Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Certains pirates informatiques restent dans les mémoires pour le code qu’ils ont écrit. Kevin Mitnick, quant à lui, est resté dans les mémoires pour quelque chose de bien plus difficile à corriger : sa capacité à convaincre les gens de lui livrer ce qu’aucune faille de sécurité ne pouvait lui permettre d’obtenir.
Tout a commencé par un tour de cartes. Il avait environ dix ans, le père d’un voisin faisait de la magie, et voilà. Mitnick l’a clairement exprimé dans ses mémoires, des années plus tard : « La magie a été ma première porte d’entrée dans l’art de tromper les gens. » « Wanted », le numéro 5 de TuxCare Comics, le prend au mot et le dépeint comme un magicien de scène évoluant à l’ère des téléphones clonés, des identités usurpées et d’une chasse à l’homme fédérale qui a transformé son passe-temps en une affaire de première page.
Il s'agit également du tout dernier volet d'une série primée. Les deux premiers numéros ont été récompensés lors des Summit Digital Media Awards : *The Worm* a remporté un « Leader Award » et *ILOVEYOU* un « Innovator Award ». *Wanted* oriente la série vers un autre type d'histoire liée à la sécurité, celle où la faille la plus intéressante est la personne qui se trouve à l'autre bout du fil.
Quand les personnes sont devenues une partie intégrante de la surface d'attaque
Bien avant que les kits de hameçonnage ne deviennent des outils courants, Mitnick démontrait déjà une vérité qui n’a malheureusement pas pris une ride. L’accès n’est pas toujours obtenu par la force. Parfois, il est tout simplement cédé, parce que la demande semblait banale, que l’interlocuteur utilisait les bons noms et que le récit comportait juste assez de détails pour paraître crédible.
C'est le schéma qu'il a répété à l'infini. La confiance, l'usurpation d'identité et un fragment d'information utilisé pour en obtenir un autre. L'authentification s'est améliorée depuis. La journalisation s'est améliorée. La détection s'est améliorée. Convaincre quelqu'un qu'une requête est normale reste l'un des chemins les plus courts pour contourner un système bien conçu, et il n'existe pas de CVE pour cela.
L'astuce qui a fait ses preuves chez Motorola
En 1992, Mitnick était en fuite et voulait un téléphone que personne ne puisse localiser ; il lui fallait donc le code source du micrologiciel du Motorola MicroTAC Ultra Lite, le téléphone le plus sophistiqué du marché à l'époque. Il n'y avait aucune faille à exploiter. Pas de vulnérabilité « zero-day », pas de débordement de tampon, rien qu'un scanner aurait pu détecter.
Il a appelé le service d'assistance téléphonique gratuit. Une standardiste lui a joyeusement indiqué le « Cellular Subscriber Group » de Motorola, à Schaumburg, dans l'Illinois. Il a composé ce numéro, s'est présenté comme Rick, du service de recherche et développement d'Arlington Heights, a précisé que Pam était en vacances et lui avait demandé d'appeler, puis a demandé à une femme prénommée Alisa si elle pouvait lui envoyer le code source. Elle le pouvait. Elle l'a fait. Au passage, elle lui a communiqué un nom de serveur et un identifiant de connexion.
Il a ensuite effacé l'historique de son shell pour qu'il n'y ait plus aucune trace le lendemain matin. Tout cela ressemble à un tour de force avec des cartes, et la bande dessinée le représente ainsi, en divisant la case en deux pour que l'on puisse voir le costume du magicien se transformer en polo Motorola en plein milieu d'une phrase.
L'homme qui l'a pris personnellement
Pour qu’un spectacle soit réussi, il faut toujours qu’il y ait quelqu’un dans le public qui ne l’apprécie pas.
Le jour de Noël 1994, quelqu’un s’est introduit dans les systèmes informatiques personnels de Tsutomu Shimomura, physicien computationnel au San Diego Supercomputer Center, et a copié ses fichiers. Des messages vocaux provocateurs ont suivi, même si Mitnick a nié jusqu’à la fin de sa vie qu’ils provenaient de lui. Quoi qu’il en soit, le message est passé, et Shimomura a cessé d’être un simple spectateur.
Ce qui s’ensuivit relevait moins de la magie que de la radiogoniométrie. En collaboration avec les enquêteurs fédéraux et l’opérateur téléphonique, Shimomura a suivi le signal de téléphonie mobile jusqu’à un quartier de Raleigh, en Caroline du Nord, puis a réduit la zone de recherche à un complexe d’appartements, avant de la restreindre à une seule porte. Les agents ont franchi cette porte à 1 h 30 du matin, le 15 février 1995. À l’intérieur, ils ont découvert des téléphones portables clonés, plus d’une centaine de codes de clonage, plusieurs jeux de fausses pièces d’identité et, détail dont Raleigh n’a jamais vraiment réussi à se défaire, une serviette en papier de chez Denny’s.
C'est là que s'arrête cet article. Ce qui s'est passé ensuite au tribunal, et ce que Mitnick a fait au cours des deux décennies qui ont suivi, constitue la seconde partie de ce numéro et mérite d'être lue sans a priori.
Pourquoi celle-ci a sa place dans une bande dessinée
Les rapports d'incident sont utiles, mais personne ne les relit jamais. Un tour de magie est un meilleur outil pédagogique, car tout l'intérêt d'un tour réside dans le fait que vous regardiez la mauvaise main. C'est là tout l'essence de l'ingénierie sociale en une seule phrase. Il s'agit moins d'une défaillance technique que d'une défaillance au niveau des autorisations au sein du « wetware », et le fait de le présenter comme un tour de passe-passe rend le mécanisme visible d'une manière qu'une chronologie ne parvient jamais à faire.
C'est d'ailleurs la partie la plus délicate du métier. Les équipes deviennent expertes dans l'application des correctifs, le tri des vulnérabilités (CVE), les migrations en fin de vie, bref, toutes ces tâches qui donnent lieu à la création d'un ticket. Puis quelqu'un du nom de Rick appelle depuis Arlington Heights et tout cela n'a plus aucune importance, car la porte d'entrée s'est ouverte de l'intérieur.
Découvrez « Wanted » sur la plateforme TuxCare Comics, aux côtés d’articles consacrés au ver Morris, à ILOVEYOU, au projet Rivolta et à WannaCry.
