Les processus de sécurité de Booz Allen Hamilton (BAH), l’un des plus importants sous-traitant du Pentagone, ne sont visiblement pas au point. Le 22 mai dernier, un chercheur en sécurité de la société UpGuard est tombé nez à nez avec 28 Go de données secrètes, qui trainaient en accès libre dans un espace de stockage d’Amazon S3 et qui étaient visiblement déposés là par BAH. Pour y accéder, il suffisait de connaître l’adresse. Aucun mot de passe n’était nécessaire.
Selon Gizmodo, ce trésor d’informations contenait plus de 60.000 fichiers, liés en grande partie à l’agence américaine US National Geospatial-Intelligence Agency (NGA). Peu connue du grand public, celle-ci joue un rôle crucial dans toutes les opérations militaires des Etats-Unis, car elle fournit aux forces combattantes des données cartographiques issues de l’imagerie satellite. C’est grâce à elle, par exemple, que les forces spéciales américaines ont pu localiser et attaquer le logement secret d’Oussama Ben Laden en 2011.
Une clé secrète SSH d’un chef ingénieur
UpGuard a alerté BAH le 24 mai, sans obtenir de réponse. Le 25 mai, la société est passé à la vitesse supérieure en contactant directement la NGA. Neuf minutes plus tard, les données étaient sécurisées. D’après la NGA, cet espace de stockage ne contenait pas de données classifiées. Par ailleurs, aucune donnée classifiée n’aurait été compromise à la suite de cet incident. Mais les militaires ont certainement senti le vent du boulet, car l’espace de stockage contenait une palanquée d’identifiants non chiffrés appartenant à des personnes habilitées au niveau « Top Secret ». En particulier figurait dans ces fichiers la clé secrète SSH (Secure Shell, un protocole de connexion à distance) d’un chef ingénieur de BAH. Celle-ci aurait certainement pu donner accès à des données très sensibles.
Et ce n’est pas tout. Dans l’espace de stockage Amazon, on pouvait également trouver des identifiants root pour un serveur d’un centre de données, lui-même connecté au portail GEOAxIS, un système d’authentification ultra-protégé du Pentagone. Pas vraiment le genre d’informations qu’on laisse traîner sur la Toile. Selon Gizmodo, toutes ces données étaient probablement liées à un projet de développement gouvernemental. Des scripts de configuration trouvés dans l’espace de stockage suggèrent que le système en construction est défini pour manipuler des données classifiées Top Secret.
BAH et ses taupes célèbres
Ce n’est pas la première fois que BAH est à la source d’un scandale de fuite d’informations. Le lanceur d’alerte Edward Snowden, rappelons-le, travaillait chez ce sous-traitant lorsqu’il a récupéré tous ces documents de la NSA qui ont été révélés par la suite. Plus récemment, un employé de BAH en poste au sein de la NSA, Hal Martin, a été arrêté en août 2016 pour avoir copié et stocké chez lui une grande partie des outils de piratage de l’agence de cybersurveillance. Certains pensent qu’il est la source – volontaire ou non – du mystérieux groupe de pirates Shadow Brokers. Si c’est vrai, BAH serait indirectement responsable des deux méga-fuites d’informations secrètes que les Etats-Unis ont connus ces dernières années. Un joli score pour une entreprise qui pèse plus de 5 milliards de dollars en chiffre d’affaires.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
