Grave faille de securite avec MS Word

Le
CriCri
Bonjour

MS Word crée divers fichiers temporaires (d'enregistrement
automatique, de récupération etc).
En particulier, dans certaines circonstances il crée des fichiers
'~$WRLnnnn.tmp' dans le même répertoire que celui d'un document ouvert.

Ça se produit quand on modifie un document et l'enregistre puis le
modifie et l'enregistre encore. Word sauvegarde chaque version
en la renommant comme ci-dessus avant d'enregistrer la version suivante
modifiée.
Quand le document est fermé, tous les fichiers temporaires sont supprimés.

Nota: le descriptif du comportement de Word 2002 à
http://support.microsoft.com/kb/211632
_n'est pas exact_.

Or, supposons qu'on travaille sur un document sensible et après l'avoir
fermé on l'efface avec un outil tel PGP 'Wipe'; les fichiers
temporaires restent néanmoins parfaitement récupérables, avec tout le
contenu sensible de l'avant-dernière version.
Inutile de les restaurer puis les effacer: puisque sous NTFS
1. ils ont été restaurés par copie vers d'autres secteurs sur le
disque dur
2. la restauration puis l'effacement n'écrase pas forcément les noms
originaux dans la MFT (car lors de la restauration de nouveaux fichiers
ont été créés).

Ce qui fait que suivant la restauration et l'effacement on peut
continuer à les restaurer indéfiniment càd jusqu'à ce que leur
contenu soit remplacé aléatoirement par l'écriture d'autres fichiers
dans leurs secteurs.

Pour l'instant je n'ai trouvé que deux solutions aussi pénibles l'une
que l'autre:
1. rechercher les données dans la partition en hexa, puis remplir les
secteurs avec des zéros.
2. 'wipe'er l'espace libre.

Je suis preneur d'autres idées.

Cordialement

--
bitwyse [PGP KeyID 0xA79C8F2C]
Tout ce qui n'est pas moi est incompréhensible.
http://www.le-maquis.net
Nouveau site de divertissement: http://www.denich.org
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses Page 1 / 2
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Sylvain SF
Le #18277581
CriCri a écrit :

MS Word crée divers fichiers temporaires (d'enregistrement
automatique, de récupération etc).



quel scoop !

Or, supposons qu'on travaille sur un document sensible et après
l'avoir fermé on l'efface avec un outil tel PGP 'Wipe'; les fichiers
temporaires restent néanmoins parfaitement récupérables, avec tout le
contenu sensible de l'avant-dernière version.



si tu travailles sur des "documents sensibles" sur un système
non protégé, tu es la seule cause de la négligence sécuritaire,
en court tu travailles comme un idiot.

Pour l'instant je n'ai trouvé que deux solutions aussi pénibles



aussi inadaptées !

Je suis preneur d'autres idées.



prends rendez-vous à la DCSSI et apprend à remplir un dossier
sur le TDA des données sensibles.

Sylvain.
CriCri
Le #18277671
Sylvain SF a écrit :

...des remarques débiles dépourvues de tout intérêt et utilité, comme
d'habitude.



Ça faisait longtemps que je n'avais pas eu le désagrément de te lire,
puisque pour d'autres groupes tu es un résident permanent de ma boitakon.

Mais ne se reproduira pas: j'ai comblé la lacune aussitôt.

--
bitwyse [PGP KeyID 0xA79C8F2C]
Tout ce qui n'est pas moi est incompréhensible.
http://www.le-maquis.net
(nouveau site de divertissement: http://www.denich.org)
Sylvain SF
Le #18278471
CriCri a écrit :

Ça faisait longtemps que je n'avais pas eu le désagrément de te lire,
puisque pour d'autres groupes tu es un résident permanent de ma boitakon.

Mais ne se reproduira pas: j'ai comblé la lacune aussitôt.



à ta guise, j'étais habilité SD pour le TAD, toi tu peux
resté idiot.

Sylvain.
Eric PETIT
Le #18280071
CriCri wrote:
Bonjour

MS Word crée divers fichiers temporaires (d'enregistrement
automatique, de récupération etc).
En particulier, dans certaines circonstances il crée des fichiers
'~$WRLnnnn.tmp' dans le même répertoire que celui d'un document
ouvert.



Sans vouloir remuer le couteau c'est effectivemment un "scoop" ;-))

.....
Quand le document est fermé, tous les fichiers temporaires sont
supprimés.



Simple coup de veine. Du fichier "temporaire" qui n'est jamais effacé la
suite office en pose un peu partout :-((


....
Ce qui fait que suivant la restauration et l'effacement on peut
continuer à les restaurer indéfiniment... càd jusqu'à ce que leur
contenu soit remplacé aléatoirement par l'écriture d'autres fichiers
dans leurs secteurs.

Pour l'instant je n'ai trouvé que deux solutions aussi pénibles l'une
que l'autre:
1. rechercher les données dans la partition en hexa, puis remplir
les secteurs avec des zéros.
2. 'wipe'er l'espace libre.

Je suis preneur d'autres idées.



_crypter le répertoire temporaire (avec la fonction idoine sous windows, ça
n'est lisible que par l'utilisateur qui l'a créé...et p'têt un user dédié
spécifiquement à cette fonctionnalité, à vérifier dans les docs)
_placer ce répertoire temporaire sur un disque virtuel, ou une mémoire flash
que l'on pilonne à l'extinction de la machine ^_^

y'en a sans doute d'autres.

--
Eric
Reply-to valide, laissez tel quel !
Texte brut vivement conseillé !!
CriCri
Le #18280581
Eric PETIT a écrit :

Simple coup de veine. Du fichier "temporaire" qui n'est jamais effacé
la suite office en pose un peu partout :-((



L'emplacement des fichiers de récupération automatique est censée être
paramétrable - ça n'empêche pas la création de fichiers temporaires dans
le répertoire courant.

_crypter le répertoire temporaire...



Il ne s'agit pas du répertoire temporaire mais celui du fichier ouvert.
Je vais voir si le cryptage de ce dernier change quoi que ce soit - mais
puisqu'en tout cas je suis le seul utilisateur dès que mon compte est
ouvert les fichiers cryptés sont accessibles.

_placer ce répertoire temporaire sur un disque virtuel, ou une
mémoire flash que l'on pilonne à l'extinction de la machine ^_^



Word ne respecte pas le paramétrage de fichiers temporaires: j'ai déjà
pensé à ça mais il utilise toujours le répertoire du fichier ouvert -
dans une partition du DD.

Cordialement

--
bitwyse [PGP KeyID 0xA79C8F2C]
Tout ce qui n'est pas moi est incompréhensible.
http://www.le-maquis.net
(nouveau site de divertissement: http://www.denich.org)
Ascadix
Le #18281581
CriCri n'a pas économisé ses octets pour nous raconter que:

Bonjour

MS Word crée divers fichiers temporaires (d'enregistrement
automatique, de récupération etc).
En particulier, dans certaines circonstances il crée des fichiers
'~$WRLnnnn.tmp' dans le même répertoire que celui d'un document
ouvert.
Ça se produit quand on modifie un document et l'enregistre puis le
modifie et l'enregistre encore. Word sauvegarde chaque version
en la renommant comme ci-dessus avant d'enregistrer la version
suivante modifiée.
Quand le document est fermé, tous les fichiers temporaires sont
supprimés.
Nota: le descriptif du comportement de Word 2002 à
http://support.microsoft.com/kb/211632
_n'est pas exact_.

Or, supposons qu'on travaille sur un document sensible et après
l'avoir fermé on l'efface avec un outil tel PGP 'Wipe'; les fichiers
temporaires restent néanmoins parfaitement récupérables, avec tout le
contenu sensible de l'avant-dernière version.
Inutile de les restaurer puis les effacer: puisque sous NTFS
1. ils ont été restaurés par copie vers d'autres secteurs sur le
disque dur
2. la restauration puis l'effacement n'écrase pas forcément les noms
originaux dans la MFT (car lors de la restauration de nouveaux
fichiers ont été créés).

Ce qui fait que suivant la restauration et l'effacement on peut
continuer à les restaurer indéfiniment... càd jusqu'à ce que leur
contenu soit remplacé aléatoirement par l'écriture d'autres fichiers
dans leurs secteurs.

Pour l'instant je n'ai trouvé que deux solutions aussi pénibles l'une
que l'autre:
1. rechercher les données dans la partition en hexa, puis remplir les
secteurs avec des zéros.
2. 'wipe'er l'espace libre.

Je suis preneur d'autres idées.

Cordialement



Vu toutes tes autres questions, ya grosso-modo qu'une seule réponse

TrueCrypt (ou kifkif si ça se trouve)

Tu crypte ta partition systeme
Tu travaille seulement sur des docs situés aussi sur des volumes cryptées
(partition ou container)

T'oublie pas de laisser les temp et le swap sur une partition crypté itou.


NB: Il parait que sur les version Pro et+ de Vista la fonction "BitLocker"
permet le même résultat.


--
@+
Ascadix [MVP]
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça
arrive.
CriCri
Le #18281821
Salut

Ascadix a écrit :

Tu crypte ta partition systeme



Pourquoi? Y'a aucun fichier de document ni temporaire dessus.

Tu travaille seulement sur des docs situés aussi sur des volumes
cryptées (partition ou container)



Mouais. J'ai mieux à faire.
Je ne travaillerai (et n'accepterai) plus de docs sensibles au format
Word... sauf qu'on me les transmet - très rarement... (mais je les ai
déjà convaincus de ne plus les envoyer par mail, c'est déjà un plus).

Mes données sensibles à moi sont uniquement en ASCII, éditées
normalement (avec Notepad++), cryptées avec PGP puis 'wipés' avec le
même. Donc plus de trace normalement récupérable.

Mais en fait, la solution de Van (bsch) proposée sur fcom semble marcher.

Amicalement
CriCri

--
bitwyse [PGP KeyID 0xA79C8F2C]
Tout ce qui n'est pas moi est incompréhensible.
http://www.le-maquis.net
(nouveau site de divertissement: http://www.denich.org)
Cornelia Schneider
Le #18281881
CriCri @news.orange.fr:

Tu crypte ta partition systeme



Pourquoi? Y'a aucun fichier de document ni temporaire dessus.



Mais le swap (et les temp de l'OS).

Cornelia

--
Be out and be proud - today is the first day of the rest of your life
Support Transgenre Strasbourg : www.sts67.org
Creative stuff : www.bownbend.com
GPG key ID 83FF7452
Ascadix
Le #18282041
CriCri n'a pas économisé ses octets pour nous raconter que:

Salut

Ascadix a écrit :

Tu crypte ta partition systeme



Pourquoi? Y'a aucun fichier de document ni temporaire dessus.




Par defaut les TEMP sont dessus
et le swap aussi
Et comme ça, t'es sur de pas laisser passer qqchose

Ah oui ..j'ai pas détaillé ça avant, mais en plus des documents, copies
auto-backups, temp et Cie, il ya aussi le swap qui peut contenir des morceux
de ton document, donc à défaut de crypter le swap, va falloir que tu pense à
activer la fonction de purge du pagefile à l'arret de Windows pour éviter de
laisser trainer des morceaux de document "confidentiels"



Tu travaille seulement sur des docs situés aussi sur des volumes
cryptées (partition ou container)



Mouais. J'ai mieux à faire.
Je ne travaillerai (et n'accepterai) plus de docs sensibles au format
Word... sauf qu'on me les transmet - très rarement... (mais je les ai
déjà convaincus de ne plus les envoyer par mail, c'est déjà un plus).

Mes données sensibles à moi sont uniquement en ASCII, éditées
normalement (avec Notepad++), cryptées avec PGP puis 'wipés' avec le
même. Donc plus de trace normalement récupérable.



Qq méthodes pour ne pas laisser de traces:
- Travail à partir d'un CD BartPE, sur un PC sans disque dur et en
enregistrant sur une clef USB intégralement cryptée (TrueCrypt par ex)
- Travail dans une machine virtuelle (VPC ou VMware, logé sur une partition
crypté, le tout exécuté sur un hôte avec le swap désactivé
(bon, c'est plus une démo de mode parano que qqchose que je fais réellement
couramment hein :-)
ça c'était avant que TrueCrypt ne propose le cryptage de disque intégral, OS
compris.

Mais en fait, la solution de Van (bsch) proposée sur fcom semble
marcher.
Amicalement
CriCri



--
@+
Ascadix [MVP]
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça
arrive.
Sylvain SF
Le #18282071
Ascadix a écrit :

va falloir que tu pense à [...]



non, envoyer chier les gens et être sur d'avoir raison tout seul
lui va tellement mieux.

Qq méthodes pour ne pas laisser de traces:
- Travail à partir d'un CD BartPE, sur un PC sans disque dur et en
enregistrant sur une clef USB intégralement cryptée (TrueCrypt par ex)



ou OS sans trace (sur CD est le meilleur, simplest choix) et
document sur disque cryptée et extractible (on le monte en
salle sécurisée le temps du travail et on le range ensuite,
sauf si le travail est une charge de 5mn pour un doc unique
de 100ko bien sur).

- Travail dans une machine virtuelle (VPC ou VMware, logé sur une
partition crypté, le tout exécuté sur un hôte avec le swap désactivé
(bon, c'est plus une démo de mode parano que qqchose que je fais
réellement couramment hein :-)



solution courante si l'OS sur CD n'est pas possible (et avec
windows cela ne l'est pas facilement), on ghoste une fois un OS
installé sous virtual-pc, on travaille dans une copie de celui-ci
son doc puis on wipe et détruit cette copie; l'OS hôte abritant
les VM est bien sur considéré à protéger et donc stocké en lieu
sur hors travaux sur documents classifiés.

ça c'était avant que TrueCrypt ne propose le cryptage de disque
intégral, OS compris.



ça n'a pas les mêmes atouts, penser qu'il est suffisant de s'en
remettre à TrueCrypt est incorrect car cette partition TC continue
d'exister ainsi que la(es) personne(s) ayant eu connaissance de la
clé de cette partition; il est indispensable de détruire celle-ci.

Sylvain.
Publicité
Poster une réponse
Anonyme