Ne confondez pas hacking et hacking Par Markus Hennig, co-fondateur et directeur technique d'Astaro

lundi 24 octobre 2011

Depuis quelques mois, les médias se font régulièrement l'écho de nombreuses affaires de piratage, ou hacking, touchant majoritairement les grandes entreprises mondiales et les organisations gouvernementales. Stuxnet, LulzSec ou encore Anonymous sont quelques-uns des termes qui reviennent régulièrement dans la presse et qui contribuent à associer, dans l'imaginaire collectif, le piratage à une volonté forte de nuire à autrui.

Le piratage est à l'image de nombreux autres domaines de la vie : il présente de bons comme de mauvais côtés. En règle générale, le terme « piratage » est mentionné dans les médias pour son aspect négatif. Lorsqu'ils évoquent les pirates dans la presse, les journalistes actuels font référence à un individu s'introduisant dans le système d'un ordinateur et engendrant des dommages majeurs.

Cependant, le terme « pirate » revêt une toute autre signification pour les professionnels de l'informatique : il s'agit pour ces derniers avant tout d'un programmeur compétent qui détecte les failles du système. Tous les « pirates » n'évoluent pas en vandales qui abusent de cette compétence. Au contraire, de nombreux pirates travaillent en collaboration avec d'autres programmeurs et des entreprises afin de contrer ces derniers. L'éthique en vigueur au sein de la communauté est particulièrement claire : toute personne détectant une faille doit l'indiquer à l'administrateur système et doit dans le doute contribuer au renforcement de la sécurité du système. »

Une autre illusion sur les pirates s'est imposée dans les médias : il est souvent fait référence de « pirates » qui écrivent des programmes techniques spécialisés pour pouvoir forcer les systèmes de sécurité toujours plus sophistiqués. En vérité, ils exploitent principalement des points faibles très connus des programmes, des paramètres par défaut non modifiés ou des mots de passe trop simples que l'on trouve au sein de nombreuses entreprises en raison d'une gestion trop souple dans ce domaine.

Le fait est que le secteur des logiciels présente bien trop de lacunes et qu'une importante communauté internationale de pirates s'évertue à les combler. Parfois, des individus exploitent ces failles à d'autres fins. Et contrairement aux idées reçues, les grandes entreprises internationales ne constituent pas la seule cible de telles attaques. Nous évaluons à 90 % le nombre d'attaques informatiques visant les PME, un chiffre noir à ne pas sous-estimer et dont nous ne sommes que peu informés !

Une question se pose alors naturellement : pourquoi de telles failles, qui sont connues depuis bien longtemps, peuvent-elles être toujours autant exploitées ? La raison est simple : de nombreux administrateurs ne consacrent, ou ne peuvent consacrer, que de peu de temps à la mise à jour de leurs systèmes ou de ceux des utilisateurs finaux, à l'application de politiques de mot de passe ou même à l'élaboration d'une vue d'ensemble de l'état actuel de leur sécurité informatique !

Il ne suffit plus de se contenter d'une protection du matériel ; une approche globale est ici requise. La sécurité informatique doit être mise à jour de manière permanente et le personnel impliqué et informé de la manière dont il peut apporter sa contribution à la protection du réseau de son entreprise. La sécurité ne constitue pas un état, mais un processus. Ce processus exige en outre du temps, des coûts et des efforts, mais il n'existe aucune alternative en vue et renoncer nous mènerait directement à un désastre.

 http://www.infodsi.com/articles/124658/confondez-pas-hacking-hacking-markus-hennig-co-fondateur-directeur-technique-astaro.html?key=