Hacking éthique

Dans le contexte actuel où l’introduction massive des nouvelles technologies de l’information et de communication a rapproché le monde, un discours inquiétant a vu le jour et a fait remonter les problèmes que ces mêmes technologies soulèvent en matière de sécurité. La principale raison de cette inquiétude est le piratage des systèmes informatiques, car si les nouvelles technologies sont puissantes, elles sont également vulnérables. Ainsi, la nécessité de protéger les systèmes de la nuisance du piratage (générée par les hackers informatiques) engendre des concepts comme celui du hacking éthique. Il s’agit du domaine de sécurité des réseaux qui connaît la plus forte croissance et tend de plus en plus à s’imposer tout en suscitant beaucoup de débats[1].

Loin de l’image déformée du pirate criminel des réseaux évoquée par le terme hacker, qui correspond très souvent à celle d'un jeune qui tape quelques commandes sur un écran d’ordinateur pour que ce dernier crache des données confidentielles, le hacker éthique se présente plutôt comme un manipulateur émérite des technologies, souvent inconnues de la plupart des professionnels de l'informatique et de la sécurité, qui sont spécialisées pour accéder à l'information.

Les hackers éthiques (anglais : ethical hackers) deviennent rapidement un élément essentiel de l’arsenal de sécurité réseau d’une entreprise et remplissent de plus en plus un rôle au-delà des tests d'intrusion. À mesure que les menaces changent, les compétences des pirates éthiques évoluent elles aussi, englobant l'ingénierie sociale, les réseaux sociaux et les technologies mobiles grand public.

La plupart des hackers éthiques ont pour activité le piratage à but lucratif, une activité connue sous le nom de test d'intrusion (anglais : penetration test or pentest). Cette méthode d’évaluation est généralement effectuée par un professionnel de sécurité, un testeur, afin d'identifier les risques et les vulnérabilités liés à la sécurité des systèmes et des réseaux. Une identification qui servira dans la mise en place d’un plan d'actions permettant d'améliorer la sécurité d’un système d'information plus élaboré que le précédent.

Les entreprises et les gouvernements ont finalement compris, dans leur recherche d’un moyen d’aborder le problème de la sécurité informatique (devenu une préoccupation majeure), que l'un des meilleurs moyens d'évaluer la menace qu’un hacker malveillant représente pour leurs intérêts, est de faire en sorte que des professionnels indépendants de la sécurité informatique tentent de s'introduire dans leurs systèmes.

Ces équipes, appelées « hackers éthiques », emploient les mêmes outils et techniques que les attaquants, mais au lieu de causer des dommages aux systèmes cibles et d’exploiter ou voler des informations, ils évaluent la sécurité de ces systèmes et font un rapport aux propriétaires avec les vulnérabilités trouvées et les solutions pour y remédier.

Diverses technologies, techniques et non techniques, peuvent être utilisées dans le cadre du processus de test d'intrusion pour faire face aux menaces internes et externes. La liste suivante répertorie les outils les plus couramment utilisés dans les tests d'intrusion.

Le processus du test d’intrusion peut être décomposé en une série d'étapes ou de phases. Lorsqu'elles sont regroupées, ces étapes constituent une méthodologie complète pour effectuer un test d'intrusion[9] - [10].

Un examen attentif des rapports de réponse aux incidents non classifiés confirme l’idée que la plupart des hackers black hats suivent également un processus lorsqu’ils attaquent une cible.

L’utilisation d’une approche organisée est importante car elle permet non seulement au testeur de se concentrer et de progresser, mais également d’utiliser les résultats ou les sorties de chaque étape au cours des étapes suivantes.

Bien que les noms globaux ou le nombre d'étapes puissent varier d'une méthodologie à l'autre, l'important est que le processus fournisse une vue d'ensemble complète du processus de test d'intrusion.

Le processus se découpe donc en 5 phases : la reconnaissance, le scanning, l’exploitation, le maintien de l’accès et enfin la couverture des traces.

Les tests d’intrusion peuvent aider à réduire l’écart entre la protection, ou safeguarding, du système de sécurité d’une organisation et l’exposition de ses risques en matière de sécurité. Ceci en évaluant si les contrôles de sécurité sont adéquats et fonctionnent efficacement.

Core Security Technologies, le leader des solutions de mesure et de sécurité informatique, déclare que « si [une entreprise] ne procède pas à des tests d'intrusion […] elle est à la traîne »[11]. Les attaques informatiques évoluant constamment dans leurs nature, complexité et méthode, les tests d'intrusion peuvent être considérés comme une solution à l'environnement de menace de sécurité qui est en constante évolution. Aussi, elles aident le système informatique de l'entreprise à rester constamment à jour et à l'écoute, toujours dans le cadre de sa stratégie de sécurité globale.

Selon PCI et ISO 27001, la gestion des risques et des menaces pour la sécurité est un processus essentiel en informatique. La raison en est que les organisations doivent comprendre parfaitement leurs faiblesses afin de pouvoir se défendre efficacement et se protéger contre les accès non autorisés.

Les principales statistiques de Core Security Technologies indiquent qu'en 2004, 80 % des principales vulnérabilités de sécurité ont été attaquées dans un délai de 60 jours, alors qu'en 2008, 85 % avaient eu une attaque dans les 10 jours. Ceci démontre clairement que les possibilités pour les pirates informatiques malveillants deviennent de plus en plus large à mesure que les opportunités et le temps à exploiter se développent simultanément. Au lieu d’avoir la mauvaise approche envers la sécurité dans l'espoir de ne pas être piratés, les organisations devraient prendre les mesures appropriées pour atténuer et contrôler les risques.

Les tests d’intrusion permettent de renforcer les procédures de sécurité d’une organisation, ainsi que d’améliorer davantage l'efficacité de sa gestion des risques. Cela peut également consister à augmenter le degré de transparence en évaluant le type de données sensibles, pouvant être potentiellement exposées, et la manière dont le réseau peut être compromis par des éléments humains.

En fin de compte, le principal avantage est que les organisations peuvent tirer profit de l'expérience des tests d'intrusion. En effet, cela leur permet d’améliorer leurs systèmes de sécurité en analysant en profondeur leurs faiblesses, en appliquant correctement les modifications et en informant toutes les parties en temps voulu.

On ne peut s'attendre à ce que les tests d'intrusion identifient toutes les faiblesses possibles en matière de sécurité ou à ce qu’ils garantissent une sécurité à 100 %.

Les nouvelles technologies et méthodes de piratage peuvent créer de nouvelles expositions non anticipées lors de ces tests. Ainsi, il est certainement possible qu'après des tests d'intrusion, des incidents de hacking se produisent par la suite. Il est impossible d'obtenir une protection complète, mais uniquement une bonne protection du système de sécurité d'une organisation.

Les tests d'intrusion impliquent la prise des captures d'écran d'un ordinateur ou de copier des informations sensibles comme preuve que le système présente des failles de sécurité essentielles. Cependant, il existe de nombreuses restrictions quant à l'étendue des informations qui seront disponibles et légitimement accessibles au pirate informatique. Cela empêche les tests d'intrusion de simuler le plus fidèlement possible les activités des hackers malveillants, car celles-ci ne sont soumises à aucune limitation.

Premièrement, les tests d’intrusion peuvent être régis par les lois et les obligations contractuelles du système de l’organisation. En effet, si le test récupère involontairement des informations hautement confidentielles, il peut en résulter une violation des lois et des accords contractuels. De plus, si les données sont localisées et sécurisées dans un pays, les lois de ce dernier peuvent interdire ce qu'un hacker éthique peut effectuer. Par exemple, l'article 25 de l'Union européenne indique clairement que les données à caractère personnel ne peuvent pas être extraites de l'Espace économique européen (EEE), à moins que le pays n'offre une protection « adéquate », or les États-Unis ne sont pas considérés comme tels. Enfin, les entreprises qui externalisent leur infrastructure informatique peuvent restreindre l'utilisation de techniques similaires en raison des contrats de licence.

Toutes ces restrictions impliquent que les organisations et les pirates éthiques prennent des mesures supplémentaires pour réduire les risques de responsabilité non désirées. Pour ce faire, il convient de conclure des accords écrits détaillés entre l'entreprise et le pirate éthique afin de définir la portée, l'objectif, les conditions et les limitations éventuelles de la mission.

En outre, un test d'intrusion est généralement effectué avec des ressources limitées sur une période donnée. Par conséquent, une fois qu'un pirate informatique responsable a identifié le risque actuel et les menaces qui pèsent sur le système, l'organisation doit immédiatement prendre des mesures correctives pour atténuer ces failles de sécurité et réduire une exposition potentielle aux pirates malveillants.

Avec l'utilisation croissante d'Internet par les organisations, il y a une modification de la façon dont les organisations conduisent les relations avec leurs clients. En conséquence, les risques et les menaces liés à l’environnement de sécurité évoluent parallèlement.

En mai 2011, les jeux vidéo PlayStation de Sony ont été piratés et ont entraîné une perte de données à caractère personnel d'environ 77 millions d'utilisateurs[12]. Même si Sony a pris les mesures appropriées en renforçant son réseau contre les attaques potentielles à venir, ces mesures de sécurité ont été appliquées après coup. Si un test d'intrusion avait été effectué à titre préventif, Sony n'aurait pas violé le contrat de confidentialité avec ses clients. Aussi, la disponibilité de PlayStation Network aurait été maintenue, aucune poursuite en justice n'aurait été intentée contre la société pour dommages et intérêts, aucun téléchargement gratuit pendant 30 jours n’aurait été instauré et aucune excuse n’aurait dû être faite par Sony.

Canada eShop[13] de Sony Ericsson s'est également heurté à une faille de sécurité dans laquelle 2 000 comptes clients (noms et prénoms, adresses e-mail et hachage des mots de passe cryptés) ont été piratés. Il y a eu au moins 10 activités de piratage que Sony a connu depuis avril 2011, soulignant que Sony est une cible importante pour les pirates. Cela renforce le fait que les tests d'intrusion constituent un investissement rentable, car ils peuvent potentiellement aider à atténuer toutes les pertes financières de sociétés multimilliardaires telles que Sony.

Grâce à ces différentes attaques, les entreprises ont compris que leurs systèmes de sécurité étaient inadéquats et ne pouvaient pas protéger correctement leur base de données confidentielle. Cela témoigne d’un besoin accru en tests d’intrusion, en particulier pour les grandes entreprises, en raison de la fréquence et de la grandeur de l’impact que les pirates informatiques peuvent influer négativement sur la situation générale d’une société.

Dans le cadre de sa stratégie de sécurité globale, une organisation doit envisager les tests d'intrusion en fonction de deux facteurs : l'importance et la probabilité d'exploitation de la sécurité par des hackers malveillants[7]. Les contrôles de sécurité sont le fondement de la confiance [7] placée par les parties prenantes de l’organisation. Ainsi, l’importance est liée au degré de rupture de confiance des clients, des employés et des autres parties prenantes.

La probabilité d'occurrence est liée à la cible de choix[7] et à la cible d'opportunité[7]. Si une organisation est de grande taille et a une grande visibilité, telle que le gouvernement ou les banques, elle devient une cible privilégiée. Si une organisation manque de contrôles de sécurité, elle est plus exposée à la fréquence accrue d'attaques en raison de la facilité d'accès relative.

Par conséquent, si une entreprise estime que les failles de sécurité engendreront une forte probabilité d’attaque, il peut être rentable de réaliser des tests d’intrusion combinés, automatiques et manuels, avec diverses techniques internes et externes.

La technologie ne cesse de progresser et nous rencontrons de plus en plus d’outils bénéfiques pour le grand public. Mais entre de mauvaises mains, cela peut créer une grande controverse, enfreignant notre droit fondamental au respect à la vie privée et au libre arbitre.

Le hacking éthique est-il enfin venu à la rescousse pour résoudre les problèmes ou va-t-il en créer de nouveaux ?

En effet, enseigner aux élèves à pirater est toujours un problème très grave auquel nous sommes confrontés aujourd'hui. Les responsables de cours estiment qu’ils apprendront aux étudiants comment améliorer l'intrusion. Seulement, il est très difficile de comprendre les véritables intentions des étudiants. C’est pourquoi la raison pour laquelle le piratage éthique devrait être utilisé est très controversée.

Enseigner à un étudiant devenir un hacker et découvrir plus tard que la connaissance a été utilisée pour commettre des crimes aura certainement un impact sur la société en ce qui concerne le pourquoi il a été autorisé à comprendre comment pirater en premier lieu. Cependant, nous ne pouvons pas simplement dire que c'est la faute de ceux qui lui ont permis de suivre le cours[14].

Une fois qu'un étudiant acquiert de nouvelles compétences qu’il peut utiliser de manière positive comme de manière malveillante, certaines politiques, qui doivent adresser le problème des étudiants qui se livrent à des actes malveillants, ne sont pas appliquées.

Toutefois, elles peuvent être corrigées en appliquant des contrôles de sécurité aux personnes, comme c’est le cas pour certains cours tels que le hacking éthique. Une vérification des antécédents criminels, l'exigence d'une sorte de certification professionnelle et des entretiens avec les étudiants sont quelques-unes des mesures qui pourraient éventuellement éliminer plusieurs, voire tous les étudiants ayant des intentions potentiellement malveillantes[15].

Avec un éventail de formations disponibles dans le monde entier, il serait difficile de comprendre la raison de leur intérêt pour ce cours. Une des motivations qui ne peut pas être ignorée est le fait que les hackers éthiques sont des personnes très bien payées.

Les tests d’intrusion constituent un élément important de la stratégie de sécurité globale d’une entreprise. Ils peuvent indéniablement apporter une valeur ajoutée si les contrôles système de la société présentent des faiblesses majeures en matière de sécurité, et un risque élevé d’accès non autorisé en raison de la nature et des activités de l’entreprise.

Grâce à des tentatives contrôlées d’immersion dans le système informatique, une combinaison de techniques et de stratégies de test d’intrusion peut être développée pour répondre aux besoins d’une entreprise en fonctions de la nature de ses activités, la taille et la complexité de ces opérations. Cela renforcera à son tour l’assurance fournie par les auditeurs lors de l’évaluation simultanée des contrôles internes et du système de sécurité d’une entreprise.

Dans l’ensemble, malgré la controverse autour de ce sujet, le hacking éthique et les tests d’intrusion devraient être considérés comme un moyen efficace de réduire et de combler les lacunes en matière de sécurité afin que des pirates malveillants ne puissent les exploiter.

En France, les « hackers blancs » sont protégés par la loi du 7 octobre 2016 pour une République numérique[16]. Ils peuvent en effet, d'une part, signaler à l’Agence Nationale pour la Sécurité des Systèmes d’Information (ANSSI) afin de mieux se protéger, et d'autre part conserver leur anonymat[17].