Faisons le Nostradamus

Les débuts d'années sont propices aux Nostradamus de tout poil. Je me prête à mon tour au jeu afin de livrer mes prédictions pour 2013 dans le domaine de la sécurité informatique.

J'écris rarement mes posts de blog d'une seule traite. Je les prépare au brouillon, puis je les poste. Dans ma liste de prédiction, j'avais écrit que l'on connaîtrait en 2013 un enfer SSL, avec des certificats qui seront utilisés pour réaliser de l'interception SSL. Entre le premier jet de cet
article et sa parution, c'est déjà arrivé. Turktrust a (malencontreusement) diffusé des certificats a des entités qui contenaient le bit CA. Tout le monde s'accorde à dire qu'il n'y a ni piratage ni malveillance, juste de l'erreur humaine malheureuse. Google met encore en avant son mécanisme d'épinglage de certificats, Microsoft, Mozilla et les autres publient des advisories, et le commerce
électronique continue..

Et pour le reste de mes pronostics:
-On découvrira avec stupeur (ou pas) qu'il existe du matériel informatisé connecté à internet (ou autre réseau) et qu'il est piratable. On a eu ces dernières années des cas de piratages d'équipements industriels (SCADA) de voiture, de smart TV, on en découvrira un nouveau.

-La sécurité informatique va continuer à se séparer en deux: D'un côté, le grand public ou les pirates cherchent un gain financier rapide et où les attaques sont massives et aveugles. De l'autre, des attaques parfaitement ciblées ou le gain visé est de la propriété intellectuelle (au sens large, c'est à dire ou le pirate cherche à obtenir des informations qui ne sont pas publiques). Sont visés les états et les grandes entreprises. Autant nous entendrons parler des premières avec des chiffres indiquant le nombre de comptes volés, le nombre de machines des botnets, le volume de SPAM, etc, autant pour les secondes nous n'aurons aucune information sur les méthodes et données visées. A ce sujet, une blague existe: Dans la savane, deux explorateurs tombent face à un lion. Le premier explorateur pose doucement son sac à dos, ses affaires, sa veste, tout ce qui le gêne, et le second lui demande: "mais tu crois que ça va empêcher le lion de te manger?". Le premier de répondre: "tout ce que je sais c'est que ça va me permettre de courir plus vite que toi". L'analogie avec le point ci dessus est parlante: dans lesattaques de masse, soyez le plus rapide à patcher/ corriger/ combler la faille. Dans une attaque ciblée, vous êtes seul face à plusieurs lions et courir n'aidera pas...

-Pour les attaques de masses, nous aurons encore droit à de la SQL injection et des botnets d'envois de spams massifs (rien de nouveau), pour les attaques ciblées nous verrons que le cyber offensif sera de plus en plus cité et/ou mis en oeuvre.

-On n'entendra plus parler d'Anonymous, ou de manière anecdotique.

-La territorialisation d'internet se fera encore plus sentir. Chaque état voulant _ses_ règles sur internet et _son_ contrôle.

-Je continuerai sur mon rythme de deux articles par mois pour le blog :-)

Surtout, have fun!
Et pour vous, des idées de tendances liées à la sécurité informatique?

Et bonne année!

Puisque la fin du monde n'a (une fois de plus) pas eu lieu, je vous souhaite une bonne année \o/
Pleine de bonnes vibes et d'exploit!

Linux magazine décembre - mysql administration

J'ai écrit un article dans le Linux magazine 155 de décembre 2012 qui fait la couverture. Cet article parle d'administration de mysql. L'article fournit à l'aide d'un exemple concret la prise en main d'une base de données inconnues, son exploration, sa connexion (avec ou sans mot de passe), la recherche de docs, etc..

Ce blog va revenir sur deux points qui peuvent intéresser l'amateur de sécurité. Le premier explique comment sniffer efficacement des requêtes SQL, le second comment explorer une base uniquement avec des requêtes SELECT.

1/ Lorsque le réseau est utilisé pour interroger mysql, une requête tshark permet d'afficher toute les requêtes passées. C'est très utile lorsqu'une attaque échoue dans un environnement de test pour connaître la syntaxe précise de l'injection transmise à la base de données par le formulaire php:
tshark -i lo -R mysql.query -Tfields -e mysql.query

tshark va alors filtrer via -R uniquement les queries mysql, et n'afficher en sortie que ces queries. C'est très pratique pour comprendre pourquoi une requête forgée/encodée dans l'URL ne fonctionne pas.

2/ mysql permet d'explorer les bases à l'aide des commandes:

• SHOW DATABASES
• USE base puis
• SHOW TABLES
• DESCRIBE nom_de_la_table

Lorsque un attaquant dispose d'une injection SQL, il peut souvent réaliser des requêtes SELECT, mais pas de commandes SHOW. mysql fournit une base information_schema permettant de retrouver les résultats ci-dessus:

• SELECT DISTINCT table_schema FROM information_schema.tables; va afficher les bases. 
• SELECT table_name FROM information_schema.tables WHERE table_schema = 'base'; va lister les tables de la base 
• SELECT column_name,column_type FROM information_schema.columns WHERE table_name = 'table'; va décrire les colonnes de la table.

Conclusion/

L'article complet couvre d'autres aspects, je vous invite à le lire dans le magazine.