[Rapport CCIA] - Le monopole de MS represente un risque

Eric Razny nous disait récement dans fr.comp.securite
<news:3f76fa00$0$27581$626a54ce@news.free.fr> :

"Stephane Catteau" <steph.nospam@sc4x.net> a écrit dans le message

[...] Alors peut-être que je prête trop d'audace aux kiddies dans un
tel cas, mais si quelqu'un qui ne connait rien au C (moi) arrive à
modifier le login et la libutil de FreeBSD, j'ai du mal à imaginer
un kiddy qui ne se mettrait pas au C dans l'espoir de faire des
ravages. [...]

Oui mais tu modifie le login car tu es root sur ta machine.

Oui, tout comme le kiddy qui modifierait login pour qu'il publie les
mots de passe sur un chanel IRC.

Pour modifier le login, pour un simple utilisateur, il faut d'abord
faire une escalade de privilège ou abuser d'un admin débile [...]

L'admin du nunux domestique reste l'utilisateur lambda. Loin de moi
l'idée de dire qu'il est débile, mais il est rendu naïf par sa
méconnaissance de l'informatique. Tu papotes un peu avec lui, et un
jour tu débarques dans sa bal en lui-disant qu'il y a une faille
critique concernant login. Tellement critique qu'elle n'est pas rendue
publique et que le programme ne sera patché qu'avec l'arrivé des
futures versions des différentes distributions. Mais toi qui est un mec
'achement bien, tu as réussi à trouver le patch, tu l'as appliqué chez
toi, et comme l'autre est un bon copain, tu lui en fais profiter.
Mieux, comme tu es gentil, tu as même compilé login, il n'a plus qu'à
remplacer l'ancien par le nouveau.
A ton avis, l'utilisateur lambda il fera quoi ?

[...] ou un admin qui exécute en root le programme machin dans le
répertoire de l'utilisateur parce qu'il s'est plaint que ça retourne
un message d'erreur comme quoi le système est mal paramétré -si si,
ça marche encore :( - ).

Alors imagine si l'admin c'est ton voisin :-(

En caricaturant tu peux faire la même chose sous windows sans même
savoir comment fonctionne le programme (ce sera un peut moins
discret) : tu renomme un exécutable, tu le remplace par le tient
qui fait son job puis appelle l'original.

Tout à fait, et c'est d'autant plus facile sous Windows que tu n'as
pas besoin d'embaubiner l'utilisateur pour le faire. Mais cette phase
d'embaubinage permet de lever bien des obstacles.

Accessoirement tu n'es pas, même dans ce cas, le kiddy moyen.

'rci ;-)

Il y a plein de langages que je ne connais pas, mais une habitude de
la programmation permet de bidouiller un peu quand il y en a besoin.
Le kiddy (pour moi) ne connais pas grand chose dans les détails.

Parce qu'il n'a pas vraiment de moyen d'apprendre. Avec les sources
sous les yeux, c'est la tentation qui l'emportera sur la fénéantise.
Qu'importe qu'il ne connaisse pas les détails, son chef-d'oeuvre sera
buggé, mais sera. Avec un peu de chance on peu espérer qu'il ne
marchera pas.

Par contre ton cp trafiqué peut effectivement te servir, même
après que tu ais "refermé" la porte par laquelle tu es entré. Par
exemple il suffit que lorsqu'il est lancé par root il regarde si
une commande (un fichier dans /tmp, un machin récupérée via le net
etc) est dispo. A ce moment il peut envoyer des infos, ouvrir la
porte, modifier/détruire des infos, te placer quelque part un
shell en suid root[1] etc.)

C'est un peu ce genre de choses que je crains. Un kiddy un peu moins
bête que la normal n'aura qu'à faire un diff sur le source de ton cp
trafiqué, et le copier moyennant une petite adaptation pour le faire
fonctionner avec adduser ou, mieux encore, un programme en suid.

D'ailleurs à ce propos, si quelqu'un ayant un FreeBSD et/ou des
connaissances en C puovait jeter un oeil là-dessus
<http://bsd.sc4x.net/download/loginsession.zip> et me dire ce
qu'il en pense.

Je ne connais pas les arcanes de FreeBSD mais ton code a l'air ok
sauf pour les conditions d'erreur [...]

Ce qui résume en gros les commentaires que j'ai reçu en privé (merci à
leurs auteurs). Il ne me reste plus qu'à me mettre au C pour paufiner
tout ça.


--
"Si ceux qui disent du mal de moi savaient exactement ce que je
pense d'eux , ils en diraient bien davantage."
Sacha Guitry

"Stephane Catteau" <steph.nospam@sc4x.net> a écrit dans le message de
news:bl9q6e.3vv3n5d.1@sc4x.org...

Eric Razny nous disait récement dans fr.comp.securite
<news:3f76fa00$0$27581$626a54ce@news.free.fr> :

"Stephane Catteau" <steph.nospam@sc4x.net> a écrit dans le message

Oui mais tu modifie le login car tu es root sur ta machine.
Oui, tout comme le kiddy qui modifierait login pour qu'il publie les

mots de passe sur un chanel IRC.

Ce n'est pas pareil, le kiddy doit être maître du système.

Et on aborde un autre problème, les gens qui ne sont pas conscient qu'il
faut des mots de passe différents, au moins suivant les activités.
Ou au moins un mot de passe... passe-partout, pour les demandes de
login/password sans intérêt juste pour voir le reste d'un site web.

L'admin du nunux domestique reste l'utilisateur lambda. Loin de moi
l'idée de dire qu'il est débile, mais il est rendu naïf par sa
méconnaissance de l'informatique.
[snap]

Mieux, comme tu es gentil, tu as même compilé login, il n'a plus qu'à
remplacer l'ancien par le nouveau.
A ton avis, l'utilisateur lambda il fera quoi ?

Aie, un point pour toi j'en ai peur. Mais dans le cadre windows vs nunux le
problème est identique chez les deux.

On est d'accord (je pense!) sur le fait qu'on aura pas de sécurité sans un
minumum de formation de l'utilisateur, quelque soit la plateforme (même avec
son palm verouillé il peut encore divulguer des info! :) ).

Par contre je pense que pour un utilisateur un peu plus au fait des risques
et de ce qu'il faut faire windows est *intrinsèquement[1]* plus risqué que
nunux, bsd et autres OS/X.

[...] ou un admin qui exécute en root le programme machin dans le
répertoire de l'utilisateur parce qu'il s'est plaint que ça retourne
un message d'erreur comme quoi le système est mal paramétré -si si,
ça marche encore :( - ).

Alors imagine si l'admin c'est ton voisin :-(

Hors sujet mais parce ce que l'anectode vaut, amha, le coup.
Vendredi au téléphone avec celui qui se présente comme l'admin réseau de la
boite. Je lui demande de lancer un prog et je lui donne une adresse IP
(212.155....). Il la répète (et je lui ai fait recommencer) : 212.257...[2]
:(
Maintenant ça me fait rire mais sur le moment j'avais plutôt envie de
l'insulter!

Et quand on sait que ce gars filtre les flux dans l'entreprise, ça fait peur
(remarque, pour filtrer il filtre, même ce qui doit passer est arrêté!)

Il y a plein de langages que je ne connais pas, mais une habitude de
la programmation permet de bidouiller un peu quand il y en a besoin.
Le kiddy (pour moi) ne connais pas grand chose dans les détails.

Parce qu'il n'a pas vraiment de moyen d'apprendre. Avec les sources
sous les yeux, c'est la tentation qui l'emportera sur la fénéantise.
Qu'importe qu'il ne connaisse pas les détails, son chef-d'oeuvre sera
buggé, mais sera. Avec un peu de chance on peu espérer qu'il ne
marchera pas.

Je ne pense pas quand même que ce soit si "simple". Si vraiment le gus est
interressé il risque fort de passer plus de temps à essayer de comprendre,
d'apprendre et de finir par vraiment bidouiller (et si en devenant hacker il
garde son comportement ça risque de faire des dégâts!). Le kiddy moyen, pour
moi, est vraiment le connard de service qui croit se rend interressant (même
si ce n'est que lui vis à vis de lui même!) en utilisant des trucs dont il
ne cherche même pas à comprendre les fondement, du moment que ça donne un
résultat "à montrer aux autres". Certes on trouve moins de tentatives de
commande MS-DOS sur une box unix-like mais je ne crois pas à une majorité de
SK "évolués".

Ceci dit le SK "basique" reste nuisible et dangereux. Essentiellement à
cause des particuliers non protégés et... des "admins" comme celui dont je
viens de parler :(

C'est un peu ce genre de choses que je crains. Un kiddy un peu moins
bête que la normal n'aura qu'à faire un diff sur le source de ton cp
trafiqué, et le copier moyennant une petite adaptation pour le faire
fonctionner avec adduser ou, mieux encore, un programme en suid.

Bah, ça existe déjà avec les variantes de virus qu'on voit passer tous les
trois jours. C'est que la charge d'origine est faible (ça me surprendra
toujours d'ailleurs qu'il n'y ait pas encore eu de "vrai" catastrophe[3]
quand on sait ce qui pourrait se faire).

Ce qui résume en gros les commentaires que j'ai reçu en privé (merci à
leurs auteurs). Il ne me reste plus qu'à me mettre au C pour paufiner
tout ça.

Oops désolé, j'aurais du aussi commenter en privé.

Eric.


[1] Dans le sens où le système est bordélique, il y a plein d'imbrication et
quand tu appelle un composant tu ne sais jamais avec certitude si tu ne va
pas interragir avec plein d'autres trucs. Je me souviendrais longtemps d'une
base de données qui plantait (sans lancer d'impression) jusqu'à la mise à
jour du driver de l'imprimante!!!
Et l'argument du patch from MS only tient aussi.

[2] Et ça n'a rien à voir avec ma coquille de -p 1-65536 de nmap de l'autre
fois. Il ne voyait pas où il y a un problème!

[3] Je ne parle pas des catastrophes de tous les jours, en entreprise, où
leur règle est de ne pas ébruiter ça, mais d'une bien spectaculaire et non
camouflable. Celle qui donnera lieu à une surenchère de conneries de la part
de nos média... puis de nos politiques!

"Eric" == Eric Razny <trash2@razny.net> writes:

Eric> Par contre je pense que pour un utilisateur un peu plus au fait
Eric> des risques et de ce qu'il faut faire windows est
Eric> *intrinsèquement[1]* plus risqué que nunux, bsd et autres OS/X.

Sur ce point, je suis plus Stéphane que ses contradicteurs.

Il faut avoir vu une machine installée sous nux ou bsd par un zozo qui
veut se la jouer rebelz anti "msdaube", il est root en permanence pour
avoir le "maximum control de sa box", dans ces conditions, n'importe
quelle faille userland te permet de reconfigurer intégralement la bécane
sans que le neuneu qui l'a installée ne voie quoi que ce soit.

XP souffre du même problème, les comptes user étant par défaut
administrateurs de la machine locale.

Si nux devenait la plateforme dominante, toute mesure classique de
sécurité deviendrait caduque au motif que l'utilisateur lambda n'a pas à
être gêné par la technique.

Donc, le problème de base est bel et bien l'utilisateur et non la
plateforme, NT/2K/2K3 correctement suivis ne sont pas plus gruyère qu'un
nux.

Eric Masson

--
L'usenet est un NG comme les autres , non ? C'est quoi ces règles à dix
sous , là ? C'est ici qu'on se prend la tête ?
-+- D23 in GNU - Le neuneu a dissous, et dissous c'est pas cher -+-

Dans article <1g20xho.cdx0gmbf9so1N%grokub@pescadoo.net>,
grokub@pescadoo.net disait...

Comme on dit ailleurs dans un sous-fil, l'uniformité ouvre la voie aux
virus.

A contrario, les normes permettent l'interopérabilité. Un site respectant
les normes sera visible partout, un programme écrit dans un C respectant
les normes sera portable, etc. Vive les normes!

--
Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando?

On 28 Sep 2003 15:46:19 GMT, "Eric Razny" <trash2@razny.net> wrote:

Accessoirement tu n'es pas, même dans ce cas, le kiddy moyen.

Mais justement, le SK moyen n'est-il pas le gars qui télécharge les
outils déjà tout faits, et se contente de les exécuter en espérant que
tout marchera tout seul et qu'il aura sans peine un accès sur une
machine ?

Jseb <jseb@alussinan.org> écrivait :

L'admin du nunux domestique reste l'utilisateur lambda. Loin de moi
l'idée de dire qu'il est débile, mais il est rendu naïf par sa
méconnaissance de l'informatique. Tu papotes un peu avec lui, et un
jour tu débarques dans sa bal en lui-disant qu'il y a une faille
critique concernant login. Tellement critique qu'elle n'est pas rendue

Ouaip enfin ça, c'est du social engineering, et ça marche quel que
soit l'OS. Un peu de méfiance et de bon sens paysan protège mieux
contre ce type d'attaques que n'importe quel OS.

Mais bon, pour cibler ainsi une attaque, il faut vraiment y trouver un
intêret tout particulier. Là, tu parles du "grand public", de
"l'utilisateur lambda" (*), etc.. tu crois vraiment qu'ils valent la
peine d'une attaque aussi pointue ?!

Au fait c'est quoi "login", à part une revue de Poussive-Presse? Faut
vraiment que je mette à jour ?

(*) il est vraiment trop con cet utlisateur "lambda". Il faudrait le
trouver et s'en débarasser une fois pour toutes.

J'ai vu des gens méfiants contaminés par Swen justement à cause du
social engeneering. Au boulot les admins leurs envoient els patchs
validés par mail. Ils reçoivent chez eux un mail qui smeble venir de
chez microsoft (même présentation, lien vers le site, etc.) avec un
patch. Que font-ils ?

On Sat, 27 Sep 2003 17:59:26 +0000, Stephane Catteau wrote:

Ce qui n'empèche pas ses failles d'être exploitable par le biais de
Kmail. Pour peu que l'une d'entre elle (via la console Java
probablement) permette d'injecter du code, et le fait qu'il soit
strictement userland n'empèchera pas d'installer et utiliser un
rootkit.

Ben si, parce que pour installer un rootkit, il faut être root, donc soit
passer par un programme qui s'exécute sous root, soit avoir craqué le
compte root. Je ne connais pas Konqueror, maisl il n'est pas suid root,
quand même? Sinon, il pourrait tout au plus permettre de craquer un
compte utilisateur, et il faut ensuite utiliser une vulnérabilité locale
pour passer éventuellement root.

Evidement, je ne prend en considération que le cas d'utilisateurs sains
d'esprit qui n'iront pas lire leurs emails ou surfer sur le Web en étant
root!

On 29 Sep 2003 23:09:20 GMT, Emmanuel Florac <eflorac@rgpihzreg.com>
wrote:

A contrario, les normes permettent l'interopérabilité.

Va-t-en faire comprendre à l'utilisateur moyen (voire à
l'informaticien moyen) la différence entre "norme" et
"uniformisation"...

Jean-Yves Bernier <grokub@pescadoo.net> wrote:

L'argument "installez IE pour voir ce site" devenu "installez Windows
pour voir ce site", évidemment inacceptable, devient caduc.

Oui, je suis d'accord, mais je ne suis pas si certain que ça gène tant
que ça certains webmasters qui imposent déjà un IE dans une version
précise qui ne peut certainement pas s'installer sur un windows un peu
ancien et encore moins sur d'autres OS.

Mais je suis d'accord, dans l'ensemble, la politique d'imposition d'un
navigateur particulier sera plus difficile à imposer.

J'espère me tromper et pouvoir continuer à ne jamais plus lancer IE sur
mon OS X (ce que je ne fais vraiment que très très rarement surtout
depuis que ma banque a pris en compte Safari, mais avec des
fonctionnalités incomplètes pour le moment).

Et puis d'abord, imposons lynx pour tout le monde, ça sera plus simple
et beaucoup plus rapide ;-)

--
Politically Correct Unix - UTILITIES
The "touch" command has been removed from the standard distribution due
to its inappropriate use by high-level managers.

Après ce thread sur ce sujet, une action en justice cette fois.
(pour les quelques qui ne recoivent pas bugtraq :) )

http://news.com.com/2100-1009-5085730.html

Eric.

PS : je ne voulais pas créer inutilement un nouveau thread alors le
positionnement ici est un peu arbitraire!