La dernière faille importante en date semble vouloir être étouffée par Cisco, qui utilise la justice pour tenter (inutilement) de faire oublier un trou de sécurité d'IOS (le système d'exploitation des routeurs de Cisco).
Ceci montre encore une fois l'importance d'avoir un code ouvert partout : la sécurité par obscurcissement n'étant pas une méthode sûre, et les entreprises propriétaires du code souhaitant cacher l'information plutôt que corriger.
Administrateurs réseau, avec IOS <12.3(15) ou 12.4(2), patchez! En effet, une faille a été récemment découverte par Michael Lynn, qui a démissionné de son entreprise (ISS, traitant de la sécurité Internet) pour pouvoir diffuser l'information (même si depuis il a cédé à l'injonction de Cisco et ne diffuse plus rien)
Cisco, à la place de corriger rapidement la faille, a tenté d'interdire la diffusion de l'information.
Comme on pouvait s'en douter, l'information circule toutefois dans le milieu de la sécurité, et est accessible par n'importe quelle personne ayant une volonté de prendre le contrôle d'un routeur Cisco (ancienne version de l'IOS)
Même si depuis l'éclatement de l'affaire Cisco a diffusé une alerte de sécurité, il est clairement montré que c'est sous pression de la communauté Internet que ceci a été fait.
Sources : diverses (conférences black hat, zdnet, Cisco...)
Aller plus loin
- Alerte de sécurité Cisco (3 clics)
- Exemple d'injonction de Cisco (3 clics)
- Article d'Infos-du-net (2 clics)
- Article du Nouvel Observateur (3 clics)
- Présentation de Michael Lynn (2 clics)
# Présentation en pdf
Posté par Black Fox . Évalué à 10.
http://www.securitylab.ru/_Exploits/2005/07/lynn-cisco.pdf(...)
http://www.security.nnov.ru/files/lynn-cisco.pdf(...)
http://mirrors.trixxpix.org/pub/personal/lynn-cisco.pdf(...)
# Source
Posté par Zorro (site web personnel) . Évalué à 2.
[^] # Re: Source
Posté par Zenitram (site web personnel) . Évalué à 2.
Effectivement, le Nouvel Obs n'a fait que reprendre l'article de Zdnet, l'original est ici :
http://zdnet.fr/actualites/informatique/0,39040745,39248973,00.htm(...)
# interview de Michael Lynn
Posté par Krunch (site web personnel) . Évalué à 9.
pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.
# Position de Bruce Schneier
Posté par herodiade . Évalué à 6.
http://www.schneier.com/blog/archives/2005/07/cisco_harasses.html(...)
[^] # Re: Position de Bruce Schneier
Posté par kawa2204 . Évalué à 2.
Ca commence a me saouler cet amalgame chercheur en sécurité/pirate.... (non, je ne reviendrai pas sur la LEN et l'article 46 qui nous dit
Hein? comment ca je l'ai fait? :p )
Security by obscurity, quand tu nous tiens.... (qu'on ne vienne pas me dire que le "sans motif légitime" change quoi que ce soit)
# article de SecurityFocus
Posté par gradix . Évalué à 4.
http://www.securityfocus.com/news/11263(...)
# Encore une fois ...
Posté par herodiade . Évalué à 10.
Cisco se conduit plus mal que n'importe quelle autre société, y compris microsoft, en ce qui concerne sa façon de réagir aux failles de sécurité.
Il semble que leur nouvelle politique consiste breveter la solution à la faille si elle touche d'autres systèmes (même s'ils n'ont pas inventé la solution) et intenter des procès aux chercheurs qui découvrent les failles.
L'affaire des failles du protocole icmp de juillet 2005:
http://linuxfr.org/2005/07/14/19309.html(...)
L'affaire des failles du protocole tcp de mai 2004:
http://kerneltrap.org/node/3085(...)
Leur utilisation extensive et abusive des brevets au sein de l'ietf est une autre affaire, mais pas vraiment plus reluisante.
Ca ressemble à une société dont les décisions (y compris concernant la technique) sont prises par l'equipe de comm'. Esperons que cette afaire leur fasse assez mauvaise presse pour rectifier le tir dorénavant.
[^] # Monopole .....
Posté par totof2000 . Évalué à 2.
En effet, ils ont une situation de quasi-monopole sur le marché des routeurs haut de gamme (celà dit ce n'est pas pour rien, le matériel Cisco est quand même très performant). Donc, dans ce cas je pense que leur image de marque, ils s'en tapent un peu. D'ailleurs, vu leur situation de quasi-monopole, ils pourraient se justifier en arguant que révéler la faille fait courir un risque très important aux infrastructures réseau, et de ce fait leur image ne souffrira pas tant que ça. Et même, en supposant que leur image est touchée, que mettre à la place de routeurs Cisco sur des infrastructure réseau complexe ? C'est quand même un matériell qui a fait ses preuves.
[^] # Re: Monopole .....
Posté par herodiade . Évalué à 9.
Ca c'est le resultat brillant de l'intox cisco ("il n'y a que nous"). Je connais au moins une marque de routeurs très haut de gamme, Juniper, qui explose cisco sur les réseaux très exigeants (malheureusement ces routeurs sont très chers).
Je suis certain qu'il existe plein d'autres bonnes marques de routeurs.
Et on peut d'ors et déjà leur substituer des logiciels libres sur du simple pécé dans de très nombreuses PME, lorsque les besoins en perfs sont moindres, ou dans les cas d'utilisations (peut etre tres frequents) où ce n'est pas le nombre de pps routés qui compte: endpoits ipsec, petits firewalls, access points wifi, serveurs d'authentification, passerelles rnis ...
ils pourraient se justifier en arguant que révéler la faille fait courir un risque très important aux infrastructures réseau,
Heu ... ?
Si "ne pas la révéler" a comme conséquence qu'elle ne soit patchée, je dirait que c'est l'inverse: se taire fait courir un risque important.
Par ailleur Cisco ne peut définitivement plus arguer d'irresponsabilité des chercheurs dans les cas (comme celui-la) de full disclosure étant donné que leurs pratiques ignobles à l'encontre des chercheurs qui les contactent avant de révéler les failles sont maintenant connues et publiques (cf. les liens ci-dessus).
# l'o po copris
Posté par kra . Évalué à 4.
Cisco, à la place de corriger rapidement la faille, a tenté d'interdire la diffusion de l'information.
je comprends pas, ils ont sorti un patch ou pas?
[^] # Re: l'o po copris
Posté par olosta . Évalué à 5.
http://www.boingboing.net/2005/07/27/security_researcher_.html(...)
Voila ce que je comprend :
En fait, la présentation expliquait les techniques pour profiter d'une vulnérabilité pour prendre le contrôle du routeur. La vulnérabilité initiale est patchée mais les techniques de Lynn s'appliqueront à n'importe quelle faille future. Donc, d'après les informations disponibles les versions actuelles sont sûres (il faut patcher) mais la moindre vulnérabilité future est critique.
[^] # Re: l'o po copris
Posté par Zenitram (site web personnel) . Évalué à 2.
Cisco, dans un premier temps, à la place de corriger...
Cisco, dans un second temps, suite à divulgation de la faille, a patché.
Il manque en effet la notion de temps dans ma prose.
# journal...
Posté par Nicolas Boulay (site web personnel) . Évalué à 2.
https://linuxfr.org/~letoff/18964.html(...)
"La première sécurité est la liberté"
[^] # Re: journal...
Posté par Raoul Volfoni (site web personnel) . Évalué à 7.
Dernier rebondissement: le site de cisco a été hacké et l'ensemble de la base de données avec les informations clients a été compromise. Et là ce n'est plus du domaine de la rumeur:
Extrait de http://www.cisco.com/cgi-bin/login(...)
D'après certains experts en sécurité celà se serait passé lors du DEFCON (là aussi à prendre au conditionnel) et va générer un zouli bordel pour Cisco puisque les hackers détiennent suffisamment d'infos pour faire un merveilleux 'social engeneering'.
Bref, sale temps pour Cisco et sa politique de sécurité par l'obscurité.
PS: j'aime beaucoup le passage
[^] # Re: journal...
Posté par Nicolas Boulay (site web personnel) . Évalué à 2.
"La première sécurité est la liberté"
[^] # Re: journal...
Posté par Nicolas Boulay (site web personnel) . Évalué à 5.
Lynn parle de code injection et de protection faible de ce coté là. Pour en faire la démonstration, il a sans doute utiliser une vieille faille ipv6 pour le faire.
Cisco a corrigé cette faille mais le problème conceptuel à la base reste.
"La première sécurité est la liberté"
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.