BGP ! La Poste fuite !

0:00 Vous écoutez Mancast Info, s'informer sur le high-tech, open source, sécurité et logiciel. Hello, c'est Cédric et voici tout de suite un nouveau numéro de Mancast Info. Je vous rappelle que Mancast Info, c'est un podcast personnel où je traite d'informatique, de logiciel et de sécurité et pourquoi pas d'open source. Mais ceci n'est que mon avis personnel. Il n'a rien d'établi, il n'a rien de fixé dans ce que je dis.

0:32 Et des fois, je dis même des grosses conneries. Alors je vous invite à me corriger sur jside underscore fr ou pourquoi pas me demander plus d'infos sur ce compte Twitter également. Allez, bonne écoute. Il y a un truc que je n'ai pas compris lors de l'attaque soi-disant des Chinois pour récupérer tout le flux Internet de SFR, Orange ou Bouygues.

0:53 Non, c'était SFR et Bouygues, il y a 15 jours de ça. C'était la fameuse attaque dite BGP. Et concrètement, ce qui s'est passé, c'est que les routeurs ont eu comme information, les routeurs français et nos voisins, je ne sais plus, les Suisses je crois notamment, les routeurs ont reçu comme passerelle vers Internet un routeur chinois, des adresses chinoises.

1:18 Donc tout le flux de ces opérateurs s'est vu diriger vers un opérateur chinois. On s'est émus car les chinois, ça y est, avaient aspiré l'Internet français. Ce que je n'arrive pas à comprendre, dans une connexion sécurisée avec certificat SSL, où est le risque ? Sauf si les chinois avaient le certificat pour pouvoir déchiffrer les messages, il n'y avait aucun risque à ce que ça transite par les chinois, ce flux Internet.

1:55 Et voici ce que j'aurais pu dire quand la news était tombée il y a 15 jours. Ça y est, les méchants chinois sont en train de pomper toute notre connectivité Internet. Je m'explique, ce week-end, on s'est aperçu que le trafic de chez SFR de Bouygues, pendant deux heures s'il vous plaît, avait été dérouté et passé par la Chine avant de revenir sur nos équipements en France.

2:19 Franchement, ça valait-il la peine d'en parler ? Oui, pour une question de sécurité en disant, attention, il y a quand même des failles. Et non, parce qu'on est quand même protégé. Et oui, je vous rappelle, toute notre communication, normalement, est cryptée en SSL, les fameux HTTPS, concrètement. Et c'est quoi cette faille, au fait ? Comment les chinois ont pu dérouter le trafic Internet ?

2:37 Je ne vais pas rentrer dans le détail, mais le mot magique, c'est BGP. Voilà, j'ai tout dit. Non, vous voulez plus de détails ? Comment ça marche ? Le BGP, c'est simplement le trafic global que se font, que se passent les fournisseurs d'accès à Internet. Chaque fournisseur d'accès à Internet ne peut pas absorber l'intégralité du volume de ses abonnés.

2:56 Donc, il va essayer de dispatcher entre différents opérateurs pour pouvoir gérer un petit peu et soulager son trafic suivant les branches que ça prend. Et bien, ce qui s'est passé, c'est qu'il y a eu un mauvais routage à un moment de l'un de nos partenaires. D'ailleurs, ça ne regardait pas que SFR et Bouygues. A priori, la Suisse est également impactée et un petit peu les Italiens.

3:16 Et donc, une grosse partie, une grosse volumétrie des données sont parties en Suisse. Non, en Chine. Ce n'est pas tout à fait la même destination. Et avant de rejoindre de nouveau le trafic final. En soi, rien d'important. On connaît BGP, on connaît ses faiblesses. Mais si le trafic est crypté, quel est le point critique ? Quelle est la faille de ce système ?

3:36 J'ai envie de dire aucun. Une donnée cryptée reste une donnée cryptée et à l'intérieur de la communication n'est pas indiquée la clé de décryptage. Concrètement, faut-il vraiment avoir peur des Chinois qui jouent avec le BGP ? La réponse est oui. Vous allez me dire, je me contredis. Et bien non, pas tout à fait. Concrètement, les Chinois peuvent également interrompre la communication.

3:55 Et oui, si tout le trafic part en Chine, il ne peut ne pas revenir. Oui, mais alors là, ça veut dire qu'il y a un cassage dans la route. Et les machines, les routeurs sont assez intelligents pour dire, ce lien, je ne peux plus lui faire confiance parce que la route n'aboutit pas et je vais prendre une autre route. Donc, faut-il en avoir peur ?

4:10 Ben non, voilà. Donc, on va arrêter les gros titres putaclic en disant, la Chine a siphonné tout l'Internet pendant deux heures. Déjà, c'était que le réseau Bouygues et SFR. C'est déjà pas mal. Et en plus, ce n'est pas du siphonnage. C'est simplement que la route était un peu plus longue que prévu. Et comme on dit, tous les chemins, même tarom.

4:25 Et personne ne peut rentrer dans la maison tant que personne n'a la clé. Enfin, il faudrait que personne n'ait la clé. Sauf moi. Grosse fuite de données chez La Poste. Le site La Poste a mis en preuve d'une nouvelle version de leur site. Et bing, catastrophe. A priori, ils n'ont pas tout testé. Car certains utilisateurs se sont retrouvés avec d'autres informations que les leurs.

4:48 Et oui, une adresse postale ou un nom-prénom qui ne correspondait pas à le leur. La Poste a viré réagi en coupant le site internet et en le remettant d'aplomb au bout de deux heures. On pourrait se poser la question. Mais que font les développeurs avec leur plateforme de dev et de pré-prod ? Mais au fond de moi, voici comment j'ai vécu la news.

5:08 La Poste rencontre un souci sur son site internet. C'est comme ça qu'on se voit avec des données d'autres utilisateurs lorsqu'on change de page ou on rafraîchit tout simplement la page d'accueil. Ils ont encore bien recetté leur environnement. Des coordonnées des utilisateurs associés à leur nom-prénom ont été divulguées à d'autres personnes dont l'accès n'était pas forcément voulu.

5:28 C'est bon, je me suis constitué un bon carnet d'adresses. La Poste a simplement mentionné qu'ils étaient en maintenance et que le site allait très vite revenir. C'était deux news qui me taraudaient et qui m'ont fait réfléchir cette semaine. J'essaierai de vous faire un prochain numéro assez rapidement. Je vais essayer de les faire dans les conditions du live.

5:43 Ça m'évitera de faire des montages et re-remontages et des coupes et des re-re-recoupes. Peut-être ce sera plus dynamique et plus intéressant et pourquoi pas réagir plus vite aux news tech informatique et pourquoi pas sécurité informatique. Allez, je vous laisse. Bonne fête à tous. Rendez-vous à la prochaine. Bye bye. S'informer sur le high-tech, open source, sécurité et logiciel.