juin 2009

Live forensics – mais qu’est-ce que c’est ?

Voilà une semaine, je racontais brièvement que nous avions passé quelques jours à former des enquêteurs de toute l’Europe aux techniques des “Live forensics” ou “Analyses sur systèmes vivants” ou “allumés”.

Il s’agit de deux évolutions parallèles :

  • Les enquêteurs (du monde entier) qui fonctionnent selon le paradigme qui leur a été inculqué de la nécessité d’éteindre brutalement un ordinateur en fonctionnement au moment de la perquisition pour limiter les modifications au système (surtout aux données se trouvant sur le disque dur), et qui se rendent compte que l’on perd ainsi des données potentiellement importantes dans la mémoire vive (2 gigaoctets au moins dans les systèmes modernes) ou se couper l’accès à des données protégées quand l’ordinateur est éteint,
  • Le développement de nouvelles techniques autour de l’exploitation criminalistique de la mémoire vive des ordinateurs.

C’est aussi une problématique plus générale, car très souvent il n’est pas intéressant, nécessaire ou souhaitable d’éteindre le système que l’on souhaite analyser : le serveur d’une entreprise ou un téléphone portable en marche (protégé par un code), etc.

Quelles sont les techniques à mettre en œuvre ? Elles sont de deux catégories principales :

  • La capture de la mémoire vive,
  • La capture de données issues des processus en fonctionnement, notamment ceux liés au système d’exploitation ou aux logiciels les plus pertinents au regard de l’enquête ou de la configuration (outils de chiffrement).

Corollairement il faut évidemment des techniques nouvelles pour exploiter ces données, notamment en ce qui concerne l’exploitation des captures de mémoire vive.

Enfin, comme toute action criminalistique, il s’agit de correctement documenter ses actes et de faire des choix judicieux au regard de l’impact des outils utilisés sur le système examiné, qui devront être minimaux – trouver l’équilibre entre la nécessité de collecter l’ensemble des éléments de preuve accessibles et l’impact sur chacune des sources de preuve.

En vrac, quelques idées et sources sur les outils et méthodes utilisées dans l’univers Windows :

Mais attention, c’est outils sont à utiliser avec précaution ! Et une formation et la lecture d’ouvrages (comme Windows Forensic Analaysis, deuxième édition, de Harlan Carvey) seront utiles.

Stage européen sur les “live forensics”

UNODC

UNODC

Cette semaine s’est passée pour moi à Vienne, dans les locaux de l’UNODC où j’ai eu le plaisir d’animer un stage, organisé avec le soutien financier de la commission européenne (programme ISEC 2008),  sur le sujet des “live forensics”. Il s’agit de l’ensemble des techniques qui sont utilisées pour collecter des preuves sur des systèmes informatiques “vivants”, c’est-à-dire allumés au moment où les personnes chargées de collecter des preuves interviennent.

Il s’agit d’une évolution qui s’est imposée progressivement, avec l’avènement d’ordinateurs aux capacités de mémoire vive toujours plus importantes et afin de lutter plus efficacement contre les techniques de chiffrement. Cette semaine nous a donc permis de tester cette formation sur un public d’une vingtaine d’enquêteurs spécialisés de toute l’Europe. Après quelques améliorations, le contenu de formation sera mis à disposition de l’ensemble des services de police.

Promulgation de la loi création et Internet

Ministère de la culture

Ministère de la culture

La loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet a été publiée ce matin au journal officiel. Son texte, résultant des débats au Parlement et de la censure récente du Conseil constitutionnel est consultable sur le site Légifrance.

Résumé des dispositions

L’objet principal de cette loi est la création de la Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (HADOPI), qui reprend les missions de l’Autorité de régulation des mesures techniques. Il s’agira d’une autorité administrative indépendante, disposant de la personnalité morale.

Son bras armé, la commission de protection des droits, sera saisie des signalements présentés par les agents assermentés désignés par :

  • les organismes de défense professionnelle régulièrement constitués,
  • les sociétés de perception et de répartition des droits,
  • le Centre national de la cinématographie.

Elle peut également agir sur la base d’informations transmises par les procureurs de la République et ne peut être saisie de faits remontant à plus de six mois. On notera au passage qu’elle ne pourra donc pas agir sur ses propres constatations, il revient donc bien aux ayants-droit d’exercer les opérations de détection des contrevenants.

Ces signalements porteront sur les manquements à l’obligation du nouvel article L336-3 du code de la propriété intellectuelle :

La personne titulaire de l’accès à des services de communication au public en ligne a l’obligation de veiller à ce que cet accès ne fasse pas l’objet d’une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d’œuvres ou d’objets protégés par un droit d’auteur ou par un droit voisin sans l’autorisation des titulaires des droits prévus aux livres Ier et II lorsqu’elle est requise.
Le manquement de la personne titulaire de l’accès à l’obligation définie au premier alinéa n’a pas pour effet d’engager la responsabilité pénale de l’intéressé.

Il s’agit donc de repérer les connexions Internet qui servent à diffuser des contrefaçons d’œuvre de l’esprit.

Suite à ce signalement, les agents de la commission de protection des droits pourront demander aux fournisseurs d’accès à Internet les informations permettant d’identifier les titulaires des abonnements et leur adresser ensuite des messages de sensibilisation.  La commission de protection des droits est autorisée à constituer un traitement de données personnelles (dont les détails doivent être définis par un décret en Conseil d’État pris après avis de la Commission nationale informatique et libertés) pour permettre un suivi de ces activités.

Suite à la décision du Conseil constitutionnel du 10 juin 2009, ce manquement n’est susceptible d’aucune sanction pénale ou administrative. Le gouvernement a annoncé des travaux à venir sur une loi permettant à des magistrats de l’ordre judiciaire de prononcer les sanctions envisagées, dont il semblerait qu’il pourrait s’agir de la suspension de l’accès à Internet.

Que risque-t-on en matière de contrefaçon d’œuvres de l’esprit ?

Il est important de rappeler que la contrefaçon est toujours une infraction pénale punie dans le code de la propriété intellectuelle de trois ans d’emprisonnement et de 300000 € d’amende (peine éventuellement aggravée en cas de bande organisée, jusqu’à cinq ans d’emprisonnement et 500000 € d’amende).

C’est cette peine que risquent les organisateurs du réseau Snowtigers qui ont été interpellés par la gendarmerie nationale au cours des derniers mois.

Hébergeurs malhonnêtes : nouvelle fermeture (3FN)

3FN

J’ai déjà pu évoquer plusieurs cas de fermetures d’hébergeurs malhonnêtes aux États-Unis cette année, notamment le cas de la société McColo. Cette semaine, un nouveau cas avec la société “Pricewert LLC” (société basée à Belize) et une évolution dans le processus qui a conduit à la fermeture de cet hébergeur : l’action résolue des services en charge de la protection des consommateurs et de la régulation du commerce aux USA (la FTC ou Federal trade commission).

On apprend donc jeudi, dans un communiqué de la FTC, qu’elle a obtenu en justice la fermeture de cet hébergeur qui exerce ses activités sous plusieurs dénominations (3FN et APS Telecom). L’investigation menée par la FTC aurait permis de démontrer que cette société aurait des liens avec des groupes criminels impliqués dans la distribution de logiciels malins, la distribution de pornographie enfantine ou des centres de commande de botnets.

La notion d’hébergeur malhonnête est ici définie par la FTC aussi par le fait que la société protégeait ses hôtes en ne répondant pas aux requêtes officielles ou en utilisant des techniques d’évasion numérique, c’est à dire ici l’hébergement sous des adresses IP différentes des mêmes services illicites.

La société 3FN (3fn.net) semblait être un hébergeur à la fois reconnu et critiqué. Cette société aurait été créée en 1999, est installée depuis cette époque en Californie. Ainsi, la société Triple Fiber Network a pu récemment annoncer la signature d’un contrat avec LEVEL3, l’un des plus gros fournisseurs de connectivité Internet. Selon les chiffres les plus récents, ce sont plus de 7600 domaines qui étaient hébergés chez 3FN. Des serveurs au contenu clairement malhonnête : Portland APS Telecom hébergeait ainsi ultimatepayment.com ou truebillingservices.com – des serveurs de paiement utilisés pour différentes escroqueries au faux antivirus (on note au passage des liens avec EstDomains dont l’accréditation ICANN a été interrompue en septembre 2008), IC Audit & Consulting – une escroquerie typique à l’emploi d’intermédiaires financiers, etc. Les exemeples sont innombrables.

Ainsi, le NCMEC aurait relevé plus de 700 rapports d’hébergements de contenus pédopornographiques, le premier remontant à 2004. Enfin, le botnet Cutwail aurait été affecté par cette nouvelle fermeture.

Pour mener ces investigations, la FTC a reçu le soutien de spécialistes de la NASA (qui dispose d’enquêteurs spécialisés, comme beaucoup de grandes agences américaines), l’université de Birmingham dans l’Alabama (l’équipe de Gary Warner), le National center for missing and exploited children (NCMEC), l’association Shadowserver, la société Symantec et le projet Spamhaus.

Les contraintes validées par le juge sont d’interdire à la société Pricewert LLC de poursuivre ses activités, de contraindre ses fournisseurs de connectivité à Internet et aux centres d’hébergement de cesser tout service à son profit. Les biens de la société ont aussi été gelés, en attente d’une première audience sur le fond qui devrait se tenir le 15 juin prochain.

Il sera intéressant de comprendre si cette société a été créée en 1999 pour commettre de tels méfaits, si c’est une dérive de ses gestionnaires attirés par l’appât du gain ou une prise de contrôle ultérieure. En tous cas des liens ont bien été établis avec des personnes originaires de l’Europe la plus orientale (y compris a priori le gestionnaire de la société 3FN). Enfin, il faut souligner ici l’implication des autorités américaines dans cette démarche, ce qui avait manqué dans les affaires McColo et Atrivo.