Une machine 100% sécurisée ?

Par Lemuel le 7/1/2003 à 10:43:12 (#2963076)

Voici ce qu'on m'a fait parvenir :

Personne ne peut parler de sécurité informatique et de sécurité réseau si le coeur du système n'est pas sécurisé, qu'il soit utilisé au sein d'un serveur, d'un switch, d'un routeur, etc.

SYSDOOR a développé des méthodes de chiffrement basées sur des algorithmes liés au monde réel, tels les phénomènes acoustiques et vibratoires.

Pour prouver à tous que SYSDOOR détient le seul noyau "système" invulnérable (noyau Linux que SYSDOOR a patché en y appliquant ses méthodes) vous êtes mis au défi de découvrir le mot contenu dans la seule et unique machine restée inviolée à ce jour.

La machine à attaquer est à l'adresse IP : 62.4.71.36. Elle sera connectée au jour J le 8 novembre 2002.

Voici la source : http://kernel.sysdoor.com/fr/index.php

Et voici les règles du "jeu" :

Le but est de s'infiltrer, dans la machine connectée à l'adresse 62.4.71.36

Il s'agit de découvrir le mot situé dans le fichier /root/hacked (clé de 128 caractères) en indiquant la date et l'heure à laquelle vous avez trouvé ce mot.

Il ne s'agit pas de rendre le réseau indisponible, car nous ne sommes pas propriétaires du réseau.

Il ne s'agit pas non plus d'interrompre un service : le système étudié est LA MACHINE connectée à l'adresse : 62.4.71.36.

Toutes les méthodes d'intrusion sont permises. SYSDOOR s'engage à ne pas poursuivre les auteurs des tentatives d'intrusion.

IP : En cas de nécessité nous nous réservons le droit de changer l'IP de la machine et nous nous engageons à publier la nouvelle IP à attaquer sur la page Index de ce site.

Si vous avez découvert le mot dans le fichier /root/hacked, vous pouvez envoyer le mot à result@sysdoor.com.

Afin d'éviter toute contestation possible, nous avons déposé le mot à découvrir par voie d'huissier chez la SCP Senges Michel-Baroni Marcireau - 4 Bld Richard Wallace - 92800 PUTEAUX. L'enveloppe cachetée sera ouverte à notre demande

Source : http://kernel.sysdoor.com/fr/principe.php


Si certains sont intéressés?

Par Aden Voorhees le 7/1/2003 à 12:29:12 (#2963836)

Des gens veulent se faire hacker maintenant :rolleyes: :rolleyes:

Par Jin le 7/1/2003 à 12:43:52 (#2963964)

Et la récompense?
:ange: :ange: :ange:

Par Valaraukar le 7/1/2003 à 12:44:51 (#2963974)

Ca leur permet de tester leur système efficacement, parce que pas mal de hacker en herbe et autre vont y aller.


De plus si personne n'y arrive ca leur fait une bonne pub, tout a leur avantage, mais ils ont intérêt a être sur de leur coup.

J'aimerais bien que microsoft fasse le même genre de test sur leur prochain type de serveurs:D

Par -Jargal- le 7/1/2003 à 13:03:59 (#2964123)

Ouais je connais déjà c'est marrant comme truc je trouve.

Par Père NoDeull le 7/1/2003 à 13:22:27 (#2964272)

Enfin, ils sont pas betes non plus:

Il s'agit de découvrir le mot situé dans le fichier /root/hacked (clé de 128 caractères) en indiquant la date et l'heure à laquelle vous avez trouvé ce mot.

Il ne s'agit pas de rendre le réseau indisponible, car nous ne sommes pas propriétaires du réseau.

Il ne s'agit pas non plus d'interrompre un service.

Ou comment s'assurer que çà prendra un certain temps.
Avec un fichier non crypté, on aurait pu voir rééllement la sécurité de leur service.

La solution la plus rapide me parait de soudoyer l'huissier :D

Par Mothra le 7/1/2003 à 13:31:59 (#2964353)

Je suis tres sceptique. 100% invulnerable il me semble bien qu'il existe une demonstration mathematique qui prouve que c'est impossible dans les hypotheses actuelles des machines (ce qui ne sera plus le cas en prenant l'hypothese d'une machine full paladium, d'un os full paladium, faisant tourner des softs dans des sandbox). Si j'arrive a faire un buffer overflow dans un de leurs serveurs et donc a passer root, je ne vois pas en quoi le chiffrement, meme en utilisant un chiffrement non pseudo aleatoire permet de m'empecher d'aller plus loin (une fois root je peux modifier le noyau unix en memoire pour m'octroyer des droits encore plus considerable ou faire sauter les protections/lire les clefs privés ou autres farces).

Ca peut etre tres difficile, vu le peu d'informations données sur la methode de protection il est possible que personne ne trouve comment passer outre dans le temps impartit, mais 100% securisé je n'y crois pas.

J'ai regardé le site et ca manque cruellement d'informations, quelqu'un a trouvé un pdf avec le protocole de securité utilisé, le pourquoi une cryptographie plus forte permettrait d'imposer un securité a 100% ou d'autres choses du genre ?


editation : apres relecture, leur systeme est consideré comme 100% securisé dans le cadre d'un protocole de securité fermé. C'est une hypothese tres puissante qui affaiblis beaucoup le systeme de securité. Un protocole ouvert comme RSA ou DES est bein plus resistant, tandis qu'un protocole fermé (ou la securité ne reside donc pas uniquement dans les clefs mais aussi dans le fait que le protocole soit secret lui meme) est plus faible, puisque si il y a divulgation du protocole (ou reverse ingeeniring) alors il perd tout ou partie de ses vertues.

Par Zdravo, le le 7/1/2003 à 13:33:55 (#2964365)

je connaissais déjà...

mais bon... si quelqu'un y arrive... c'est qu'il est sacrément baleze :D

Par Mothra le 7/1/2003 à 13:47:57 (#2964468)

En fait je viens de penser a un truc, cette histoire de "ondulatoire venu d'un phenomene naturel", ca me fait penser qu'ils ont rajouté une puce sur la carte mere de la machine qui s'occupe de faire de l'authentification de code, de la crypto a la volée et du check sur les acces memoire. Avec ce genre de petites choses integrées dans le materiel de la machine alors ca devient possible en fait. Enfin de toute facon, je n'ais pas confiance dans des gens qui ne veulent pas dire ce qu'ils font.

En tout cas si personne n'arrive a lire le fichier, ca ne prouvera certainement pas que le systeme est 100% securisé, ca prouvera seulement que le systeme est bien securisé et que personne n'a reussi a s'introduire dessus, rien de plus.

Par Wambo Le Magnifique le 7/1/2003 à 14:01:11 (#2964574)

Moarf *est dans un cours de reseau* chuis en train de voir tout ca mdr :)

mais bon ca m'etonnerais fortement que j'arrive à faire quoi que ce soit :(

Par Zdravo, le le 7/1/2003 à 14:03:57 (#2964597)

Provient du message de Mothra

En tout cas si personne n'arrive a lire le fichier, ca ne prouvera certainement pas que le systeme est 100% securisé, ca prouvera seulement que le systeme est bien securisé et que personne n'a reussi a s'introduire dessus, rien de plus.

oui /agree

mais tant que personne aura réussi à trouver la faille... ils peuvent se dire inviolable, ce qui n'est pas faux ou mensonger, car personne a réussit, jusqu'à présent. ;)

ça me fait penser au Rocher (alcatraz ) cette histoire...
Plusieurs personnes ont essayé de braver cette prison, mais personne n’a jamais réussi.
ya bien eu des évasions... mais toutes échouées :cool:

:ange:

Par Ulgrim le 7/1/2003 à 14:08:10 (#2964641)

Je vous parie 10 euros que le gars qui arrive à s'introduire aura droit à un contrat de travail en bonne et due forme.

Ou alors à une petite somme d'argent pour qu'il se taise.

Nota : si la personne fait partie d'une communauté de hackers, ça m'étonnerait qu'il accepte l'un ou l'autre, je pense même qu'il mettra la soluce sur le net.

M'enfin, c'est mon avis ...

Par Wambo Le Magnifique le 7/1/2003 à 14:15:34 (#2964701)

c'est clair que si ils ont fé ca c'est que leur serv est vachement securise

c'est clair que si quelqu'un y penetre c'est qu'il est vachement doué

donc si il est doué c qu'il peut faire qq chose de bien donc choper un boulot vek un salaire faramineux , on laisse po passer un talent :p

Par FautVoir le 7/1/2003 à 15:07:01 (#2965085)

Nota : si la personne fait partie d'une communauté de hackers, ça m'étonnerait qu'il accepte l'un ou l'autre, je pense même qu'il mettra la soluce sur le net.

Tu sais, même un hacker doit un jour partir de chez papa/maman et gagner sa vie tout seul comme un grand ;). A la fin de ses études d'ingénieur, il fait comme tout bon hacker qui se respecte : il lit les petites annonces et postule pour un emploi très bien payé en tant qu'expert en sécurité.

Par Screien le 7/1/2003 à 17:31:21 (#2966350)

Encore une fois, ces challenges sont assez courant on en trouve souvent, et le résultat sera le même d'ici moins d'une semaine le server va se faire trouer ...

Tant qu'il auront pas compris que la sécu en info c'est pas de connexion avec l'extérieur et une cage Fardaway ( ou Faramway l'othographe c'est pas mon truc )

Enfin bon, le hacker qui réussira a percer la protection aura gagner un emploi ;)

Par Bio le 7/1/2003 à 17:58:02 (#2966557)

Tant qu'il auront pas compris que la sécu en info c'est pas de connexion avec l'extérieur et une cage Fardaway ( ou Faramway l'othographe c'est pas mon truc )

cage de Faradet :)

remarque c'est pas faux mais j'aimerais pas être le mec qui passe 8 heures par jour à l'intérieur :doute:

Par Davesweb le 7/1/2003 à 18:10:05 (#2966658)

peut être que c'est pour que les hackeurs de fassent choper

si le pari est vrai c'est assez bien !!! et c'est une bonne idée :D

Par FautVoir le 7/1/2003 à 18:13:53 (#2966680)

C'est cage de Faraday.

Par Kroc Le Bô le 7/1/2003 à 18:44:28 (#2966934)

Je suis tres sceptique. 100% invulnerable il me semble bien qu'il existe une demonstration mathematique qui prouve que c'est impossible dans les hypotheses actuelles des machines

la securité informatique ne se base pas sur une invulnérabilité à 100% mais sur une invulnérabilité relative.

1/ On dira alors qu'une securité adaptée, est une securité qui assure que le cout pour le hacker pour recuperer l'info, est superieur a la valeur de l'info.

2/ Ensuite on parle de securité pseudo-absolue ( le cas ici), quand, non pas le système est inpiratable, mais que le temps passé à recuperer l'info est trop grand.

Le 2 est en fait une conséquence du 1, car dans ce cas, le temps passé au piratage de l'information depasse la durée de vie de l'information.

C'est un amusant coup de pub de la part de cette boite qui me rappelle les specifications de Windows NT 4 :

"Securité totale et absole du système dans la mesure ou celui ci n'est pas branché à un réseau et dans une salle fermée a clé."

ils auraient du ajouter : "Et eteint !!!!"

Par FautVoir le 7/1/2003 à 19:31:36 (#2967327)

"Securité totale et absole du système dans la mesure ou celui ci n'est pas branché à un réseau et dans une salle fermée a clé."

ils auraient du ajouter : "Et eteint !!!!"

C'est la définition d'une norme de sécurité, définie par je ne sais plus quel organisme (NSA, peut-être ?). La norme ultime de sécurité attribuée à un système informatique implique que la machine ne soit pas raccordée à un réseau. Une recherche sur Google devrait permettre de trouver ça, mais j'ai la flemme ;).

Par Kroc Le Bô le 7/1/2003 à 19:43:50 (#2967437)

Aie faut pas écrire "N S A" sur internet .... ca allume des lampes aux etats-unis :bouffon:

Par - Altair - le 7/1/2003 à 20:16:12 (#2967692)

Provient du message de Kroc Le Bô
Securité totale et absole du système dans la mesure ou celui ci n'est pas branché à un réseau et dans une salle fermée a clé."

ils auraient du ajouter : "Et eteint !!!!"

En effet ca même comme ca il est possible de transferer des informations à l'extérieur... C'est juste un peu plus dur :)