Tutoriel.securite

7/25/2019 Tutoriel.securite

1/43

Un petit guide pour la scuritAlexandre Viardinguidesecu(at)free.fr

Publi par :Philippe Latu

philippe.latu(at)inetdoc.net

http://www.inetdoc.net


2/43

Table des matiresAvant-propos ............................................................................................................................................... v

1. Pourquoi ce guide ? ........ ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ v2. O trouver ce guide ? ......................................................................................................................... v3. Quels sont les systmes d'exploitation viss ? ......................................................................................... v

1. Scurisation de base .................................................................................................................................. 11.1. Introduction .................................................................................................................................. 11.2. Premier conseil : Verrouillez les stations ............................................................................................. 1

1.3. Pour Linux .................................................................................................................................... 11.4. Pour Windows ............................................................................................................................... 11.5. Le lecteur de disquettes ................................................................................................................... 11.6. Le lecteur de CDROM ...................................................................................................................... 11.7. N'oubliez pas le mot de passe pour le BIOS ........... .............................................................................. 1

2. La collecte d'informations .......................................................................................................................... 22.1. Introduction .................................................................................................................................. 22.2. Le Scanner .................................................................................................................................... 2

2.2.1. Qu'est ce qu'un scanner ? ....................................................................................................... 22.2.1.1. Exemple avec Nmap ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ 2

2.2.2. Comment marche Nmap ? ..................................................................................................... 22.2.2.1. Le scan vanilla TCP connect........................................................................................ 32.2.2.2. Les scans furtifs ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ..... 3

2.2.3. La dtermination du systme d'exploitation avec Nmap ............................................................... 4

2.2.4. Quel est l'intret d'utiliser Nmap ? .......... ........ ......... ........ ........ ........ ......... ........ ........ ........ ....... 42.2.5. Comment s'en protger ? ....................................................................................................... 42.2.6. Documents .......................................................................................................................... 4

2.3. Identifier les versions des logiciels en coute ............. ........ ........ ........ ........ ......... ........ ........ ........ ......... 42.3.1. Netcat ................................................................................................................................ 5

2.3.1.1. Comment s'en protger ? ............................................................................................. 53. Les failles applicatives ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ .... 6

3.1. Introduction .................................................................................................................................. 63.2. Les installations pardfaut .............................................................................................................. 63.3. Les mauvaises configurations ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ 63.4. Les bogues .................................................................................................................................... 6

3.4.1. Des dnis de services applicatifs ............................................................................................. 63.4.2. Outrepassement de droits ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ... 63.4.3. Les scripts .......................................................................................................................... 6

3.5. Les exploits ................................................................................................................................... 6

3.6. Comment s'en proteger ? .................................................................................................................. 64. Les outils indispensables pour la protection .................................................................................................. 8

4.1. Introduction .................................................................................................................................. 84.2. Le pare-feu firewall ......................................................................................................................... 8

4.2.1. La configuration.................................................................................................................. 84.2.2. Les attaques contre les firewalls ......... ........ ........ ........ ........ ......... ........ ........ ........ ......... ........ .. 8

4.2.2.1. Avec le scanner......................................................................................................... 84.2.2.2. Comments'en protger ? ........ ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ... 84.2.2.3. Le firewalking ......... ........ ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ 8

4.3. Les systmes de dtection d'intrusion (HIDS/NIDS) ............................................................................... 94.3.1. Prelude-NIDS ....................................................................................................................... 94.3.2. Snort ................................................................................................................................. 9

4.4. Le tunneling .................................................................................................................................. 94.4.1. Le protocole AH ................................................................................................................. 10

4.4.2. Le protocole ESP ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ..... 104.4.3. Le protocole IPcomp ........................................................................................................... 104.4.4. Le protocole IKE ................................................................................................................ 104.4.5. Les deux modes de fonctionnements de IPsec ..... ........ ......... ........ ........ ........ ......... ........ ........ ... 104.4.6. Les limitations d'IPsec ... ........ ......... ..................................................................................... 104.4.7. Documents ........................................................................................................................ 10

4.5. Nessus ........................................................................................................................................ 104.5.1. Pour obtenir tout sur Nessus ................................................................................................ 10

4.6. User Mode Linux - UML ................................................................................................................. 104.6.1. Documents ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... .... 10

5. Surveillance - Dissimulation - Maintien d'accs ............................................................................................. 115.1. Introduction ................................................................................................................................. 115.2. Les chevaux de Troie ...... ........ ....................................................................................................... 11

5.2.1. Comment s'en protger ? ...................................................................................................... 115.3. Les backdoors .............................................................................................................................. 11

5.3.1. Les backdoors prsentes dans les logiciels. .............................................................................. 115.3.1.1. Comments'en protger ? ........................................................................................... 11

5.3.2. Les backdoors ddies aux connexions distance ...... ........ ........ ......... ........ ........ ........ ........ ...... 115.3.2.1. Comment s'en proteger ? ........................................................................................... 11

Un petit guide pour la scurit ii


3/43

Un petit guide pour la scurit

5.4. Les Rootkits ................................................................................................................................. 125.4.1. Comment s'en protger ? ...................................................................................................... 12

5.5. L'interception des mots de passe en rseau. ........... ........ ......... ........ ........ ........ ......... ........ ........ ........ .. 125.5.1. Comment s'en protger ? ...................................................................................................... 12

6. Dispositifs destructeurs ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ ........ . 146.1. Introduction ................................................................................................................................. 146.2. Le virus....................................................................................................................................... 14

6.2.1. Comment s'en protger? ...................................................................................................... 146.3. Les vers ....................................................................................................................................... 14

6.3.1. Comment s'en protger ? .... ........ ......... ........ ......................................................................... 14

6.4. Les bombes logiques ..................................................................................................................... 146.4.1. Comment s'en protger? ...................................................................................................... 14

6.5. Les attaques par dni de services ..................................................................................................... 146.5.1. Le SYN flood ...................................................................................................................... 15

6.5.1.1. Comment s'en protger ? ........................................................................................... 156.5.2. L'UDP Flood ....................................................................................................................... 15

6.5.2.1. Comment s'en protger ? ........................................................................................... 156.5.3. La fragmentation de paquets ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ..... 156.5.4. Ping of death ..................................................................................................................... 156.5.5. Attaque par rflexion : Smurfing ............ ........ ......... ............................................................... 15

6.5.5.1. Comment s'en protger ? ........................................................................................... 156.5.6. Dnis de services distribus .................................................................................................. 156.5.7. Bombes e-mail ................................................................................................................... 15

6.5.7.1. Comment s'en protger ? ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... 16

7. Scurisation des motsde passe .................................................................................................................. 177.1. Introduction ................................................................................................................................. 177.2. L'attaque par dictionnaire ...... ......... ........ ........................................................................................ 177.3. Le brute forcing ............................................................................................................................ 177.4. Tester lafiabilit de vos mots de passe ! ............................................................................................ 177.5. Choisir le bonmot de passe ............................................................................................................ 177.6. Prvenir l'utilisateur ...................................................................................................................... 18

8. La base des attaques rseaux ..................................................................................................................... 198.1. Introduction ................................................................................................................................. 198.2. Dtournement de flux .................................................................................................................... 19

8.2.1. ARP-Poisoning ................................................................................................................... 198.2.1.1. Comment s'en protger ? ........................................................................................... 198.2.1.2. Documents .............................................................................................................. 19

8.2.2. Dsynchronisation TCP........................................................................................................ 208.3. Man In the Middle - MITM ............................................................................................................. 20

8.3.1. Document ......................................................................................................................... 208.4. Encapsulation d'IP dans d'autres protocoles. ...................................................................................... 20

9. Description d'attaques sur diffrents protocoles ............................................................................................ 219.1. Introduction ................................................................................................................................. 219.2. Dynamic Host Configuration Protocol - DHCP .................................................................................... 21

9.2.1. Attaque par puisement de ressources .................................................................................... 219.2.2. Faux serveurs DHCP ............................................................................................................ 219.2.3. Comment s'en protger ? ...................................................................................................... 219.2.4. Documents ........................................................................................................................ 21

9.3. Domain Name Service - DNS .......... ........ ........ ................................................................................. 229.3.1. Le DNS ID spoofing ............................................................................................................. 229.3.2. Le DNS cache poisoning ...................................................................................................... 229.3.3. Comment s'en protger ? ...................................................................................................... 239.3.4. Documents .. ........ ........ ...................................................................................................... 23

9.4. FINGER ...... ........ ......................................................................................................................... 239.4.1. Comment s'en proteger ? ...................................................................................................... 24

9.5. FTP ............................................................................................................................................ 249.5.1. Le serveur FTP anonyme ..................................................................................................... 24

9.5.1.1. Boucing attack - Attaque par rebonds ........................................................................... 249.5.2. Comment s'en protger ? ...................................................................................................... 24

9.6. HTTP .......................................................................................................................................... 259.6.1. Les serveurstrop bavards ............ ........ ................................................................................ 259.6.2. Vulnrabilits lies aux applications web ........ ........ ........ ......... ........ ........ ........ ......... ........ ...... 259.6.3. Comment seprotger ? ........................................................................................................ 25

9.7. IDENT ......................................................................................................................................... 259.7.1. Comment s'en protger ? ...................................................................................................... 25

9.8. IP et l'IP-Spoofing ......................................................................................................................... 269.8.1. Un peu de thorie ... ...... ..................................................................................................... 26

9.8.2. Prvenir l'IP spoofing grce Nmap ....................................................................................... 279.8.3. Comment s'en protger ? ...................................................................................................... 289.8.4. Document ......................................................................................................................... 28

9.9. NETBIOS ..................................................................................................................................... 28

Un petit guide pour la scurit iii


4/43

Un petit guide pour la scurit

9.9.1. Comment s'en protger ? ...................................................................................................... 289.9.2. Document ......................................................................................................................... 28

9.10. Network File System - NFS ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... . 289.10.1. Les attaques ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ .. 289.10.2. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 28

9.11. Network Information Service - NIS ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ....... 289.11.1. Les attaques ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ .. 299.11.2. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 29

9.12. PORTMAP .................................................................................................................................. 299.12.1. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 29

9.13. Le protocole SMB ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ..... 299.13.1. Les scans de SMB shares ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ . 299.13.2. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 299.13.3. Document ........................................................................................................................ 30

9.14. Le service de messagerie - SMTP .................................................................................................... 309.14.1. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 30

9.15. SQL ........................................................................................................................................... 309.15.1. L'injection SQL ou SQL-Injection.......................................................................................... 309.15.2. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 309.15.3. Document ........................................................................................................................ 30

9.16. SSH ........................................................................................................................................... 309.17. TELNET ..................................................................................................................................... 30

9.17.1. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 319.18. XWINDOW ................................................................................................................................. 31

9.18.1. Les attaques ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ .. 319.18.2. Comment s'en proteger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 319.19. Peer To Peer (eDonkey, Kazaa, etc.) ...... ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ......... 31

9.19.1. Les outils Peer To Peer sont des vecteurs de virus ........ ........ ........ ........ ........ ......... ........ ........ .. 319.19.2. Comment s'en protger ? ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ . 31

10. Scurit avance .................................................................................................................................... 3210.1. Introduction ........ ........ ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... ........ ........ .... 3210.2. L'architecture scurise ................................................................................................................. 32

10.2.1. Le rseau de dpart ........................................................................................................... 3210.2.2. Le premier niveau de scurit ........ ......... ........ ........ ........ ......... ........ ........ ........ ........ ......... .. 3210.2.3. Le deuxime niveau de scurisation .......... ........ ......... ........ ........ ........ ........ ......... ........ ........ . 3210.2.4.Les niveaux plus levs ...................................................................................................... 33

10.3. Dveloppez vos propres utilitaires scurit ....................................................................................... 3310.3.1. Le programme .................................................................................................................. 3310.3.2. Documents ....................................................................................................................... 37

A. Annexes ................................................................................................................................................ 38A.1. Les sites et revues consulter rgulierement ... .... ... .... ....................................................................... 38A.2. Remerciements ............................................................................................................................ 38

Un petit guide pour la scurit iv


5/43

Avant-proposQui connat l'autre et se connat, en cent combats ne sera point dfait; qui ne connat l'autre mais se connat, sera vainqueurune fois sur deux; qui ne connat pas plus l'autre qu'il ne se connat sera toujours dfait.L'art de la guerre - Sun Tzu

1. Pourquoi ce guide ?

Ce guide a t ralis suite un audit de scurit que j'ai ralis pour mon cole et aux deux confrences sur la scurit rseauprsentes au groupe d'utilisateurs Linux de NANCY (coucou le Mirabellug). Je ne suis pas spcialiste en scurit rseau ; j'ai

juste crit ce guide dans le but de donner des administrateurs ou des particuliers, un descriptif technique et un manueld'auto formation la scurit rseau.

La plupart des administrateurs ne sont pas spcialistes en scurit, et peuvent tre perdus devant un problme de ce type. Lemasse d'informations disponible sur Internet est parfois confuse, dense ou trs technique. Ce guide sert de point de dpartet d'introduction la scurit. Il a t pens dans un but volutif. Si vous voulez participer en crivant ou en compltant deschapitres, n'hsitez pas me contacter l'adresse guidesecu(at)free.fr.

Le principe est simple : une description assez succincte sur une attaque et ensuite une description complte des mthodes deprotection. Vos expriences personnelles et vos remarques sont aussi les bienvenues. videmment, ce guide est sous licenseGFDL donc gratuit. La seule rcompense que pourront recevoir les ventuels participants est la mention de leurs noms entant que collaborateurs.

Ce guide se compose d'une dizaines de chapitres. Chaque chapitre comporte une introduction. La plupart du temps, unchapitre contient au moins une section divise en diffrentes sous sections : une pour la description d'un problme de scuritparticulier, une deuxime pour dcrire les diffrents moyens de s'en protger et une troisime pour donner diffrents liensvers des documents plus prcis sur lesujet.

Le premier chapitre montre comment scuriser une station pour viter toutes tentatives de piratage par un accs physique.

Le deuxime chapitre dcrit le fonctionnement des outils de rcupration d'informations distance, notamment les scanners.Il montre l'utilit qu'ils ont pour vous protger.

Le troisime chapitre introduit la notion de failles.

Le quatrime chapitre introduit diffrentes notions sur les firewalls et les principaux autres systmes de protection logiciels.

Le cinquime chapitre explique comment un pirate dissimule sa prsence sur un systme.

Le sixime chapitre s'intresse aux dispositifs destructeurs (virus, bombes mails, ...).

Le septime chapitre dcrit les attaques sur les fichiers de mots de passe.

Les huitime et neuvime chapitres traitent de diffrents problmes poss par certains protocoles rseaux.Le dixime chapitre est divis en deux parties : la premire explique comment architecturer son rseau de faon scurise.La deuxime partie est un cours sur le dveloppement d'outils ddis uniquement la scurit.

2. O trouver ce guide ?

C'est trs simple, il y a plusieurs adresses :

Le site officiel : publication i(france)1

Le site du Mirabellug : publication Mirabellug2

Le site Linux France : publication inetdoc.net3

3. Quels sont les systmes d'exploitation viss ?La majorit des programmes dfensifs utiliss et dcrits dans ce guide sont disponibles sous LINUX. Je n'oublierai pasde parler de la scurit pour les produits Microso. Cependant, Linux possde une certaine avance sur Microso dans ledomaine de la scurit (notamment par un plus grand nombre de logiciels performants et gratuits).

Les autres systmes comme SunOS, VMS, MacOS, Plan9, Novell,... seront passs sous silence mais si vous voulez voir deschapitres prcis sur certains OS apparaitre, contactez moi par mail.

Bonne Lecture !

1 http://guidesecu.ifrance.com/guide/guidesecu.pdf2 http://www.mirabellug.org/docs/securite/guidesecu.pdf3 http://www.inetdoc.net/guides/tutoriel-secu/

Un petit guide pour la scurit v
http://www.inetdoc.net/guides/tutoriel-secu/http://www.inetdoc.net/guides/tutoriel-secu/http://guidesecu.ifrance.com/guide/guidesecu.pdfhttp://www.inetdoc.net/guides/tutoriel-secu/http://www.mirabellug.org/docs/securite/guidesecu.pdfhttp://guidesecu.ifrance.com/guide/guidesecu.pdfhttp://www.inetdoc.net/guides/tutoriel-secu/http://www.mirabellug.org/docs/securite/guidesecu.pdfhttp://guidesecu.ifrance.com/guide/guidesecu.pdf


6/43

CHAPITRE 1

Scurisation de base

1.1. Introduction

Le but de ce chapitre est de donner diffrentes mthodes pour scuriser physiquement une machine. Il faut savoir qu'unegrande partie des piratages sont lancs par des pirates ayant un accs physique sur un rseau.

Dans ce chapitre, nous ne nous focaliserons pas sur un serveur ddi un service particulier, mais plutt sur les machinesconstituant les clients. Ces machines sont en accs libre dans une salle non surveille.

L'objectif est d'empcher une personne mal intentionne d'obtenir les accs administrateur sur la machine qu'elle utilise. Laplupart des utilitaires de piratage ont besoin des accs administrateur pour fonctionner ; sans ces accs, la capacit de nuireest fortement diminue.

1.2. Premier conseil : Verrouillez les stations

N'hsitez pas poser un cadenas sur les tours des machines, cela empchera tout d'abord le vol de matriel, mais cela viteraaussi d'avoir des disques durs monts en secret avec toute une panoplie d'utilitaires installs dessus. Le conseil suivreimprativement (et vous comprendrez pourquoi en lisant les deux chapitres suivants) : il faut dsactiver le boot sur le lecteurde disquette et sur le lecteur de CDROM.

1.3. Pour Linux

vitez d'avoir l'option failsafeau dmarrage propos par Lilo. Cette option peut permettre d'obtenir les accs root (sans motde passe) pour la maintenance du systme.

1.4. Pour Windows

Le systme de fichier NTFS permet une scurisation accrue par rapport aux systmes de fichier FAT et FAT 32. Si vos machinesWindows fonctionnent avec un systme FAT, passez en NTFS. Je dconseille fortement d'utiliser Windows 95, 98 et Me, leniveau de scurit offert par ces systmes en natif n'tant pas assez lev.

1.5. Le lecteur de disquettes

vitez le boot sur disquette (certaines versions Linux s'installent en RAM grce un nombre limit de disquettes) qui donnela possibilit de monter tous les systmes de fichiers prsents sur le(s) disque(s) dur(s) de la machine et d'en modifier le(s)

contenu(s). De plus, Trinux1

est livr avec un panel assez impressionnant d'utilitaires exclusivement ddis la scurit. Leprogramme NTFS2DOS (sous DOS) permet de changer les partitions NTFS en partitions FAT et de pouvoir accder leurscontenus sans restrictions. NTFS2DOS est lanc depuis une disquette de boot DOS.

1.6. Le lecteur de CDROM

Des utilitaires comme Knoppix2(systme Linux bootant sur un seul CD et contenant lui aussi un nombre impressionnantd'utilitaires divers) peuvent tre utiliss pour monter les diffrents systmes de fichiers prsents sur le(s) disque(s) dur(s).

1.7. N'oubliez pas le mot de passe pour le BIOS

N'oubliez de protger l'accs du BIOS par un mot de passe ! Attention certains BIOS peuvent comporter des failles logiciellespermettant d'outrepasser ces protections. Encore une fois, il ne faut pas oublier de cadenasser les tours, afin d'viter desutilisateurs (encore) mal intentionns de retirer la pile du BIOS et d'outrepasser la protection par mot de passe.

1http://www.trinux.org2http://www.knoppixfr.org

Un petit guide pour la scurit 1
http://www.knoppixfr.org/http://www.knoppixfr.org/http://www.trinux.org/http://www.knoppixfr.org/http://www.trinux.org/http://www.knoppixfr.org/http://www.trinux.org/


7/43

CHAPITRE 2

La collecte d'informations

2.1. Introduction

Dans ce chapitre, nous allons dcrire le fonctionnement des outils permettant de rcuprer des informations distance.Ces utilitaires sont frquemment utiliss par les pirates pour prparer de futures attaques. C'est pour cette raison qu'il estindispensable de les dcrire ds le dbut. Vous apprendrez galement les utiliser pour votre propre protection.

2.2. Le Scanner

L'objectif du pirate est de reprer les serveurs offrant des services particuliers et de les identifier. Pour obtenir cesinformations, le pirate va utiliser un scanner. Le but de cette section est de prsenter des mthodes de protections contre lescan (en utilisant des rgles de firewalling sous iptables/ipchains par exemple) et de savoir utiliser un scannerpour anticiperles futures attaques. Le scannerdcrit dans ce chapitre est Nmap1, un des scannersles plus utiliss et un des plus performants.Nmap est disponible sous Windows et Linux en paquet dans toutes les distributions majeures. La version dcrite dans cechapitre tant celle disponible sous Linux. Je dcrirai dans une premire partie ce qu'est un scanner. Ensuite, je me focaliseraisur Nmap et je le prsenterai d'un point de vue un peu plus technique, permettant de comprendre les diffrentes mthodesde protection.

Note

Attention : pour une capacit optimale de fonctionnement, Nmap doit tre utilis avec les droits du super-utilisateur root !.

2.2.1. Qu'est ce qu'un scanner ?

C'est trs simple : lorsqu'un serveur offre un service particulier (Web, messagerie, mail), il excute un programme assurantce service. Ce programme est en attente de connexions. Les clients devant accder ce service doivent connatre l'adresse IPdu serveur et le numro de port associ au service. Ce numro de port a t attribu suivant le document standard RFC10102

au programme excutant ce service. Sur les systmes Linux et *BSD la liste de ces numros est disponible dans le fichier /etc/services. La plupart des services ont un numro de port bien dfini. Par exemple, un serveur de messagerie utilise leport 25, un serveur Web le port 80... Lorsqu'un service est en coute sur un port, on dit que le numro de port associ ceservice est ouvert. L'intrt du scannerest trs simple : il permet de trouver dans un dlai trs court, tous les ports ouverts surune machine distante. Il existe diffrents types de scanner, certains se contentent juste de donner : la liste des ports ouverts,le type et la version de l'OS tournant sur le serveur (ces fonctionnalits seront dcrites dans ce chapitre avecNmap). D'autresscannerscomme Nessus3permettent de tester diffrentes failles connues sur ces services. Voir Section 4.5, Nessus .

2.2.1.1. Exemple avec Nmap

Utilisons Nmap pour connatre les services en coute sur la machine d'adresse IP 192.168.1.1:

[[email protected] /root]# nmap 192.168.1.1

Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )Interesting ports on (192.168.1.1) :(The 1544 ports scanned but not shown below are in state : closed)Port State Service21/tcp open ftp53/tcp open domain80/tcp open http110/tcp open pop-3111/tcp open sunrpc113/tcp open auth631/tcp open cups845/tcp open unknown901/tcp open samba-swat10000/tcp open snet-sensor-mgmt

Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds.

Nmap donne un aperu assez complet des diffrents services s'excutant sur la machine dans un temps assez bref.

On peut observer ici que des serveurs FTP, DNS, WEB, POP-3 ... sont en attente de connexions.

2.2.2. Comment marche Nmap ?

Je prsenterai de manire trs succincte Nmap et me focaliserai principalement sur les fonctions les plus utilises.

Pour connatre les ports ouverts sur une machine, Nmap procde l'envoi de paquets sur tous les ports de cette machineet analyse les rponses. Bien sr, il y a diffrents types de scans, donc diffrents types d'envois et donc, diffrents types de

rponses.1 http://www.insecure.org2 http://www.faqs.org/rfcs/rfc1010.html3http://www.nessus.org

http://www.nessus.org/http://www.insecure.org/http://www.nessus.org/http://www.faqs.org/rfcs/rfc1010.htmlhttp://www.insecure.org/http://www.insecure.org/http://www.nessus.org/http://www.faqs.org/rfcs/rfc1010.htmlhttp://www.insecure.org/http://www.nessus.org/http://www.faqs.org/rfcs/rfc1010.htmlhttp://www.insecure.org/


8/43


Nous nous intresserons aux scans utilisant le protocole TCP (les scans UDP et ICMP tant possibles eux aussi).

2.2.2.1. Le scan vanilla TCP connect

Nmap procde l'appel de la fonction connect() sur tous les ports de la machine. Ce type de scan est facilement reprable.

Le scan en vanilla TCP connectest le scan par dfaut avec Nmap, la commande est :

[[email protected] /root]# nmap [ip de la machine cible]

ou

[[email protected] /root]# nmap -sT [ip de la machine cible]

2.2.2.2. Les scans furtifs

Nous rentrons maintenant dans une classe de scans plus difficiles dtecter :

Le scan en connexion demi-ouverte ou "Syn-scan"Nmap envoie sur chaque port un paquet TCP avec le flag SYN arm ; si un port est ouvert, il renverra un paquet avecles flags SYN et ACK arms. Illustration :

La commande se fait par l'appel de nmap avec l'option -sS:

[[email protected] /root]# nmap -sS [adresse IP de la machine cible]

Les scans Xmas, FIN et NULLLe scan FIN consiste en l'envoi de paquets TCP avec seulement le flag FIN arm. La commande se fait par l'appel denmap avec l'option -sF:

[[email protected] /root]# nmap -sF [adresse IP de la machine cible]

Le scan NULL consiste en l'envoi de paquets TCP avec seulement le flag NULL arm. La commande se fait par l'appelde nmap avec l'option -sN:

[[email protected] /root]# nmap -sN [adresse IP de la machine cible]

Le Xmas scan (traduisez le scan de Nol) consiste en l'envoi de paquets TCP avec les flags FIN/URG/PUSH arms. Lacommande se fait par l'appel de nmap avec l'option -sX:

[[email protected] /root]# nmap -sX [adresse IP de la machine cible]

Pour ces trois types de scans, les systmes rpondent avec un paquet RST si le port est ferm et ne rpondent pas si leport est ouvert. Le NULL scan ne fonctionne pas contre des plateformes Microso. Illustration :



9/43


2.2.3. La dtermination du systme d'exploitation avec Nmap

Si on lance Nmap avec l'option -O:

[[email protected] /root]# nmap -O 192.168.0.1

Starting nmap 3.48 ( http://www.insecure.org/nmap/ )Interesting ports on (192.168.0.1):(The 1647 ports scanned but not shown below are in state: closed)PORT STATESERVICE22/tcp open ssh

25/tcp open smtp53/tcp open domain80/tcp open http113/tcp open auth139/tcp open netbios-ssn445/tcp open microsoft-ds515/tcp open printer587/tcp open submission901/tcp open samba-swatDevice type: general purpose

Running: Linux 2.4.XOS details: Linux 2.4.20 - 2.4.21 w/grsecurity.org patchUptime 76.872 days (since Tue Sep 2 15:20:23 2003)

Nmap run completed -- 1 IP address (1 host up) scanned in 7.030 seconds

Notez bien cette ligne : Linux 2.4.X.

Nmap parvient dterminer le systme d'exploitation tournant sur la machine cible. La machine cible utilise un noyau Linux2.4.21-grsec. Nmap ne s'est pas tromp.

Il faut savoir que chaque systme d'exploitation construit ses paquets d'une manire bien particulire. Certains champs auniveau de la couche IP ou TCP sont propres chaque systme d'exploitation. Nmap contient une base de donnes d'un grandnombre de systmes. Nmap envoie donc des paquets tests la machine cible et compare les paquets reus en rponse ceuxde sa base de donnes et en dduit le type de systme.

Cette base de donnes est mise jour en fonction des diffrentes version de Nmap.

2.2.4. Quel est l'intret d'utiliser Nmap ?

Nmap permet de pouvoir prvoir les futures attaques, et aussi de pouvoir connatre quels services tournent sur une machine.Une installation faite un peu trop vite peut laisser des services en coute (donc des ports ouverts sans que cela ne soitncessaire) et donc vulnrables une attaque. N'hsitez pas utiliser Nmap contre vos serveurs pour savoir quels ports sonten coute.

Nmap est un logiciel trs complet et trs volutif, et il est une rfrence dans le domaine du scanning.

2.2.5. Comment s'en protger ?

Configurer votre pare-feu pour empcher les scans :

[root@nowhere /root]# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

Cette commande permet de dtecter l'envoi un grand nombre de paquets TCP avec les flags FIN et/ou SYN et/ou ACK et/ouRST arm(s). Vrifiez que votre pare-feu (si ce n'est pas iptables) supporte la dtection de scans.

2.2.6. Documents

Je vous conseille de lire Utiliser iptables :Spcifications de filtrage4.

Divers articles cris par le dveloppeur de Nmap sur le scanning (en anglais) : The Art of Port Scanning5, Remote OSdetection via TCP/IP Stack FingerPrinting6et ICMP based remote OS TCP/IP stack fingerprinting techniques7.

2.3. Identifier les versions des logiciels en coute

Maintenant que notre pirate connat les diffrents services en coute, son objectif va tre de dcouvrir les noms et les versionsdes logiciels utiliss pour assurer ces services.

L'objectif de ce chapitre est de prsenter une parade pour viter de donner trop d'informations sur votre systme.

Le pirate peut dj essayer de se connecter sur diffrents ports grce aux programmes clients associs pour glaner desinformations. Rien que telnet donne beaucoup d'informations :

4 http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.35 http://www.phrack.org/issues.html?issue=51&xml:id=11#article6 http://www.phrack.org/issues.html?issue=54&xml:id=9#article7 http://www.phrack.org/issues.html?issue=57&xml:id=7#article

http://www.phrack.org/issues.html?issue=57&xml:id=7#articlehttp://www.phrack.org/issues.html?issue=54&xml:id=9#articlehttp://www.phrack.org/issues.html?issue=51&xml:id=11#articlehttp://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://www.phrack.org/issues.html?issue=57&xml:id=7#articlehttp://www.phrack.org/issues.html?issue=54&xml:id=9#articlehttp://www.phrack.org/issues.html?issue=51&xml:id=11#articlehttp://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://www.phrack.org/issues.html?issue=57&xml:id=7#articlehttp://www.phrack.org/issues.html?issue=54&xml:id=9#articlehttp://www.phrack.org/issues.html?issue=54&xml:id=9#articlehttp://www.phrack.org/issues.html?issue=51&xml:id=11#articlehttp://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3


10/43


[[email protected] /root]# telnet 192.168.1.1

Trying 192.168.1.1...Connected to 192.168.1.1.Escape character is "CTRL-C".Welcome to muetdhiverLinux Mandrake release 7.2 (Odyssey) for i586Kernel 2.2.17-21mdk on an i586login :

Avec la rponse :

1,0,0Linux Mandrake release 7.2 (Odyssey) for i586Kernel 2.2.17-21mdk on an i586

Trop de renseignements apparaissent.

Mme si le port telnet est ferm, le pirate peut glaner d'autres informations sur les autres services. Pour cela, il peut procder une connexion telnet sur le port associ un autre service en coute. Exemple de connexion telnet sur le port FTP (port 21) :

[[email protected] /root]# telnet 192.168.1.1 21

Trying 192.168.1.1...Connected to 192.168.1.1.Escape character is 'CTRL-C'.220 ProFTPD 1.2.5rc1 Server (ProFTPD Default Installation) [neuromancer]

La ligne qui nous intresse le plus est celle-ci :

220 ProFTPD 1.2.5rc1 Server (ProFTPD Default Installation) [neuromancer]

La version du logiciel nous est donne. Le pirate va alors rechercher des informations sur les faiblesses de scurit de celui-ci.

Cependant, sur certains services, le client telnet sera inefficace. Le pirate peut alors utiliser un programme conu pour crireet lire de donnes sur machine cible et sur le port voulu. Ces programmes permettent d'envoyer des scripts directement surle logiciel souhait sans se soucier des limites protocolaires.

Le plus rput de ces programmes est sans doute Netcat.

2.3.1. Netcat

Netcat permet d'tablir une connexion (TCP ou UDP) sur un port souhait et d'y envoyer ou d'y recevoir des donnes. Voiciun exemple :

[[email protected] /root]# nc 192.168.1.1 21

220 ProFTPD 1.2.5rc1 Server (ProFTPD Default Installation) [neuromancer]

On obtient directement la version du logiciel utilis.

Netcat8 comporte plein d'autres fonctionnalits (comme l'envoi de scripts ...). Le pirate n'a plus qu' trouver une failleapplicative (voir chapitre suivant) sur le logiciel correspondant.

2.3.1.1. Comment s'en protger ?

Retirer les bannires donnant les versions de logiciel et les messages d'aide ou de bienvenue d'un service rseau en coutequi peuvent donner des informations sur votre systme. Utilisez netcat contre vos serveurs pour reprer les services tropbavards.

8 http://packetstormsecurity.nl/UNIX/netcat/

http://packetstormsecurity.nl/UNIX/netcat/http://packetstormsecurity.nl/UNIX/netcat/http://packetstormsecurity.nl/UNIX/netcat/http://packetstormsecurity.nl/UNIX/netcat/


11/43

CHAPITRE 3

Les failles applicatives

3.1. Introduction

Nous allons aborder dans ce chapitre les failles lies aux applications utilises. Nous nous focaliserons principalement surles failles logicielles : les failles applicatives.

Ces failles peuvent tre de natures diverses : problmes de configuration, problmes au niveau du code du logiciel, problmeslis de mauvaises interprtations de commandes ou de mauvaises excutions de scripts.

3.2. Les installations par dfaut

Lors d'une installation, beaucoup de services peuvent tre installs par dfaut (un serveur Web, FTP ...). Ces services peuventcontenir les diffrents types de failles introduites auparavant. L'important est de bien contrler lors de l'installation, lesservices qui seront installs sur le systme. Pour tre bien sr de soi, il est aussi recommand de scannerla machine pourvoir ce qui y tourne. Voir Section 2.2, Le Scanner .

Mme si certains logiciels ne comportent pas de failles connues, ils peuvent quand mme donner des informations auxpirates (voir section [FIXIT] ).

3.3. Les mauvaises configurations

Lorsqu'une application est mal paramtre, elle peut laisser l'accs libre certaines bases de donnes sensibles (fichiers demots de passe, d'utilisateurs) ou de permettre d'excuter des commandes ou des scripts malveillants.

Il est important de bien lire le manuel avant d'activer un service (RTFM !) et de bien dfinir qui fait quoi.

Ce principe est simple : il suffit de bien dfinir les utilisateurs et les groupes et de limiter leurs droits sur certains types defichiers et certaines oprations d'excution de commandes systme.

Le plus important est de restreindre au maximun les accs certains fichiers sensibles et aux commandes systmes.

3.4. Les bogues

Les bogues sont dus des erreurs de programmation. Les bogues font apparatre diffrents types de problmes de scurit :

3.4.1. Des dnis de services applicatifs

Ce type de faille empche le logiciel de fonctionner et ainsi de rpondre aux requtes demandes (d'o l'appellation dni deservice). La technique est simple, il suffit d'utiliser un bogue connu qui va faire planter le logiciel assurant un service.

3.4.2. Outrepassement de droits

Les bogues de type dpassement de buffer ou d'exploitation de bogues de format posent de gros problmes de scurit.Ils visent majoritairement des applications fonctionnant avec les accs administrateur (setuid root) pour permettre unattaquant d'obtenir un interprteur de commande au niveau administrateur (uid root) sans aucune authentification.

3.4.3. Les scripts

Malheureusement, une mauvaise programmation de scripts ou l'utilisation de fonctions bogues peut tre source de faillesde scurit. Il convient d'tre trs attentif au niveau du dveloppement d'un script.

3.5. Les exploits

Pour exploiter ces bogues, le pirate fait appel des exploits. Ces exploits sont en fait de petits programmes permettantd'exploiter une faille dans un but prcis (obtenir un interprteur de commandes, accder certains fichiers, augmenter sesdroits...).

Les exploits peuvent aussi fonctionner distance, pour l'obtention d'un shell (parfois avec les droits administrateur) sans motde passe, ni nom d'utilisateur.

3.6. Comment s'en proteger ?

Face aux multiples failles de scurit des systmes d'information, seule la veille permet de rpondre aux objectifs decontinuit de service. Pour assurer cette veille, les responsables systme et rseau disposent de diffrentes sources

d'informations :Les sites d'informations ddies sur Internet

Le rseau des Computer Emergency Response Teamspublie des rapports sur toute nouvelle faille de scurit. Ces quipespeuvent aussi fournir une assistance ne cas de piratage.



12/43

Les failles applicatives

A la tte de l'Internet, on trouve le CERT1de l'universit de Carnegie Mellon. Au niveau national, on dispose de deuxCERTs : le CERT RENATER2dont les archives des avis de scurit3sont publiques et le Centre d'Expertise gouvernementalde Rponse et de Traitement des Attaques informatiques4.

Sur un plan moins officiel, les Archives Bugtraq5 (en anglais) font partie des meilleures sources sur les nouvellesvulnrabilits. Ces archives donnent des descriptions trs prcises sur des nouvelles failles de scurit. Bugtraq French6

se veut l'quivalent franais.

Certains sites comme .:[packet storm security]:.7ou SecurityFocus8contiennent aussi de nombreuses informations. Lesite SecurityFocus9fournit un moteur de recherches thmatique pratique pour lister les vulnrabilits lies un logiciel.

La dtection d'intrusion rseauLes systmes de dtection d'intrusion rseau (Network Intrusion Detection Systemsou NIDS) peuvent permettre dereprer les attaques exploitant des failles connues sur certains types de logiciels.

Les correctifs anti-dbordement mmoire pour le noyauIl existe plusieurs outils complmentaires au noyau Linux qui permettent de limiter les possibilits d'excution d'exploitsutilisant les bogues de dpassement de mmoire (pile et/ou tas). OpenWall10 et grsecurity11 sont deux exemplescaractristiques.

La limitation du nombre de programmes s'excutant avec les droits administrateurIl est toujours bon de reprer les programmes s'excutant avec les droits administrateur. Ainsi, vous pouvez changer leursdroits pour qu'ils ne deviennent pas un point critique pour la vulnrabilit du systme. Sous linux, la simple commande :# find / -perm +6000vous permettra de lister tous les programmes s'excutant avec les droits administrateur.

1http://www.cert.org2 http://www.renater.fr/Securite/CERT_Renater.htm3http://www.cert.uhp-nancy.fr/4http://http://www.certa.ssi.gouv.fr/5 http://seclists.org/bugtraq/6 http://www.securityfocus.com/archive/131/description7 http://packetstormsecurity.nl/8 http://www.securityfocus.com/9 http://www.securityfocus.com/10http://www.openwall.com/11http://www.grsecurity.org/

http://www.grsecurity.org/http://www.securityfocus.com/http://www.securityfocus.com/http://www.securityfocus.com/http://www.securityfocus.com/http://www.securityfocus.com/http://seclists.org/bugtraq/http://http//www.certa.ssi.gouv.fr/http://www.cert.uhp-nancy.fr/http://www.securityfocus.com/http://www.grsecurity.org/http://www.openwall.com/http://www.securityfocus.com/http://www.securityfocus.com/http://packetstormsecurity.nl/http://www.securityfocus.com/archive/131/descriptionhttp://seclists.org/bugtraq/http://http//www.certa.ssi.gouv.fr/http://www.cert.uhp-nancy.fr/http://www.renater.fr/Securite/CERT_Renater.htmhttp://www.cert.org/http://www.grsecurity.org/http://www.openwall.com/http://www.securityfocus.com/http://www.securityfocus.com/http://packetstormsecurity.nl/http://www.securityfocus.com/archive/131/descriptionhttp://seclists.org/bugtraq/http://http//www.certa.ssi.gouv.fr/http://http//www.certa.ssi.gouv.fr/http://www.cert.uhp-nancy.fr/http://www.renater.fr/Securite/CERT_Renater.htmhttp://www.cert.org/


13/43

CHAPITRE 4

Les outils indispensables pour la protection

4.1. Introduction

Les pare-feux (firewalls), les tunnels et les systmes de dtection d'intrusion aux niveaux hte et/ou rseau (IDS : IntrusionDetection System/NDIS : Network Intrusion Detection System) sont des outils indispensables pour dtecter, parer ou viterde nombreuses attaques. Nous les dcrirons dans ce chapitre, ainsi que la manire de les utiliser de faon optimale.

4.2. Le pare-feu firewall

La configuration d'un pare-feu peut s'avrer tre un sujet trs difficile traiter. Cette configuration est surtout tablie enfonction de vos besoins personnels.

L'objectif de ce chapitre est de donner des conseils suivre pour bien utiliser un pare-feu. Ensuite, nous nous intresseronsaux diffrentes mthodes d'attaques contre les pare-feux.

4.2.1. La configuration

Pour bien configurer son pare-feu, il suffit de bien respecter les conseils suivants :

Essayez de limiter l'accs votre rseau des utilisateurs connus utilisant une adresse IP statique. Vous pourrez ainsi

rejeter toutes les autres requtes venant d'utilisateurs utilisant une adresse IP non autorise. Vous effectuez de la sorte unfiltrage au niveau IP.

Fermez tous les ports en coute sur les diffrents serveurs et ouvrez seulement ceux dont vous avez besoin.

Filtrez ces ports, c'est dire rejetez toutes les autres requtes sur les autres ports que ceux en coute.

Empchez toutes les connexions sortantes sur des services non autoriss. Pour cela, il suffit de dfinir un nombre limitde services auxquels les serveurs et les clients peuvent accder (mail, p, web...). Ensuite, il faut configurer le firewall pourrejeter les connexions depuis l'intrieur vers l'extrieur sur des services diffrant de ceux dfinis.

4.2.2. Les attaques contre les firewalls

La premire tape lors d'une attaque est de dterminer les rgles actives sur le pare-feu. Le but est simple : savoir quels portsne sont pas filtrs.

4.2.2.1. Avec lescanner

Nmap peut dterminer quels ports sont ou ne sont pas filtrs. Voici un exemple :

[[email protected] /root]# nmap 192.168.1.2

Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )Interesting ports on (192.168.1.2) :(The 1549 ports scanned but not shown below are in state : closed)Port State Service21/tcp filtered ftp22/tcp filtered ssh111/tcp open sunrpc515/tcp open printer1024/tcp open kdm

Nmap run completed -- 1 IP address (1 host up) scanned in 1 second

Les ports 21 (p) et 22 (ssh) sont filtrs.


Protgez-vous contre le scanning (voir section FIXIT scan). Si le scan ne marche pas, d'autres mthodes peuvent tre utilisescomme le firewalking.

4.2.2.3. Le firewalking

Cette technique de dvoilement des rgles de firewalling repose sur un unique champ de l'en-tte IP, le TTL (Time To Live),ce champ reprsentant la dure de vie d'un paquet. Il est fix ds son envoi par la pile de protocole du systme et est diminud'une unit chaque fois qu'il traverse un quipement assurant le routage ; quand ce champ est gal 0, le paquet est jet

la poubelle.Chaque passage d'un routeur un autre est appel un saut.

C'est ce champ qui est utilis par le logiciel traceroute. Pour tracer une route, le logiciel envoie un premier paquet UDP avec unTTL de 1 ; au premier routeur, le TTL est dcrment 0. Le routeur renvoie un message ICMP de type 11 ICMP TTL Exceeded,



14/43


ce qui permet de rcuprer l'adresse du premier routeur. Ensuite traceroute va envoyer un deuxime paquet avec un TTLde 2, il sera dcrment au passage du premier routeur (TTL=1). Le deuxime routeur va le recevoir et le dcrmenter : lechamp TTL sera de nouveau gal 0. Le deuxime routeur renverra donc un message d'erreur : on rcupre ainsi l'adressedu deuxime routeur.

Si il y a N sauts jusqu'au rseau final, on ritre l'opration N fois.

On peut utiliser cette technique avec diffrents protocoles : UDP, TCP, ICMP.

Le firewalking repose sur cette technique pour dterminer les rgles actives sur un pare-feu. firewalk1, le programmeimplmentant le firewalking, dtermine le nombre de routeurs entre la machine source et la machine cible (situe derrire lefirewall). Ensuite, il envoie des paquets tests avec un TTL gal ce nombre de routeurs + 1. Si le paquet est accept, il traversele firewall et on obtient une rponse ; sinon il n'y a aucune rponse.

firewalk2envoie diffrents types de paquets (TCP, UDP) pour dterminer les rgles de firewalling. Nanmoins, de nombreuxparamtres comme la congestion du rseau, le nombre de routeurs sparant la cible et l'metteur peuvent fausser l'analyse.

4.3. Les systmes de dtection d'intrusion (HIDS/NIDS)

Systme de dtection d'intrusion, Intrusion Detection System, IDSLes outils les plus pratiques ! Ces utilitaires permettent de dtecter une attaque et de vous en informer. Un IDS analysetout ce qui se passe sur une station. Il dtecte les dbordements de droits (obtention du compte root d'une maniresuspecte) et d'autres types d'attaques, il contient une base de donnes sur diffrentes vulnrabilits.

Systme de dtection d'intrusion rseau, Network Intrusion Detection System, NIDSUn NIDS travaille de la mme manire, mais sur les donnes transitant sur le rseau. Il peut dtecter en temps rel une

attaque s'effectuant sur l'une des vos machines. Il contient une base de donnes avec tous les codes malicieux et peutdtecter leurs envois sur une des machines. Le NIDS travaille comme un sniffer(voir section FIXIT sniffer), sauf qu'ilanalyse automatiquement les flux de donnes pour dtecter une attaque.

Cette section prsentera deux systmes de dtection d'intrusion : un NIDS appel Snortet IDS hybride Prelude. Il est noterque ces outils sont distribus comme logiciel libre. Je ne rappellerai pas que le logiciel libre a une avance considrable dansle domaine de la scurit par rapport ses concurrents propritaires.

4.3.1. Prelude-NIDS

Prelude Hybrid IDS3est un des dtecteurs d'intrusions les plus connus. Prelude est disponible et libre sur les plateformesLinux, FreeBSD et Windows.

Prelude possde une architecture modulaire et distribue. Modulaire, car ses composants sont indpendants, et peuvent trefacilement mis jour. Distribue, car ces composants indpendants interagissent les uns avec les autres. Cela permet d'avoir

divers composants installs sur diffrentes machines et de rduire ainsi la surcharge d'applications.Ces diffrents composants sont les sondes et les managers. Les sondes peuvent tre de deux types : rseau ou local. Une sonderseau analyse tout le trafic, pour y dtecter d'ventuelles signatures d'attaques. La sonde locale assure la surveillance d'uneseule machine, il analyse le comportement du systme pour y dtecter des tentatives d'exploitation de vulnrabilits internes.Les sondes signalent les tentatives d'attaques par des alertes. Ces alertes sont reues par le manager qui les interprte et lesstocke.

Pour une description complte de Prelude (installation, configuration et utilisation) consultez ce document : http://lehmann.free.fr/PreludeInstall/InstallPrelude.html

4.3.2. Snort

Snort tlchargeable librement sur www.snort.org est un NIDS lui aussi. Il n'est pas structur comme Prelude. Snort est unprogramme "monolithique", il ne comporte pas de module comme Prelude, ce qui peut rendre son implmentation dans unrseau un peu moins souple que Prelude. Snort fonctionne en trois modes (Sniffer, PacketLogger et NIDS). Les deux premiers

modes ne sont pas intressants pour la dtection d'intrusion. Le troisime mode permet lui d'analyser le trafic rseau poury dtecter d'ventuelles attaques.

Pour une description complte de Snort (installation, configuration et utilisation) consultez ce site : http://www.snort.org/docs/ (en anglais).

4.4. Le tunneling

Nous allons dcrire dans cette section diffrentes mthodes pour scuriser vos transactions, c'est--dire crer un VPN (VirtualPrivate Network). Un rseau priv virtuel (VPN) est utilis pour tablir des communications scurises en s'appuyant sur unrseau existant non scuris. Le principal outil utilis pour la cration de VPN est IPsec.

IPsec est facultatif sur IPv4 mais est obligatoire sur IPv6. IPsec a d'autres avantages que la scurisation du trafic, il permetpar exemple d'conomiser la bande passante grce la compression des en-ttes des paquets.

IPsec fonctionne sous deux modes diffrents : le mode transport et le mode tunnel. Ces deux modes seront dcris dans ce

qui suit.1 http://www.packetfactory.net/firewalk/2 http://www.packetfactory.net/firewalk/3 http://www.prelude-ids.org/

http://www.packetfactory.net/firewalk/http://www.prelude-ids.org/http://www.packetfactory.net/firewalk/http://www.prelude-ids.org/http://www.packetfactory.net/firewalk/http://www.packetfactory.net/firewalk/http://www.prelude-ids.org/http://www.packetfactory.net/firewalk/http://www.packetfactory.net/firewalk/


15/43


IPsec est compos de plusieurs protocoles diffrents : AH, ESP, IPcomp et IKE.

4.4.1. Le protocole AH

Le protocole AH (Authentification Header) permet de garantir l'authenticit des paquets changs en leur inscrivant unesomme de contrle (de l'en-tte IP jusqu' la fin du paquet) chiffre.

4.4.2. Le protocole ESP

Le protocole ESP (Encapsulating Security Payload) encrypte toutes les donnes du paquet garantissant leur confidentialit.

4.4.3. Le protocole IPcomp

Le protocole IPcomp (IP payload compression) permet de compresser un paquet avant de le chiffrer avec ESP.

4.4.4. Le protocole IKE

Le protocole IKE (Internet Key Exchange) est utilis pour l'change des cls utilises pour l'encryptage.

4.4.5. Les deux modes de fonctionnements de IPsec

AH, ESP et IPcomp fonctionnent dans le mode transport ou le mode tunnel. Le mode "transport" encrypte directement leschanges entre deux machines. Le mode "tunnel" encapsule les paquets encrypts dans de nouveaux en-tte IPv4/IPv6. Il estconu pour les passerelles VPN.

4.4.6. Les limitations d'IPsec

IPsec pose quelques problmes dus son implmentation. Certains problmes apparaissent au niveau des messages debroadcast et multicast. IPsec est difficile filtrer sur les firewalls existants. Il est aussi impossible grer pour les traductionsd'adresse (NAT).

4.4.7. Documents

Description gnrale des tunnels et implmentation sous Linux : MISC Magazine n15 - IPsec et Linux 2.6 http://www.securiteinfo.com/cryptographie/IPSec.shtml Description gnrale des tunnels et implmentation sous Windows :http://www.laboratoire-microso.org/articles/network/ipsec/

4.5. Nessus

Nessus est un outil de scurit permettant de scanner une ou plusieurs machines. Il permet aussi de tester diffrentesattaques pour savoir si une ou plusieurs machines sont vulnrables.

Il est trs utile lors de tests de pntration (pen test) et fait gagner un temps incroyable.

Nessus se compose d'une partie serveur (qui contient une base de donnes regroupant diffrents types de vulnrabilits) etune partie client. L'utilisateur se connecte sur le serveur grce au client et aprs authentification, il ordonne au serveur deprocder aux tests d'une ou plusieurs machines. Le client reoit ensuite les rsultats du test.

Nessus est disponible sous Linux et Windows, et il est entirement gratuit.

4.5.1. Pour obtenir tout sur Nessus

Pour tlcharger les sources, binaires, ou diffrents documents concernant Nessus, consultez le site : http ://www.nessus.org

4.6. User Mode Linux - UMLUser Mode Linux est un dispositif permettant de lancer un ou plusieurs noyau(x) linux dans l'espace utilisateur (comme unsimple programme). En clair, il permet d'avoir plusieurs machines virtuelles sur une seule machine physique hte excutantLinux. Les avantages sont nombreux :

Si une machine virtuelle plante, le systme hte n'est pas affect.

Un utilisateur sera root sur une machine virtuelle, mais pas sur le systme hte.

Il permet aussi de tester diffrents paramtres noyaux sans se soucier des consquences.

User Mode Linux permet notamment de s'affranchir de chroot (pour, par exemple, la ralisation de serveurs FTP) et de toutesses failles de scurit.

4.6.1. DocumentsLa page web de User Mode Linux : http://user-mode-linux.sourceforge.net



16/43

CHAPITRE 5

Surveillance - Dissimulation - Maintien d'accs

5.1. Introduction

Nous prsenterons dans ce chapitre les programmes utiliss par les pirates pour dissimuler, surveiller et maintenir leur accssur un systme d'information. Nous prsenterons les moyens de s'en protger.

5.2. Les chevaux de Troie

Le principe du Cheval de Troie est facile comprendre. Un programme ou un code malveillant est intgr une applicationpar ajout ou par modification de son code. Ainsi lors de l'excution de ce programme inoffensif, le bout de code malveillantpourra excuter des commandes spcifiques (rcupration de fichiers de mot de passe, altration du systme, etc.) l'insude l'utilisateur.


La plupart des antivirus peuvent dtecter les chevaux de Troie. Nanmoins, comparer la signature numrique accompagnantles fichiers (cela se fait par un calcul reposant sur un algorithme de chiffrement appliqu l'ensemble du fichier) avec lasienne permet de savoir directement si l'on est infect.

Il est aussi conseill de consulter les sites suivants pour vrifier que vos programmes ne contiennent pas de chevaux de Troie :

Le CERT1(Computer Emergency Response Team) est un organisme s'occupant des problmes de scurit sur Internet. Ilrecense les diffrents problmes de scurit et publie des articles (advisories) pour les dcrire.

Bugtraq : http://seclists.org/bugtraq/

5.3. Les backdoors

Les backdoors sont des accs cachs sur un systme ou sur une application. Le principe d'une backdoor est similaire celuidu cheval de Troie. L'objectif est de modifier ou d'utiliser un programme pour accder discretement un ordinateur distant,modifier le comportement d'un programme, devenir administrateur.

5.3.1. Les backdoors prsentes dans les logiciels.

Parfois, certains logiciels (messagerie, utilitaires systmes) peuvent contenir des backdoors, c'est--dire que, pour certaines

commandes suivies d'arguments particuliers ou avec un mot de passe bien dfini, le logiciel peut avoir un comportementdiffrent (permettre l'utilisateur de devenir root, renvoyer un shell systme l'utilisateur, etc.).

Ces "trappes" sont inclues directement dans le code du logiciel. Certains dveloppeurs sont soucieux de possder un accssur tous les systmes utilisant leurs logiciels. Par exemple, Ken Thompson, l'un des pres d'UNIX, avoue avoir modifil'application /bin/login en permettant l'accs direct au systme par la saisie d'un mot de passe prcompil en dur. Thompsonpouvait ainsi visiter tous les systmes utilisant son application modifie. Parfois, certains pirates diffusent des applicationsinfestes de backdoors.


Il convient de tlcharger ses applications sur le site du distributeur ou du programmeur. Utiliser des serveurs detlchargement non lis l'auteur de l'application peut se rvler dangereux.

Il est aussi recommand de vrifier les checksums s'il sont donns par le dveloppeur.

Il est aussi bon de consulter des listes de diffusion comme bugtraq pour savoir si la version de logiciel que vous utilisez necomporte pas de backdoors.

5.3.2. Les backdoors ddies aux connexions distance

Ces backdoors peuvent trs bien faire partie de la premire catgorie. Comme il l'a t montr, certains logiciels peuventautoriser un accs pour un mot de passe particulier. Toutefois, ce paragraphe va se focaliser sur des applications en coutesur un port bien dfini utilises par les pirates pour obtenir un shell. Un logiciel pralablement install par le pirate est enattente de connexion sur un port discret. La plupart de ces programmes sont en coute sur des numros de ports ayant unevaleur assez leve (suprieur 5000). Le pirate n'a plus qu' se connecter sur ce programme pour rcuprer son accs surla machine.

5.3.2.1. Comment s'en proteger ?

Nmap peut se rvler tre une aide prcieuse pour les dbusquer. Si, en procdant au scan d'une machine, vous constatez

qu'un port non autoris est en coute, il serait bon de vrifier celui-ci.Les sites consulter :

1http://www.cert.org

http://www.cert.org/http://www.cert.org/http://www.cert.org/http://www.cert.org/


17/43


Le CERT2en anglais.

Bugtraq : http://seclists.org/bugtraq/ (en anglais) et http://www.securityfocus.com/archive/131/description.

5.4. Les Rootkits

Le rootkit est un programme permettant d'automatiser la dissimulation et l'effacement des traces d'un pirate sur unemachine. L'objectif d'un rootkit est de modifier les commandes permettant d'administrer le systme, de cacher les portsouverts par le pirate.

Les premiers rootkits taient assez basiques, ils modifiaient juste les commandes ls, ps, netstat.L'administrateur pouvait dtecter ces modifications sur les logiciels concerns. Alors une seconde gnration de rootkitsapparut. Il faut savoir que des commandes comme ps, ls ... font appels des bibliothques partages pour fonctionner.Les nouveaux rootkits modifiaient donc le code de ces bibliothques pour modifier le comportement de ces commandes l'avantage du pirate.

Encore une fois, ceci tait dtectable. Donc une troisime gnration de rootkits est ne afin de modifier directement lecomportement du noyau, par le biais de modules chargs en mmoire (LKM). C'est l'heure actuelle la dernire gnration.

Diffrents rootkits sont disponibles sur Linux.

Je ne donnerai (volontairement) pas dans cette partie une description complte de l'utilisation des rootkits. Cela n'a aucunintrt pour ce guide.

La plupart des rootkits utilisent le principe des backdoors (Section 5.3, Les backdoors ) pour permettre au pirate de seconnecter selon son envie sur un systme.


1. Les checksums. Une base de donnes de checksums sur les diffrents fichiers systme peut dj constituer une bonneparade. Je vous conseille d'effectuer des checksums la fin d'une installation sur les diffrents fichiers comme ls, ps, statifconfig, etc. et sur les diffrentes bibliothques partages.

Cette base de donne devrait tre stocke sur un CDROM ou tout autre support non rinscriptible.

2. Compiler les programmes vitaux en statique. Comme je l'ai dit prcdemment, certaines commandes font appels deslibrairies partages et des utilitaires comme "md5sum" (qui sert faire des checksums) sous Linux font appels deslibrairies partages. D'o son comportement pourrait tre modifi indirectement par un rootkit attaquant les librairiespartages. Pour viter ce genre de dsagrment, compilez une partie des programmes vitaux en statique, ainsi vousdisposerez d'une trousse de secours en cas d'infection par rootkits.

Bien sr, pour compiler les programmes vitaux en statique, faut-il encore disposer d'un OS qui permette d'accder auxsources de ces programmes vitaux...

3. Chkrootkit. Chkrootkit (pour CHecK ROOTKIT) vous permet de dtecter la prsence d'un rootkit, il fonctionne sous Linux(FreeBsd...) et est tlchargeable librement sur www.chkrootkit.org.

4. Compilez votre noyau en statique. Vous viterez ainsi le chargement de modules externes.

5.5. L'interception des mots de passe en rseau.

Une autre technique utilise pour collecter des informations (mots de passe par exemple) est l'utilisation d'un sniffer. Lesniffer place la carte rseau dans le mode transparent (promiscious), ce qui veut dire que la carte intercepte tous les paquetssur le segment rseau, mme ceux qui ne lui sont pas destins.

Plusieurs types de sniffers existent ; certains affichent les donnes interceptes brutes comme Tcpdumpdisponible surwww.tcpdump.org, ce qui donne lieu des fichiers de log trs volumineux. D'autres sniffers permettent de rcuprer lesmots de passe en les affichant directement l'cran associ avec le login, l'adresse du client et celle du serveur (commedsniffdisponible sur www.packetstormsecurity.org).

Wiresharkdisponible l'adresse http://www.wireshark.org/ permet par exemple d'afficher toutes les transactions en courssur le rseau.

Cependant, le sniffer reste un outil puissant pour la dtection d'intrusion car, premirement, il garde une trace de tous leschanges ayant cours sur le rseau. Deuximement, il se rvle trs utile pour dmasquer un scan (un grand nombre depaquets envoys d'un seul coup), de tracer l'adresse d'un pirate, de voir si des commandes particulires sont demandes surle reseau.

La plupart des rootkits contiennent un programme pour sniffer.

Les NDIS utilisent un sniffer pour analyser les transactions rseau.


L, c'est trs difficile. Un sniffer est passif, il n'envoie aucun paquet, il ne fait qu'intercepter. Mais la carte rseau tant enmode transparent, son comportement s'en trouve chang, son temps et sa faon de rpondre certains paquets sont modifis.

2http://www.cert.org

http://www.cert.org/http://www.cert.org/


18/43


On peut dtecter la prsence d'un sniffer grce ce changement de comportement. Le programme AntiSniffdisponible surwindows NT et Linux l'adresse http://packetstormsecurity.org/sniffers/antisniff/ de Lopht Heavy Industries peut envoyerdes paquets "tests" et en dduire si la carte est en mode transparent donc susceptible de sniffer.

Une deuxime parade pour djouer le sniffing est de "tunneler" toutes les transactions. Cela veut dire encrypter toutes lestransactions rseaux. Utiliser IpvSec ou des VPN, ssh sur votre rseau s'avre tre une dfense efficace contre le sniffing.

L'utilisation de tunnels est traite dans la Section 4.4, Le tunneling .



19/43

CHAPITRE 6

Dispositifs destructeurs

6.1. Introduction

Les dispositifs destructeurs sont utiliss pour paralyser, saturer ou dtruire un systme d'information. Ils constituent l'espcela plus nuisible dans le domaine de la scurit car ils peuvent tre la source de perte de donnes. Le but de ce chapitre estd'expliquer leurs fonctionnements et la faon de les combattre.

6.2. Le virus

Le virus est un programme dont le seul but est de consommer ou de paralyser des ressources systme. Le virus s'autodupliquepour mieux infecter le systme, il se propage en infectant tour tour les fichiers. Les effets d'une contamination varient :fichiers effacs, disque dur format, saturation des disques, modification du MBR, etc.

La grande majorit d'entre eux existent sur les plates-formes Microso, ils infectent en particulier les fichiers COM ou EXE.De plus, de nouvelles formes sont apparues comme les macro-virus qui attaquent les fichiers de donnes (word ou excel).

Les systmes UNIX ne sont pas pargns ! Les administrateurs UNIX doivent faire face des virus comme Winux. Nanmoins,la gestion des droits sous UNIX se rvle tre un facteur limitant pour la propagation de virus.

Les virus sont de plus en plus volus, ils peuvent s'automodifier pour chapper une ventuelle dtection (viruspolymorphes). D'autres types peuvent tenter de leurrer le systme en s'installant dans des secteurs dfectueux ou non utiliss

(virus furtifs) ...


Les anti-virus commerciaux comme Norton Antivirus ou McAfee VirusScan sont de bons outils pour traquer les virus.Toutefois, il convient de les mettre rgulirement jour pour profiter pleinement de leurs capacits.

Il est aussi important de suivre l'volution et l'apparition de nouveaux virus ; pour cela, consulter les sites (ainsi que pour tousles autres dispositifs destructeurs dcrits dans ce chapitre) :

Le CERT1en anglais.

Les sites du CNRS : Liste de diffusion du CNRS sur les virus2

6.3. Les vers

Les vers sont du mme acabit que les virus, sauf qu'ils n'utilisent pas ncessairement un fichier pour se propager. Ils sontaussi capables de se dupliquer et de se dplacer au travers d'un rseau informatique. Les vers utilisent diffrents supportspour se propager.

Les vers simples utiliseront des failles propres certains logiciels (exemple du ver de Morris en 1988 qui paralysa une grandepartie de l'Internet).

Les macro-vers utiliseront les pices jointes contenant des documents bureautiques infects (exemple du ver Nimda).

Les vers d'email sont contenus dans une pice jointe comprenant un code malicieux excut automatiquement par le logicielde courrier lectronique ou manuellement par l'utilisateur.


Comme pour les virus, l'antivirus se rvle tre une parade efficace. Consultez les listes cites dans la Section 6.2, Le virus .

6.4. Les bombes logiques

Les bombes logiques sont aussi nfastes que les virus ou les vers et sont la cause de dgts similaires. La diffrence est quela bombe logique a besoin d'un dtonateur pour s'activer, c'est--dire qu'elle attend une date ou une action bien prcise del'utilisateur pour exploser.


Utilisez un anti-virus performant (Mc Afee, Norton ...) rgulirement mis jour.

Consultez les sites dcrits dans la Section 6.2, Le virus .

6.5. Les attaques par dni de services

Ce type d'attaque est la plus nervante qui soit. Elles ont pour but de saturer le rseau ou le systme.

1http://www.cert.org2 http://www.services.cnrs.fr/wws/info/sos-virus

http://www.services.cnrs.fr/wws/info/sos-virushttp://www.services.cnrs.fr/wws/info/sos-virushttp://www.cert.org/http://www.services.cnrs.fr/wws/info/sos-virushttp://www.cert.org/http://www.services.cnrs.fr/wws/info/sos-virushttp://www.cert.org/


20/43


6.5.1. Le SYN flood

Cette technique consiste saturer un serveur en envoyant une multitude de paquets TCP avec le flag SYN arm, cela aurapour but de crer une multitude de connexions demandant un grand nombre de ressources systme.

La plupart des attaques par SYN-flood sont bien dtectes par diffrents firewalls.


Exemple avec iptableslimitant les demandes d'tablissement de connexion TCP acceptes une par seconde:

[root@nowhere /root]# iptables -A FORWARD -p tcp --syn -m limit --limit 1/second -j ACCEPT

Pour plus de details sur cette commande, je vous conseille de lire Utiliser iptables :Spcifications de filtrage3.

6.5.2. L'UDP Flood

De la mme manire que pour le SYN flooding, l'attaquant envoie un grand nombre de requtes UDP sur une machine. Letrafic UDP tant prioritaire sur le trafic TCP, ce type d'attaque peut vite troubler et saturer le trafic transitant sur le rseau.

La plus clbre attaque utilisant l'UDP-flooding est le Chargen Denial of Service Attack. Un pirate envoie une requte sur leport echo d'une machine A indiquant comme port source celui du port chargen d'une machine B. Le service chargen de lamachine B renvoie un caractre sur le port echo de la machine A.

Ensuite le service echo de A renvoie ce caractre sur chargen. chargen le reoit, en ajoute un autre et les renvoie sur le portecho de A qui les renvoient son tour sur chargen ... et cela continue jusqu' la saturation de la bande passante.

6.5.2.1. Comment s'en protger ?Il est conseill de dsactiver les services chargen et echo.

Si vous ne voulez pas dsactiver chargen et echo, configurez votre firewall pour viter le Chargen Denial of Service Attacken limitant le traffic UDP. Exemple avec iptables:

[root@nowhere /root]# iptables -A FORWARD -p udp -m limit --limit 1/second -j ACCEPT

6.5.3. La fragmentation de paquets

Plus connu sous le nom de Teardrop Attack, Bonkou encore Boink, cette attaque utilise une faille propre certaines pilesTCP/IP. Cette vulnrabilit concerne la gestion de la fragmentation IP.

Ce problme apparat lorsque la pile reoit le deuxime fragment d'un paquet TCP contenant comme donne le premierfragment. La pile TCP/IP peut s'avrer incapable de grer cette exception et le reste du trafic.

Cette faille est trs connue sur les piles de Windows 95 et 98.

6.5.4. Ping of death

Le principe est d'envoyer un paquet ICMP avec une quantit de donnes suprieure la taille maximale d'un paquet IP .Encore une fois, la pile peut s'avrer incapable de grer cette exception et le reste du trafic.

6.5.5. Attaque par rflexion : Smurfing

Cette attaque est base sur le protocole ICMP. Lorsqu'on envoie un ping un rseau en broadcast (par exemple255.255.255.0),le paquet est envoy chacune des machines du rseau.

Un pirate envoie un ping en broadcast sur un rseau (A) avec une adresse IP source correspondant celle de la machine cible(B). Le flux entre le port ping de la cible (B) et du rseau (A) sera multipli par le nombre de machines sur le rseau (A).

Cela conduit une saturation de la bande passante du rseau (A) et du systme de traitement de paquets de (B).


Configurez votre firewall pour limiter le traffic ICMP. Exemple avec iptables:

# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/second -j ACCEPT

Pour plus de dtails sur cette commande, je vous conseille de lire Utiliser iptables :Spcifications de filtrage4.

6.5.6. Dnis de services distribus

Plusieurs types d'attaques sont lances en parallle partir de plusieurs sources.

6.5.7. Bombes e-mail

Le mail bombingconsiste envoyer de gros ou de nombreux fichiers un utilisateur pour saturer sa bote de rception decourrier lectronique.

3 http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.34 http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3

http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3http://netfilter.org/documentation/HOWTO/fr/packet-filtering-HOWTO-7.html#ss7.3


21/43



La plupart des logiciels de contrle de contenu assure un filtrage du courrier pour dtecter ce type d'attaque



22/43

CHAPITRE 7

Scurisation des mots de passe

7.1. Introduction

Le but de ce chapitre est de donner au lecteur toutes les informations ncessaires sur les techniques utilises pour tester larsistance des protections par mot de passe.

Il faut savoir que les mots de passe utiliss sur un systme d'information sont encrypts pour garantir leur confidentialit.Ces mots de passe encrypts sont stocks dans des listes de mots de passe sur des fichiers systmes prdfinis.

Un pirate peut fort bien rcuprer ces listes et tester la fiabilit des mots de passe. Il utilise pour cela l'outil adquat : unperceur de mot de passe.

La plupart des algorithmes d'encryptage repose sur l'utilisation de fonctions sens unique. Ceci veut simplement dire qu'ilest impossible de dcrypter le mot de passe partir sa forme encrypte. L'attaque consiste alors encrypter diffrentescombinaisons de caractres et de comparer cette forme encrypte celle du mot de passe voulu. Si les deux chanescorrespondent, alors la suite de caractres est celle du mot de passe.

Il y a deux types d'attaques pour le craquage de mots de passe qui seront dfinies dans ce chapitre.

7.2. L'attaque par dictionnaire

Le programme utilise une liste de mots prdfinis dans un fichier externe. Cette liste est appele un dictionnaire ; ces mots

sont la plupart du temps ceux provenant d'un dictionnaire contenant les mots du langage courant. Le programme les encrypteavec l'algorithme d'encryptage adquat un par un et les compare au mot de passe encrypt.

Ce type d'attaque est trs rapide. Un mot de passe mal choisi est vite dcouvert.

7.3. Le brute forcing

Si l'attaque par dictionnaire ne marche pas, le programme peut gnrer des mots de passe avec une suite alatoire decaractres, les encrypter et les comparer au mot de passe dcouvrir. Avec un mot de passe suffisamment long (suprieur 8 caractres), cette mthode a peu de chance d'aboutir. Si, de plus, des caractres spciaux sont ajouts comme des signesde ponctuation, la mthode peut se rvler inefficace.

Il existe diffrents logiciels de perage de mots de passe en fonction du type d'encryptage (DES, MD5, special Microso ...).

7.4. Tester la fiabilit de vos mots de passe !

Sous UNIXSous UNIX, l