En juin 2003, à la demande de notre direction financière, nous avons installé une application de réception de flux boursiers en temps réel par Internet. L’éditeur nous avait alors fourni un serveur, véritable
‘ boîte noire ‘ étanche, que nous avons, un peu trop rapidement peut-être, accepté d’installer dans notre salle informatique. Plusieurs mois se sont écoulés sans aucun problème avec cette application.Les utilisateurs étaient heureux et moi aussi jusqu’à ce coup de fil, il y a quinze jours… Le fameux éditeur me contacte pour me signaler qu’il a perdu la main sur son serveur et que cela est certainement dû à un
problème avec le tunnel SSL. Quelle ne fut pas ma surprise ! Jamais nous n’avions été informés de cette possibilité de prise de main à distance à travers ce tunnel SSL !Ce tunnel était simplement censé chiffrer le flux boursier qui transite par Internet. Après m’être énervé, je lui ai assuré qu’il n’était pas prêt de reprendre la main sur sa machine.Suite à cette découverte qui, pour un responsable de la sécurité, fait froid dans le dos, j’ai décidé de lancer un audit interne sur la dizaine de serveurs de la société qui peuvent accéder à Internet. Mon but consistait à
détecter d’éventuelles portes dérobées.Résultat des courses : seule la fameuse boîte noire était concernée. Aujourd’hui, les tunnels SSL sont entrés dans les m?”urs, et personne ne s’en préoccupe, mais dorénavant nous serons extrêmement vigilants sur ces
derniers qui, sous couvert d’apporter de la sécurité, constituent aussi de véritables autoroutes entre le réseau et Internet.* MM. Red, Green, Yellow et Purple sont cadres dans des services informatiques. Chaque mercredi, à tour de rôle, ils vous font partager le fruit de leur expérience.Prochaine chronique mercredi 18 février
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
