IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

  1. #1
    Membre confirmé

    Profil pro
    Inscrit en
    janvier 2007
    Messages
    585
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : janvier 2007
    Messages : 585
    Points : 647
    Points
    647
    Par défaut Ma petite minute de paranoïa: qui donne aux organismes d'état et aux militaires les failles qu'ils exploitent?
    Bonjour,

    J'ai une question qui me trotte dans la tête depuis plusieurs mois, et je m'attache à la nourrir avec toutes sortes d'inquiétudes afin de m'en faire un monde le plus catastrophique possible. Mais bon, l'alternative, c'est quand même de venir poser la question ici. Ce n'est pas une question urgente, et c'est pour cela que j'emploie un ton plus léger que celui qui siérait. Répondez quand ça vous dira.

    Regardez une émission type "La France a peur", c'est à dire : Envoyé Spécial, 90 minutes, Au cœur de l'action, etc. À plusieurs occurrences on explique que les forces de l'ordre vont profiter de l'ordinateur connecté qui se trouve chez le futur interpellé pour l'enregistrer à son insu par le microphone qu'il possède. Vrai ou pas, ça n'a pas tellement d'importance.

    De toutes façons, il faut bien que la police aille ou elle doit aller, et les militaires encore plus : il y a une cyberguerre qui se prépare, après tout. Enfin : elle a même déjà commencée puisqu'il me semble qu'un pays de l'est de l'europe a déjà vu une partie de ses ordinateurs bloqués une journée par le fait d'un état tiers (mais j'ai tout oublié des dates et des protagonistes, ça date de moins de deux ans).
    Et c'est bien leur boulot, aux militaires par exemple, de préparer l'attaque et la défense quelque soit le domaine : il ne s'agirait pas de gagner le grand prix de l'ingénuité quand les Mystérions nous attaqueront, informatiquement cette fois — total respect, au passage, pour l'ancien ministre de la défense japonais, Shigeru Ishiba, qui a voulu bien prévoir dans ses budgets l'éventualité d'une attaque extraterrestre bien qu'il lui en ait coûté en réputation ensuite —.

    Ma question est la suivante :
    A) Les organismes d'état et les militaires exploitent-ils des failles qu'ils ont découvert seuls dans les systèmes d'exploitation, et par là :
    1) Certaines failles critiques sont connues par eux seuls (et peut-être accessoirement aussi par tels ou tels pirates ou escrocs inconnus d'eux qui les exploitent indépendamment).
    2) Ces failles ne seront pas corrigées dans ces systèmes d'exploitation puisqu'ils se garderont bien de les révéler, gardant cet atout en manche à l'occasion où il pourrait servir.
    3) Si cette faille est comblée parce que l'éditeur de l'OS la découvre et la corrige, ils pourraient se retrouver temporairement incapables de mener l'attaque qu'ils désirent.

    B) Ou bien est-ce "un partenariat" qui fait que tel état a pu obtenir d'un de ses éditeurs d'OS quelques pratiques possibles pour mener leurs attaques ?
    1) Dans ce cas, se pourrait-il qu'il y ait des niveaux de partage différents : tel état apprend telles entrées possibles, tel autre un peu plus, tel autre un peu moins ?
    2) Dans le cas contraire, l'éditeur de l'OS voulant absolument que toute faille soit comblée, se peut-il qu'il y ait de la tension occasionnelle entre organisme d'état et éditeurs, l'un voulant combler une faille que l'autre exploite ?


    Hein qu'elle est chouette ma question pour un Dimanche !
    Mais je vais aller prendre mes pilules qui sont à côté de mes comprimés, après...

    Merci pour vos réponses,

    Grunt.

  2. #2
    Modérateur
    Avatar de gangsoleil
    Homme Profil pro
    Manager / Cyber Sécurité
    Inscrit en
    mai 2004
    Messages
    9 885
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Haute Savoie (Rhône Alpes)

    Informations professionnelles :
    Activité : Manager / Cyber Sécurité

    Informations forums :
    Inscription : mai 2004
    Messages : 9 885
    Points : 26 978
    Points
    26 978
    Par défaut
    Citation Envoyé par grunt2000 Voir le message
    A) Les organismes d'état et les militaires exploitent-ils des failles qu'ils ont découvert seuls dans les systèmes d'exploitation
    Tout a fait. Et ils exploitent aussi des failles connues, car il faut bien voir que la tres tres grande majorite des machines n'est pas a jour dans les versions des serveurs/firewall/autre.
    Par exemple, si tu sais que la machine cible fait tourner une version X d'un logiciel (X ancien), il est facile de faire une recherche de type "quelles sont les failles de X", et tu as ton point d'entree.


    1) Certaines failles critiques sont connues par eux seuls (et peut-être accessoirement aussi par tels ou tels pirates ou escrocs inconnus d'eux qui les exploitent indépendamment).
    2) Ces failles ne seront pas corrigées dans ces systèmes d'exploitation puisqu'ils se garderont bien de les révéler, gardant cet atout en manche à l'occasion où il pourrait servir.
    3) Si cette faille est comblée parce que l'éditeur de l'OS la découvre et la corrige, ils pourraient se retrouver temporairement incapables de mener l'attaque qu'ils désirent.
    Si tu te bases sur une unique faille, oui. Mais en realite, les failles sont tres nombreuses, et sont plus souvent des successions de failles que des trous permettant directement une exploitation (tu n'as pas un gros trou quelque part dans un coffre-fort, mais une faiblesse au niveau d'un coin, qui permet d'acceder a une faiblesse au niveau d'un joint, qui permet d'acceder a une faiblesse au niveau de la grille, qui ....)

    B) Ou bien est-ce "un partenariat" qui fait que tel état a pu obtenir d'un de ses éditeurs d'OS quelques pratiques possibles pour mener leurs attaques ?
    Peut-etre au coup par coup, mais globalement peu probable. Pour plusieurs raisons, la principale est que tous les editeurs ne seront pas cooperatifs, et que ces failles seront probablement corrigees un jour ou l'autre, et donc le gain est faible.
    [INDENT]1) Dans ce cas, se pourrait-il qu'il y ait des niveaux de partage différents : tel état apprend telles entrées possibles, tel autre un peu plus, tel autre un peu moins ?
    Trop peu probable : si tu connais la faille A, tu ne souhaites pas que B la connaisse aussi. Donc tu preferes la trouver toi-meme pour etre certain que l'editeur ne va justement pas la revendre au voisin.


    Et pour finir, je fais un HS sur ca :
    À plusieurs occurrences on explique que les forces de l'ordre vont profiter de l'ordinateur connecté qui se trouve chez le futur interpellé pour l'enregistrer à son insu par le microphone qu'il possède. Vrai ou pas, ça n'a pas tellement d'importance.
    Ou pas. Dans les experts, serie hautement scientifique, ils arrivent a voir le reflet du mechant grace au reflet dans une vis de la tete du mechant, le tout filme par une camera de surveillance toute pourrie.
    Si ce genre de choses est theoriquement possible (oui, la tete du mechant se reflete dans la vis), les cameras actuelles ne permettent pas ce niveau de detail, et les algorithmes informatiques non plus.
    "La route est longue, mais le chemin est libre" -- https://framasoft.org/
    Les règles du forum

  3. #3
    Modérateur
    Avatar de gangsoleil
    Homme Profil pro
    Manager / Cyber Sécurité
    Inscrit en
    mai 2004
    Messages
    9 885
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Haute Savoie (Rhône Alpes)

    Informations professionnelles :
    Activité : Manager / Cyber Sécurité

    Informations forums :
    Inscription : mai 2004
    Messages : 9 885
    Points : 26 978
    Points
    26 978
    "La route est longue, mais le chemin est libre" -- https://framasoft.org/
    Les règles du forum

Discussions similaires

  1. procedure qui donne un montant
    Par calla29 dans le forum SQL Procédural
    Réponses: 1
    Dernier message: 03/05/2006, 14h58
  2. API qui donne la différence des données entre 2 classes ?
    Par elitost dans le forum API standards et tierces
    Réponses: 6
    Dernier message: 18/04/2006, 12h07
  3. [MFC] Accès pointeur qui donne rien :s
    Par EagleEye dans le forum MFC
    Réponses: 3
    Dernier message: 02/03/2006, 19h32
  4. Réponses: 4
    Dernier message: 28/10/2005, 17h30
  5. Afficher une fenêtre d'informations qui donne l'impression de se détâcher
    Par jean_bobi dans le forum Agents de placement/Fenêtres
    Réponses: 11
    Dernier message: 25/09/2005, 16h31

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo