{"id":1031,"date":"2010-10-31T20:09:33","date_gmt":"2010-10-31T18:09:33","guid":{"rendered":"http:\/\/j-mad.com\/blog\/?p=1031"},"modified":"2010-10-31T20:09:33","modified_gmt":"2010-10-31T18:09:33","slug":"piratage-en-blouse-blanche-episode-3","status":"publish","type":"post","link":"https:\/\/j-mad.com\/blog\/2010\/10\/31\/piratage-en-blouse-blanche-episode-3\/","title":{"rendered":"Piratage en blouse blanche (\u00e9pisode 3)"},"content":{"rendered":"

Quatre jours maintenant que j’\u00e9tais plong\u00e9e dans l’audit du code d’e-learning. Enfin disons plut\u00f4t cinq jours, si j’en crois le tac<\/em> que j’ai entendu quand j’ai commenc\u00e9 mon dernier, enfin presque dernier, expresso.<\/p>\n

Et mon dieu, j’ai rarement vu une application aussi mal d\u00e9velopp\u00e9e. Quand je parlais de garagistes \u00e0 propos de certaines SSII, je crois que j’\u00e9tais en dessous de la v\u00e9rit\u00e9. J’ai d\u00e9j\u00e0 list\u00e9 des dizaines de failles possibles, de trous de s\u00e9curit\u00e9 si grands qu’on pourrait y faire passer des troupeaux d’\u00e9l\u00e9phants… J’avais vraiment l’impression de remonter un fleuve de merdes codifiques depuis que j’avais plong\u00e9 mon nez l\u00e0-dedans.<\/p>\n

“Mais…”, je ne pus retenir une exclamation, m’attirant le regard courrouc\u00e9 de mon Dark Vador Bubble Head, r\u00e9veill\u00e9 en sursaut alors qu’il r\u00eavait de conqu\u00e9rir la galaxie et de faire cuire \u00e0 la broche des petits lutins verts.<\/p>\n

Pourquoi, mais pourquoi celui qui avait cod\u00e9 cette appli avait trouv\u00e9 intelligent de faire g\u00e9n\u00e9rer en javascript des bouts de requ\u00eates SQL ex\u00e9cut\u00e9es sans v\u00e9rification sur le serveur\u00a0? Je n’avais plus qu’\u00e0 rajouter un item dans mon long long long rapport de failles et faire un petit patch rapide.<\/p>\n

De longs couloirs d\u00e9gueulasses et sombres. A ma droite, Drak courait en clopinant, l\u00e2chant un juron douloureux de temps en temps, visiblement mal en point. A ma gauche, Risfil, qui n’a plus rien de l’elfe propre sur lui qu’il \u00e9tait encore il y a quelques heures. Je ravale mes larmes en pensant \u00e0 Fyx, notre barde qui doit servir de festin aux cr\u00e9atures qui nous sont tomb\u00e9es dessus… J’entends encore son dernier cri lorsque ces monstres l’ont fait tomber \u00e0 terre et ont commenc\u00e9 \u00e0 le d\u00e9vorer, alors qu’il \u00e9tait encore vivant… Nous n’aurions pas du accepter la mission que l’encapuchonn\u00e9 nous proposait. D\u00e8s le d\u00e9part, je savais que c’\u00e9tait trop bien pay\u00e9 pour \u00eatre honn\u00eate. Et les morts ne profitent pas de leur argent. Si je devais mourir, \u00e7a ne serait pas seule. Je me retournais \u00e9cartant les bras tout en psalmodiant les premiers mots de mon plus puissant sortil\u00e8ge. Le pouvoir se rua dans mes veines, \u00e9lectrisant mes cheveux, tandis que la magie hurlait d’impatience, attendant que je prononce le dernier mot de mon sortil\u00e8ge, attendant d’\u00eatre lib\u00e9r\u00e9e et de\u2026<\/p>\n

Je reconnu rapidement la sonnerie qui me vrillait les tympans comme \u00e9tant celle de mon smartphone. Le retrouver ne fut pas une aussi mince affaire.
\n“Allo ?
\n– Hum, excusez-moi Monsieur le zombie, j’ai du me tromper de num\u00e9ro…
\n– Fais pas le con Mathieu, tu me r\u00e9veilles.
\n– A 15 heures ?
\n– J’ai boss\u00e9 tard.
\n– Ok, tu as le temps pour un cin\u00e9 avec tes vieux potes ?
\n– Pas cette fois, non, faut que je m’y remette.
\n– Ok, tant pis, passe le bonjour \u00e0 Jack.”<\/p>\n

Avant que je n’ai pu r\u00e9pondre de la r\u00e9partie la plus cinglante que j’eus \u00e9t\u00e9 capable de trouver au saut du lit, ce fourbe avait d\u00e9j\u00e0 raccroch\u00e9. Tant pis. Je trouverais bien l’occasion de me venger. En attendant, je r\u00e9cup\u00e9rais Jack qui \u00e9tait tomb\u00e9 de notre lit, je l’adossais \u00e0 nouveau aux coussins et rallumais la machine \u00e0 expresso.<\/p>\n

Je vous ai d\u00e9j\u00e0 dit que je d\u00e9testais les lundi\u00a0? Et bien, c’est encore pire lorsqu’ils arrivent apr\u00e8s un week-end pass\u00e9 \u00e0 auditer l’un des logiciels le plus mal cod\u00e9 de l’histoire de l’humanit\u00e9. Cette appli \u00e9tait une telle catastrophe que sur les derni\u00e8res heures j’aurais pr\u00e9f\u00e9r\u00e9 faire n’importe quoi, m\u00eame des logiciels de gestion d’assurance en WinDev plut\u00f4t que continuer \u00e0 explorer ce code\u2026<\/p>\n

“Bonjour Messieurs, j’ai donc proc\u00e9d\u00e9 durant la semaine derni\u00e8re \u00e0 un rapide audit non exhaustif de votre application”. Carpendar n’avait malheureusement pas profit\u00e9 de la semaine pour red\u00e9corer son bureau. J’avais l’impression que chacune des photos de lui me regardait tandis que j’exposais le r\u00e9sultat de mes recherches au petit comit\u00e9 qui m’\u00e9coutait. “Je dis non exhaustif parce que vu la somme de probl\u00e8mes que j’ai trouv\u00e9e…”, petit signe vers le gros rapport pos\u00e9 sur le bureau du DG, “\u2026 je pense qu’il faudra que vous proc\u00e9diez \u00e0 un audit complet de votre application”.<\/p>\n

Plus je parlais, plus l’heure tournait, plus je les voyais se d\u00e9composer. J’\u00e9tais presque s\u00fbre que Carpendar r\u00e9fl\u00e9chissait \u00e0 comment il allait pouvoir faire en sorte que mon rapport n’arrive jamais jusqu’aux dirigeants d’Horizon. Quant \u00e0 Tave, il devait prier pour que mes conclusions ne soient pas trop violentes avec lui. “En conclusion, en ce qui concerne l’audit, je vous ai joint un patch corrigeant ou limitant chacun des probl\u00e8mes que j’ai pu trouver. Je vous conseille d’ailleurs vivement de me laisser les mettre en place d\u00e8s la fin de cette r\u00e9union”.<\/p>\n

“Et concernant les piratages\u00a0? D’apr\u00e8s Monsieur Tave, personne n’a tent\u00e9 de se connecter d’une mani\u00e8re frauduleuse. N’est-ce pas\u00a0?” Le gugus avait un large sourire victorieux en r\u00e9pondant \u00e0 son boss. Je pr\u00e9f\u00e9rais de loin lorsque quelques minutes plus t\u00f4t il suait \u00e0 grosses gouttes en se demandant si j’allais citer les noms des responsables qui avaient commit le code que j’avais audit\u00e9 et s’il en ferait partie. “Effectivement, aucune tentative de connexion frauduleuse, comme je le pensais. Je pense que Mademoiselle Oscar a formul\u00e9 des conclusions un peu h\u00e2tives la semaine derni\u00e8re et que c’est bien, comme je vous l’avais dit, un piratage d’un \u00e9l\u00e8ve.” J’enrageais. L’image rapide d’un clavier lui \u00e9crasant le cr\u00e2ne me traversa l’esprit. Le bougre continua sur sa lanc\u00e9e. “Il est fort probable que les corrections qui nous sont propos\u00e9es r\u00e9gleront le probl\u00e8me. Est-il absolument n\u00e9cessaire de garder le dispositif de contr\u00f4le que nous avons du mettre en place\u00a0? Il ralentit en effet notre applicatif et j’ai peur que les utilisateurs finissent par se plaindre”. Mais qu’est-ce qu’il avait \u00e0 me descendre comme \u00e7a celui-l\u00e0\u00a0? A croire qu’il veut absolument redorer son blason.<\/p>\n

“Qu’en pensez-vous Mademoiselle\u00a0?”, me demande Carpendar. “Je pense qu’il est trop t\u00f4t pour en d\u00e9duire quoi que se soit. Et que la plupart des protections que j’ai mises en place la semaine derni\u00e8re sont de toute fa\u00e7on indispensables si vous voulez pouvoir dormir sur vos deux oreilles. Et qu’en cas de probl\u00e8mes, elles vous donneront des informations qui vous permettront de r\u00e9agir au mieux. Voil\u00e0 ce que je vous propose : nous nous revoyons dans une quinzaine de jours et si vous souhaitez vraiment diminuer tout ce qui est logs et surveillance, je vous conseillerais sur ce que vous pouvez d\u00e9sactiver sans risque. Et je le ferais gratuitement. Mais en attendant, j’aimerais pouvoir patcher au plus vite votre application, certains probl\u00e8mes sont vraiment critiques. Et j’aurais besoin de Monsieur Tave, son nom est cit\u00e9 \u00e0 plusieurs reprises dans des portions de code\u00a0 probl\u00e9matiques, il pourrait \u00eatre utile que je lui explique quelques subtilit\u00e9s”. Le dit Tave se fit litt\u00e9ralement fusill\u00e9 du regard par son patron. \u0152il pour \u0153il, Monsieur le d\u00e9veloppeur. Et tant pis si je n’\u00e9tais pas enti\u00e8rement s\u00fbre que cela soit vrai, les auteurs ne figurant quasiment jamais en ent\u00eate des fichiers. Il le m\u00e9ritait bien. Je ne dis pas que c’est pas injuste, je dis que \u00e7a soulage, comme dirait Th\u00e9o.<\/p>\n

“Merci Mathieu de m’avoir amen\u00e9e, je ne sais pas comment j’aurais fait sinon.
\n– Tu sais que j’aime te rendre service ma grande, et puis peut-\u00eatre que tu accepteras un d\u00eener…
\n– Le jour o\u00f9 tes zergs arriveront \u00e0 la cheville de mes protoss peut-\u00eatre, pas avant…
\n– Tu es trop dure. Je me g\u00e8le les fesses pour t’amener en banlieue alors que j’aurais pu rester au chaud devant mon clavier et voil\u00e0 comment tu me remercies.
\n– Tu aurais pu aussi penser \u00e0 la nettoyer, j’ai des poils de chien partout maintenant.
\n– Evey ne perd pas ses poils”, commen\u00e7a-t-il \u00e0 r\u00e9pliquer alors que je lui en tendais trois ou quatre accroch\u00e9s \u00e0 ma manche de manteau. “Ou alors presque pas”, finit-il en maugr\u00e9ant.
\n– “Je vais faire un tour dans le coin, appelle-moi quand tu veux que je te ram\u00e8ne.
\n– Tu es vraiment un amour Mathieu, promis la prochaine partie, je laisse 35 secondes d’avance \u00e0 tes zergs”. Je ne comprends pas pourquoi, il d\u00e9marra alors sans me r\u00e9pondre et en me tirant la langue\u2026 Les hommes…<\/p>\n

M\u00eame sans mon bonnet, \u00e9trangement, la standardiste me reconnue. “Monsieur Carpendar vous attend, vous pouvez y aller”.<\/p>\n

L’ambiance du jour, dans le bureau du DG, n’\u00e9tait pas du tout la m\u00eame que celle de la semaine derni\u00e8re. Carpendar \u00e9tait visiblement joyeux, un peu comme s’il venait d’\u00eatre class\u00e9 premier sur un championnat de TeamFortress. Il exsudait la confiance et l’autosatisfaction. Quant \u00e0 Tave, il me semblait \u00e9trange. Un peu comme s’il \u00e9tait surpris. Un peu comme le dernier survivant d’un Saw. “Mademoiselle Oscar, vous aviez raison et cela depuis le d\u00e9but. D’ailleurs pour vous remercier de vos services…”. Le DG fit glisser une enveloppe vers moi. Sans trop comprendre je l’ouvrais. J’y trouvais un premier ch\u00e8que, correspondant au paiement de la facture que j’avais envoy\u00e9e pour les jours pass\u00e9s. Mais il n’\u00e9tait pas seul. Son petit fr\u00e8re, son fr\u00e8re jumeau en fait, se trouvait aussi dans l’enveloppe. “Oui, nous avons d\u00e9cid\u00e9 de rajouter une prime pour l’efficacit\u00e9 de votre travail. Vous nous ferez une facture suppl\u00e9mentaire que vous pourrez envoyer \u00e0 notre service comptabilit\u00e9.” “Merci beaucoup mais je ne comprends…”, je dus prendre sur moi de ne pas sauter sur place de bonheur. Ces deux ch\u00e8ques m’envoyaient directement au paradis des situations financi\u00e8res.<\/p>\n

“Comme je le disais, vous aviez raison depuis le d\u00e9but. Samedi, Monsieur Tave a d\u00e9tect\u00e9 une intrusion par l’un de nos salari\u00e9s. Un professeur, que nous avions embauch\u00e9 il y a peu, s’est connect\u00e9 et a chang\u00e9 plusieurs questions de l’examen qui se tient en ce moment m\u00eame. Autant dire que nous avons tout de suite supprim\u00e9 tous ses acc\u00e8s et que nous avons entam\u00e9 une proc\u00e9dure de licenciement pour faute grave.
\n– Voici donc la raison de votre bonne humeur\u00a0?
\n– Pas seulement. En fait, ce recrutement a \u00e9t\u00e9 fait par le service de DRH du groupe Horizon qui n’avait pas v\u00e9rifi\u00e9 qu’il y a quelques mois ce salari\u00e9 travaillait pour l’un de nos concurrents. Je ne suis pas loin de croire qu’il s’agissait en fait d’un salari\u00e9 infiltr\u00e9 par ce concurrent. C’est la th\u00e8se que je viens de soutenir pendant une longue r\u00e9union avec le directoire du groupe Horizon et les responsables de leur DRH. Autant dire que certains se sont fait remonter les bretelles.” Bien \u00e9videment, lui n’en faisait pas partie. Il n’eut pas besoin de le pr\u00e9ciser, tout le monde l’avait bien compris. Et s’il \u00e9tait aussi heureux, c’est qu’il \u00e9tait apparu comme le pompier, l’homme qui avait g\u00e9r\u00e9 la crise et r\u00e9gl\u00e9 le probl\u00e8me, sans bavure, sans vague. De quoi asseoir sa position au sein d’Horizon. Je comprenais bien mieux sa bonne humeur.<\/p>\n

Pourtant, tandis que j’attendais devant leur immeuble que Matthieu revienne me chercher, quelque chose me semblait louche. Une impression de trop facile, de truc qui ne collait pas. Un peu la m\u00eame impression lorsque que je fais irruption avec mon scout dans la base ennemie et que je la trouve vide, sans personne. Et g\u00e9n\u00e9ralement, d’apr\u00e8s mon exp\u00e9rience, cette sensation laisse rapidement place aux tirs en rafale, des points de vie en chute libre avant de se conclure par un rageant Alana was explosed by grenade<\/em>.<\/p>\n

Mon Mocha Grande<\/em> me r\u00e9chauffait lentement, apr\u00e8s la rinc\u00e9e que j’avais du combattre pour arriver jusque l\u00e0. Le siroter lentement, Netbook sur les genoux, dans l’un de mes Starbucks pr\u00e9f\u00e9r\u00e9s au troisi\u00e8me sous-sol d’un centre commercial, en attendant que la s\u00e9ance du cin\u00e9 d’en face finisse me plongeait presque dans une transe tranquille. Comme toujours, j’avais enlev\u00e9 l’opercule de plastique qui m’emp\u00eachait de le savourer pleinement. Et comme toujours, la bu\u00e9e opacifiait l\u00e9g\u00e8rement mes lunettes. Encore 35 minutes avant d’aller commencer \u00e0 faire la queue pour ma place. Tout le temps de finir mon caf\u00e9 et d’envoyer quelques mails. Enfin c’est ce que je pensais. Parce que je n’avais pas fini de penser cela que mon t\u00e9l\u00e9phone se mettait \u00e0 sonner vigoureusement.<\/p>\n

Carpendar, indiquait-il. Alors que je d\u00e9crochais, une pens\u00e9e me traversa l’esprit rapidement. Les grenades venaient d’exploser.
\n“Bonjour Mons…
\n– Je n’ai pas le temps pour des politesses. Je pensais que vous \u00e9tiez la meilleure\u00a0! Les piratages recommencent. Je vous veux dans mon bureau tout de suite, au plus vite. Si vous ne r\u00e9glez pas le probl\u00e8me, vous ne trouverez plus jamais un seul client. Je vous le promets. Vous finirez au tribunal et dans 72 ans vous nous paierez encore des dommages et int\u00e9r\u00eats.”<\/p>\n

Avant que j’ai eu le temps de dire un mot, rien qu’un petit mot, il avait d\u00e9j\u00e0 raccroch\u00e9. Apparemment, ce n’\u00e9tait pas un bon jour pour aller se faire un cin\u00e9…<\/p>\n","protected":false},"excerpt":{"rendered":"

Quatre jours maintenant que j’\u00e9tais plong\u00e9e dans l’audit du code d’e-learning. Enfin disons plut\u00f4t cinq jours, si j’en crois le tac que j’ai entendu quand j’ai commenc\u00e9 mon dernier, enfin presque dernier, expresso. Et mon dieu, j’ai rarement vu une application aussi mal d\u00e9velopp\u00e9e. Quand je parlais de garagistes \u00e0 propos de certaines SSII, je … Continue reading Piratage en blouse blanche (\u00e9pisode 3)<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"jetpack_post_was_ever_published":false,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[50],"tags":[51,52],"class_list":["post-1031","post","type-post","status-publish","format-standard","hentry","category-polar-geek","tag-polargeek","tag-recits"],"aioseo_notices":[],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"","jetpack_shortlink":"https:\/\/wp.me\/p12cdp-gD","jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/posts\/1031","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/comments?post=1031"}],"version-history":[{"count":2,"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/posts\/1031\/revisions"}],"predecessor-version":[{"id":1033,"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/posts\/1031\/revisions\/1033"}],"wp:attachment":[{"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/media?parent=1031"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/categories?post=1031"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/j-mad.com\/blog\/wp-json\/wp\/v2\/tags?post=1031"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}