Comme chacun le sait, la Loi Hadopi, qu’il n’est plus nécessaire de présenter tant elle a fait du bruit, parle entre autres d’installer des logiciels mouchards sur les machines des utilisateurs (
cette news le mentionne d’ailleurs).
Lancement du logiciel espion d’Orange
Le 11 juin dernier, Orange annonce la sortie de son logiciel anti-P2P nommé « Contrôle du téléchargement ». Verdict ?
Aperçu du logiciel à son démarrage
Par ce nom, et notamment par « contrôle », il faut comprendre filtrage : les protocoles P2P sont tout bonnement bloqués par le logiciel. Impossible de récupérer par torrent une distribution de Linux tout à fait légale, par exemple.
Malheureusement, le logiciel a une guerre de retard sur les pirates : en effet, il ne bloque absolument pas les services tels que Rapidshare, Megaupload ou encore les services illégaux de
streaming, qui ont de plus en plus de succès auprès de l’internaute moyen.
Cependant, si « Contrôle du téléchargement » est censé protéger son utilisateur des téléchargements illégaux, Orange ne garantit pas à son client qu’il ne recevra pas de mail d’avertissement de la Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet. Effectivement, ni les
C.G.U. ni le descriptif commercial de ce programme ne mentionnent un engagement quelconque de la part du fournisseur d’accès à Internet quant aux sanctions décrites par la Loi.
Il est également intéressant de remarquer que le logiciel n’est pas gratuit : son utilisation coûtera 2 euros par mois et ce pour un maximum de trois ordinateurs.
« Contrôle du téléchargement » fonctionne au moyen d’une liste noire que lui communique un serveur distant. Et c’est là que ça se gâte…
Un serveur bien mal sécurisé
bluetouff
Le service a été lancé le 10 juin. Le 13 juin à 14 h 20, un
blogger Français signale une faille critique sur le serveur.
Il
demande sur Twitter qu’Orange le contacte le plus rapidement possible, les IP des utilisateurs étant visibles en clair sur le serveur distant avec lequel le logiciel communique.
De surcroît, la combinaison nom d’utilisateur / mot de passe pour accéder à la console d’administration de l’interface était on ne peut plus simple : admin / admin. Il s’agit d’ailleurs simplement du mot de passe par défaut de la plate-forme utilisée.
Trouver l’adresse IP de ce serveur était un jeu d’enfant, à la portée de n’importe qui sachant comment faire fonctionner un logiciel sniffeur comme
Wireshark.
Vous pouvez lire
le point de vue d’un expert en sécurité informatique sur cet événement pour de plus amples détails sur la faille en elle-même.
La réponse d’Orange
Numerama, un site d’actualité informatique, a contacté Orange pour recueillir leur version des faits et leurs réactions à ce sujet. Le porte-parole de l’opérateur a signifié que du point de vue d’Orange, il ne s’agissait pas d’un problème de sécurisation des données de leur côté, mais bien d’une intrusion, menaçant implicitement bluetouff et fo0_ de poursuites judiciaires pouvant impliquer de lourdes sentences (jusqu’à 2 ans d’emprisonnement et 30 000 € d’amende).
Ce sont des sentences qui seraient difficilement applicables dans ce cas précis, puisque même les
bots de Google ont eu accès aux informations relatives aux utilisateurs visibles sur le serveur, comme le montre encore
le cache du moteur de recherche. À l’heure où ces lignes sont écrites, ce cache est toujours consultable.
D’autres failles achèvent le logiciel
Mais ce n’est pas la fin des déboires d’Orange. Des gens ont décompilé le programme pour comprendre comment il fonctionnait et ont trouvé d’énormes failles de sécurité. Au menu, il y a la récupération en clair du mot de passe verrouillant le programme
via un
debugger, un accès au canal de communication interne du logiciel depuis des privilèges utilisateur (alors que le logiciel est exécuté par l’utilisateur SYSTEM disposant des privilèges administrateur), l’absence d’un mécanisme de contrôle de l’intégrité des mises à jour du logiciel (imaginez qu’un hacker malintentionné modifie les fichiers de mise à jour directement sur le serveur, le résultat serait catastrophique pour tous les utilisateurs) qui, combiné à une configuration de la mise à jour par proxy, permettrait d’installer des
backdoor « presque » sans la moindre difficulté !
De plus, cette liste d’
exploits ne serait pas exhaustive, puisqu’un message laissé à la fin de l’article présentant les failles dit clairement que « le programme a encore des secrets à révéler (mais ce sera pour une prochaine fois…) ».
Cette publication en est-elle la cause ou non, toujours est-il que le 17 juin, Orange a
retiré de la vente « Contrôle du téléchargement ».
Conclusion
Les personnes ayant acheté et installé le logiciel ont été contactées par Orange, qui leur a signalé l’arrêt de l’offre et expliqué la marche à suivre pour désinstaller le logiciel.
Cependant, il n’est pas exclu qu’à l’avenir des e-mails de hameçonnage soient envoyés, recommandant l’installation gratuite du logiciel « Contrôle du téléchargement » (qui serait configuré pour se mettre à jour
via un faux serveur proposant des
backdoor à la place de véritables correctifs).
La prudence est donc de mise…
Liens externes
Articles sur le blog de bluetouff : 1 et 2.
L’article des exploits du logiciel.
Trouvez une formation
Précédente
Suggestions
Flux RSS News
Twitter
Facebook
Google+
140 Participations
Connectez-vous !
Connectez-vous !
Revenir à la liste des news