Le hacking éthique, ou piratage éthique, en sécurité informatique, décrit l'activité de hacking lorsqu'elle n'est pas malveillante.
Les mêmes pratiques (tel que le piratage, l'exploitation de faille, le contournement des limitations) peuvent être utilisées par des white hats () avec un objectif bienveillant (analyse, information, protection…) ou des black hats () avec un objectif malveillant (destruction, prise de contrôle, vol...).
Par exemple, il est plus éthique de pratiquer une divulgation responsable et d'agir dans un cadre légal : mission de test d'intrusion ou bug bounty (chasse aux bugs).
Introduction Dans le contexte actuel où l’introduction massive des nouvelles technologies de l’information et de communication a rapproché le monde, un discours inquiétant a vu le jour et a fait remonter les problèmes que ces mêmes technologies soulèvent en matière de sécurité. La principale raison de cette inquiétude est le piratage des systèmes informatiques, car si les nouvelles technologies sont puissantes, elles sont également vulnérables. Ainsi, la nécessité de protéger les systèmes de la nuisance du piratage (générée par les hackers informatiques) engendre des concepts comme celui du hacking éthique. Il s’agit du domaine de sécurité des réseaux qui connaît la plus forte croissance et tend de plus en plus à s’imposer tout en suscitant beaucoup de débats.
Loin de l’image déformée du pirate criminel des réseaux évoquée par le terme hacker, qui correspond très souvent à celle d'un jeune qui tape quelques commandes sur un écran d’ordinateur pour que ce dernier crache des données confidentielles, le hacker éthique se présente plutôt comme un manipulateur émérite des technologies, souvent inconnues de la plupart des professionnels de l'informatique et de la sécurité, qui sont spécialisées pour accéder à l'information.
Les hackers éthiques () deviennent rapidement un élément essentiel de l’arsenal de sécurité réseau d’une entreprise et remplissent de plus en plus un rôle au-delà des tests d'intrusion. À mesure que les menaces changent, les compétences des pirates éthiques évoluent elles aussi, englobant l'ingénierie sociale, les réseaux sociaux et les technologies mobiles grand public.
La plupart des hackers éthiques ont pour activité le piratage à but lucratif, une activité connue sous le nom de test d'intrusion (). Cette méthode d’évaluation est généralement effectuée par un professionnel de sécurité, un testeur, afin d'identifier les risques et les vulnérabilités liés à la sécurité des systèmes et des réseaux. Une identification qui servira dans la mise en place d’un plan d'actions permettant d'améliorer la sécurité d’un système d'information plus élaboré que le précédent.
Définition : qu’est-ce que le hacking éthique/test d’intrusion ? Les entreprises et les gouvernements ont finalement compris, dans leur recherche d’un moyen d’aborder le problème de la sécurité informatique (devenu une préoccupation majeure), que l'un des meilleurs moyens d'évaluer la menace qu’un hacker malveillant représente pour leurs intérêts, est de faire en sorte que des professionnels indépendants de la sécurité informatique tentent de s'introduire dans leurs systèmes.
Ces équipes, appelées « hackers éthiques », emploient les mêmes outils et techniques que les attaquants, mais au lieu de causer des dommages aux systèmes cibles et d’exploiter ou voler des informations, ils évaluent la sécurité de ces systèmes et font un rapport aux propriétaires avec les vulnérabilités trouvées et les solutions pour y remédier.
Caractéristiques de base des tests d’intrusion
Différents types de hackers On peut distinguer trois types de hackers : les black hats, les grey hats et les white hats (respectivement chapeaux noirs, gris et blancs en français).
Les black hats commettent des attaques d’intrusion non autorisées contre les systèmes d’informations, qui peuvent être illégaux ou non dans le pays où ils sont conduits.
D'autre part, les hackers éthiques qui sont appelés white hats effectuent, légalement, des tests de sécurité suivant un accord contractuel. Leur objectif principal est d'améliorer le système avant qu'un véritable hacker criminel pénètre au sein de l'organisation.
Enfin, les grey hats sont ceux qui se situent entre les blancs et les noirs et qui exercent leurs activités dans le cadre des lois et règlements légaux, mais peuvent dépasser légèrement ces limites.
Les tests d’intrusion étant une tentative d’immersion autorisée dans le réseau d’une organisation, l’article portera principalement sur les white hats hackers ou hackers au chapeau blanc.
Red team Généralement, les tests sont menés par un groupe faisant partie des white hats : les red teams (équipes rouges en français). Ce sont des équipes composées d’auditeurs externes ou de sociétés de conseil qui fournissent ce genre de services.
L’objectif principal de la red team est de simuler des activités identiques ou similaires aux hackers en exploitant des vulnérabilités de sécurité dans un environnement de test contrôlé. En agissant de la sorte, l'entreprise peut éliminer ses failles de sécurité avant que des utilisateurs non autorisés ne puissent réellement les exploiter.
Le personnel interne ne doit pas faire partie de l’équipe, car cela enfreint le principe fondamental de l’autoévaluation. Ainsi, on s'attend à ce que le personnel externe ait une connaissance très limitée, voire inexistante, du système pour pouvoir effectuer une simulation plus réaliste, en conduisant une attaque similaire à celle d’un hacker malveillant. Néanmoins, une vérification des antécédents, des qualifications, de la bonne réputation et de l'expérience, doit être effectuée car l'équipe traitera des informations confidentielles et sensibles.
Les red teams doivent être supervisées par une personne qui sera tenue responsable de tout échecRonald Raether, Data Security and Ethical Hacking: Points to Consider for Eliminating Avoidable Exposure.
Types de tests d’intrusion
Automatisé vs. manuel Les tests d’intrusion automatisés et manuels peuvent tous les deux êtres utilisés pour évaluer le système de contrôle de sécurité d’une organisation.
Les tests automatisés ont été la principale approche adoptée par les organisations en raison des changements technologiques rapides puisqu'ils permettent de réaliser des économies d’échelle en comparaison avec les tests manuels.
Un test manuel approfondi peut prendre plusieurs semaines avec un investissement de plusieurs milliers d’euros, tandis qu'un test automatisé peut effectuer les tests en quelques heures à un coût réduit.
De ce fait, les outils automatisés peuvent être plus rentables et efficaces s'ils sont utilisés correctement.
Un autre avantage de l’automatisation est que les entreprises peuvent effectuer ces tests aussi souvent qu’elles le souhaitent et ne pas se limiter aux heures de travail comme c’est le cas avec les tests manuels conduis par des personnes.
D'autre part, les outils automatisés peuvent donner lieu à de faux sentiments de sécurité. En effet, ils ne garantissent pas la capture à 100 % des failles de sécurité du système et sont en l’occurrence aussi efficace que les personnes qui les ont programmés et exécutés.
En d'autres termes, un employé non formé qui gère les tests automatisés risque de causer davantage de dommages à l'entreprise que les bénéfices attendus. En outre, un test automatisé manque de flexibilité pour substituer différents scénarios par rapport à un test manuel complet effectué par un hacker éthique expérimenté.
Externe vs. Interne Comme indiqué ci-dessus, des tests doivent être effectués pour traiter les menaces internes et externes.
Les tests internes sont effectués dans le système de l’entreprise et simulent comment un utilisateur ou un employé autorisé pourrait potentiellement agir. D'autre part, des tests externes tentent de simuler la façon par laquelle un pirate informatique externe pourrait potentiellement nuire de l'extérieur du système. L’équipe mènerait des attaques par intrusion sur le système réseau de l’organisation en utilisant Internet ou Extranet.
La red team cible généralement les serveurs ou les périphériques de l’entreprise, tels que le serveur du domaine, le serveur de messagerie, le serveur Web ou le pare-feu.
Boite noire vs. boite blanche vs. boite grise
Test de la boîte noire Dans cette technique, le testeur n’a aucune connaissance préalable de l’architecture de réseau ou des systèmes du réseau de test. Généralement, le test de la boîte noire est effectué à partir d'un réseau externe vers un réseau interne. Le testeur doit utiliser son expertise et ses compétences pour effectuer les tests.
Test de la boîte blanche Les testeurs ont une connaissance complète de la configuration de test et de la configuration système du réseau/système de test. Habituellement, ces tests sont effectués à partir du réseau interne. Les tests de la boîte blanche nécessitent une compréhension approfondie du réseau ou du système de test et donnent de meilleurs résultats.
Test de la boîte grise Lors de cette méthode, le testeur a une connaissance partielle du réseau de test. Le testeur ne connaît pas l’architecture complète du réseau, mais il connaît quelques informations de base sur les tests de configuration du réseau et du système.
En somme, le test de la boîte grise est la combinaison des deux autres techniques. Cela peut être effectué à partir d'un réseau interne ou externe
Techniques de test d’intrusion Diverses technologies, techniques et non techniques, peuvent être utilisées dans le cadre du processus de test d'intrusion pour faire face aux menaces internes et externes. La liste suivante répertorie les outils les plus couramment utilisés dans les tests d'intrusion.
Logiciels d’applications Web Dans la mesure où plusieurs entreprises vendent un nombre considérable d’applications professionnelles sur Internet, les tests peuvent être adoptées pour évaluer le niveau de cryptage utilisé pour le traitement des informations confidentielles et sensibles (128 ou 256 bits), les pare-feu et l’utilisation de cookies stockés sur les ordinateurs des clients, la longueur et la force des mots de passe et la sécurité des configurations logicielles. Par exemple, un message ne doit pas indiquer clairement qu'il n'y a un mot de passe incorrect, et aucun problème avec le nom d'utilisateur de connexion.
Déni de service Ces tests dépendent de l’engagement de l’organisation à assurer la disponibilité continue du système d’information. La red team évalue la vulnérabilité du système face à des attaques qui le rendent indisponible, du fait qu’il est incapable de gérer un volume de trafic élevé, et empêchent les utilisateurs légitimes d'un service de l'utiliser.
Il peut s'agir de : l’inondation d’un réseau afin d'empêcher son fonctionnement ; la perturbation des connexions entre deux machines, empêchant l'accès à un service particulier ; l'obstruction d'accès à un service pour une personne en particulier ; l’envoi de milliards d'octets à une box internet.
War dialing Ce test consiste à appeler systématiquement de nombreux numéros de téléphone afin d’identifier les modems, dispositifs d’accès à distance et connexions de maintenance, présents sur le réseau d’une entreprise.
Une fois identifiés, des techniques d'exploitation, telles que des tentatives stratégiques pour deviner le nom d'utilisateur et le mot de passe, sont effectuées pour déterminer si la connexion peut être utilisée comme moyen de pénétrer le système de sécurité des informations.
Réseau sans fil L'idée même d'un réseau sans fil introduit de nombreux lieux d'attaque et d'intrusion qui sont soit beaucoup plus difficiles, soit totalement impossibles à exploiter avec un réseau câblé standard.
Les testeurs d'intrusion contournent les bureaux pour identifier les réseaux sans fil ouverts de l'organisation qui n'ont pas lieu d’être.