PHP : Le site officiel piraté et le code source du langage compromis

Idelways · 22/03/2011, 12h13

PHP : Le site officiel piraté et le code source du langage compromis
Les attaques contre les logiciels libres s'intensifient

Le système de Wiki utilisé par le site officiel du langage PHP aurait été compromis, permettant le vol de codes d'accès aux dépôts des sources du langage. L'intention était certainement d’insérer subrepticement des portes dérobées dans les prochaines versions.

Le site PHP.net (indisponible durant 4 jours) subit actuellement un audit complet. Les commits à la base de code du langage depuis la version 5.3.5 sont passées au peigne fin pour y déceler la moindre modification malicieuse.

Tous les intervenants sur le code source de PHP sont par ailleurs forcés de changer leurs codes d'identification Subversion.

L'équipe de PHP communique avec parcimonie sur cette attaque et n'a publié pour l'heure qu'une brève note de sécurité. On sait toutefois que l'attaque a été rendue possible grâce à un double exploit, sur DokuWiki et une autre faille sur le système Linux sous-jacent, permettant l'élévation des privilèges.

Pour l'heure, la seule modification douteuse trouvée dans le code source de PHP 5.3.6, sortie récemment, est l'ajout du nom « Wolegequ Gelivable » aux crédits d'une partie spécifique du code.
Il s'agit probablement d'une tentative discrète de confirmer la validité des codes d'accès volés en vue d'effectuer d'autres commits avec du code malicieux.

Cette affaire a été mise en lumière par la firme de sécurité française Vupen Security qui soupçonne, dans une déclaration à la presse, un hacker chinois d'être à l'origine de cette attaque.

Des spéculations fusent sur la toile quant à une possible implication du gouvernement chinois qui souhaiterait, selon certaines rumeurs, insérer des portes dérobées permettant de compromettre plus facilement les sites web.
Aucune de ces spéculations n'est cependant accompagnée de preuves concrètes.

L'affaire fait en tout cas penser à celle du piratage des serveurs de la Free Software Foundation en décembre dernier.

Source : Note de sécurité de PHP.net

Et vous ?

Que vous inspire ces attaques ?

berceker united · 22/03/2011, 12h32

J'espère que cela fera réfléchir certaine personnes quand ils se lancent dans un sujet du genre Windows vs Linux en sortant des arguments que Linux = sécurité. L'OS aide à la sécurité, l'homme sécurise. Si ce dernier ne sait pas prendre son rôle en mains, cela ne change pas grand chose. Néanmoins, personne n'est parfait.

Pour en revenir à cette affaire, il faut se pose la question de : A qui profite le crime ? Pourquoi cette attaque ?

Moi, je propose de garder les oreilles grandes ouvertes pour voir s'il y aura pas d'ici peut de temps une attaque publicitaire de la part de grandes sociétés pour imposer leurs outils dont la sécurité sera mis en avant. En gros sous entendre "Vous avez vu, PHP n'est pas sécurisé, la preuve".
Il y a pas de fumé sans feux ?
Il y a pas d'attaque sans intérêt...

siger95 · 22/03/2011, 12h44

par contre l'avantage c'est que comme le code est libre le nombre de personnes qui peuvent l'auditer est plus grand . Le libre aurait la réputation de réagir plus vite. Là on va voir si c'est le cas. Mais en effet ça rappelle que le libre est autant exposé que les autres.

Benjamin Delespierre · 22/03/2011, 13h03

Je me demande s'il s'agit d'un cas isolé ou si d'autres langages ont déjà subi une attaque similaire. J'espère que cette attaque ne va pas compromettre l'avancée de PHP ni retarder les développements sur la version 6.

stealth35 · 22/03/2011, 13h12

Citation:

Envoyé par Benjamin Delespierre

ni retarder les développements sur la version 6.

5.4

Benjamin Delespierre · 22/03/2011, 13h20

Désolé, je me suis perdu dans les dénominations...

rushtakn · 22/03/2011, 13h22

Citation:

Envoyé par berceker united

Moi, je propose de garder les oreilles grandes ouvertes pour voir s'il y aura pas d'ici peut de temps une attaque publicitaire de la part de grandes sociétés pour imposer leurs outils dont la sécurité sera mis en avant. En gros sous entendre "Vous avez vu, PHP n'est pas sécurisé, la preuve".
Il y a pas de fumé sans feux ?
Il y a pas d'attaque sans intérêt...

Oui enfin, il faut egalement savoir profiter de toutes les occasions. C'est pas parce des boites essayent de mettre en avant leurs outils suite à cette attaque qu'ils en sont les commanditaires.

Totony · 22/03/2011, 13h32

Quand même, il faut le faire pour hacker le site du langage PHP et seulement le fait que quelqu'un ait pu le hacker est troublant.

berceker united · 22/03/2011, 13h35

Citation:

Envoyé par rushtakn

Oui enfin, il faut egalement savoir profiter de toutes les occasions. C'est pas parce des boites essayent de mettre en avant leurs outils suite à cette attaque qu'ils en sont les commanditaires.

Attention, je n'ai jamais dit cela. Je dis juste qu'il faut surveiller les prochaines annonces type marketing pour se demander s'il y a pas une affaire lié à cette attaque. Même s'il y avait une annonce, je n'ai aucune preuve pour accuser. On pourra dire seulement, "troublante coïncidence". Je demande juste d'ouvrir les oreilles.

Camille_B · 22/03/2011, 13h43

Citation:

Quand même, il faut le faire pour hacker le site du langage PHP et seulement le fait que quelqu'un ait pu le hacker est troublant.

Bah, peut-être pas... Le site pouvait très bien être très vulnérable.

berceker united · 22/03/2011, 13h44

Citation:

Envoyé par Totony

Quand même, il faut le faire pour hacker le site du langage PHP et seulement le fait que quelqu'un ait pu le hacker est troublant.

C'est exactement cette question que je me pose. Je vois pas l'intérêt de s'y attaquer. A qui cela pourrait profiter. Il se pourrait que cela soit lié à un conflit interne comme cela est déjà arrivé.
Pour ceux qui connaisse, les fans de flight simulator ont un site ou il y a toute les sources concernant les Add-on de ce jeux. Ils stockent des milliers teras de données. En 2009 ou 2010 une grosse partie des sources avaient disparu à cause d'un conflit interne. Un responsable a piraté le site pour pouvoir la copier avant de partir.
Edit : Le site en question est avsim.com

Neko · 22/03/2011, 13h56

Citation:

Envoyé par berceker united

C'est exactement cette question que je me pose. Je vois pas l'intérêt de s'y attaquer. A qui cela pourrait profiter. Il se pourrait que cela soit lié à un conflit interne comme cela est déjà arrivé.
...

Le seul fait que ce soit un site connu en fait une cible pour qui veux se faire connaitre.
Inutile de regarder trop loin, à mon avis c'est simplement un hacker qui essaye de se faire un nom.

Flaburgan · 22/03/2011, 14h05

Citation:

Envoyé par Neko

Le seul fait que ce soit un site connu en fait une cible pour qui veux se faire connaitre.
Inutile de regarder trop loin, à mon avis c'est simplement un hacker qui essaye de se faire un nom.

Absolument pas d'accord, ce genre de hackers connaissent et respectent le travail des autres, et auront plutôt tendance à aller voir des sites gouvernementaux qu'ils méprisent beaucoup plus qu'une communauté open source...
Et puis surtout, pour se faire un nom, il faut revendiquer l'acte. Attaquer un site open source ternirait le nom plutôt que de le glorifier.

berceker united · 22/03/2011, 14h16

Citation:

Envoyé par Neko

Le seul fait que ce soit un site connu en fait une cible pour qui veux se faire connaitre.
Inutile de regarder trop loin, à mon avis c'est simplement un hacker qui essaye de se faire un nom.

Se faire un nom en attaquant ce genre de site serait plutôt suicidaire pour lui. Même sa brosse à dent électrique sera hacké.

yostane · 22/03/2011, 14h22

Citation:

J'espère que cela fera réfléchir certaine personnes quand ils se lancent dans un sujet du genre Windows vs Linux en sortant des arguments que Linux = sécurité. L'OS aide à la sécurité, l'homme sécurise. Si ce dernier ne sait pas prendre son rôle en mains, cela ne change pas grand chose. Néanmoins, personne n'est parfait.

De toute façon, on ne peut pas échapper au piratage, et je pense que PHP sous windows est plus facilement piratable que PHP sous Lnix.
Le plus important maintenant c'est de traiter ce problème au plus vite.

Shikiryu · 22/03/2011, 14h27

Perso, ça ne m'effraie pas plus que ça.

Pourquoi ?
Parce que l'attaque s'est déroulée via un commit du code source de PHP dans le SVN officiel.

Commit qui d'une part est :

réversible (hop un revert et c'est finit)
trackable (car envoyé à des mailing list)
non mystérieux (on voit les changements dans les logs de chaque commit)

Hannes Magnusson est la personne qui s'est fait "hacké" son compte SVN de PHP.net et l'explique ici

La sécurité de PHP n'est donc pas mise en cause pour les prochaines versions et la sécurité de leur SVN sera peut-être améliorée comme ça.

Uther · 22/03/2011, 14h49

Certes, mais les gens qui gèrent PHP ont tout de même eu la chance de s'en apercevoir. Si le hack de ce cher Hannes Magnusson était passé inapercu, il aurait pu permettre insérer une backdoor discrète dans PHP.

Shikiryu · 22/03/2011, 14h59

Comme il le dit dans son article, ça montre un peu le sérieux des développeurs de PHP. En effet, en moins de 10 minutes, 3 d'entre eux ont signalé l'anormalité (Hannes Magnusson ne devant rien faire depuis quelques temps). En même temps, tous les dev recevant les différents commit via une mailing list peuvent voir si leur nom est utilisé et si les intitulés des commit sont les leurs.

De plus, je connais des gens sur le chat de StackOverflow qui surveillent eux-même les différents commit du SVN de PHP (et ils ne font pas partie de leur dev, même si un d'entre eux travaille pour Zend).

Je ne pense pas qu'être alarmiste, ici, soit recommandé àmha.

alain31tl · 22/03/2011, 15h05

La chine était déjà suspectée dans la pseudo-affaire d'espionnage chez Renault, et ensuite cet état de fait a été démenti.
Ceci étant, c'est vrai qu'ils sont friands de tout ce qui se passe dans ce monde et archivent tout ce qui leur vient sous la main.
Je parierais presque que nous sommes déjà tous répertoriés dans leurs bases de données.
D'ailleurs ils emploient des centaines de personnes pour alimenter celles-ci.
Ils ne connaissent pas la cnil, eux.

Neko · 22/03/2011, 15h37

Citation:

Envoyé par Flaburgan

Absolument pas d'accord, ce genre de hackers connaissent et respectent le travail des autres, et auront plutôt tendance à aller voir des sites gouvernementaux qu'ils méprisent beaucoup plus qu'une communauté open source...

Tous les hackers ne sont pas des White hat. On est pas dans le monde de OuiOui ici.

Citation:

Envoyé par Flaburgan

Et puis surtout, pour se faire un nom, il faut revendiquer l'acte.

Genre comme ajouter son pseudo dans les crédits ?

Citation:

Envoyé par Flaburgan

Attaquer un site open source ternirait le nom plutôt que de le glorifier.

Ça c'est parceque tu pars du principe que tous les hackers sont super gentils et qu'ils aiment tous l'open source. Mais sur quoi te bases-tu ?

22/03/2011, 12h13	#1
Idelways Coordinateur publications Développeur Ruby on Rails / iOS et journaliste Inscription : juin 2010 Messages : 1 101 Détails du profil Informations professionnelles : Activité : Développeur Ruby on Rails / iOS et journaliste Informations forums : Inscription : juin 2010 Messages : 1 101 Points : 24 230 Points : 24 230	PHP : Le site officiel piraté et le code source du langage compromis PHP : Le site officiel piraté et le code source du langage compromis Les attaques contre les logiciels libres s'intensifient Le système de Wiki utilisé par le site officiel du langage PHP aurait été compromis, permettant le vol de codes d'accès aux dépôts des sources du langage. L'intention était certainement d’insérer subrepticement des portes dérobées dans les prochaines versions. Le site PHP.net (indisponible durant 4 jours) subit actuellement un audit complet. Les commits à la base de code du langage depuis la version 5.3.5 sont passées au peigne fin pour y déceler la moindre modification malicieuse. Tous les intervenants sur le code source de PHP sont par ailleurs forcés de changer leurs codes d'identification Subversion. L'équipe de PHP communique avec parcimonie sur cette attaque et n'a publié pour l'heure qu'une brève note de sécurité. On sait toutefois que l'attaque a été rendue possible grâce à un double exploit, sur DokuWiki et une autre faille sur le système Linux sous-jacent, permettant l'élévation des privilèges. Pour l'heure, la seule modification douteuse trouvée dans le code source de PHP 5.3.6, sortie récemment, est l'ajout du nom « Wolegequ Gelivable » aux crédits d'une partie spécifique du code. Il s'agit probablement d'une tentative discrète de confirmer la validité des codes d'accès volés en vue d'effectuer d'autres commits avec du code malicieux. Cette affaire a été mise en lumière par la firme de sécurité française Vupen Security qui soupçonne, dans une déclaration à la presse, un hacker chinois d'être à l'origine de cette attaque. Des spéculations fusent sur la toile quant à une possible implication du gouvernement chinois qui souhaiterait, selon certaines rumeurs, insérer des portes dérobées permettant de compromettre plus facilement les sites web. Aucune de ces spéculations n'est cependant accompagnée de preuves concrètes. L'affaire fait en tout cas penser à celle du piratage des serveurs de la Free Software Foundation en décembre dernier. Source : Note de sécurité de PHP.net Et vous ? Que vous inspire ces attaques ?
	80

22/03/2011, 12h32	#2
berceker united Expert Confirmé Développeur informatique Inscription : février 2005 Messages : 2 982 Détails du profil Informations personnelles : Localisation : France, Paris (Île de France) Informations professionnelles : Activité : Développeur informatique Informations forums : Inscription : février 2005 Messages : 2 982 Points : 3 567 Points : 3 567	J'espère que cela fera réfléchir certaine personnes quand ils se lancent dans un sujet du genre Windows vs Linux en sortant des arguments que Linux = sécurité. L'OS aide à la sécurité, l'homme sécurise. Si ce dernier ne sait pas prendre son rôle en mains, cela ne change pas grand chose. Néanmoins, personne n'est parfait. Pour en revenir à cette affaire, il faut se pose la question de : A qui profite le crime ? Pourquoi cette attaque ? Moi, je propose de garder les oreilles grandes ouvertes pour voir s'il y aura pas d'ici peut de temps une attaque publicitaire de la part de grandes sociétés pour imposer leurs outils dont la sécurité sera mis en avant. En gros sous entendre "Vous avez vu, PHP n'est pas sécurisé, la preuve". Il y a pas de fumé sans feux ? Il y a pas d'attaque sans intérêt... __________________ Mon avatar ? Ce n'est rien, c'est juste la tête que je fais lorsque je vois un code complètement frappa dingue !...
	86

22/03/2011, 12h44	#3
siger95 Membre du Club Régis Brion Inscription : octobre 2009 Messages : 25 Détails du profil Informations personnelles : Nom : Régis Brion Informations forums : Inscription : octobre 2009 Messages : 25 Points : 49 Points : 49	par contre l'avantage c'est que comme le code est libre le nombre de personnes qui peuvent l'auditer est plus grand . Le libre aurait la réputation de réagir plus vite. Là on va voir si c'est le cas. Mais en effet ça rappelle que le libre est autant exposé que les autres.
	60

22/03/2011, 13h03	#4
Benjamin Delespierre Modérateur Benjamin Delespierre Développeur Web Inscription : février 2010 Messages : 2 984 Détails du profil Informations personnelles : Nom : Benjamin Delespierre Âge : 24 Localisation : France Informations professionnelles : Activité : Développeur Web Secteur : High Tech - Opérateur de télécommunications Informations forums : Inscription : février 2010 Messages : 2 984 Points : 5 016 Points : 5 016	Je me demande s'il s'agit d'un cas isolé ou si d'autres langages ont déjà subi une attaque similaire. J'espère que cette attaque ne va pas compromettre l'avancée de PHP ni retarder les développements sur la version 6. __________________ A la recherche d'un framework MVC facile a prendre en main ? Essayez Axiom Nouveau: la référence d'Axiom est disponible sur GitHub (je la peaufine en ce moment même). Un problème correctement identifié est à moitié résolu, évitez de poster l'intégralité de votre code avec pour seule explication "ça ne marche pas...". Pour identifier correctement vos problèmes PHP, utilisez la gestion des erreurs et xdebug. Les boutons et existent, servez-vous en
	20

22/03/2011, 13h20	#6
Benjamin Delespierre Modérateur Benjamin Delespierre Développeur Web Inscription : février 2010 Messages : 2 984 Détails du profil Informations personnelles : Nom : Benjamin Delespierre Âge : 24 Localisation : France Informations professionnelles : Activité : Développeur Web Secteur : High Tech - Opérateur de télécommunications Informations forums : Inscription : février 2010 Messages : 2 984 Points : 5 016 Points : 5 016	Désolé, je me suis perdu dans les dénominations... __________________ A la recherche d'un framework MVC facile a prendre en main ? Essayez Axiom Nouveau: la référence d'Axiom est disponible sur GitHub (je la peaufine en ce moment même). Un problème correctement identifié est à moitié résolu, évitez de poster l'intégralité de votre code avec pour seule explication "ça ne marche pas...". Pour identifier correctement vos problèmes PHP, utilisez la gestion des erreurs et xdebug. Les boutons et existent, servez-vous en
	10

22/03/2011, 13h32	#8
Totony Nouveau Membre du Club Inscription : novembre 2010 Messages : 24 Détails du profil Informations forums : Inscription : novembre 2010 Messages : 24 Points : 31 Points : 31	Quand même, il faut le faire pour hacker le site du langage PHP et seulement le fait que quelqu'un ait pu le hacker est troublant.
	10

22/03/2011, 14h27	#16
Shikiryu Membre chevronné Développeur Web Inscription : mars 2011 Messages : 399 Détails du profil Informations personnelles : Sexe : Localisation : France, Paris (Île de France) Informations professionnelles : Activité : Développeur Web Secteur : Finance Informations forums : Inscription : mars 2011 Messages : 399 Points : 662 Points : 662	Perso, ça ne m'effraie pas plus que ça. Pourquoi ? Parce que l'attaque s'est déroulée via un commit du code source de PHP dans le SVN officiel. Commit qui d'une part est : réversible (hop un revert et c'est finit) trackable (car envoyé à des mailing list) non mystérieux (on voit les changements dans les logs de chaque commit) Hannes Magnusson est la personne qui s'est fait "hacké" son compte SVN de PHP.net et l'explique ici La sécurité de PHP n'est donc pas mise en cause pour les prochaines versions et la sécurité de leur SVN sera peut-être améliorée comme ça. __________________ Membre de StackOverflow, je suis un fervant utilisateur de PHP et de jQuery. Après des études de graphisme, j'ai décidé de mélanger développement web et web design. J'ai ainsi donc créé mon site web mais aussi plusieurs projets personnels. Dans les plus aboutis, vous pourrez trouver dans mon labo et dans mon devblog, un raccourcisseur d'url, un bookmarklet pour envoyer l'url de la page actuelle vers votre email pour lire plus tard ou sauvegarder, mon générateur de template HTML5, etc...
	80

22/03/2011, 14h49	#17
Uther Expert Confirmé Inscription : avril 2002 Messages : 2 297 Détails du profil Informations personnelles : Sexe : Localisation : France Informations forums : Inscription : avril 2002 Messages : 2 297 Points : 3 957 Points : 3 957	Certes, mais les gens qui gèrent PHP ont tout de même eu la chance de s'en apercevoir. Si le hack de ce cher Hannes Magnusson était passé inapercu, il aurait pu permettre insérer une backdoor discrète dans PHP.
	22

22/03/2011, 14h59	#18
Shikiryu Membre chevronné Développeur Web Inscription : mars 2011 Messages : 399 Détails du profil Informations personnelles : Sexe : Localisation : France, Paris (Île de France) Informations professionnelles : Activité : Développeur Web Secteur : Finance Informations forums : Inscription : mars 2011 Messages : 399 Points : 662 Points : 662	Comme il le dit dans son article, ça montre un peu le sérieux des développeurs de PHP. En effet, en moins de 10 minutes, 3 d'entre eux ont signalé l'anormalité (Hannes Magnusson ne devant rien faire depuis quelques temps). En même temps, tous les dev recevant les différents commit via une mailing list peuvent voir si leur nom est utilisé et si les intitulés des commit sont les leurs. De plus, je connais des gens sur le chat de StackOverflow qui surveillent eux-même les différents commit du SVN de PHP (et ils ne font pas partie de leur dev, même si un d'entre eux travaille pour Zend). Je ne pense pas qu'être alarmiste, ici, soit recommandé àmha. __________________ Membre de StackOverflow, je suis un fervant utilisateur de PHP et de jQuery. Après des études de graphisme, j'ai décidé de mélanger développement web et web design. J'ai ainsi donc créé mon site web mais aussi plusieurs projets personnels. Dans les plus aboutis, vous pourrez trouver dans mon labo et dans mon devblog, un raccourcisseur d'url, un bookmarklet pour envoyer l'url de la page actuelle vers votre email pour lire plus tard ou sauvegarder, mon générateur de template HTML5, etc...
	60

22/03/2011, 15h05	#19
alain31tl Membre émérite Alain Inscription : novembre 2005 Messages : 897 Détails du profil Informations personnelles : Nom : Alain Localisation : France, Haute Garonne (Midi Pyrénées) Informations forums : Inscription : novembre 2005 Messages : 897 Points : 910 Points : 910	La chine était déjà suspectée dans la pseudo-affaire d'espionnage chez Renault, et ensuite cet état de fait a été démenti. Ceci étant, c'est vrai qu'ils sont friands de tout ce qui se passe dans ce monde et archivent tout ce qui leur vient sous la main. Je parierais presque que nous sommes déjà tous répertoriés dans leurs bases de données. D'ailleurs ils emploient des centaines de personnes pour alimenter celles-ci. Ils ne connaissent pas la cnil, eux. __________________ Ce n'est pas parce que les choses sont difficiles qu'on n'ose pas les entreprendre. C'est parce qu'on n'ose pas les entreprendre qu'elles sont difficiles.
	06

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email