From: C y b e r T e c h @ L i s t s . E x M a c h i n a . n e t
<http://www.cybercafe21.net> & <http://www.cybercafe21.tv>
Source : DGSE.org
R�seaux
Les nouveaux passe-murailles
Nos secrets sont dans la rue. Les donn�es informatiques transmises au sein
d'une entreprise par les ondes hertziennes - et non pas par les fils -
peuvent �tre facilement pirat�es. Ces r�seaux sont de v�ritables passoires.
Et les � curieux � n'ont plus qu'� se servir
par Nicolas Gurgand (avec le service enqu�tes)
Alerte aux ondes ! Des dossiers confidentiels commerciaux, scientifiques ou
industriels, voire des secrets d'Etat, livr�s sur la place publique � cause
de fuites dans les r�seaux informatiques. Ce n'est pas de la fiction, mais
l'incroyable r�alit� due � l'entr�e de ces r�seaux dans l'�re du sans-fil.
A l'heure o� la guerre �conomique fait rage, o� la lutte contre le
terrorisme est une pr�occupation constante, ce nouveau p�ril a �t�, jusqu'�
pr�sent, soigneusement occult�. Les services de renseignement, sp�cialement
concern�s, ne sont pas autoris�s � en parler. Et pourtant, il n'a jamais �t�
aussi facile d'aller fouiller dans les ordinateurs, de se balader
clandestinement sur les r�seaux informatiques dernier cri ouverts � tous les
vents. La menace est r�elle et touche de grandes banques, des groupes
p�troliers, des sous-traitants de la d�fense... tout comme les simples
particuliers. Souvent, d'ailleurs, les int�ress�s ne se doutent de rien.
D'apr�s un policier sp�cialis� dans la traque de ce nouveau fl�au
technologique, � m�me les services publics et certains grands minist�res �
sont vuln�rables. Jusqu'� pr�sent, la nouvelle n'a gu�re d�pass� le petit
cercle d'initi�s que sont les pirates informatiques g�n�ralement tr�s
surveill�s. Mais on n'ose imaginer les cons�quences si une organisation mal
intentionn�e d�cidait d'exploiter cette faille.
Le danger provient d'une norme radio baptis�e wi-fi (wireless fidelity), qui
fait fureur en France depuis environ deux ans. Provenant des Etats-Unis,
elle permet de cr�er un r�seau informatique interne � moindres frais en se
passant de fils. Les ordinateurs reli�s entre eux communiquent par ondes
hertziennes. Il suffit de disposer une sorte d'antenne �mettrice appel�e �
point d'acc�s � et d'�quiper chaque poste que l'on veut connecter d'un
r�cepteur se pr�sentant sous la forme d'une grosse carte de cr�dit (carte
r�seau sans fil). Le tour est jou� ! Les transmissions, l'acc�s au serveur
central, voire les connexions � l'Internet, peuvent alors commencer.
L'�quipement sp�cifique est tellement simple et bon march� - de 450 � 1 000
euros pour un petit r�seau - que tout le monde peut d�sormais se l'offrir.
Selon le Synergy Research Group, un institut am�ricain d'analyse des
march�s, les ventes de ce type de mat�riel � l'�chelle internationale
affichent, sur un an, une croissance de 60 %. Pas �tonnant : la norme wi-fi
pr�sente toutes sortes d'avantages pour les entreprises. Elle assure une
parfaite transmission des donn�es informatiques � haut d�bit tout en
supprimant le casse-t�te des enchev�trements de c�bles et de leur
cheminement. Avec la wi-fi, plus de probl�me si l'on reconfigure les locaux.
De plus, cette technologie permet de rester connect� au r�seau en
permanence, quel que soit l'endroit de la soci�t� o� l'on se trouve avec son
portable. Des toilettes � la caf�t�ria, on peut travailler partout.
Sauf que le bon vieux r�seau filaire poss�de un avantage d�cisif sur le
sans-fil : il reste parfaitement circonscrit aux murs de l'entreprise. Le
p�n�trer pour y puiser des donn�es confidentielles ne peut �tre que le fait
de pirates exp�riment�s op�rant � partir de l'Internet. Avec le sans-fil,
tout devient plus facile. Les ondes radio sortent des locaux de l'entreprise
ou de la maison, se propagent dans la rue et peuvent donc �tre intercept�es.
C'est le cas par exemple - nous l'avons constat� - de tel fameux magasin
parisien de stylos de luxe ou de cette importante ambassade asiatique. �
Installer un r�seau sans fil dans son entreprise revient � mettre des prises
� l'ext�rieur de ses murs �, r�sume Jean-Michel Cornu, consultant � la
Fondation Internet nouvelle g�n�ration (FING). Autrement dit, � exposer ses
dossiers aux regards indiscrets.
� Il est arriv� que deux soci�t�s cohabitant sur le m�me palier s'�quipent
de r�seaux sans fil, raconte un expert en s�curit� informatique de la r�gion
de Rennes. Du jour au lendemain, chacune a pu acc�der aux donn�es de
l'autre. � F�cheux, mais explicable. C'est le principe d'une �mission de
radio : tous les r�cepteurs r�gl�s sur une m�me fr�quence captent la m�me
�mission. II a fallu un mois aux sp�cialistes d'une autre entreprise pour
comprendre pourquoi le r�seau � plantait � tous les jours entre 12 et 14
heures. La cause : un four � microondes d'une cantine toute proche
perturbait les �missions.
Voil� pour l'anecdote. Plus s�rieusement, ces faiblesses peuvent se r�v�ler
dangereuses. N'importe quel ordinateur muni d'une carte r�seau sans fil peut
�tablir une cartographie tr�s pr�cise des points d'acc�s aux r�seaux mal
s�curis�s (voir carte page 67). Il suffit de le raccorder � un �quipement de
g�olocalisation de type GPS (Global Positioning System). Un logiciel
gratuit - on le t�l�charge librement sur l'Internet - coordonne l'ordinateur
avec la carte r�ceptrice et le GPS. A chaque nouvelle � prise �, le logiciel
�met un bip, affiche les sp�cificit�s du r�seau qu'il vient de trouver et
son nom.
Ainsi �quip�, Le Point a tent� l'exp�rience et v�rifi� sur le terrain la
r�alit� de la menace. Une petite balade dans Paris se r�v�lera
particuli�rement instructive. Nous avons pu recenser plus de cent points
d'acc�s sans fil, dont quarante-deux en moins d'une heure (voir encadr� page
67).
Lorsque le logiciel capte un r�seau sans fil, il se contente de le signaler
et d'indiquer s'il est s�curis� ou non. S'il ne l'est pas, ce qui arrive
dans � 80 % des cas �, selon les sp�cialistes officiellement charg�s de
mesurer les failles, l'ordinateur portable se retrouve d'office connect� au
r�seau d'entreprise qu'il vient d'identifier. Il suffit alors d'utiliser ses
fonctionnalit�s classiques pour � visiter � les postes de travail reli�s aux
r�seaux d�tect�s. Un geste que nous n'avons pas fait afin de ne pas �tre
accus�s de piratage. D'autres, en revanche, peuvent ne pas avoir de
scrupules.
Une menace n�glig�e
� Les PME-PMI sont particuli�rement expos�es, explique Herv� Schauer,
directeur de HSC, une des rares soci�t�s de consultants en s�curit�
informatique en France � proposer des protections pour les r�seaux sans fil.
Elles s'�quipent g�n�ralement de r�seaux wi-fi par souci d'�conomie pour ne
pas payer le prix des c�bles... mais n'investissent pas dans leur
s�curisation. � Or, pour simplifier leur utilisation, ces syst�mes sont le
plus souvent vendus avec une s�curit� d�sactiv�e. Il suffirait d'un mot de
passe et d'un ou deux clics pour compliquer la t�che d'un visiteur importun.
Il existe d'autres protections logicielles, bien plus efficaces. Encore
faut-il consid�rer qu'il y a un danger potentiel. Dans l'entreprise,
certains gestionnaires de r�seau n�gligent la menace, qu'ils consid�rent
comme peu probable. Ils pr�f�rent ne pas s'en encombrer.
Le danger pourtant devient maximal si un �quipement wi-fi est � greff� � sur
un r�seau d'entreprise c�bl�, et ce � l'insu des responsables informatiques
eux-m�mes. Il suffit qu'un employ� un rien malin installe, pour son confort
personnel et sans le dire, un point d'acc�s dans son bureau. S'ouvre alors
une br�che b�ante susceptible de mettre en p�ril la s�curit� de toute la
soci�t�. Le ph�nom�ne n'est pas si rare. � La plupart des grands comptes
sont sans doute d�j� fragilis�s de cette fa�on sans le savoir �, estime m�me
Herv� Schauer. En particulier ceux qui n'ont jamais investi un sou dans le
sans-fil et qui pensent, de ce fait, �tre pr�serv�s.
Les ondes des �metteurs rayonnent parfois sur plusieurs centaines de m�tres
autour des enceintes o� on les croit cantonn�es. Les murs ne les arr�tent
pas. Premi�re cons�quence, ludique celle-l� : � Paris, autour du
Champ-de-Mars, quelques initi�s viennent r�guli�rement � l'heure du d�jeuner
se connecter � l'Internet � haut d�bit, sans fil, gratuitement et en plein
air, aux frais d'une entreprise qui arrose le quartier et dont ils ignorent
jusqu'au nom. Un d�lit qui ne semble pas si grave, et pourtant...
A plusieurs reprises, ces derniers mois, des cybercaf�s ont �t� mis en cause
pour avoir servi de lieux d'�change dans la pr�paration d'actes terroristes.
Que se passerait-il si ces m�mes terroristes �changeaient leurs informations
par le biais d'un r�seau sans fil ne leur appartenant pas ? Ils
deviendraient de ce fait parfaitement invisibles. Les enqu�tes polici�res ne
pourraient plus remonter qu'� la soci�t� propri�taire des serveurs ayant
abrit�, � son insu, les �changes de messages. Laquelle aurait bien du mal �
prouver son innocence.
Bien s�r, le fait de se � maintenir � sur le r�seau informatique d'autrui
constitue un d�lit. Mais l'envahissement de la chauss�e par les ondes est
lui aussi r�prim�. Les fr�quences utilis�es dans le domaine public
appartiennent aux militaires. Elles ne sont autoris�es - par d�rogation -
qu'� l'int�rieur des b�timents. M�me si les rues de Paris sont d�j�
tellement satur�es par ces d�bordement ill�gaux de r�seaux que personne
n'est plus en mesure de les r�guler. L'Autorit� de r�gulation des
t�l�communications (ART) elle-m�me a bien du mal � d�faire ce noeud gordien.
L'ART elle-m�me pi�g�e
Contact�e par nos soins, elle n'a pas souhait� s'exprimer, craignant de
s'afficher sous un jour trop r�pressif. � Et si des chefs d'entreprise sont
suffisamment irresponsables pour disperser leurs r�seaux dans la nature,
cela nous concerne-t-il vraiment ? � l�che un de ses repr�sentants,
visiblement d�pass� par les �v�nements. Au point d'ignorer que le 19 juin le
propre r�seau sans fil de l'ART d�bordait dans un square de Montparnasse. Un
comble, pour cet organisme public, quand on conna�t les enjeux commerciaux
de ses d�lib�rations secr�tes. La gestion de la wi-fi pi�ge ceux qui sont
cens�s la r�glementer !
Aux Etats-Unis, o� la qu�te des points d'acc�s sans fil est devenue un sport
national appel� � war-driving �, un adepte a pu d�nombrer 1 500 points
d'acc�s sur la c�te Ouest. Mais, l�-bas, la s�curisation du sans-fil est
prise tr�s au s�rieux. Et la presse en parle. En France, le ph�nom�ne n'a
donn� lieu qu'� de rares communications confidentielles dans des revues
sp�cialis�es. Les services de renseignement s'inqui�tent en tout cas de la
prolif�ration de ces r�seaux sauvages qu'ils s'affairent � cartographier.
Les risques de piratage ou d'espionnage sont bien r�els. Listings de
clients, documents comptables, relev�s bancaires et codes secrets... la
France �tale, sans r�agir, tous ses secrets. Une aubaine rep�r�e par les
agences d'intelligence �conomique. Elles trouvent dans la p�n�tration des
r�seaux sans fil un outil d'espionnage particuli�rement efficace
garantissant, en outre, un camouflage providentiel !
Et le danger s'accro�t chaque jour, au rythme de l'�quipement du pays. �
Demain, les r�seaux sans fil vont se g�n�raliser. Il est d�j� impensable de
revenir en arri�re �, affirme un policier du high-tech. Face � l'ampleur des
risques, les autorit�s demeurent comme paralys�es et pr�f�rent se taire.
Quand l�vera-t-on le tabou ? � Sans doute, estime un jeune hacker
sp�cialiste de la wi-fi, le jour o� un grand groupe fera les frais d'une
�norme attaque sur ses serveurs. �
Signes de piste
N� sur un site Web anglais � la fin du mois de juin, et largement relay�
depuis, un petit jeu de potaches baptis� � war-chalking � (craie-fiti)
constitue une nouvelle menace pour les possesseurs de r�seaux sans fil : il
s'agit de rep�rer, � la mani�re des cambrioleurs, les r�seaux sans fil
disponibles dans une ville et de les signaler � la craie sur les murs, gr�ce
� des pictogrammes aux significations pr�cises. Deux � C � accol�s dos � dos
d�signent ainsi un r�seau ouvert offrant un acc�s � l'Internet ; un rond
caract�rise un r�seau d'entreprise accessible mais n'offrant pas d'acc�s au
Web ; tandis qu'un W encercl� avertit qu'un r�seau est pr�sent, mais qu'il
b�n�ficie d'une protection crypt�e. Une mani�re d'afficher au grand jour les
vuln�rabilit�s des entreprises - Nicolas Gurgand
Balade au fil des ondes
Un ordinateur, une carte r�seau sans fil, un GPS : il n'en faut pas plus
pour jouer les espions. Muni de cet attirail en vente libre dans n'importe
quelle boutique d'informatique, nous nous sommes promen�s en voiture dans
les rues de Paris. Le r�sultat de notre balade est probant. Avenue Kl�ber, �
proximit� des Champs-Elys�es, notre ordinateur rep�re pas moins de cinq
r�seaux professionnels. Un peu plus loin, autre bip : cette fois-ci, le
point d'acc�s se nomme � ambassade � et se situe... effectivement devant une
ambassade.
A quelques centaines de m�tres de l�, un groupe aux activit�s militaires
notables � offre � lui aussi son r�seau autour du rond-point des
Champs-Elys�es. Co�ncidence ? D�pla�ons-nous un peu, direction la D�fense,
o� le Club de la s�curit� des syst�mes d'information fran�ais, organisme de
r�f�rence, tient un colloque intitul� � Estimation de la "sinistralit�"
informatique en 2001 �. Ici, notre logiciel rep�re deux points d'acc�s non
s�curis�s au r�seau... du CNIT, o� a lieu la manifestation. Non loin de l�,
au pied de l'immeuble d'un important groupe p�trolier, le logiciel �met un
nouveau bip. Inqui�tant, non ?
Nous poursuivons notre promenade dans les quartiers d'affaires. Autour de
l'Op�ra, c'est un important investisseur immobilier, filiale d'un g�ant
am�ricain, qui expose sans complexe son r�seau au tout-venant. Place
Vend�me, o� des r�seaux professionnels cohabitent avec des r�seaux de
particuliers, nous parvenons � capter pas moins de trois signaux en m�me
temps. Et l'inventaire n'est pas fini : le boulevard de S�bastopol nous
d�voile quinze nouveaux points d'acc�s. Et �a continue le long du m�tro
a�rien : de Passy � Pasteur, le voyageur pourra d�nombrer au moins six
r�seaux sans fil. Quel que soit le quartier visit�, nous trouvons des points
d'acc�s. Particuliers, PMI, mais aussi banques, grands comptes, assurances,
boutiques : tous d�versent leurs ondes dans les rues de Paris. Et risquent �
tout moment d'�tre les victimes de leur n�gligence... Nicolas Gurgand
Lettre interne consid�r�e comme une correspondance priv�e
N'h�sitez pas � m'envoyer de la documentation ou des liens int�ressants
S�bastien JANVIER
[EMAIL PROTECTED]
www.dgse.org
" Se faire battre est excusable, se faire surprendre impardonnable "
Napol�on
"Le renseignement est comme l'air que l'on respire, on s'aper�oit qu'il est
indispensable lorsqu'on en manque"
-----------------------------------------------------------
Copyright (c) Lettre DGSE.ORG, CNIL num�ro 762401
http://www.dgse.org
HEBERGEMENT DE SITE WEB: 1 GB d'espace disque, 500 emails, PHP, MySQL
pour 120 euros TTC par an! Plus d'infos sur http://WWW.INFOMANIAK.BE
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
CCTK vous est offert par Emakina <http://www.emakina.com>
Pour vous desabonner <mailto:[EMAIL PROTECTED]>
