A la lecture de ce texte, dont on peut trouver une version complète si l'on est pas abonné à Médiapart, l'on peut se poser les questions suivantes :

• Comment le FBI a-t-il pu, des Etats-Unis, fermer le site Megaupload, basé à Hong-Kong ?
• Comment fonctionne l'attaque par déni de service (DDoS) ?
  • Que se passe-t-il dans le serveur lors d'une DDoS ?
  • Comment se fait-il que certains serveurs soient plus résistants que d'autres ?
  • Quel est la paramètre critique d'un serveur pour résister à une DDoS ?
• Comment peut-on faire pour masquer son adresse IP ?
• Expliquer ce qu'est un botnet et comment on peut l'utiliser pour réaliser une DDoS.
• Pourquoi, grâce à un botnet, les enquêteurs sont-ils dirigés vers une fausse piste ?

Les non abonnés à Mediapart pourront, outre envisager de s'abonner, trouver de nombreux résumés de ce texte, en accès libre. A sa lecture, on peut se poser les questions suivantes :

• Quelles sont  les connaissances "que tout le monde est capable de trouver sur Internet", qui ont été nécessaires au pirate ?
• Si on est un parlementaire, quelle précaution minimale faut-il prendre avec son téléphone portable ?
• Quel message est affiché lors d'une tentative d'intrusion ? Comment le téléphone détecte-t-il la tentative d'intrusion ?
• Quel est le nom de ce type d'attaque ? En existe-t-il des équivalents en dehors du réseau WiFi ?
• Quel est le "un peu d'effort" nécessaire pour accéder aux comptes personnels ?
• Cette action est illégale. A partir de quand commencent-elle à être illégale ?
• Qu'est-ce qu'un système propriétaire ?  Pourquoi est-ce que cela exclut les logiciels standard ?
• Comment la NSA peut-elle accéder aux données des "data centers" ?
• Quel pourrait être la motivation de Microsoft pour ne pas chiffrer les échanges entre ses serveurs ?
• Pourquoi Microsoft mettrait-il des "backdoor" dans ses logiciels ? Connaissez-vous le Patriot Act ?
• Quel protocole utilise Skype ? Pourquoi est-il interdit sur Renater ?
• Au final, sommes nous parano ?

PRISM, vous connaissez ?

• Le Net est né aux Etats-Unis. Comment ?
• Qu'est-ce qui unifie Internet ?
• Qui décide des protocoles utilisés ? Donner un exemple actuel important.
• Qu'est ce que la "neutralité de net" ? Pourquoi est-elle mise en péril en France (par Free notamment) ?
• Pourquoi le fait de privilégier certaines routes ou interdire certaines autres créerait-il des problèmes techniques ? Est-ce impossible ?
• En supposant que c'est possible, cela résoudrait-il les problèmes d'espionnage ?
• A propos de la déclaration de Montevideo:
  • Quelle différence entre Internet et le World Wide Web ?
  • Commenter et expliquer : Ils ont également appelé à la transition vers IPv6 qui doit rester une priorité au niveau mondial. En particulier les fournisseurs de contenus Internet doivent servir le contenu des services sur IPv4 et IPv6, afin d'être pleinement accessible sur l'Internet mondial.

• Expliquer comment l'unité spéciale TAO de la NSA a pu rediriger les utilisateurs de LinkedIn vers un de leurs serveurs.
• Suite à cette redirection, comment l'unité TAO a-t-elle pu installer un de ses programmes sur l'ordinateur de l'utilisateur ?
• Le texte mentionne l'adresse IP comme étant un identifiant unique. Est-ce vrai ? L'adresse IP est-elle un identifiant unique ? Dans la version 4 du protocole IP ? Dans sa version 6 ?
• Connaissez-vous un autre exemple d'attaque du type Homme-du-milieu (Man in the middle)?
• Les protocoles cryptés protègent-ils toujours de ce type d'attaque ? Donner des exemples.
• Comment pourrait-on, dans le cadre du protocole ARP duper l'ordinateur cible au moyen d'un ordinateur ultra-rapide ?
• Expliquer ce qu'est la table de routage d'un routeur.
• Comment la manipulation de la table de routage permet-elle de rediriger le trafic Internet ?
• Expliquer pourquoi Kave Salamatian dit que la NSA peut facilement faire des attaques type Man-in-the-middle
• Ce même Salamatian dit que tout système informatique est piratable. Cela inclut-il les consoles de jeu et autres media center ? Pourquoi ?
• Le texte fait une nuance entre attaque passive et attaque active, différentes d'un point de vue légal. Pouvez-vous donner des exemples de chacune d'elle ?

1. L'article mentionne que "Le pays a d'ailleurs son propre réseau IP renfermé sur lui même (non relié à Internet, il est plutôt une sorte de gros intranet national ultra surveillé), le Kwangmyong".
   1. Connaissez-vous, plus proches de vous, des réseaux IP déconnectés d'Internet, au sens du protocole IP ?
   2. Dans ces réseaux, où et comment une censure pourrait-elle être faite? Connaissez vous des exemples en France ?
2. La Corée du Nord est accusée d'avoir paralysé les sites de grands médias nationaux sud-coréens.
   1. Quelle est la technologie à laquelle elle a du avoir recours pour ce faire ?
   2. Comment un serveur web fait-il pour répondre à plusieurs requêtes simultanées ?
   3. Que faut-il mettre en oeuvre pour se protéger de ce type d¢attaque ?
3. L'article mentionne que la Corée du Nord dispose des plages 175.45.176.0/24, 175.45.177.0/24, 175.45.178.0/24, 175.45.179.0/24.
   1. Comment interprétez-vous cette phrase ?
   2. Quel masque de sous-réseau est probablement affecté à chacun de ces réseaux ?
   3. Combien d¢ordinateurs connectés à Internet y-a-t-il, au maximum, en Corée du Nord ?
4. Olivier Laurelli indique que 14 machines répondaient sur la plage 175.45.176.1/24
   1. Pourquoi le 1 à la fin de cette adresse ? Est-ce une erreur ?
   2. Comment a-t-il fait pour découvrir ceci ?
   3. Quel protocole a-t-il utilisé ?
   4. Pourriez-vous le faire vous-même ? Comment ?
5. L'article indique, à propos de la Korean Central News Agency : "Le host nous indique ces 2 adresses IP : [...]"
   1. Que signifie cette phrase ?
   2. Où sont stockées ces correspondances entre adresses kcna.kp et 175.45.177.74 ?
   3. Pouvez-vous trouver ces informations vous même ? Comment ?
6. Qu¢est-ce qu'un serveur Apache ? Comment fonctionne-t-il ? Comment accède-t-on à un serveur Apache sur une machine donnée ?
7. Certaines personnes, en Corée du Nord, ont accès à Internet tel que nous le connaissons. Mais cet accès est surveillé. En vous basant sur vos connaissances du protocole IP, imaginez comment une telle surveillance peut se faire.
8. Qu¢est-ce qu¢un VPN ? Quelqu'un désirant avoir accès à Internet à partir de l'intérieur de la Corée du Nord pourrait-il utiliser cette technologie ? Pourquoi ? A quoi un VPN peut-il servir en France ?
9. Même question pour un serveur proxy.

L'article en lui même est recopié ci-dessous.

Rendons à César ce qui est à Bluetouff

Corée du Nord : ça va être touuuut noiiiiir - Paperblog

AVERTISSEMENT : Si après la lecture de ce billet, il vous passait par la tête de plonger dans le noir la Corée du Nord, pensez plutôt à l’impact ridicule de ce type d’action et mettez la en perspective avec le fait de trouver un moyen de faire en sorte que les nords coréens puissent accèder à Internet. Méditez ceci : « les gens qui se parlent ne se font pas la guerre ».

Il y a déjà bien deux ans de ça, je m’intéressais avec l’ami @fo0_ au tout petit bout d’Internet Nord Coréen. Les internautes n’y sont pas légion. Le pays a d’ailleurs son propre réseau IP renfermé sur lui même (non relié à Internet, il est plutôt une sorte de gros intranet national ultra surveillé), le Kwangmyong. Aujourd’hui, avec les frasques de Kim Jong Un, les regards du monde entier se braquent sur la Corée du Nord. Avec la perspective d’un conflit armé, et les menaces d’un conflit thermonucléaire, on imagine mal une intervention qui ne soit pas accompagnée d’une attaque informatique dans les règles.

La Corée du Nord est soupçonnée d’avoir mené une attaque informatique d’envergure sur la Corée du Sud le 20 mars dernier. Cette attaque aurait paralysé de nombreux sites dont ceux de grands médias nationaux (KBS, MBC et YTN) ainsi que des sites bancaires. Ce sont au total plus de 30 000 machines qui ont été victimes de cette attaque que Séoul soupçonne orchestrée par le Bureau général de reconnaissance de la Corée du Nord. S’il semble à en croire Séoul que la Corée du Nord a bien une cyber doctrine offensive, le pays semble cependant très vulnérable à des attaques qui pourrait paralyser le peu d’infrastructures dépendant du réseau Internet.

Relativisons tout de suite. La Corée du Nord ne semble pas avoir d’infrastructures « vitales » qui dépendent du réseau Internet (du moins de ce qu’on peut en voir, de ce qui est public). Il est aussi probable que les infrastructures offensives nord coréennes ne soient même pas situées sur son territoire.

Allons donc visiter ce réseau pour voir ce que ça peut donner en terme défensif… et vous allez vite comprendre que ce n’est pas brillant.

L’IANA a donné à la Corée du Nord quelques IPv4. Elles se situent sur les plages :

• 175.45.176.0/24
• 175.45.177.0/24
• 175.45.178.0/24
• 175.45.179.0/24

Tous les sites sur ces plages IP sont des sites gouvernementaux ou apparentés. Les noms de domaines en .kp (l’extension de la Corée du Nord) sont eux aussi tous plus ou moins directement liés au gouvernement nord coréen.

Lors de mes tests, 14 machines répondaient sur le range 175.45.176.1/24. Il s’agit des IP :

• 175.45.176.3
• 175.45.176.6
• 175.45.176.8
• 175.45.176.9
• 175.45.176.10
• 175.45.176.12
• 175.45.176.15
• 175.45.176.16
• 175.45.176.65
• 175.45.176.67
• 175.45.176.70
• 175.45.176.71
• 175.45.176.129
• 175.45.176.131

C’est d’ailleurs le range le plus intéressant. Outre le fait que les nord coréens semblent être des grands fans de CentOs, sur ces 14 machines, au moins 10 d’entre elles comportent des vulnérabilités critiques. C’est cette plage qui accueille l’une des deux IP de KCNA, le site de la Korean Central News Agency (KCNA.kp) et qui distile la propagande de Pyongyang. Le host nous indique ces 2 adresses IP :

• kcna.kp has address 175.45.177.74
• kcna.kp has address 175.45.176.71

La machine 175.45.176.71 présente une version du serveur web Apache qui n’est pas à jour et semblant vulnérable aux CVE suivants :

• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-2412
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-0434
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-0425
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-0408
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-3555
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2007-6750

… et pas mal d’autres…

On trouve ensuite des serveurs DNS sur les IP

• 175.45.176.8
• 175.45.176.9
• 175.45.176.15
• 175.45.176.16

Ces 4 machines présentent une version de Bind outdatée (une 9.8.1), vulnérable à une tripotée de dénis de service :

• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2266
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-3868
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-3817
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-4313
• http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-1667

La machine 175.45.176.8 est le NS1 des sites suivants :

La machine 175.45.176.9 est le NS2 des sites suivants :

La machine 175.45.176.15 est le NS1 des sites suivants (ici c’est surtout sur les sous-domaines que l’on trouve des sites) :

La machine 175.45.176.16 est le NS2 des sites suivants (toujours sur des sous-domaines):

A en croire ce que nous avons sous les yeux, et à en croire cette requête Google, frapper ces 4 machines mettrait dans le noir tout ce qui porte une extension en .kp… et comme ces 4 machines présentent toutes les vulnérabilités mentionnées un peu plus haut, nous pouvons décemment conclure qu’il est redoutablement simple de plonger tous les sites nord coréens dans le noir le plus total.

Conclusion : les DNS sont le talon d’Achille de la Corée du Nord. L’internet Nord Coréen ne survivrait pas 5 minutes à l’attaque d’un script kiddie. L’infrastructure DNS de tout le pays repose sur 4 serveurs dont la version de Bind est trouée. La moindre attaque informatique sur cette pseudo infrastructure virerai à la déculottée et à l’humiliation pour Pyongyang.

Je reviendrai probablement plus tard sur la Corée du Nord et sur les firewalls « nationaux » (sous FreeBSD) qui eux aussi présentent toutes les qualités d’un bon emmental Suisse mais aucune de ce que l’on attend d’un firewall décent…

Billets aléatoirement en relation... ou pas:

• Gérard Longuet en VRP de la mort en Libye
• Plus rien ne sera jamais comme avant
• Copwatch : le fiasco de Claude Guéant
• NSA : No Such Article