Hackers et entreprises, les nouveaux meilleurs amis du monde ?

De plus en plus d’adeptes des cyberattaques choisissent de mettre leurs compétences au service des entreprises, qui le leur rendent bien. En s’introduisant dans un but bienveillant dans leur infrastructure informatique pour en révéler les failles, ces hackers éthiques rendent Internet un peu plus sûr. Quitte à prendre leurs distances avec la loi.

Certaines hackers scrutent les lignes de code des entreprises pour en dénicher les failles. Crédits : Christiaan Colen, CC BY-SA 2.0
Certains hackers scrutent les lignes de code des entreprises pour en dénicher les failles. Crédits : Christiaan Colen, CC BY-SA 2.0

Quand j’accorde ma confiance à un site, j’estime que de mon côté, j’ai le droit de vérifier que mes données sont en sécurité en tentant de m’y introduire”. En s’intéressant de près à la cybersécurité de Numericable fin 2017, le hacker qui se fait appeler Kuromatae est tombé sur une faille qui aurait pu coûter cher aux clients du fournisseur d’accès à Internet. “Je me suis permis de tester leur service de messagerie. J’ai remarqué qu’en me débrouillant bien, je pouvais récupérer les mails de tous les clients”, explique le justicier 2.0. Il décide donc d’alerter le département de cybersécurité de l’opérateur, prenant ainsi le risque d’être poursuivi par l’entreprise. Mais la réaction de cette dernière est tout autre. Le soir même, elle contacte l’étudiant en sécurité informatique pour le remercier et l’informer que le webmail est mis en maintenance le temps que le problème soit résolu. A l’époque j’avais été menacé par plusieurs entreprises, mais maintenant elles sont plus ouvertes”, assure le jeune homme, aujourd’hui employé dans une société de sécurité informatique.

“Je me suis permis de tester leur service de messagerie. J’ai remarqué qu’en me débrouillant bien, je pouvais récupérer les mails de tous les clients.” Kuromatae, hacker éthique.

Kuromatae n’est pas le seul à constater des affinités nouvelles entre les acteurs économiques et les hackers. Il faut dire que les entreprises ont compris que, plutôt qu’une menace, ces experts de l’intrusion pouvaient s’avérer être une aide bienvenue pour améliorer la sécurité de leur infrastructure informatique. Depuis quelques années, des plateformes en ligne leur permettent même de mettre leur cyberdéfense à l’épreuve d’une kyrielle de chasseurs de failles. Sur ces sites de « bug bounty », comme on les appelle, celui qui parvient à détecter une vulnérabilité se voit rétribuer d’une prime pouvant atteindre plusieurs milliers d’euros. ”L’intérêt pour les entreprises, c’est de se soumettre aux conditions réelles, analyse Guillaume Vassault-Houlière, PDG de Yes We Hack, la première plateforme européenne de bug bounty, qui revendique 200 nouveaux hackers inscrits chaque mois. Au lieu d’un test d’intrusion mené habituellement par un ou deux ingénieurs, c’est potentiellement 4 000 personnes qui peuvent chercher une faille de sécurité en même temps.”

Chasseurs de primes 2.0

Et l’enjeu est bien réel. Pour ces sociétés, combler les brèches avant qu’elles ne soient exploitées criminellement leur évite des fuites de données de leurs utilisateurs, mais aussi d’informations hautement stratégiques. Les responsables de Yahoo! peuvent en témoigner. En 2013, les données des trois milliards d’utilisateurs du géant américain du web sont tombées entre les mains de pirates informatiques, ce qui pourrait constituer la plus grande cyberattaque connue à ce jour. Autant dire que pour s’éviter de tels déboires, les entreprises sont prêtes à en payer le prix. En 2017, pas moins de 300 000 euros de primes ont ainsi été distribués aux hackers de Yes We Hack. Outre-Atlantique, le seul Google a dépensé 2,9 millions de dollars en bug bounty sur la même année. Mais au delà de la pure motivation financière, c’est aussi un combat d’égo que se livrent ces génies de l’informatique. Sur le site, un classement officiel distingue ainsi les hackers en fonction du nombre de failles qu’ils ont révélées depuis leur inscription. Le score compte beaucoup dans notre communauté”, confie Mehmet Ince, un chasseur de faille turc figurant à la 12e place du palmarès. Et Guillaume Vassault-Houlière d’abonder : “Cela permet d’être reconnu par ses pairs, c’est hyper important dans le milieu. Il y a toujours cette histoire d’égo chez les hackers”.

Capture d’écran 2018-05-28 à 17.43.14

Hacker, un métier comme un autre

Signe de la confiance croissante accordée par les entreprises à de telles plateformes en Europe, la startup de covoiturage Blablacar a ouvert en avril dernier son programme de bug bounty au public. Aux Etats-Unis, cette pratique est devenue quasiment systématique, des géants tels que Google, Spotify ou Airbnb y recourant régulièrement. La plateforme américaine HackerOne, leader mondial du marché, revendique une communauté de plus de 100 000 chasseurs de faille à travers le monde. Son équivalente européenne Yes We Hack, jeune et plus modeste, parvient aujourd’hui à attirer des acteurs comme le moteur de recherche Qwant ou l’opérateur Orange. Eric Dupuis, responsable de la sécurité des systèmes d’information (RSSI) de la filiale Orange Cyberdéfense, précise qu’il y a deux façons de rechercher des failles. Nous faisons des tests d’intrusion en interne avec nos hackers éthiques salariés, mais Orange recourt aussi à du bug bounty. C’est quand même du test d’intrusion, mais d’une manière différente”. Du reste, certains revêtent les deux costumes. Adeptes du bug bounty sur leur temps libre, ils peuvent aussi être embauchés par des entreprises en tant qu’auditeurs en cybersécurité par exemple. Une dénomination moins vendeuse que “hacker éthique”, mais qui correspond peu ou prou au même métier.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI), place forte de la cyberdéfense étatique française, préfère quant à elle parler d’expert des tests d’intrusion. Sur son site, elle en donne la définition suivante : “l’expert des tests d’intrusion, ou « hacker éthique », est en mesure de pénétrer le système d’information et d’identifier les divers chemins d’intrusions, les techniques utilisées, traçant ainsi le profil des attaquants, leurs habitudes et méthodes de travail.” Parmi la communauté des hackers, c’est plutôt sous le nom de “white hat” (chapeau blanc) que l’on désigne ces ingénieurs et ces chercheurs.

La cybersécurité comme “argument marketing”

De l’avis des professionnels du secteur, ces auditeurs demeurent le premier rempart contre les cybermenaces, malgré le succès de ces nouvelles plateformes. Pour qu’un bug bounty soit efficace, il faut que l’entreprise ait fait un audit approfondi au préalable, de sorte que les potentielles failles qui persistent soient difficiles à trouver”, rappelle Eric Dupuis. De fait, les hackers étant rétribués pour chaque vulnérabilité décelée, une telle démarche peut se révéler coûteuse pour les structures les moins préparées. Mais selon certains observateurs, cet investissement est souvent mûrement réfléchi : C’est utilisé par des entreprises comme un argument marketing pour montrer qu’elles ont une protection opérationnelle. La cybersécurité est devenue un enjeu commercial”, juge un ingénieur en sécurité informatique se présentant sous le pseudonyme de SwitHak. Comprendre : certaines entreprises se tournent parfois vers le bug bounty par souci de crédibilité plus que d’efficacité. L’initiative peut même se révéler contre-productive. Ouvrir les portes de ses serveurs informatiques à des milliers d’inconnus dans le cadre d’un bug bounty n’a rien d’anodin : grands groupes et administrations publiques s’exposent à des risques d’espionnage industriel ou étatique. “Il ne faut pas négliger ces questions de propriété intellectuelle et d’intelligence économique. L’an passé, des développeurs chinois ont réutilisé une partie du code informatique d’une entreprise sur leur propre site. Certains groupes qui s’étaient lancés dans le bug bounty ont dû faire marche arrière pour ces raisons”, souligne Eric Dupuis, rappelant qu’Orange passe toujours par sa filiale de cyberdéfense pour les questions les plus sensibles.

Entre éthique et légalité, “la limite est parfois difficile à définir”

Que ce soit en tant qu’auditeur ou en tant que chasseur de faille, on observe une professionnalisation croissante au sein des hackers éthiques. Peu à peu, ceux-ci se mettent en conformité avec la loi. Mais certains refusent toujours d’entrer dans les clous. Faut-il tout de même voir une démarche éthique dans leurs pratiques ? Le débat divise, car l’éthique est une notion subjective. Pour Gabrielle, une trentenaire qui se revendique du hacking responsable, il ne faut pas franchir la barrière de l’illégalité. “Beaucoup de personnes continuent de pénétrer dans des systèmes sans avoir l’autorisation préalable. C’est dangereux”, déplore-t-elle, tout en reconnaissant que cela dépend beaucoup de la manière dont c’est fait. “Il y aura toujours des problèmes moraux dans ce milieu, la limite est parfois difficile à définir.” SwitHak est lui aussi très critique envers ce type de pratiques. Selon ce dernier, c’est la méthode qui permet de distinguer le lanceur d’alerte du cybercriminel. Il en donne un exemple concret : Imaginons qu’un hacker trouve une vulnérabilité dans le site d’une entreprise. Il entre en contact avec cette dernière et lui communique les détails de la vulnérabilité mais lui donne un ultimatum de 15 jours, de manière arbitraire, pour corriger la faille avant qu’il ne la divulgue en public. Sauf que parfois, ce délai n’est pas gérable”. Une façon de faire que ce professionnel de la cybersécurité dit ne pas approuver. Pour moi, le hacker éthique doit agir sans but financier, avec une démarche responsable. Et il ne doit pas chercher à se mettre en avant”, conclut-il. Le modèle qui se rapproche finalement le plus d’une pratique éthique est celui de la divulgation responsable. Dans ce cas, le chercheur de faille doit laisser suffisamment de temps à l’entreprise pour qu’elle répare l’erreur découverte, et il ne doit pas attendre d’argent en retour, sous peine de se voir accuser de tentative d’extorsion.

Faire du web son terrain de jeu numérique

Parallèlement aux lanceurs d’alerte, certains hackers n’ont en effet pas nécessairement un objectif politique derrière la tête. C’est le cas de DIDIx13, un étudiant en informatique de 18 ans qui voit avant tout le cyberespace comme une immense aire de jeu et un terrain d’entraînement. “Pour moi le hacking c’est vraiment un passe temps, une passion. Il y a une barrière devant toi, tu dois trouver un moyen de la franchir. Le fait de réussir après tant d’effort, de puiser dans toutes les connaissances que tu as apprises jusqu’ici, c’est une sacrée satisfaction”, glisse-t-il.

Nous les grey hats, on ne propose pas nos services à des entreprises. On les attaque directement sans leur permission. » DIDIx13, un chapeau gris.

A terme, le jeune homme envisage de travailler au service d’entreprises. Mais en attendant, il avoue ne pas se préoccuper des questionnements juridiques. Et pour cause : il fait partie des “grey hats” (chapeaux gris), cette catégorie de hackers qui agissent illégalement sans avoir pour autant la volonté de nuire. Au contraire des “black hats” (chapeaux noir), qui peuvent demander une rançon ou subtiliser des données sensibles. Nous les grey hats, on ne propose pas nos services à des entreprises. On les attaque directement sans leur permission. C’est pour ça qu’on nous considère comme non éthique. Mais si on trouve des failles, on les contacte pour les aider à les fixer”, assure le surnommé DIDIx13.

Capture d’écran 2018-05-28 à 17.56.35

Vers une reconnaissance institutionnelle du hack

Preuve que les pouvoirs publics reconnaissent un intérêt pour ce type de profil malgré les distances que ces hackers prennent avec la loi, la législation évolue. En France, dans le sillage de la Loi pour une République numérique votée en octobre 2016, un dispositif permet aux chapeaux gris de bonne foi de déclarer une faille de sécurité informatique à l’Anssi. L’agence étatique se charge ensuite de prévenir l’entreprise ou l’administration concernée, tout en garantissant au lanceur d’alerte son anonymat. Une évolution majeure : elle était jusqu’ici tenue de le dénoncer, en vertu de l’article 40 du Code de procédure pénale qui oblige tout employé de l’Etat ayant connaissance d’un délit à alerter la justice.

Rien que sur les trois derniers mois de 2016, une soixantaine de déclarations ont été adressées à l’Anssi. Pour autant, ce dispositif reste imparfait. D’une part, il peine à protéger entièrement les hackers ayant révélé des vulnérabilités. Rien n’empêche en effet les entreprises dans lesquelles ils se sont introduits de remonter jusqu’à eux afin de les poursuivre en justice. Un risque que plusieurs députés avaient pointé du doigt lors de l’examen du texte, appelant en vain à la création d’un véritable statut du chasseur de faille.

Par ailleurs, même si les relations qu’entretiennent les hackers avec le secteur privé tendent à se réchauffer, celles avec l’Etat demeurent délicates. Guillaume Vassault-Houlière, PDG de Yes We Hack, estime que la communauté a encore un peu de mal à remonter des vulnérabilités à une entité étatique”. Même son de cloche du côté du hacker Kuromatae, qui avait préféré alerter directement Numericable après son intrusion : “Je pars du principe que l’entreprise préfère qu’on la prévienne directement. Surtout que l’Anssi risque de lui taper sur les doigts”.

“La communauté a encore un peu de mal à remonter des vulnérabilités à une entité étatique.” Guillaume Vassault-Houlière, PDG de Yes We Hack.

Nul doute qu’Internet continuera encore longtemps d’être le terrain de jeu privilégié d’esprits malintentionnés. Mais ces signes d’ouverture venus des entreprises, des pouvoirs publics et de l’enseignement supérieur laissent à penser qu’ils seront de plus en plus isolés. Nombre de hackers se rangent aujourd’hui du côté de la légalité, et cela n’a rien d’étonnant pour Mehmet Ince. Plus jeunes, des gens comme moi agissaient comme des black hats sans même s’en rendre compte”, confie-t-il. Sans moyen légal de gagner de l’argent en testant la sécurité informatique des entreprises lorsqu’il a commencé à s’intéresser à ce domaine, il n’a eu d’autre choix que d’agir dans l’illégalité. “A l’époque, il n’y avait pas de plateformes de bug bounty par exemple. Mais aujourd’hui, on peut hacker des entreprises pour améliorer leur sécurité, tout en étant payé pour le faire. C’est une bonne opportunité pour les plus jeunes”, poursuit-il. À l’avenir, l’ingénieur turc pronostique même que de plus en plus de hackers troqueront leur chapeau gris pour un blanc. C’est un processus que nous devons accompagner en encourageant le développement de ce type de plateformes”. Et le Stambouliote de mettre en garde : Malheureusement, il y aura toujours des chapeaux noirs”.

Alexandre BERTEAU et Lucas MARTIN

Elliot Alderson, un hacker français devenu lanceur d’alerte

Le Français ayant révélé une faille dans une base de données biométriques indienne se fait surnommer Elliot Alderson, en référence au héros de la série Mr Robot, membre du groupuscule "Fsociety". Crédit : USA Network.
Le Français ayant révélé une faille dans une base de données biométriques indienne se fait surnommer Elliot Alderson, en référence au héros de la série Mr. Robot, membre du groupuscule « Fsociety ».

En révélant que les données biométriques de 20 000 citoyens indiens étaient accessibles en quelques clics, un Français de 28 ans a choisi d’enfiler la casquette de lanceur d’alerte plutôt que le chapeau de pirate. C’est sur son compte Twitter qu’Elliot Alderson, référence au héros de la série Mr. Robot, a annoncé en janvier 2018 avoir mis la main sur ces informations. En cause, l’application sur laquelle les Indiens peuvent retrouver les renseignements contenus dans leur passeport biométrique : état civil, adresse, religion mais aussi empreinte digitale et photos du visage.

« Bonjour Aadhaar (le nom du programme de passeports biométriques indiens, NDLR) (…) J’ai vérifié votre application Android et vous avez des problèmes de sécurité… C’est super facile d’obtenir le mot de passe de la base de donnée par exemple… », a tweeté le Français après sa découverte.

 

Constatant que la faille persistait, l’ingénieur s’est fendu deux mois plus tard d’un tweet railleur adressé à l’UIDAI, l’autorité en charge de ce passeport. Il y dévoile dans une vidéo comment obtenir le mot de passe de la base de données en question, le tout “en une minute”.

Dans une capture d’écran vidéo posté sur son compte Twitter, Elliot Alderson détaille « comment craquer le mot de passe de l’application officielle de Aadhaar en une minute »

 

L’UIDAI a finalement assuré sur le réseau social qu’aucun usage malveillant ne saurait être fait de ces données, ignorant ainsi les fraudes bancaires et le détournement de bons alimentaires auxquelles elles ont pourtant servi en 2018.

Alexandre BERTEAU

 

À Valenciennes, un master pour futur hacker

Les étudiants du master Cyber-défense et sécurité de l'information de Valenciennes deviennent des experts en test d'intrusion. Crédit : domaine public
Signe de l’institutionnalisation croissante du métier de hacker éthique, des masters forment désormais à ce type de métier. Crédit : domaine public

Apprendre à se faufiler dans les failles des systèmes informatiques pour mieux les combler. C’est ce qu’assimilent les étudiants du master Cyber-défense et sécurité de l’information (CDSI) à l’Institut des Sciences et Techniques de Valenciennes. Inaugurée en 2015, cette formation prépare chaque année 25 étudiants à devenir des hackers éthiques, même si la dénomination exacte se veut plus rassurante : auditeur en sécurité des systèmes d’information.

Les futurs diplômés, généralement titulaires d’une licence d’informatique ou de mathématiques appliquées, n’auront aucun mal à trouver un point de chute. Car face à des cybermenaces de plus en plus nombreuses, les besoins des entreprises pour ce type de profil sont croissants. Certaines ont d’ailleurs flairé le filon en signant des conventions de partenariats avec l’université, comme Orange Cyberdéfense ou le géant de l’aéronautique Thalès. Un moyen de s’assurer les meilleurs éléments dès l’obtention du diplôme. D’autres cursus de ce type existent à Laval ou Vannes par exemple.

Lucas MARTIN

Apprendre à coder pour devenir un utilisateur averti du numérique (3/3)

Rabah enseigne le code à Achille et Tom, élèves en sixième. Crédit : Julien Percheron
Rabah enseigne le code à Achille et Tom, élèves en sixième. Crédit : Julien Percheron

La start-up Evolukid lancée en 2016, propose à des enfants d’apprendre à créer des programmes informatiques. Chaque mercredi après-midi, Rabah Attik accueille les jeunes développeurs dans le centre culturel de Courbevoie. L’objectif, ouvrir les enfants à une autre culture.

Il reste encore quelques minutes à Rabah Attik pour installer les ordinateurs portables et les brancher. Autour de 17 heures, les enfants débarquent dans la salle de classe enroulés dans les écharpes. Achille, dix ans révolus, ne prend même pas la peine d’enlever son manteau. Il a déjà ouvert son ordinateur, les yeux rivés sur l’écran, trépignant d’impatience. “Aujourd’hui, nous allons continuer ce que nous avons commencé la semaine dernière avec l’exercice de l’escargot”, lance le professeur. “C’est à vous de trouver l’énoncé !”

Elève en sixième, Achille a déjà codé plusieurs jeu, dont une réplique du célèbre "Flappy Bird". Crédit : Julien Percheron
Elève en sixième, Achille a déjà codé plusieurs jeu, dont une réplique du célèbre « Flappy Bird ». Crédit : Julien Percheron

“Ma mère m’interdit d’avoir Facebook”

Ce cours pas comme les autres accueille chaque mercredi cinq élèves de CM2 et sixième. Arthur, Tom et Achille s’activent sur leur clavier. Pendant 1 h 30, ils vont suivre les consignes de Rabah et coder un programme sur leur ordinateur. Sur le logiciel « Scratch », les enfants doivent donner des instructions à une figure, un escargot, pour qu’elle se déplace sur l’écran.

Achille est en avance sur ses camarades. “J’aime coder pour créer des jeux, j’en ai déjà fait plusieurs chez-moi”, lance ce développeur en herbe. Achille est bien équipé : téléphone portable, ordinateur et tablette, sur laquelle il enchaîne les parties de “Clash Royal”. Question réseaux sociaux, il reste vigilant. “Ma mère m’interdit d’avoir Facebook. Et puis je risquerais de tomber sur des gens pas très gentils. J’ai tout de même une boîte mail”, affirme-t-il derrière ses lunettes aux épais bords noirs.

Rabah Attik, ancien ingénieur informatique, veut faire des enfants consommateurs, des créateurs. Crédit : Julien Percheron
Rabah Attik, ancien ingénieur informatique, veut faire des enfants consommateurs, des créateurs. Crédit : Julien Percheron

Culture numérique

“Un évènement, une orientation !”, répète Rabah inlassablement. “Arthur, on reste concentré…” Pour cet ingénieur devenu professeur de coding, découvrir les bases de l’algorithmique est parfaitement adapté aux enfants. “Le raisonnement est un dénominateur commun à l’adulte et à l’enfant. Avec un logiciel de programmation interactif, ils apprennent en s’amusant et communiquent beaucoup entre eux.” Ces compétences, Rabah les distingue de la pratique des outils numérique. “Bien sûr, l’idée est aussi de pouvoir faire migrer les enfants consommateurs vers l’aspect créateur. Avoir une culture numérique solide leur permet de comprendre leur manière de consommer.”

Rabah le sait, son activité est dans l’air du temps. L’enseignement du code s’est déjà trouvé une place dans les emploi du temps scolaires. Depuis 2016, des cours de code sont proposés dans certains collèges et lycées. Si la formation des professeurs à l’apprentissage du numérique est encore défaillant, ils sont toutefois grandement encouragés à transmettre aux enfants cette « pensée informatique ».

A l’approche de Noël, les jouets numériques auront une place de choix au pied du sapin. L’offre ne manque pas, des jeux en bois pour les plus petits aux robots équipés de capteurs pour les plus confirmés…

Léa Duperrin et Julien Percheron