Confondre confidentialité et sécurité : l'erreur fatale

Lors d'un récent vol long-courrier, j'en ai profité pour dévorer une quantité, franchement déraisonnable, d'épisodes de podcasts. Suivre autant de séries différentes signifie que je ne suis jamais à court de contenu à écouter, avec des conversations captivantes — bien qu'à sens unique — accessibles en un simple effleurement de l'écran de mon téléphone.

J'ai fini par écouter un épisode du podcast de true crime, Casefile. Cette série dramatique et sans concession (complétée par un animateur anonyme à la voix inquiétante) a exploré un sujet qui fascine même les technologues les plus avertis : le dark web et l'ascension cataclysmique du site de commerce illicite, Silk Road. Divisé en deux parties, ceux qui connaissent l'ascension et la chute de Silk Road auront sans aucun doute suivi l'actualité de l'affaire, mais le podcast divulgue chaque détail, dans un récit délicieux et haletant.

Silk Road : Leçons du donjon du dark web

Si vous n'êtes pas familier avec les rouages de Silk Road, le résumé en quelques mots est qu'un homme a créé un site de commerce sur le dark web, caché des regards indiscrets du grand public et invisible sans l'utilisation d'un logiciel spécial : le navigateur Tor, pour être exact. Le site ne proposait initialement que ses champignons hallucinogènes maison, mais, pratiquement du jour au lendemain, il a explosé avec des vendeurs proposant tout, des drogues dures aux armes illégales en passant par des numéros de carte bancaire volés. Vous pouvez vous mettre à jour ici. Le créateur et administrateur du site utilisait le pseudonyme inspiré de Princess Bride, Dread Pirate Roberts. Il était tout le monde, il n'était personne. Tous les utilisateurs échangeaient une véritable manne de produits illégaux, et ils le faisaient en toute anonymat (et, ce faisant, ont donné au Bitcoin la réputation de monnaie de choix des trafiquants de drogue ; un surnom dont il commence à peine à se défaire).

Cependant, l'expérience anti-système de Dread Pirate Roberts est devenue incontrôlable. Bientôt, des tueurs à gages ont fait la publicité de leurs services. Des gens mal intentionnés faisaient des choses terribles... et il était enivré par sa nouvelle richesse insondable. Il a même tenté d'utiliser les services d'un tueur à gages pour se débarrasser d'un ancien employé. Pour faire court, ce fut l'une des nombreuses décisions stupides qui ont causé sa perte. Il a été démasqué sous le nom de Ross Ulbricht et il croupit actuellement dans une cellule de prison américaine, purgeant une double peine de prison à vie plus quarante ans sans possibilité de libération conditionnelle.

Mais comment a-t-il été attrapé si tout était totalement privé et anonyme ?

Well, to put it bluntly: he was a pretty crappy coder. The Silk Road site itself was like a leaky old barge marooned in the ocean. Considering it was a hub of illegal activity (and all the data behind that activity) it was not secure at all; it was a sitting duck just waiting to be exploited by an opportunistic hacker. To be fair, when you're the mastermind of a huge, illegal drug trafficking business, it's probably not easy to find competent employees who would like to get involved with your operation. He made no secret of his skill-gap, either - he even posted under his real name on Stack Overflow (yep, that's his user account), asking for help to properly configure his site code to connect with Tor using Curl in PHP. He changed his real name to the handle "frosty" less than a minute after posting, but this clearly didn't help... in fact, it probably did further damage: the encryption key on the Silk Road server ended with the substring "frosty@frosty", thus implicating him further once the FBI caught wind of his scent.

Malgré une telle volonté de confidentialité, avec des messages chiffrés, une monnaie dédiée et des instructions explicites sur la sécurisation de la marchandise elle-même pendant le transport et la livraison, le site n'était pas la forteresse impénétrable de la fantaisie libertarienne qu'Ulbricht avait pu imaginer. Ceux qui avaient les compétences (lisez : les programmeurs employés par le FBI) l'ont lentement, mais sûrement, démantelé pour tout révéler... y compris l'identité de milliers de personnes ayant effectué des transactions sur le site. Il est possible que ceux qui ont acheté des produits illicites il y a de nombreuses années reçoivent encore la visite de la justice à un moment donné.

Le FBI a publié des documents décrivant comment ils ont réussi à pénétrer Silk Road, l'explication générale étant l'utilisation d'une fuite d'adresse IP. Une mauvaise configuration de la page de connexion de Silk Road a révélé l'adresse IP et donc l'emplacement physique de ses serveurs, sans qu'aucun piratage complexe ne soit nécessaire. Une erreur de débutant, certes, qui a fini par mener le FBI directement à Ross Ulbricht.

Certains spéculent que cette faille - si elle existait - aurait été repérée bien avant ce moment par l'un des nombreux professionnels de la sécurité surveillant le site. Nik Cubrilovic, un consultant en sécurité australien, affirme qu'elle n'existait tout simplement pas dans une interview avec WIRED :

"Il est impossible d'être connecté à un site Tor et de voir l'adresse d'un serveur qui n'est pas un nœud Tor. La façon dont ils essaient de faire croire à un jury ou à un juge que cela s'est produit n'a aucun sens sur le plan technique."

Cubrilovic suggère ensuite que les informations pourraient avoir été obtenues par des pratiques de piratage illégales. Cette pratique semble être l'injection SQL, une rumeur non prouvée qui a été discutée comme une méthode d'extraction plausible sur de nombreux sites depuis.

La légalité des tactiques du FBI est un débat tout à fait distinct. Le fait que les informations aient pu être obtenues est révélateur des mauvaises pratiques de sécurité de Silk Road, malgré la perception générale des utilisateurs selon laquelle le site était "privé". Lorsque la confidentialité est confondue avec la sécurité, la possibilité d'exposition aux vulnérabilités est très certainement accrue.

Il est également possible que le site soit toujours en activité (sous sa forme originale, du moins ; il a été ressuscité plusieurs fois, et il existe des sites encore plus grands qui fonctionnent en ce moment même) si Ross Ulbricht avait fait la distinction entre confidentialité et sécurité, en travaillant activement pour garantir les deux avant qu'il ne devienne un immense projecteur, attirant tous les escrocs peu recommandables dotés de connaissances techniques légèrement supérieures à la moyenne sur la planète. Au lieu de cela, le club privé et tous ses secrets ont été révélés dès que quelqu'un a trouvé un moyen d'ouvrir la porte.

Vous n'êtes pas un baron de la drogue, alors pourquoi devriez-vous vous en soucier ?

La perte de Silk Road et l'emprisonnement de son fondateur ne sont pas une histoire triste et sympathique, mais une étude de cas fascinante sur les différences nuancées entre la confidentialité et une véritable sécurité de site robuste. De nombreuses opérations légitimes nécessitent que les transactions et les informations soient privées - pensez aux dossiers médicaux numérisés, ou même aux millions de numéros de carte bancaire détenus par une grande banque - mais si elles ne sont pas également sécurisées par un développement logiciel à toute épreuve, ces informations pourraient être dérobées par un attaquant (et, ironiquement, finir sur un site comme Silk Road). La confidentialité n'existe pas sans sécurité.

Les gentils, comme vous, pourraient avoir des logiciels vulnérables aux attaques par injection SQL et autres vulnérabilités du OWASP Top 10, il est donc vital qu'elles soient anticipées et atténuées efficacement. Si les développeurs sont formés pour coder de manière sécurisée dès le début du processus, ces failles ne verront jamais le jour. Il est impératif que les organisations se concentrent sur une culture de la sécurité et donnent à leurs équipes de développement les moyens de coder en toute sécurité. Nous pouvons vous montrer comment le faire de manière ludique, mesurable et gamifiée. Êtes-vous prêt ?