Ce billet n'avait été publié qu'en anglais. Nous l'avons traduit en 2026 pour que les archives se lisent dans les deux langues. Lire l'original →

Est-ce que la sécurité physique compte quand on parle de sécurité informatique? Certains paresseux vont dire que non; ceci va peut-être faire changer quelques opinions :

J'ai été appelé chez un client régulier à cause de problèmes avec son serveur Linux local qui arrêtait souvent de répondre, et les sauvegardes ne se faisaient pas correctement. Je me suis donc mis à tout réparer : j'ai remarqué que l'array RAID du NAS avait mal tourné et que le serveur redémarrait parce qu'il manquait d'espace disque, puisque /mnt/* n'était pas monté correctement. En partant, j'ai remarqué quelque chose de nouveau dans le local du serveur... une boîte noire branchée sur le réseau et sur l'UPS... ça ne pouvait pas être un autre modem, puisque je venais de repérer celui en service et le « backbone » de l'immeuble. Aucune identification : ça pouvait être un appareil quelconque, un AP, un autre NAS, .. J'ai donc demandé au seul employé sur place depuis quand cet appareil était branché, et il n'avait aucune idée de ce que c'était lui non plus.

Pas bon...

Pas de logo... hmm, j'ai cherché l'habituel autocollant ou la gravure avec l'ID et les infos d'alimentation, et je les ai trouvés sous l'appareil avec l'adresse MAC... en cherchant la MAC sur le Web, j'ai découvert qu'elle était dans la plage de Western Digital, soit 00:00:C0:00:00:00 - 00:00:C0:FF:FF:FF.

Maintenant qu'on sait ce que c'est... il faut trouver des indices sur :


Après que l'employé eut appelé le propriétaire, celui-ci m'a dit que j'avais l'autorisation d'aller de l'avant et même de prendre possession de l'appareil. Je suis donc allé dans le routeur chercher des baux DHCP liés à une adresse MAC de WD et, effectivement, j'en ai trouvé un, avec son IP. Sachant qu'il est branché en Ethernet, j'entre l'IP dans le navigateur : c'est un WD Book de 3 To au nom d'un ex-employé.

ALERTE, possibilité d'intentions malveillantes

Donc, avec Hydra, j'ai essayé de bruteforcer l'accès aux partages réseau ou le mot de passe admin de l'interface web, sans succès. J'avais seulement accès à un partage public contenant une sauvegarde du lecteur réseau vieille de 6 mois. Les autres partages listés portaient le nom d'autres employés. Était-ce une tentative pour remplacer le NAS quand ils avaient des problèmes d'alimentation constants? Ou était-ce pour accéder aux données à partir d'un endroit externe? Ou pour faire une sauvegarde et la rapporter à la maison plus tard?

J'ai fait une petite session de sniffing réseau et je me suis dit que ça n'en valait pas la peine avec le temps que j'avais; je suis donc passé à la réinitialisation de l'appareil pour en prendre possession. Une fois que ça a été fait, j'avais accès à la configuration de l'appareil (la réinitialisation enlève seulement le mot de passe admin). Voici ce que j'ai noté :


Bon... c'est un appareil vraiment génial, mais ses fonctionnalités, combinées à un accès physique non autorisé à un réseau (et à quelque chose de mal configuré, évidemment), pourraient causer une brèche assez grosse pour mener une entreprise à la faillite. Ça peut s'appliquer à bien des appareils... ce qui me rappelle qu'un des plus grands risques en sécurité informatique vient de l'intérieur!

Pour mémoire, aucun journal n'était activé, aucune activité récente n'a été détectée, et j'ai dû utiliser l'appareil puisque l'ancien NAS était fichu. J'ai simplement remis les paramètres d'usine, effacé le disque, désactivé UPnP, désactivé les services infonuagiques, configuré des ACL adéquates, un très bon mot de passe admin et, finalement, des règles de pare-feu adaptées.