La sécurité... ta mère...

NOTE: Kitetoa a posté des mails aux admins des serveurs dont les noms apparaissent dans cet article. Par ailleurs, comme annoncé précédemment, Kitetoa est allé voir les responsables de la cellule au gouvernement qui planche sur les NTIC. Nous avons même rencontré la personne qui est en charge de rédiger des procédures type dans ce domaine. Nous ne souhaitons pas que ces serveurs soient piratés. Au contraire, nous souhaiterions que leur sécurité soit améliorée. Mais cela ne semble pas être un sujet d'inquiétude pour les administrateurs. Ce qui nous libère de la discrétion qui nous avait caractérisé jusqu'ici.

Essayons de remettre les choses à leur place:

un serveur Web n'est généralement qu'une machine isolée. Si vous en prenez le contrôle, vous ne pouvez normalement pas remonter plus loin sur le réseau. Par ailleurs, un graffiti sur la page d'accueil n'entraîne que des problèmes d'image pour l'entreprise ou l'institution visée. Rien de très grave en somme...

Sauf que...

Même si cette configuration idéale existe, la plupart du temps les serveurs sont reliés au reste du réseau d'une manière ou d'une autre. Sauf que les données trouvées sur le serveur peuvent être intéressantes. Sauf que la modification d'informations discrète mais sur des points importants peuvent avoir de graves répercussions. On reste responsable des informations que l'on diffuse, non?

Bien. Partant de là, vous semble-t-il normal que les serveurs suivants soient ouverts à tous les vents ou presque:

Canal +
Le ministère du Plan
Le ministère de la Santé (un exemple?)
la CNIL.
L'Adit ?

Ce ne sont que quelques exemples. Mais, comme nous l'indiquions il y a quelques mois, nous avons prévenu par mail les admins de ces sites et nous pouvions penser que ce problème serait réglé...

Il y a eu récemment un petit papier dans le Canard Enchaîné expliquant comment un journaliste pigiste avait eu accès à toutes les commandes sur un serveur vendant des fleurs... L'article précisait que ce problème avait été résolu et que, selon l'hébergeur, cela ne se reproduirait plus. Ben voyons... Ce site (Aquarelle) est hébergé (comme le montrait une copie d'écran) par l'ex-Axime, aujourd'hui Atos. Et bien soyons simples, regardons comment se comporte le serveur institutionnel d'Atos... bip bip bip..... oh.... Ah, ben oui, eux aussi donnent accès au contenu de leurs répertoires... Comme aquarelle. De qui se moquent les sysadmins?

O.K., il ne s'agit pas du même problème. Mais quand même...

Par ailleurs, si vous prenez le client le plus connu d'Atos pour le système de paiement sécurisé... Vous pouvez commander ce que vous voulez pour la somme de votre choix. Terrible... Il suffirait pourtant de quelques heures à un informaticien d'Atos pour remettre de l'ordre dans tout ça. Mais rien n'a été fait depuis des années. Ca dure....

heureusement que tout cela est, comme le précise le serveur, sécurisé grâce à SSL...

Kitetoa

Update:il y a une suite à tout ça... C'est Admis 1 puis Admins 2, puis Amins 3, puis Admins 4. Vous ne pourrez pas dire qu'on ne suit pas nos dossiers...