d’attaque. Contrairement à une attaque menée par une seule machine, qui peut être rapidement identifiée et bloquée, une attaque utilisant des machines zombies rend la tâche beaucoup plus difficile. En effet, le trafic provient de nombreuses adresses IP différentes, dispersées géographiquement.

Les botnets offrent plusieurs avantages aux attaquants :

Dissémination géographique : Les requêtes proviennent de machines situées partout dans le monde, ce qui complique la tâche des défenseurs pour identifier et bloquer le trafic malveillant.
Multiplication des requêtes : Un botnet massif peut générer un volume de trafic extrêmement élevé, surchargant les serveurs cibles.
Difficulté à tracer l’attaque : Comme chaque machine zombie génère une partie du trafic, il est difficile de remonter jusqu’à l’attaquant principal.

Ces botnets sont souvent loués ou vendus sur le dark web, permettant à n’importe quel hacker ou groupe mal intentionné de mener une attaque DDoS sans avoir à créer lui-même le réseau de machines zombies.

Cloudflare : Une Solution Simple et Efficace pour contrer les attaques DDoS

L’une des solutions les plus populaires pour contrer les attaques DDoS sur un site ou une application (on parle ici des ttaques par saturation d’application) est Cloudflare. Il s’agit d’un service qui agit comme un intermédiaire entre les visiteurs de ton site et ton serveur, offrant une couche de protection contre divers types de menaces, y compris les attaques DDoS.

Comment Fonctionne Cloudflare ?

Lorsque tu utilises Cloudflare, le chemin d’une requête change légèrement. Voici comment cela fonctionne :

Requête client : L’utilisateur envoie sa requête via son navigateur.
Passage par Cloudflare : Au lieu que la requête soit directement envoyée à ton serveur, elle passe d’abord par le réseau de serveurs de Cloudflare, répartis à travers le monde.
Filtrage et analyse : Cloudflare analyse la requête pour détecter si elle provient d’un utilisateur légitime ou d’une source malveillante (comme un bot). Si la requête semble suspecte, elle est bloquée ou redirigée vers un défi CAPTCHA.
Réponse : Si la requête est valide, elle est transmise à ton serveur, qui renvoie la réponse à l’utilisateur, toujours en passant par Cloudflare.

En filtrant les requêtes avant qu’elles n’atteignent ton serveur, Cloudflare empêche une grande partie des attaques par saturation d’application d’avoir un impact.

Mise en Place de Cloudflare

L’une des forces de Cloudflare est sa facilité de mise en place. Même si tu n’es pas un expert en gestion de serveurs, l’installation de Cloudflare est simple et rapide. Voici les étapes pour configurer Cloudflare pour ton site :

Créer un compte Cloudflare : Rendez-vous sur cloudflare.com et inscris-toi.
Ajouter ton site web : Entre le nom de domaine de ton site dans l’interface de Cloudflare.
Modifier les DNS : Cloudflare te donnera de nouvelles entrées DNS que tu devras configurer auprès de ton hébergeur ou de ton registrar. Cela permet de rediriger tout le trafic vers Cloudflare avant qu’il n’atteigne ton serveur.
Activer la protection DDoS : Une fois les DNS propagés, ton site passe automatiquement sous la protection de Cloudflare. Tu peux ajuster les paramètres de sécurité selon tes besoins, mais par défaut, tu es déjà protégé contre les attaques courantes.

Les Avantages de Cloudflare

Protection automatique : Cloudflare analyse automatiquement tout le trafic et bloque les requêtes malveillantes.
CDN intégré : En plus de protéger contre les DDoS, Cloudflare optimise la vitesse de ton site en stockant son contenu dans un réseau de serveurs répartis dans le monde entier.
Mode “Under Attack” : En cas d’attaque DDoS sévère, tu peux activer ce mode, qui force tous les visiteurs à passer un test CAPTCHA avant d’accéder à ton site. Cela permet de bloquer la majorité des bots.
Rapports et analyses : Tu peux surveiller en temps réel le trafic de ton site et voir si des attaques sont en cours, ainsi que l’efficacité des mesures mises en place.

Conclusion

Les attaques DDoS, et plus particulièrement celles par saturation d’application, sont un fléau pour tout propriétaire de site web. Mais grâce à des solutions comme Cloudflare, il est aujourd’hui possible de s’en protéger de manière simple et efficace. De plus, la compréhension du rôle des machines zombies te permet de mieux anticiper la nature des menaces et de protéger ton infrastructure. Que tu sois propriétaire d’un petit blog ou d’une grande entreprise, ces outils permettent de réduire considérablement les risques et les impacts d’une attaque. Alors, n’attends plus pour mettre en place ces mesures de sécurité et garde ton site à l’abri des hackers !

Enjoy 😎

AlexIn Tech

Recall - Risques de Sécurité, Exploit TotalRecall et Comment le Désactiver

Wed, 05 Jun 2024 00:00:00 +0000

Recall : Risques de Sécurité, Exploit TotalRecall et Comment le Désactiver

La fonctionnalité Recall de Microsoft Copilot+ sur Windows 11 a fait couler beaucoup d’encre. Cette innovation permet de prendre constamment des captures d’écran de votre PC et de les stocker dans une base de données, rendant ainsi toutes vos activités informatiques recherchables instantanément par Copilot. Bien que cela puisse sembler pratique pour retrouver des informations rapidement, cette fonctionnalité pose de sérieuses questions en matière de confidentialité et de sécurité.

Qu’est-ce que la Fonctionnalité Recall ?

Recall, introduite avec Microsoft Copilot+ sur Windows 11, permet de retracer vos activités passées en prenant des instantanés (screenshots) de votre écran toutes les cinq secondes. Ces instantanés sont stockés localement et analysés pour permettre une recherche par langage naturel (Copilot). En théorie, cette fonctionnalité est conçue pour améliorer la productivité en offrant un accès rapide aux informations précédemment vues sur votre PC.

Problèmes de Sécurité avec Recall

L’article de Kevin Beaumont sur DoublePulsar met en lumière plusieurs préoccupations majeures :

Stockage Local des Données

Les captures d’écran sont stockées localement dans une base de données SQLite, accessible à tout utilisateur avec les bonnes permissions. Bien que les données soient traitées localement, leur stockage sous forme de texte brut dans des fichiers facilement accessibles représente une vulnérabilité significative. La base de données se trouve simplement dans un dossier dans AppData, ce qui la rend facilement accessible.

Accès Non Sécurisé

Malgré l’utilisation de chiffrement, les données peuvent être accédées par des logiciels malveillants lorsque l’utilisateur est connecté. Le chiffrement n’aide que si quelqu’un vole physiquement votre appareil, mais cela n’empêche pas un hacker d’accéder aux données via des logiciels malveillants. Par exemple, un trojan présent sur la machine pourra exfiltrer les données de Recall.

Exfiltration Facile

La facilité d’exfiltration des données est un autre aspect préoccupant de Copilot+ Recall. La base de données contenant les informations de l’utilisateur est relativement légère et peut être transmise rapidement via une connexion Internet standard. En quelques secondes, des mois d’enregistrement peuvent être exfiltrés sans que l’utilisateur ne s’en rende compte. Cette vulnérabilité ouvre la porte à des violations massives de données, où les informations des utilisateurs peuvent être rassemblées et vendues sur des marchés noirs.

Impact sur la Vie Privée

L’impact sur la vie privée des utilisateurs est peut-être la conséquence la plus alarmante de cette fonctionnalité. Copilot+ Recall stocke chaque interaction de l’utilisateur, y compris les sites web visités, les messages supprimés, les gestionnaires de mots de passes, les données médicales, etc. Pour faire simple, il screenshot tout chaque 5 secondes et conserver ces informations. Cette surveillance constante et l’incapacité à effacer définitivement des informations sensibles soulèvent des préoccupations majeures. La promesse de sécurité de Microsoft est fondamentalement compromise par cette fonctionnalité, qui transforme l’expérience personnelle de Windows en une source potentielle de violations de la vie privée.

TotalRecall : un exploit pour Recall

L’outil TotalRecall, développé par Alexander Hagenah, exploite cette vulnérabilité en extrayant et affichant les données collectées par la fonctionnalité Recall de Windows 11. Cet outil simple permet d’accéder facilement aux informations sur les instantanés d’activité de votre PC.

Fonctionnement de TotalRecall

TotalRecall copie la base de donnée “ukg.db” ainsi que le dossier contenant les captures d’écran “ImageStore”, puis parse la DB et change l’extension des screenshots en .jpg pour en faciliter la lecture. Le tout permet de trouver des artefacts potentiellement intéressants. 😈 Vous pouvez définir des dates pour limiter l’extraction et rechercher des chaînes de texte spécifiques extraites par l’OCR de Copilot/Recall. Le processus est basique mais très efficace pour exposer les vulnérabilités de la fonctionnalité Recall.

Caractéristiques Clés de TotalRecall

Filtrage par Date : Limitez l’extraction à une période spécifique.
Recherche de Texte : Trouvez des informations spécifiques dans les données capturées.
Rapports Détaillés : Génère des rapports résumant les fenêtres capturées, les images prises, et les résultats de recherche.

Comment Désactiver Recall

Pour ceux qui souhaitent désactiver cette fonctionnalité pour protéger leur vie privée, voici un script que vous pouvez utiliser. Ce script, proposé par privacy.sexy, permet de désactiver Recall en modifiant le registre Windows.

Script pour Désactiver Recall

@echo off
:: https://privacy.sexy — v0.13.4 — Thu, 06 Jun 2024 07:48:34 GMT
:: Ensure admin privileges
fltmc >nul 2>&1 || (
 echo Administrator privileges are required.
 PowerShell Start -Verb RunAs '%0' 2> nul || (
 echo Right-click on the script and select "Run as administrator".
 pause & exit 1
 )
 exit 0
)
:: Initialize environment
setlocal EnableExtensions DisableDelayedExpansion


:: ----------------------------------------------------------
:: ----------------------Disable Recall----------------------
:: ----------------------------------------------------------
echo --- Disable Recall
PowerShell -ExecutionPolicy Unrestricted -Command "reg add 'HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsCopilot' /v 'DisableAIDataAnalysis' /t 'REG_DWORD' /d '1' /f"
:: ----------------------------------------------------------


:: Pause the script to view the final state
pause
:: Restore previous environment settings
endlocal
:: Exit the script successfully
exit /b 0

Étapes pour Exécuter le Script

Créer un Fichier de Script :

Ouvrez un éditeur de texte comme le Bloc-notes.
Copiez le script ci-dessus et collez-le dans l’éditeur de texte.
Enregistrez le fichier avec une extension .bat, par exemple disable_recall.bat.

Exécuter le Script en tant qu’Administrateur :

Faites un clic droit sur le fichier de script que vous avez créé.
Sélectionnez “Exécuter en tant qu’administrateur”.

Vérifier l’Exécution :

Le script va vérifier si vous avez les privilèges d’administrateur. Si ce n’est pas le cas, il vous demandera de le relancer avec ces droits.
Une fois exécuté, il ajoutera une entrée dans le registre pour désactiver l’analyse des données par l’IA de Microsoft Copilot.

Conclusion

La fonctionnalité Recall de Microsoft Copilot+ soulève des questions importantes sur la sécurité et la confidentialité des utilisateurs. Désactiver cette fonctionnalité peut être crucial pour protéger vos données personnelles. En suivant les étapes décrites ci-dessus, vous pouvez désactiver Recall et reprendre le contrôle de votre vie privée.

Enjoy 😎

AlexIn Tech

Protected Users - Sécurisez vos Identifiants contre Mimikatz & Co

Fri, 12 Jan 2024 00:00:00 +0000

Protected Users - Sécurisez vos Identifiants contre Mimikatz & Co

Dans le monde de la technologie, la sécurité des informations est une préoccupation constante. Pour ceux d’entre nous qui gèrent des réseaux d’entreprise, la protection des identifiants d’utilisateur est une tâche de premier plan. Aujourd’hui, je vais vous parler d’un groupe spécial dans Active Directory (AD) - le groupe “Protected Users”, et pourquoi son utilisation est cruciale dans notre lutte contre des outils d’attaque comme Mimikatz.

Qu’est-ce que le Groupe “Protected Users” ?

Introduit dans Windows Server 2012 R2, le groupe “Protected Users” est une fonctionnalité de sécurité d’Active Directory qui offre une protection supplémentaire pour les comptes d’utilisateurs. L’ajout d’un compte utilisateur à ce groupe active des politiques de sécurité renforcées, limitant ainsi les méthodes par lesquelles les informations d’identification peuvent être compromises.

La Menace de Mimikatz

Pour comprendre l’importance du groupe “Protected Users”, il faut d’abord connaître Mimikatz. Mimikatz est un outil de hacking tristement célèbre qui permet de récupérer des mots de passe, des hash de mots de passe et d’autres types d’informations d’identification à partir de la mémoire de Windows. C’est un outil puissant dans l’arsenal des cybercriminels pour effectuer des attaques de type “pass-the-hash” ou “pass-the-ticket”.

Pourquoi Utiliser le Groupe “Protected Users” ?

Amélioration de la Sécurité des Authentifications : Les membres du groupe “Protected Users” bénéficient de mesures de sécurité renforcées. Par exemple, ils ne peuvent pas authentifier l’utilisation de méthodes d’authentification plus anciennes et moins sécurisées, telles que NTLM, WDigest ou CredSSP.
Protection contre les Attaques de Type Pass-the-Hash/Ticket : Mimikatz et d’autres outils similaires exploitent souvent ces méthodes d’authentification plus anciennes pour leurs attaques. En limitant leur utilisation, le risque est considérablement réduit.
Réduction de la Surface d’Attaque : Les comptes dans le groupe “Protected Users” ne stockent pas leurs informations d’identification en mémoire de manière réutilisable, rendant les attaques par extraction de mémoire beaucoup moins efficaces.

Mise en Place et Bonnes Pratiques

Version du Serveur : Assurez-vous que votre environnement AD fonctionne sous Windows Server 2012 R2 ou ultérieur.
Sélection des Comptes : N’ajoutez pas tous les comptes utilisateur à ce groupe. Commencez par les comptes à haut privilège comme les administrateurs.
Politique de Mot de Passe : Encouragez ou imposez l’utilisation de mots de passe forts et de l’authentification multi-facteurs pour les comptes du groupe.
Testez Avant Déploiement : Testez les paramètres sur un petit nombre de comptes avant de les appliquer à grande échelle.
Formation et Sensibilisation : Informez les utilisateurs des changements et des bonnes pratiques de sécurité.

En conclusion, l’utilisation du groupe “Protected Users” dans Active Directory est une étape essentielle pour renforcer la sécurité de vos identifiants utilisateurs. En limitant l’utilisation de méthodes d’authentification obsolètes et vulnérables, et en réduisant la surface d’attaque exploitable par des outils comme Mimikatz, vous pouvez considérablement augmenter la sécurité de votre réseau.

Rappelez-vous, la sécurité informatique est un processus continu et évolutif. L’ajout de comptes au groupe “Protected Users” est une mesure parmi d’autres, et elle doit s’inscrire dans une stratégie de sécurité globale, incluant une formation régulière des utilisateurs, des mises à jour constantes des systèmes et une surveillance proactive.

En tant que responsables IT, notre rôle est de rester vigilants et proactifs. L’utilisation judicieuse du groupe “Protected Users” est un pas dans la bonne direction pour garder une longueur d’avance sur les menaces. Ensemble, sécurisons notre environnement numérique.

Enjoy 😎

AlexIn Tech

Comment supprimer les données de vos anciens disques durs - Eraser

Tue, 24 Oct 2023 00:00:00 +0000

Comment supprimer les données de vos anciens disques durs - Eraser

Introduction

Bonjour à tous, c’est AlexIn Tech ! Aujourd’hui, nous allons parler de la sécurité des données, un sujet qui m’intéresse particulièrement en tant que sysadmin. Plus précisément, je vais vous présenter Eraser, un outil gratuit et open source que j’utilise régulièrement pour supprimer définitivement les données de mes anciens disques durs (HDD).

Qu’est-ce qu’Eraser?

Eraser est un outil avancé de suppression de données pour Windows qui vous permet de supprimer en toute sécurité les données sensibles de votre disque dur en les écrasant plusieurs fois avec des motifs soigneusement sélectionnés. Contrairement à la suppression standard de fichiers, qui ne fait que marquer l’espace disque comme “libre”, Eraser élimine véritablement le risque de récupération des données.

Pourquoi utiliser Eraser?

Sécurité accrue: Les méthodes de suppression standards ne sont pas suffisantes pour garantir que vos données sont irrécupérables. Eraser résout ce problème.
Gratuit et Open Source: Pas besoin de payer pour une sécurité accrue. Eraser est gratuit et son code est ouvert au public.
Facilité d’utilisation: Une interface utilisateur intuitive qui rend la suppression sécurisée des données accessible même aux non-techniciens.

Comment je l’utilise

Étape 1: Installation

Téléchargez Eraser à partir de leur site officiel https://eraser.heidi.ie/ et suivez le processus d’installation standard.

Étape 2: Configuration

Lancez Eraser, puis créez une “task” et sélectionnez les lecteurs ou les fichiers spécifiques que vous souhaitez supprimer. Vous pouvez également planifier la tâche pour une suppression régulière.

Étape 3: Exécution

Après avoir confirmé que vous voulez procéder, cliquez sur “Start”. Eraser commencera alors le processus de suppression sécurisée, qui peut prendre du temps en fonction de la taille du disque et du niveau de sécurité* que vous avez choisi.

*Eraser offre un niveau de sécurité “military grade”

Mon retour d’expérience

En tant que professionnel de l’informatique, la sécurité des données est pour moi une priorité absolue. J’ai utilisé Eraser à plusieurs reprises, notamment lors de la mise au rebut ou de la réaffectation de vieux HDDs dans mon travail ainsi que lors de projets personnels. Le logiciel est fiable, efficace et offre un niveau de sécurité que peu de produits concurrents peuvent égaler.

Conclusion

Eraser est un outil inestimable pour quiconque prend au sérieux la sécurité de ses données. Son interface utilisateur est simple, mais sous le capot, c’est une bête de puissance qui rendra vos données indéchiffrables. Je le recommande fortement à tous ceux qui cherchent à éliminer le risque de fuites de données.

Voilà, c’est tout pour aujourd’hui. Si la sécurité des données vous intéresse autant que moi, assurez-vous d’essayer Eraser et faites-moi savoir ce que vous en pensez !

LastPass incident de sécurité 2022 - ce qu'il faut savoir

Thu, 05 Jan 2023 00:00:00 +0000

LastPass incident de sécurité 2022 - ce qu’il faut savoir

Le 22 décembre 2022, la société de gestion de mots de passe LastPass a révélé qu’un groupe de hackers avait réussi à accéder aux coffres de leurs clients. Les hackers ont accédés à un espace de stockage cloud sur lequel se trouvaient des backups des coffres et ils ont ainsi pu copier/télécharger ces coffres en local sur leurs machines. Cette annonce fait suite à une précédente déclaration de LastPass en août 2022 selon laquelle un hacker avait réussi à accéder à un compte développeur et avait volé une partie du code source à partir d’un environnement de développement. À l’époque, LastPass avait affirmé n’avoir “vu aucune preuve que cet incident impliquait un accès aux données de clients ou aux coffres-forts de mots de passe chiffrés”.

Pire, en plus du vol des coffres, certaines données étaient non chiffrées. Quelles données sont chiffrées/non chiffrées ?

Les données volées incluent les informations non chiffrées suivantes:

Noms d’entreprise
Noms d’utilisateurs finaux
Adresses de facturation
Numéros de téléphone
Adresses électroniques
Adresses IP utilisées pour accéder à LastPass
URL de sites Web du coffre-fort de mots de passe

Les données chiffrées volées incluent:

Noms d’utilisateur et mots de passe de sites Web
Notes sécurisées
Ainsi que tous les autres objets stockés dans le coffre. (Licenses, Cartes, etc)

Aujourd’hui, le 05 Janvier 2023, on ne sait toujours pas quels coffres ont été volés. Est-ce les coffres de tous les clients, uniquement certains coffres ? On ne sait pas…

Comment les hackers peuvent-ils déchiffrer les données ?

Pour déchiffrer ces données et accéder aux informations stockées dans votre coffre, les hackers doivent déterminer votre mot de passe “maître”. Ils peuvent le faire par exemple en utilisant des GPU pour effectuer des attaques de type “Brute Force” avec ou sans dictionnaire sur les fichiers binaires des vaults qu’ils ont récupérés. En effet, comme les vaults ont été copiés la protection via la double authentification n’est plus présente car ils détiennent le fichier de votre coffre localement et peuvent donc utiliser une armée de GPU afin de les cracker. LastPass recommande depuis 2018 d’utiliser un mot de passe principal de 12 caractères ou plus avec une combinaison de lettres, chiffres et symboles, mais il est probable que beaucoup d’utilisateurs de LastPass aient choisi des mots de passe principaux plus faibles, ce qui les rend plus faciles à cracker.

Que faire si vous êtes un utilisateur de LastPass ?

Si vous êtes un utilisateur de LastPass, il est fortement recommandé de changer votre mot de passe “maître” et augmenter le nombre d’itérations (on y vient plus tard). Il est également vivement recommandé de changer les mots de passe de tous les comptes associés à votre compte LastPass et mettre en place de la double authentification dès que possible. Surveillez attentivement vos comptes pour détecter tout comportement suspect.

Il est recommandé de ne pas utiliser LastPass pour stocker des informations sensibles, telles que des informations de carte de crédit ou des informations de sécurité sociale. Si vous avez déjà stocké ces types d’informations dans votre coffre, il est recommandé de les supprimer et de trouver un autre moyen de les stocker de manière sécurisée. En effet, cet incident de sécurité a exposé certaines informations non chiffrées, telles que les noms d’entreprise, les noms d’utilisateurs finaux, les adresses de facturation, les numéros de téléphone et les adresses électroniques. Bien que ces informations en elles-mêmes ne soient pas nécessairement sensibles, elles peuvent être utilisées par des hackers pour essayer de vous phisher et de récupérer d’autres informations sensibles. Par conséquent, il est important de prendre des mesures pour protéger vos informations sensibles.

Changer de gestionnaire de mots de passe

A la découverte de ces informations ainsi que celles que je m’apprête à vous révéler je pense que LastPass n’est plus une entreprise à qui il faut accorder sa confiance c’est pourquoi je pense qu’il faut envisager sérieusement de changer de gestionnaire et de changer tous vos mots de passes.

Voici quelques alternatives :

Bitwarden => Open Source avec une version gratuite qui fait le café. Il est même possible de le selfhost. Afin de le selfhost je vous recommande de jeter un coup d’oeil au projet Vaultwarden. Le plan premium coute seulement 10$ par an.
1Password => UI/UX intuitive et facile à utiliser mais pas de plan “Gratuit”.
Keepass => Open Source et gratuit. C’est un petit programme qui tourne en local sur votre machine, il génère un fichier .kdbx pour le coffre et vous pouvez stocker ce fichier en local ou sur un cloud de type OneDrive/Dropbox.

Chiffrement et itérations : comment LastPass protège vos données

LastPass utilise un chiffrage AES-256 de grade militaire pour protéger vos données MAIS , il y a eu une assez grosse polémique car en 2018 LastPass a augmenté le nombe d’itérations à 100'100 sauf qu’ils ont échoués à appliquer cette modification à tous les utilisateurs.

L’itération dans LastPass fait référence au nombre de fois où le processus de “chiffrement-déchiffrement” est effectué. Plus le nombre d’itérations est élevé, plus il est difficile pour un attaquant de cracker votre mot de passe maître en utilisant des techniques de type brute force.

LastPass utilise un nombre d’itérations qui devraient être à 100'100 itérations afin de garantir que le temps nécessaire pour déchiffrer vos données est suffisamment long pour dissuader les attaques de type brute force ou les rendre très couteuses. Malheureusement, une bonne partie des"anciens" utilisateurs, avant 2018, ont une valeure d’itération inférieure et ne savaient pas qu’ils pouvaient l’augmenter dans les paramètres.

Image tirée de cet article que je vous recommande, en anglais :* LastPass breach: The significance of these password iterations | Almost Secure (palant.info)

Voici le lien de l’aide de LastPass afin d’augmenter le nombre d’itérations : How do I change my password iterations for LastPass? - LastPass Support

D’après l’image ci-dessous tirées de l’excellent article “LostPass: after the LastPass hack, here’s what you need to know” , nous pouvons estimer le temps ou l’argent que cela couterai afin de casser un mot de passe relativement robuste selon la quantité d’itérations. Beaucoup d’utilisateurs de LastPass étaient à 1 , 500, 1000, 5000, 10'000 itérations seulement.

Source de l’image : LostPass: after the LastPass hack, here’s what you need to know • Graham Cluley => source originale : Snippet from Wladimir Palant’s blog post.

Communication désastreuse et manque de transparence : LastPass critiqué pour sa gestion de cet incident de sécurité

En plus des problèmes de sécurité soulevés par cet incident de sécurité, LastPass a également été critiquée pour sa communication désastreuse et son manque de transparence dans la gestion de cet incident.

En effet, lors de la première annonce de cet incident en août 2022, LastPass a affirmé n’avoir “vu aucune preuve que cet incident impliquait un accès aux données de clients ou aux coffres-forts de mots de passe chiffrés”. Cependant, lors de l’annonce de la violation réelle en décembre 2022, il est devenu clair que cette affirmation était erronée et que les hackers avaient en fait accédés aux coffres de clients et volés des coffres. Tous ? Peut-être bien.

Ce manque de transparence a suscité de fortes critiques au sein de la communauté des spécialistes en sécurité informatique, qui a accusé LastPass de cacher la vérité et de minimiser l’importance de cet incident de sécurité. Beaucoup ont également critiqué la société pour son manque de communication claire et de mise à jour régulière concernant l’état de la situation et les mesures prises pour protéger les utilisateurs.

Cet épisode a mis en lumière l’importance de choisir un fournisseur de confiance et de veiller à la sécurité de vos données.

Historique des incidents de sécurité de LastPass : une longue liste de problèmes

Cet incident de sécurité récent n’est pas le premier à laquelle la société de gestion de mots de passe a été confrontée. Depuis sa création en 2008, LastPass a connu une série d’incidents de sécurité qui ont mis en cause la sécurité de ses utilisateurs et la confiance dans le service.

Voici un aperçu de certains des incidents de sécurité les plus marquants de LastPass : 2011 : Un anomalie dans le trafic réseau entrant et sortant a été découverte par LastPass. Les administrateurs n’ont trouvé aucun des signes d’une faille de sécurité classique, mais ils n’ont pas non plus pu déterminer la cause de ces anomalies. Comme il était théoriquement possible que des données comme les adresses e-mail, le sel du serveur et les hashes de mots de passe salés aient été copiées de la base de données de LastPass, l’entreprise a décidé de mettre hors ligne les serveurs “piratés” afin de les reconstruire et a demandé à tous les utilisateurs de changer leur mot de passe principal le 4 mai 2011.

2015 : Le 15 juin 2015, LastPass a publié un billet sur son blog indiquant qu’il avait découvert et arrêté une activité suspecte sur son réseau la semaine précédente. Leur enquête a révélé que les adresses e-mail de compte LastPass, les rappels de mot de passe, les sels de serveur par utilisateur et les hashes d’authentification avaient été compromis, mais les données de coffre-fort chiffrées des utilisateurs n’avaient pas été affectées.

2016 : En juillet 2016, un billet publié par une entreprise de sécurité en ligne indépendante, Detectify, a détaillé une méthode pour lire les mots de passe en clair pour des domaines arbitraires à partir du coffre-fort d’un utilisateur LastPass lorsque cet utilisateur visite un site Web malveillant. Cette vulnérabilité était rendue possible par un code de traitement d’URL mal écrit dans l’extension LastPass. La faille n’a pas été rendue publique par Detectify jusqu’à ce que LastPass soit averti en privé et puisse corriger leur extension de navigateur.

2017 : Le 20 mars, Tavis Ormandy a découvert une vulnérabilité dans l’extension Chrome de LastPass. L’exploit s’appliquait à tous les clients LastPass, y compris Chrome, Firefox et Edge. Ces vulnérabilités ont été désactivées le 21 mars et corrigées le 22 mars.

Le 25 mars, Ormandy a découvert une faille de sécurité supplémentaire permettant l’exécution de code à distance en fonction de la navigation de l’utilisateur sur un site Web malveillant. Cette vulnérabilité a également été corrigée.

2019 : Le vendredi 30 août 2019, Tavis Ormandy a signalé une vulnérabilité dans l’extension de navigateur LastPass dans laquelle des sites Web avec du code JavaScript malveillant pouvaient obtenir un nom d’utilisateur et un mot de passe insérés par le gestionnaire de mots de passe sur le site précédemment visité. Le 13 septembre 2019, LastPass a annoncé publiquement la vulnérabilité, reconnaissant que le problème était limité aux extensions Chrome et Opera uniquement ; néanmoins, toutes les plateformes ont reçu le correctif de vulnérabilité.

2020 : Le 6 avril 2020, une vulnérabilité a été découverte concernant le stockage du mot de passe principal dans l’extension Web. LastPass stockait le mot de passe principal dans un fichier local lorsque l’option “Se souvenir du mot de passe” est activée.

2022 : Le 25 août 2022, LastPass a annoncé qu’un hacker avait réussi à accéder à un compte de développeur et avait volé une partie de son code source d’un environnement de développement. LastPass a déclaré qu’il n’avait “vu aucune preuve que cet incident a impliqué un accès aux données des clients ou aux coffres-forts de mots de passe chiffrés”. Cependant, juste avant Noël, LastPass a confirmé que les informations volées dans l’attaque d’août 2022 avaient été “utilisées pour cibler un autre employé, obtenir des informations d’identification et des clés qui ont été utilisées pour accéder et déchiffrer certains volumes de stockage…”. Ces informations volées incluaient les noms d’entreprises, les noms d’utilisateurs finaux, les adresses de facturation, les numéros de téléphone, les adresses e-mail, les adresses IP utilisées pour accéder à LastPass et les URLs de sites Web de votre coffre-fort. De plus, des données client chiffrées ont également été volées, y compris les noms d’utilisateur et mots de passe de sites Web, les notes sécurisées et les autres types de données présents dans les coffres. Les hackers doivent encore déterminer votre mot de passe maître pour accéder aux joyaux de la couronne, c’est-à-dire aux noms d’utilisateur et aux mots de passe de tous vos comptes. LastPass a recommandé aux utilisateurs de changer leur mot de passe principal et de revoir leurs informations de sécurité.

Source : LastPass - Wikipedia

Conclusion

En conclusion, il est clair que LastPass a connu plusieurs incidents de sécurité au cours des dernières années, allant de vulnérabilités dans ses extensions de navigateur aux violations de données. Bien que LastPass ait pris des mesures pour protéger les données de ses utilisateurs, comme le chiffrage et les itérations, il est évident que ces incidents ont eu lieu et que les données de ses utilisateurs n’ont pas été totalement protégées. En conséquence, je pense qu’il faut vraiment se poser la question de quitter ce service et de trouver une alternative plus fiable pour stocker vos informations sensibles. Il y a de nombreuses options de gestionnaire de mots de passe sur le marché qui offrent une meilleure sécurité et une communication transparente en cas d’incidents de sécurité. Prenez le temps de faire des recherches et de choisir un service qui répond à vos besoins. Protégez vos données et ne prenez pas de risques inutiles en utilisant un service qui a démontré être vulnérable et non digne de confiance.

Log4J scanner en PowerShell & Shell pour Windows et Linux

Fri, 17 Dec 2021 00:00:00 +0000

Log4J scanner en PowerShell & Shell pour Windows et Linux

Hello ! Alors aujourd’hui je voulais juste vous partager un petit scanner de vulnérabilités qui a été développé par l’entreprise Genevoise e-Xpert Solutions et qui permet de détecter les vulnérabilités liées à Log4J pour vos serveurs .

https://github.com/e-XpertSolutions/atdefense-research

Ce script a été développé par : Michael Molho David Routin

Et j’ai contribué à ce projet en ajoutant le check de la version 2.15 qui contient un faille de type DoS.

Ouai je suis assez fier pour le coup, car je n’avais encore jamais participé à un projet sur GitHub. Donc de voir mon nom dans les “Contributors”, ça fait plaisir.

Update 20.12.2021 : La version 2.16 est aussi vulnérable à une faille de type DoS, j’ai effectué une nouvelle pull request afin de maj le script PowerShell.

Voici comment l’utiliser sur Windows :

Tu télécharges handle.exe (un outil des sysinternals) ici : https://docs.microsoft.com/en-us/sysinternals/downloads/handle
Tu déposes le script sur ton serveur
Tu le lances en admin en utilisant cette commande :

powershell -ExecutionPolicy Bypass -File log4find.ps1 -HandlePath <handle.exe_filepath>

Et tu auras des résultats colorés :

vert : t’es bon
rouge : attention, tu as une ou les deux vulnés sur ton serveur
jaune : le check n’a pas réussi, vas faire un check à la mano.

Dans le cas ou le check a raté, je te conseille d’utiliser “everything"de voidtools . C’est un search engine pour Windows qui est vraiment incroyable de part sa vitesse.

Pour utiliser Everything, il te suffit de le lancer en admin et ensuite tu tapes ta recherche.

log4*

L’astérisque “*” sert de wildcard.

Dans mon cas, y a pas de java sur ma machine, juste 1000 scripts PowerShell et des fichiers/dossiers en lien avec ces scripts de détection de Log4J.

Voilà. enjoy !