Piratage en blouse blanche (épisode 3)

Quatre jours maintenant que j’étais plongée dans l’audit du code d’e-learning. Enfin disons plutôt cinq jours, si j’en crois le tac que j’ai entendu quand j’ai commencé mon dernier, enfin presque dernier, expresso.

Et mon dieu, j’ai rarement vu une application aussi mal développée. Quand je parlais de garagistes à propos de certaines SSII, je crois que j’étais en dessous de la vérité. J’ai déjà listé des dizaines de failles possibles, de trous de sécurité si grands qu’on pourrait y faire passer des troupeaux d’éléphants… J’avais vraiment l’impression de remonter un fleuve de merdes codifiques depuis que j’avais plongé mon nez là-dedans.

“Mais…”, je ne pus retenir une exclamation, m’attirant le regard courroucé de mon Dark Vador Bubble Head, réveillé en sursaut alors qu’il rêvait de conquérir la galaxie et de faire cuire à la broche des petits lutins verts.

Pourquoi, mais pourquoi celui qui avait codé cette appli avait trouvé intelligent de faire générer en javascript des bouts de requêtes SQL exécutées sans vérification sur le serveur ? Je n’avais plus qu’à rajouter un item dans mon long long long rapport de failles et faire un petit patch rapide.

De longs couloirs dégueulasses et sombres. A ma droite, Drak courait en clopinant, lâchant un juron douloureux de temps en temps, visiblement mal en point. A ma gauche, Risfil, qui n’a plus rien de l’elfe propre sur lui qu’il était encore il y a quelques heures. Je ravale mes larmes en pensant à Fyx, notre barde qui doit servir de festin aux créatures qui nous sont tombées dessus… J’entends encore son dernier cri lorsque ces monstres l’ont fait tomber à terre et ont commencé à le dévorer, alors qu’il était encore vivant… Nous n’aurions pas du accepter la mission que l’encapuchonné nous proposait. Dès le départ, je savais que c’était trop bien payé pour être honnête. Et les morts ne profitent pas de leur argent. Si je devais mourir, ça ne serait pas seule. Je me retournais écartant les bras tout en psalmodiant les premiers mots de mon plus puissant sortilège. Le pouvoir se rua dans mes veines, électrisant mes cheveux, tandis que la magie hurlait d’impatience, attendant que je prononce le dernier mot de mon sortilège, attendant d’être libérée et de…

Je reconnu rapidement la sonnerie qui me vrillait les tympans comme étant celle de mon smartphone. Le retrouver ne fut pas une aussi mince affaire.
“Allo ?
– Hum, excusez-moi Monsieur le zombie, j’ai du me tromper de numéro…
– Fais pas le con Mathieu, tu me réveilles.
– A 15 heures ?
– J’ai bossé tard.
– Ok, tu as le temps pour un ciné avec tes vieux potes ?
– Pas cette fois, non, faut que je m’y remette.
– Ok, tant pis, passe le bonjour à Jack.”

Avant que je n’ai pu répondre de la répartie la plus cinglante que j’eus été capable de trouver au saut du lit, ce fourbe avait déjà raccroché. Tant pis. Je trouverais bien l’occasion de me venger. En attendant, je récupérais Jack qui était tombé de notre lit, je l’adossais à nouveau aux coussins et rallumais la machine à expresso.

Je vous ai déjà dit que je détestais les lundi ? Et bien, c’est encore pire lorsqu’ils arrivent après un week-end passé à auditer l’un des logiciels le plus mal codé de l’histoire de l’humanité. Cette appli était une telle catastrophe que sur les dernières heures j’aurais préféré faire n’importe quoi, même des logiciels de gestion d’assurance en WinDev plutôt que continuer à explorer ce code…

“Bonjour Messieurs, j’ai donc procédé durant la semaine dernière à un rapide audit non exhaustif de votre application”. Carpendar n’avait malheureusement pas profité de la semaine pour redécorer son bureau. J’avais l’impression que chacune des photos de lui me regardait tandis que j’exposais le résultat de mes recherches au petit comité qui m’écoutait. “Je dis non exhaustif parce que vu la somme de problèmes que j’ai trouvée…”, petit signe vers le gros rapport posé sur le bureau du DG, “… je pense qu’il faudra que vous procédiez à un audit complet de votre application”.

Plus je parlais, plus l’heure tournait, plus je les voyais se décomposer. J’étais presque sûre que Carpendar réfléchissait à comment il allait pouvoir faire en sorte que mon rapport n’arrive jamais jusqu’aux dirigeants d’Horizon. Quant à Tave, il devait prier pour que mes conclusions ne soient pas trop violentes avec lui. “En conclusion, en ce qui concerne l’audit, je vous ai joint un patch corrigeant ou limitant chacun des problèmes que j’ai pu trouver. Je vous conseille d’ailleurs vivement de me laisser les mettre en place dès la fin de cette réunion”.

“Et concernant les piratages ? D’après Monsieur Tave, personne n’a tenté de se connecter d’une manière frauduleuse. N’est-ce pas ?” Le gugus avait un large sourire victorieux en répondant à son boss. Je préférais de loin lorsque quelques minutes plus tôt il suait à grosses gouttes en se demandant si j’allais citer les noms des responsables qui avaient commit le code que j’avais audité et s’il en ferait partie. “Effectivement, aucune tentative de connexion frauduleuse, comme je le pensais. Je pense que Mademoiselle Oscar a formulé des conclusions un peu hâtives la semaine dernière et que c’est bien, comme je vous l’avais dit, un piratage d’un élève.” J’enrageais. L’image rapide d’un clavier lui écrasant le crâne me traversa l’esprit. Le bougre continua sur sa lancée. “Il est fort probable que les corrections qui nous sont proposées régleront le problème. Est-il absolument nécessaire de garder le dispositif de contrôle que nous avons du mettre en place ? Il ralentit en effet notre applicatif et j’ai peur que les utilisateurs finissent par se plaindre”. Mais qu’est-ce qu’il avait à me descendre comme ça celui-là ? A croire qu’il veut absolument redorer son blason.

“Qu’en pensez-vous Mademoiselle ?”, me demande Carpendar. “Je pense qu’il est trop tôt pour en déduire quoi que se soit. Et que la plupart des protections que j’ai mises en place la semaine dernière sont de toute façon indispensables si vous voulez pouvoir dormir sur vos deux oreilles. Et qu’en cas de problèmes, elles vous donneront des informations qui vous permettront de réagir au mieux. Voilà ce que je vous propose : nous nous revoyons dans une quinzaine de jours et si vous souhaitez vraiment diminuer tout ce qui est logs et surveillance, je vous conseillerais sur ce que vous pouvez désactiver sans risque. Et je le ferais gratuitement. Mais en attendant, j’aimerais pouvoir patcher au plus vite votre application, certains problèmes sont vraiment critiques. Et j’aurais besoin de Monsieur Tave, son nom est cité à plusieurs reprises dans des portions de code  problématiques, il pourrait être utile que je lui explique quelques subtilités”. Le dit Tave se fit littéralement fusillé du regard par son patron. Œil pour œil, Monsieur le développeur. Et tant pis si je n’étais pas entièrement sûre que cela soit vrai, les auteurs ne figurant quasiment jamais en entête des fichiers. Il le méritait bien. Je ne dis pas que c’est pas injuste, je dis que ça soulage, comme dirait Théo.

“Merci Mathieu de m’avoir amenée, je ne sais pas comment j’aurais fait sinon.
– Tu sais que j’aime te rendre service ma grande, et puis peut-être que tu accepteras un dîner…
– Le jour où tes zergs arriveront à la cheville de mes protoss peut-être, pas avant…
– Tu es trop dure. Je me gèle les fesses pour t’amener en banlieue alors que j’aurais pu rester au chaud devant mon clavier et voilà comment tu me remercies.
– Tu aurais pu aussi penser à la nettoyer, j’ai des poils de chien partout maintenant.
– Evey ne perd pas ses poils”, commença-t-il à répliquer alors que je lui en tendais trois ou quatre accrochés à ma manche de manteau. “Ou alors presque pas”, finit-il en maugréant.
– “Je vais faire un tour dans le coin, appelle-moi quand tu veux que je te ramène.
– Tu es vraiment un amour Mathieu, promis la prochaine partie, je laisse 35 secondes d’avance à tes zergs”. Je ne comprends pas pourquoi, il démarra alors sans me répondre et en me tirant la langue… Les hommes…

Même sans mon bonnet, étrangement, la standardiste me reconnue. “Monsieur Carpendar vous attend, vous pouvez y aller”.

L’ambiance du jour, dans le bureau du DG, n’était pas du tout la même que celle de la semaine dernière. Carpendar était visiblement joyeux, un peu comme s’il venait d’être classé premier sur un championnat de TeamFortress. Il exsudait la confiance et l’autosatisfaction. Quant à Tave, il me semblait étrange. Un peu comme s’il était surpris. Un peu comme le dernier survivant d’un Saw. “Mademoiselle Oscar, vous aviez raison et cela depuis le début. D’ailleurs pour vous remercier de vos services…”. Le DG fit glisser une enveloppe vers moi. Sans trop comprendre je l’ouvrais. J’y trouvais un premier chèque, correspondant au paiement de la facture que j’avais envoyée pour les jours passés. Mais il n’était pas seul. Son petit frère, son frère jumeau en fait, se trouvait aussi dans l’enveloppe. “Oui, nous avons décidé de rajouter une prime pour l’efficacité de votre travail. Vous nous ferez une facture supplémentaire que vous pourrez envoyer à notre service comptabilité.” “Merci beaucoup mais je ne comprends…”, je dus prendre sur moi de ne pas sauter sur place de bonheur. Ces deux chèques m’envoyaient directement au paradis des situations financières.

“Comme je le disais, vous aviez raison depuis le début. Samedi, Monsieur Tave a détecté une intrusion par l’un de nos salariés. Un professeur, que nous avions embauché il y a peu, s’est connecté et a changé plusieurs questions de l’examen qui se tient en ce moment même. Autant dire que nous avons tout de suite supprimé tous ses accès et que nous avons entamé une procédure de licenciement pour faute grave.
– Voici donc la raison de votre bonne humeur ?
– Pas seulement. En fait, ce recrutement a été fait par le service de DRH du groupe Horizon qui n’avait pas vérifié qu’il y a quelques mois ce salarié travaillait pour l’un de nos concurrents. Je ne suis pas loin de croire qu’il s’agissait en fait d’un salarié infiltré par ce concurrent. C’est la thèse que je viens de soutenir pendant une longue réunion avec le directoire du groupe Horizon et les responsables de leur DRH. Autant dire que certains se sont fait remonter les bretelles.” Bien évidement, lui n’en faisait pas partie. Il n’eut pas besoin de le préciser, tout le monde l’avait bien compris. Et s’il était aussi heureux, c’est qu’il était apparu comme le pompier, l’homme qui avait géré la crise et réglé le problème, sans bavure, sans vague. De quoi asseoir sa position au sein d’Horizon. Je comprenais bien mieux sa bonne humeur.

Pourtant, tandis que j’attendais devant leur immeuble que Matthieu revienne me chercher, quelque chose me semblait louche. Une impression de trop facile, de truc qui ne collait pas. Un peu la même impression lorsque que je fais irruption avec mon scout dans la base ennemie et que je la trouve vide, sans personne. Et généralement, d’après mon expérience, cette sensation laisse rapidement place aux tirs en rafale, des points de vie en chute libre avant de se conclure par un rageant Alana was explosed by grenade.

Mon Mocha Grande me réchauffait lentement, après la rincée que j’avais du combattre pour arriver jusque là. Le siroter lentement, Netbook sur les genoux, dans l’un de mes Starbucks préférés au troisième sous-sol d’un centre commercial, en attendant que la séance du ciné d’en face finisse me plongeait presque dans une transe tranquille. Comme toujours, j’avais enlevé l’opercule de plastique qui m’empêchait de le savourer pleinement. Et comme toujours, la buée opacifiait légèrement mes lunettes. Encore 35 minutes avant d’aller commencer à faire la queue pour ma place. Tout le temps de finir mon café et d’envoyer quelques mails. Enfin c’est ce que je pensais. Parce que je n’avais pas fini de penser cela que mon téléphone se mettait à sonner vigoureusement.

Carpendar, indiquait-il. Alors que je décrochais, une pensée me traversa l’esprit rapidement. Les grenades venaient d’exploser.
“Bonjour Mons…
– Je n’ai pas le temps pour des politesses. Je pensais que vous étiez la meilleure ! Les piratages recommencent. Je vous veux dans mon bureau tout de suite, au plus vite. Si vous ne réglez pas le problème, vous ne trouverez plus jamais un seul client. Je vous le promets. Vous finirez au tribunal et dans 72 ans vous nous paierez encore des dommages et intérêts.”

Avant que j’ai eu le temps de dire un mot, rien qu’un petit mot, il avait déjà raccroché. Apparemment, ce n’était pas un bon jour pour aller se faire un ciné…