Dans le dernier numéro de Sécurité informatique, en quelques lignes discrètement reléguées en page 4, Michel Dreyfus vous annonçait qu'il allait, selon l'expression consacrée, faire valoir ses droits à la retraite au début du mois de novembre 1996.
Lorsqu'il avait pris ses fonctions à la fin de l'année 1993, il m'avait confié que sa première priorité était de créer un organe de liaison entre tous les utilisateurs d'informatique du CNRS et d'ailleurs. Pour être sûr de toucher le plus grand nombre de lecteurs, cette nouvelle publication devait, à son sens, être gratuite et diffusée en nombre suffisant dans chaque unité de recherche. Ce qui fut fait.
Une formule attractive alternant numéros spéciaux et informations générales, un matériau suffisamment solide pour résister au passage entre de nombreuses mains, un tirage qui allait rapidement dépasser les 6000 exemplaires, de l'humour dans les graphismes et dans les textes, Sécurité informatique ne tarda pas à traîner sur toutes les paillasses de France et de Navarre. Je tiens ici à remercier Michel Dreyfus pour le travail accompli et à lui témoigner ma reconnaissance personnelle pour m'avoir, en m'extorquant quelques éditoriaux, fait redécouvrir le plaisir d'écrire. Permettez-moi, en votre nom à tous, de lui souhaiter de couler des jours heureux entre ses fleurs, ses motos et sa connexion Internet.
Mais Sécurité informatique ne s'arr'tera pas en si bon chemin. Bienvenue donc à Robert LONGEON, ingénieur de recherche, nommé au poste de "chargé de mission pour la sécurité des systémes d'information" et qui assure déjà la mise en forme et l'édition de ce numéro 12. Il a amassé une solide expérience de ce qui nous préoccupe en étant, entre autres, chargé de mission aux relations industrielles du CNRS dans les années 80 et enseignant-chercheur à l'Institut National des Télécommunications.
Philippe Schreiber,
Fonctionnaire de Défense
La sécurité des systémes d'information est, plus que jamais, à l'ordre du jour et doit devenir une préoccupation majeure dans les laboratoires. L'essor considérable des techniques et des moyens de télécommunication, la large diffusion dans la société des cultures informatiques, l'interconnexion planétaire des machines et des réseaux nous l'imposent. Si ce n'est par raison, c'est par nécessité. Les problémes de sécurité deviendront plus complexes encore dans l'avenir. Les applets de Java, qui ouvrent une bréche énorme de sécurité, en sont une illustration.
Nous n'en sommes plus à l'âge d'or où l'informatique était centralisée et où les experts, peu nombreux, s'arrachaient à prix d'or sur le marché du travail. A cette époque, l'alpha et l'oméga de la sécurité des systémes d'information étaient "une équipe systéme bien formée et motivée" et "le contrôle des accés aux machines centrales". Aujourd'hui, parmi les centaines d'utilisateurs d'un réseau, l'incompétence ou la négligence d'un seul met l'ensemble en danger. On pénétre maintenant dans un réseau à partir de n'importe quelle machine connectée à l'autre bout du monde. Aujourd'hui, et plus encore dans l'avenir, toute erreur ou laxisme en matiére de sécurité est, à un moment ou à un autre, inévitablement sanctionnée : pertes de confidentialité de fichiers, paralysie du réseau qui est l'outil de travail de base des laboratoires, destruction de données représentant parfois des mois de travail, etc.
Dans ce contexte, en quoi un journal peut-il être utile ? La sécurité n'est-elle pas d'abord un probléme d'organisation ? Quant aux problémes techniques, ils sont trop vastes pour pouvoir être sérieusement abordés en quatre pages tous les deux mois. Certes ! Mais la sécurité est aussi un état d'esprit sans lequel même la meilleure organisation n'a aucune chance d'être efficace. Cet état d'esprit est fait du sentiment de responsabilité, de recherche permanente d'un plus grand professionnalisme et d'expérience accumulée.
C'est pourquoi, la mission de Sécurité informatique est d'abord d'être un vecteur de rencontres et d'échanges d'expériences. Dans ce domaine, les échecs ou les succés des uns font la force de tous quand ils deviennent le savoir commun. Elle est aussi d'attirer l'attention de chacun sur les problémes d'actualité. Elle est encore de diffuser les informations sur les séminaires, les formations, les documents, les livres ou les URL qui abordent la question de la sécurité des systémes d'information.
C'est en cela que Sécurité informatique peut apporter une aide concréte aux laboratoires.
Dans le numéro 11 de Sécurité informatique, nous indiquions que nous demanderions régulièrement à un établissement placé sous la tutelle de notre ministére de nous présenter sa conception en matiére de sécurité informatique. C'est l'INSERM qui a accepté de continuer cette série avec un article de Monsieur Louis Réchaussat, responsable de la "coordination Internet" à l'INSERM.
par Louis Réchaussat
Lorsqu'au cours de l'année 1993, il fut décidé de répondre à la demande croissante des laboratoires de pouvoir être connectés à RENATER, force était de constater que la trés grande majorité du parc informatique de l'INSERM n'était formée que de machines isolées : micro ordinateurs PC ou Macintosh, plus rarement des stations de travail sous le systéme d'exploitation Unix. Lorsqu'un réseau local était installé, il ne répondait pas, le plus souvent, aux critéres requis pour une communication à haut débit. Les quelques unités connectées l'étaient grâce aux facilités offertes par l'institution hôte (Université, CNRS, CEA ou Institut Pasteur de Paris) qui avait précédé l'INSERM dans ce domaine, dés 1991, lors de la création de RENATER.
La connexion des formations de l'INSERM à Internet devait donc passer par un programme lourd de mise en réseau.
La trés grande dispersion de ses unités de recherche et services et l'absence de centres informatiques importants ont conduit l'INSERM à rechercher avec ses partenaires traditionnels des accords de sites, partout où pouvait être évitée une duplication des infrastructures, à charge pour l'Institut de les compléter au besoin et d'assurer la continuité du câblage dans les laboratoires jusqu'aux prises des ordinateurs. Il a été possible, dans plusieurs cas, de coordonner cette action avec le CNRS (Département des sciences de la vie). Ailleurs, l'INSERM a assuré la maîtrise d'oeuvre de la totalité du réseau du site. Le programme de câblage et de connexion a débuté en 1994, par ordre chronologique des demandes, en donnant la priorité aux sites hébergeant un institut fédératif de recherche.
Son financement est jusqu'à présent pris en charge par le budget de l'administration centrale de l'INSERM, les unités ayant à équiper leurs micro-ordinateurs en cartes de connexion et à participer aux frais de fonctionnement (abonnement France Telecom et maintenance). La cotisation pour l'adhésion au GIP Renater, qui autorise le passage d'une région à l'autre et les communications vers l'étranger, est prise en charge globalement par le siége. L'ensemble du budget de l'administration centrale dédié à ce programme représente une dépense annuelle d'environ 5 millions F HT.
Les demandes d'intervention sont transmises par l'Administrateur délégué régional (ADR) à la Coordination nationale, placée sous l'autorité du Secrétaire général, qui analyse le dossier avant le passage, pour avis, devant la Commission Internet de 1'INSERM. Dans les limites budgétaires disponibles, les opérations sont menées sous l'autorité de l'ADR et suivent les régles de passation des marchés publics, qui ont donné lieu à l'établissement d'une liste d'entreprises titulaires.
Sous une apparence de grande convivialité et de facilité d'utilisation, les réseaux sous Internet nécessitent une gestion rigoureuse et de multiples interventions. Chaque réseau de site que gére l'INSERM requiert la présence d'un administrateur de réseau, ingénieur ou technicien du site ayant suivi une formation de cinq semaines, organisée en collaboration avec l'Unité Réseau du CNRS (UREC).
Grâce à la bonne volonté des intéressés et à la bienveillance des directeurs de leurs unités, une vingtaine d'administrateurs de réseau sont maintenant opérationnels. Une nouvelle session s'est ouverte au cours du dernier trimestre 1996 pour les nouveaux sites et la suppléance des administrateurs actuels.
Les fonctions des administrateurs de réseau incluent non seulement la bonne marche du systéme, l'attribution des numéros Internet et l'ouverture des boîtes à lettres de la messagerie, mais aussi la surveillance de l'application des recommandations en matiére de sécurité et des régles concernant les lois sur l'informatique et les libertés et sur la protection des úuvres et des logiciels.
Pour assister plus efficacement les unités de recherche et les administrations déléguées, confrontées de plus en plus à l'omniprésence de l'informatique dans leurs activités quotidiennes, il a été décidé, en fonction des possibilités de mobilité des personnels, de mettre en place, auprés de l'Administrateur délégué régional, un ingénieur, Responsable Régional de l'Informatique, dont la tâche est triple :
Deux ingénieurs sur les trois prévus pour l'Île de France sont en poste ; ailleurs, six à sept autres le seront dans les douze mois à venir, aprés un stage prolongé en centre informatique spécialisé.
La formation des utilisateurs est aussi un élément essentiel du dispositif : le fonctionnement harmonieux d'Internet repose pour une bonne part sur leur comportement.
à une formation standard, telle qu'il est possible d'acquérir auprés de services commerciaux, il a été préféré une formation orientée par domaine scientifique ou d'activitéà: biologie moléculaire et génétique, épidémiologie, recherche clinique et administration de la recherche. Les stagiaires acquiérent des informations plus proches de leurs préoccupationsà: adresses des serveurs de leur domaine, identification des logiciels les plus intéressants, contacts, etc.
Internet était initialement destiné à la communauté scientifique, et sa prodigieuse extension dans tous les secteurs d'activité et dans le grand public augmente considérablement les risques pour ses utilisateurs, en termes de perte de confidentialité, de disponibilité et d'intégrité de l'information.
La sécurité est l'affaire de tous : la sensibilité de certains fichiers ou des applications qui les exploitent doivent rappeler à chacun la nécessité du respect de la réglementation (déclaration à la CNIL, licences de logiciels en régle, etc.) et des chartes d'usage et de sécurité.
Les dispositifs de protection doivent former un tout cohérent, qui déborde les seuls aspects informatiques : l'INSERM ne peut donc pas faire l'économie d'un plan sécurité de l'ensemble de son systéme d'information. Sa mise en chantier s'accompagne de mesures conservatoires, propres à limiter la vulnérabilité des sites face aux attaques extérieures ou aux déprédations fortuites ou volontaires.
Les institutions de recherche utilisent RENATER, partie intégrante d'Internet, où chaque site est ouvert à l'extérieur, pour construire virtuellement, en fait, leur réseau d'établissement, réseau qui a vocation, normalement, à être étanche, avec des points de connexion bien identifiés. Pour résoudre ce paradoxe, des solutions apparaissent, mais dans le contexte d'une refonte compléte des moyens de communicationà: intégration des transmissions voix et données, gestion optimisée des flux de données et cryptage, notamment.
L'lNSERM pourrait ainsi disposer à terme d'un systéme efficace et sûr tant pour ses communications internes que pour ses échanges scientifiques, dont la qualité est garante de compétitivité.
Louis Réchaussat - Coordination Internet
INSERM
101, rue de Tolbiac
75654 Paris Cedex 13
Téléphone et télécopie : 01 44 23 62 78
rechauss@tolbiac.inserm.fr
A la lumiére de récents incidents survenus dans des laboratoires du CNRS, nous avons pensé qu'il pourrait être utile de rappeler quelques régles générales concernant la conduite à tenir lorsqu'on a connaissance de perturbations survenues sur une installation informatique reliée à Internet.
Tout d'abord, l'essentiel est d'essayer de faire la part des choses. S'agit-il d'une "plaisanterie" commise par un étudiant ou un astucieux gamin désireux de montrer l'étendue de ses compétences en informatique ? S'agit-il d'une tentative pour s'approprier des fichiers (données ou programmes) ayant une valeur scientifique ou marchande ? S'agit-il de l'utilisation du systéme informatique en guise de tremplin pour atteindre, par la méthode du rebond, une autre installation non accessible directement ?
Compte tenu de l'activité du laboratoire, et avec l'aide des responsables de l'installation menacée, il n'est généralement pas trop difficile de situer le probléme. Le premier cas peut s'avérer dangereux si l'intrus a des intentions malveillantes (destruction ou altération de fichiers systéme, par exemple) mais ne risque pas de porter atteinte au patrimoine scientifique ou technique national. Les deux autres, par contre, doivent être portés à la connaissance des autorités compétentes, c'est-à-dire de la DST (Direction de la Surveillance du Territoire).
La finalité de l'action entreprise par les agents de cette institution n'est pas de dresser des procés-verbaux, mais d'éviter l'évasion vers l'intérieur - ou vers l'étranger - de renseignements ou de documents de valeur scientifique, technique ou autre. Contribuer à éviter cette évasion n'est pas faire oeuvre de basse police. Il existe en France des antennes régionales de la DST qui sont compétentes en la matiére et dont nos correspondants de sécurité régionaux (voir leur liste dans Sécurité informatique n 8 de janvier 1996) ont les coordonnées.
Vouloir étouffer l'incident en verrouillant l'accés au pirate risquerait de se rendre indirectement coupable par omission vis-à-vis d'autres collégues si la machine, objet de l'attaque, a été utilisée pour rebondir vers leur installation. Le pirate, voyant sa route coupée, emprunterait une autre voie et cela retarderait d'autant son identification en risquant de lui permettre d'accomplir son "travail" en toute tranquillité. La meilleure tactique, une fois prouvée l'intrusion, consiste à assurer la sécurité de l'installation (sauvegardes, ...), puis à mettre en service des logiciels d'audit de façon à garder la trace la plus compléte possible des accés indésirables.
Lorsque c'est possible, on essaiera (toujours avec le concours des techniciens du systéme menacé) de repérer la faille du systéme d'exploitation utilisée pour pénétrer. Il peut s'agir d'une faille connue et répertoriée par le CERT RENATER. Si ce n'est pas le cas, il est important de lui en faire part afin de rechercher le "bouchon" adéquat et, en tout cas, de prévenir ceux qui se servent d'un logiciel identique des dangers qu'ils courent. (Isabelle Morel, téléphone : 01 44 27 26 14, télécopie : 01 44 27 26 13, e-mail : morel@renater.fr)
En ce qui concerne un éventuel dépôt de plainte, il convient, avant toute chose, d'en référer au Service juridique du Siége ou au Fonctionnaire de Défense qui aviseront, au coup par coup.
Bien entendu, les cas relevant du droit commun (vol ou destruction de matériels non raccordés à un réseau et/ou de logiciels) sont à traiter avec le concours des autorités locales (rectorat, police, gendarmerie, selon le cas).
Un message apparaît réguliérement sur l'Internet, mettant en garde contre un prétendu dangereux virus circulant sur la messagerie électronique dénommé "Good Time" ou "Irina". Il s'agit d'une mauvaise plaisanterie ! Même si par erreur, 01 Informatique a cru devoir alerter ses lecteurs.
Rappelons que les virus n'infectent que les codes exécutables et qu'ils ne peuvent provoquer leurs dégâts qu'en étant actifs. Il n'est donc pas possible de contaminer directement une machine par le courrier électronique, qui ne gère, jusqu'à présent, que des fichiers de données.
Dans sa décision rendue le 24 juillet 1996, portant sur l'examen de la loi sur la réglementation des télécommunications, le Conseil Constitutionnel a censuré les articles 43-2 et 43-3 de l'article 15 (amendement Fillon). Vous pourrez trouver d'intéressantes informations sur les ressources juridiques disponibles sur l'Internet sur l'URL :
http://www.argia.fr/lij/RessourcesJ.html.
D'un autre côté, l'APP (Agence pour la protection des programmes) a obtenu, par arrêté du Ministére de la Culture en date du 21 mars 1996, l'agrément de ses experts pour constater directement la matérialité des contrefaçons d'oeuvres numériques, entre autres, sur les sites Internet accessibles sans mot de passe. C'est l'APP qui décidera, sur la base de leurs procés-verbaux, de l'opportunité des poursuites judiciaires à entreprendre. En termes clairs : attention à vos Web ! Veillez à ce qu'ils ne recélent aucun document (texte, image, son, vidéo...) protégé par un copyright et pour lequel vous n'auriez pas négocié les droits de reproduction.
Trivial File Transfert Protocol permet aux stations sans disque de démarrer à travers le réseau. Il repose sur le protocole de transport UDP. Il n'y a pas d'authentification, ce qui ouvre une faille importante de sécurité. Faites le test suivantà:
%tftp tftp >> connect nom_de_machine tftp >> get /etc/motd tmp Error code 1à: file not found tftp >> quit
Si vous n'obtenez pas le message d'erreur et que vous parveniez à transférer le fichier, vous pouvez commencer à vous inquiéter. Il faut d'urgence installer la nouvelle version de tftp.
Pour en savoir plus sur le CERT-Renater :
Pour savoir le minimum sur la sécurité, consulter :
http://www.univ-rennes1.fr/CRU/Securite/Generalites/levital.html
La lettre de l'Internet Juridique :
http://www.argia.fr/lij/ArticleAvril1.html
Mettez à jour votre sendmail
Le CERT a mis en évidence une nouvelle faiblesse du sendmail (version 8) qui permettrait à un utilisateur local d'exécuter un programme avec les permissions de groupe d'autres utilisateurs. La Coordination Centrale du CERT recommande d'installer les patches vendeur ou la version à jour (8.8.4) du sendmail. (CERT Advisory CA-96.25)
Session pour Informaticiens expérimentés : 21 janvier 1997. Session réservé aux responsables sécurité : 13 mars 1997. Session destiné à tous les utilisateurs de base de l'informatique : 22 avril 1997.
S'inscrire auprés de votre Délégation au plus tard un mois avant la session.
inetd : gére les services réseau conformément au fichier de configuration /etc/inetd.conf qui est lu au boot ou aprés un "kill -HUP pid". N'activez dans /etc/inetd.conf que les services dont vous vous servez effectivement. Si vous ne vous servez d'aucun de ces services, alors ce démon ne doit pas être présent dans votre systéme.
routed : utilise le RIP (Routing Information Protocole) pour construire ses tables de routage dynamique et identifier comment le systéme communique avec les noeuds extérieurs au sous-réseau auquel il appartient. Il écoute UDP sur le port 520. Si vous avez un routage par défaut, vous n'avez pas besoin de ce démon.
rarpd : Reverse Adresse Résolution Protocol Daemon est utilisé pour permettre aux stations sans disque et aux terminaux X de connaître leur adresse IP à partir de leur adresse ethernet et ainsi amorcer leur boot. Si vous n'utilisez pas RARP, alors ne lancez pas ce processus.
bootpd : est le processus serveur du protocole BOOTP qui utilise le fichier /etc/bootptab. Ne lancez bootpd que si vous utilisez ce protocole.
nfsd, biod, statd, lockd, mountd : démons NFS.
nfsd contrôle les requêtes de montages distants. Pour cela, il utilise les services des démons mountd et lockd. Plusieurs copies de nfsd permettent d'effectuer plusieurs opérations disques simultanément. biod permet d'exécuter des opérations d'entrées/sorties dans des blocs I/O des clients NFS. Plusieurs copies du démon biod permettent à chaque client d'effectuer plusieurs opérations en même temps.
automount : est le démon qui effectue automatiquement les montage NFS.
ypserv, ypxfrd, ypbind, rpc.nisd, nis_cachemgr : le NIS (Network Information Service) ou pages jaunes, utilise un grand nombre de démons pour gérer le systéme d'information du réseau. rpc.nisd, nis_cachemgr sont utilisés dans NIS+.
named : processus relatif au DNS.
rpcbind, portmap : rpcbind (Solaris) et portmap (SunOs) gérent les ports pour les services RPC. Ils doivent impérativement démarrer avant tout démon réseau.
