Je dédie ce livre à mon épouse, Tricia.
Elle représente vraiment, à tous points de vue, l’adage
« Derrière chaque grand homme se cache une femme ».

Chapitre 1

Quel type de hacker êtes-vous ?

Il y a bien des années, j’ai emménagé dans une maison à laquelle était annexé un merveilleux garage. Il était parfait pour s’y garer, pour protéger mon bateau et mon petit camping-car. Il était solidement construit, sans le moindre nœud dans le bois de la charpente. Les travaux électriques avaient été réalisés de manière professionnelle, les fenêtres étaient de haute qualité et prévues pour des vents de 240 km/h. Une bonne partie de l’intérieur était revêtue de lambris de cèdre rouge aromatique, le type de bois qu’un menuisier utiliserait pour recouvrir un coffre à vêtements ou une penderie afin de la parfumer agréablement. Bien que je sois incapable d’enfoncer un clou droit, je pouvais aisément voir que le constructeur savait ce qu’il faisait, se souciait de la qualité et soignait les détails.

Quelques semaines après mon emménagement, un fonctionnaire de la ville est passé et m’a dit que le garage avait été construit illégalement il y a longtemps sans aucun permis, et que je devrais le faire démolir ou être confronté à de lourdes amendes pour chaque jour de non-conformité. J’ai téléphoné à l’administration municipale pour obtenir une dérogation puisqu’il existait depuis de nombreuses années et qu’on me l’avait vendu lors de l’achat de mon logement. Pas question. On devait le démolir immédiatement. Une seule journée d’amendes représentait plus d’argent que ne pouvait me rapporter rapidement la vente des éléments en ferrailles si je le démontais soigneusement. Financièrement parlant, plus vite je le démolissais et le faisais évacuer, mieux c’était.

J’ai sorti une masse de destruction (en substance une hache épaisse en fer construite pour les travaux de démolition) et en l’espace de quelques heures, j’avais réduit la structure entière en un tas de bois et en autres débris de construction. Sur le moment j’ai bien compris que ce qui avait pris probablement des semaines, voire des mois à être construit par un artisan de qualité, je l’avais détruit de mes mains peu expertes en bien moins de temps.

Contrairement aux idées reçues, le piratage malveillant est plus comparable à de la destruction à la masse qu’à de l’artisanat.

Si vous avez la chance d’envisager une carrière de hacker informatique, vous devrez décider si vous aspirez à protéger le bien commun ou si vous allez vous contenter d’objectifs plus insignifiants. Voulez-vous être un criminel malveillant ou un puissant défenseur vertueux ?

Ce livre est la preuve que les meilleurs et les plus intelligents hackers travaillent du bon côté. Ils se mettent à exercer leur esprit, à progresser intellectuellement, et ne doivent pas s’inquiéter d’être arrêtés. Ils travaillent au premier plan de la sécurité informatique, obtiennent l’admiration de leurs pairs, servent à faire progresser l’homme avec bienfaisance et on les rémunère largement pour cela. Cet ouvrage traite des héros méconnus qui rendent possible nos incroyables vies digitales.

  Note   Bien que les formules « hacker » et « hacking »1 peuvent faire référence à quelqu’un ou une activité bien ou mal intentionnée, ils sont presque toujours connotés de manière négative selon l’usage populaire. Je réalise que les hackers peuvent être bons ou malveillants, mais il se peut que j’utilise dans ce livre ces termes sans plus de qualification, pour donner une connotation négative ou positive, simplement pour gagner de l’espace. Utilisez la signification entière de mes phrases pour déterminer le sens de ces termes.

La plupart des hackers ne sont pas des génies

Malheureusement, la quasi-totalité de ceux qui écrivent, sans véritable expérience, à propos des hackers informatiques criminels, les idéalisent tous comme étant des personnages super intelligents, divins, mythiques. Ils peuvent deviner n’importe quel mot de passe en moins d’une minute (particulièrement sous la menace d’un revolver à en croire Hollywood), s’introduire dans n’importe quel système, et briser n’importe quel secret de chiffrement. Ils travaillent surtout la nuit et boivent des quantités abondantes de boissons énergisantes tout en jonchant leurs espaces de travail de restes de chips de pommes de terre et de cupcakes. Un écolier utilise le mot de passe volé au professeur pour changer certaines notes et les médias l’adulent comme s’il était le prochain Bill Gates ou Mark Zuckerberg.

Les hackers ne sont pas forcément brillants. J’en suis la preuve vivante. Même si je me suis introduit dans chaque recoin des systèmes d’entreprises qui m’avaient mandaté pour le faire, je n’ai jamais compris totalement la physique quantique ou la théorie de la relativité d’Einstein. J’ai échoué deux fois au cours d’anglais dans l’enseignement secondaire, je n’ai jamais obtenu plus qu’un C en maths et ma moyenne lors de mon premier semestre, dans une école supérieure, était de 0,62. Elle était constituée de cinq F et d’un A. L’unique A correspondait au cours de sécurité aquatique parce que j’avais déjà été sauveteur au bord de l’océan pendant 5 ans. Mes mauvaises notes n’étaient pas dues seulement à mon manque d’efforts. Je n’étais simplement pas si intelligent et je ne faisais pas d’efforts. J’ai appris plus tard qu’étudier et travailler dur sont souvent plus bénéfiques que de naître naturellement intelligent. J’ai fini par achever mon cursus universitaire et par exceller dans le monde de la sécurité informatique.

Pourtant, même quand les écrivains ne qualifient pas les méchants pirates de super intelligents, c’est ce que les lecteurs supposent souvent car ils paraissent exercer de la magie noire perfectionnée que le reste du monde ne connaît pas. Dans la psyché collective mondiale, c’est comme si « hacker malveillant » et « super intelligence » devaient aller de pair. Ce n’est tout simplement pas vrai. Quelques-uns sont perspicaces, la plupart sont moyens et certains ne sont pas doués du tout, tout comme le reste du monde. Les hackers connaissent simplement certains faits et procédés que d’autres ignorent, comme les charpentiers, les plombiers ou les électriciens ont des compétences qui leur sont propres.

Les défenseurs sont bien plus que des hackers

Si nous dressons une comparaison sur le seul plan intellectuel, les défenseurs sont en moyenne plus intelligents que les agresseurs. Un défenseur doit savoir tout ce qu’un hacker malveillant fait mais en plus de cela, comment arrêter l’attaque. Et cette défense ne fonctionnera que si elle n’a presque aucune incidence sur l’utilisateur final, qu’elle travaille en coulisses, et qu’elle fonctionne parfaitement (ou presque) tout le temps. Présentez-moi un hacker malveillant doté d’une technique particulière, et je vous montrerai plus de défenseurs, bien intelligents et bien meilleurs. C’est juste que l’agresseur bénéficie habituellement de plus de couverture médiatique. Ce livre est un plaidoyer en faveur d’une équité dans la presse.

Les hackers sont spéciaux

Bien que je ne qualifie pas tous les hackers de super intelligents, bons ou mauvais, ils partagent tous quelques traits communs. Parmi ceux-ci, on retrouve une grande curiosité intellectuelle et une volonté d’essayer des choses en-dehors de l’interface donnée ou des limites. Ils n’ont pas peur de se frayer leur propre chemin. Les pirates informatiques sont habituellement des pirates dans la vie quotidienne, ils piratent toutes sortes de choses au-delà des ordinateurs. Ils sont le genre de personnes qui, face aux mesures de sécurités dans les aéroports, réfléchissent comment elles pourraient passer furtivement une arme derrière les détecteurs, même si elles n’ont pas vraiment l’intention de le faire. Ils essaient de savoir si les onéreux tickets de concert peuvent être facilement contrefaits, même s’ils n’ont pas l’intention d’y assister gratuitement. Lors de l’achat de leur téléviseur, ils se demandent s’ils peuvent accéder à son système d’exploitation pour en tirer certains avantages. Présentez-moi un hacker et je vous montrerai quelqu’un qui remet en question le statu quo et explore en permanence.

  NOTE   À un moment donné, mon propre plan hypothétique pour faire passer des armes derrière les dispositifs de sécurité aéroportuaires impliquait des répliques de fauteuils roulants avec des armes ou des explosifs cachés à l’intérieur des parties métalliques. On pousse souvent les fauteuils roulants derrière les dispositifs de sécurité dans les aéroports sans les examiner minutieusement.

Les hackers sont persévérants

Après la curiosité, le trait de caractère le plus utile d’un hacker est la persévérance. Chaque hacker, qu’il soit bon ou mauvais, connait le supplice des longues heures passées à essayer et essayer encore de faire fonctionner quelque chose. Les hackers malveillants cherchent les faiblesses défensives. Une erreur du défenseur rend sensiblement toute la défense sans valeur. Un défenseur doit être parfait. Chaque ordinateur et chaque programme logiciel doit être mis à jour, chaque configuration convenablement sécurisée, et chaque utilisateur final parfaitement formé. Ou du moins, c’est l’objectif. Le défenseur sait qu’il est possible que les défenses appliquées ne fonctionnent pas toujours ou qu’elles ne soient pas appliquées comme indiqué, ils créent donc des couches de « défense en profondeur ». Les hackers malveillants et les défenseurs cherchent tous deux des faiblesses, juste de part et d’autre du système. Les deux parties participent à une guerre continue faite de nombreuses batailles, victoires et pertes. La partie la plus acharnée gagnera la guerre.

Le chapeau du hacker

J’ai été un hacker toute ma vie. On m’a payé pour m’introduire par effraction dans des endroits (j’y étais légalement autorisé). J’ai brisé des mots de passe, me suis infiltré dans des réseaux et créé des « malware »2. Pas une fois je n’ai enfreint la loi ou franchi une limite éthique. Ce qui ne veut pas dire que certaines personnes n’ont pas essayé de me donner l’envie de le faire. Au fil des années, j’ai eu des amis qui me sollicitaient pour m’introduire dans le téléphone mobile de leur conjoint, qu’ils soupçonnaient d’être infidèle, des chefs qui me demandaient de récupérer l’e-mail de leur supérieur, ou des personnes qui souhaitaient que je m’introduise dans le serveur d’un mauvais hacker (sans aucun mandat) pour tenter de les empêcher de perpétrer d’autres actes de piratage. Dès le début, vous devez décider qui vous êtes et quelle est votre éthique. J’ai décidé que je serai un bon hacker (un « whitehat hacker »3) et ce dernier ne fait pas de choses illégales ou immorales.

Les hackers qui participent volontiers à des activités illégales ou non-éthiques sont appelés « blackhat hacker4 ». Les hackers qui gagnent leur vie en tant que « whitehat » mais qui secrètement, font des activités « blackhat » en amateur sont connus comme « grayhat5». Mon code moral est binaire sur cette question. Les grayhat sont des blackhat. Soit vous faites des choses illégales, soit vous n’en faites pas. Dévalisez une banque et je vous traiterai de braqueur de banque, peu importe ce que vous faites de l’argent.

Cela ne veut pas dire que les blackhat ne peuvent devenir des whitehat. Cela se produit tout le temps. La question est, pour certains d’entre eux, de savoir s’ils deviendront des whitehat avant de devoir passer une période de temps considérable en prison. Kevin Mitnick (https://en.wikipedia.org/wiki/Kevin_Mitnick), un des plus célèbres hackers arrêté dans l’histoire (et dont le profil se trouve dans le chapitre 5), vit depuis longtemps en tant que défenseur, contribuant au bien commun. Robert T. Morris, le premier type à créer et à sortir un ver informatique qui a fait tomber Internet (https://en.wikipedia.org/wiki/Morris_worm), est finalement devenu un membre de l’Associate for Computing machinery (https://awards.acm.org) « pour ses contributions aux réseaux informatiques, aux systèmes distribués, et aux systèmes d’exploitation ».

Dès le début, la limite entre le piratage légal et illégal n’était pas aussi nette qu’aujourd’hui. En fait, on vouait un culte de super héros à la plupart des premiers pirates. Moi-même je ne peux pas m’empêcher d’être fasciné par certains d’entre eux. John Draper (alias « Captain Crunch ») utilisait un sifflet pour enfant, provenant d’une boîte de céréales Cap’n Crunch, pour produire un signal audio (2 600 Hz) que l’on pouvait utiliser pour profiter gratuitement d’un service téléphonique interurbain. De nombreux hackers qui ont publié des informations privées pour « le bien public » ont souvent été glorifiés. À quelques exceptions près, je n’ai jamais eu une vision trop idéalisée des hackers malveillants. Pour moi, il est assez clair que les personnes qui mènent des actions non-autorisées, contre les ordinateurs d’autres personnes et leurs données, commettent des actes criminels.

Il y a des années, lorsque j’ai commencé à m’intéresser aux ordinateurs, j’ai lu un livre intitulé Hackers : Heroes of the Computer Revolution de Steven Levy. À l’aube de l’ère des ordinateurs personnels, Levy a écrit une histoire amusante de hackers, bons et malicieux, incarnant ainsi la philosophie du hacker. La majeure partie de l’ouvrage est consacrée aux personnes qui améliorèrent le monde via l’utilisation d’ordinateurs, mais traite aussi du type de hackers qu’on arrêterait aujourd’hui pour leurs activités. Certains de ces hackers croyaient que « la fin justifie les moyens » et suivaient un ensemble flou de mœurs, incarné par ce que Lévy appelait « l’éthique du hacker ». Au premier plan de ces croyances figurent les philosophies selon lesquelles on peut accéder à un ordinateur pour n’importe quelle raison légitime, que toutes les informations devraient être libres, et qu’il faut se méfier de l’autorité. C’est une vision romancée du piratage et des hackers, bien que cela n’occulte pas les problèmes discutables d’éthique et de loi. En fait, il a pour objet les limites qui avaient été nouvellement repoussées à l’époque.

Steven Levy fut le premier auteur à qui j’ai envoyé un exemplaire de son propre livre en lui demandant d’y apposer son autographe et de me le renvoyer (cela m’arrive quelques fois maintenant que je suis l’auteur de huit livres). Levy a continué d’écrire et est devenu, par la suite, rédacteur technique pour plusieurs magasines importants notamment Newsweek, Wired, et Rolling Stone et il a écrit six autres livres à propos de problèmes de sécurité informatique. À ce jour, Levy est encore un écrivain de référence dans le domaine de la technologie. Son ouvrage, Hackers, m’a fait connaître le monde merveilleux du piratage en général.

Plus tard, d’autres livres, comme Flu-Shot de Ross Greenberg (épuisé depuis longtemps) et Computer Viruses, Worms, Data Diddlers, Killer Programs, and Other Threats to Your System (https://www.amazon.com/Computer-virusesdiddlers-programs-threats/dp/031202889X) de John Mc Afee m’ont initié à la lutte contre les hackers malveillants. J’ai lu ces ouvrages et cela m’a suffisamment emballé pour que le combat contre ces menaces devienne la carrière de ma vie.

En cours de route, j’ai appris que les défenseurs sont les hackers les plus intelligents. Je ne veux pas mettre tous les hackers malveillants dans le même panier. Chaque année, quelques hackers sans scrupules découvrent quelque chose de nouveau. Il y a quelques hackers très intelligents. Mais la quasi-totalité des hackers malveillants sont assez ordinaires et répètent simplement quelque chose qui fonctionne depuis 20 ans. Pour parler franchement, le hacker malveillant moyen n’a pas assez de talent de programmation pour créer une application « bloc-notes », et encore moins pour découvrir tout seul comment s’infiltrer dans un système, venir à bout d’un chiffrement, ou deviner immédiatement les mots de passe avec succès – pas sans une aide importante d’autres hackers qui y ont vraiment réfléchi des années auparavant.

L’ironie veut que les personnes super intelligentes que je connais dans le monde informatique ne sont pas les hackers malveillants, mais bien les défenseurs. Ils doivent savoir tout ce que les hackers font, imaginer ce qu’ils pourraient faire dans le futur, et construire contre tout cela une défense facile à utiliser et nécessitant peu d’efforts. Le monde des défenseurs est rempli de docteurs, d’étudiants en cours de maîtrise et d’entrepreneurs prospères. Les hackers m’impressionnent rarement, mais les défenseurs bien.

Il n’est pas rare que les défenseurs découvrent une nouvelle façon de pirater quelque chose, sans pour autant le crier sur tous les toits. C’est le rôle du défenseur de protéger, et dans ce contexte, dévoiler aux hackers malveillants des manières inédites de pirater quelque chose, avant la mise en place des défenses ne facilitera la vie de personne. Imaginer un nouveau piratage et contribuer à combler la brèche avant qu’elle ne soit découverte par le monde extérieur est un mode de vie pour les défenseurs. Cela se produit bien plus de fois que l’inverse (comme un hacker externe découvrant une nouvelle faille).

J’ai même vu des défenseurs découvrir un nouveau piratage mais, pour des raisons de rentabilité et de temps, le problème n’a pas été résolu immédiatement et plus tard, un certain hacker extérieur s’est vu attribuer les honneurs en tant que « découvreur ». Malheureusement, les défenseurs ne sont pas toujours immédiatement glorifiés et gratifiés quand ils exécutent leurs tâches quotidiennes.

Après avoir observé, pendant près de 30 ans, à la fois des hackers malveillants et des défenseurs, il m’apparaît évident que les défenseurs sont les plus impressionnants des deux. Ce n’est même pas comparable. Si vous voulez montrer à tout le monde vos capacités en informatique, ne leur présentez pas un nouveau mode de piratage. Montrez-leur une défense qui soit neuve et meilleure. Il ne faut pas être intelligent pour trouver une nouvelle façon de hacker. Cela requiert la plupart du temps simplement de la persévérance. Mais cela coûte des efforts à une personne spéciale et intelligente de construire quelque chose qui puisse résister sur le long terme à un piratage constant.

Si vous souhaitez impressionner le monde, ne rasez pas le garage. À la place, réalisez un code qui puisse résister à la masse de destruction du hacker.

Notes

1. Dans cette version traduite en français, les termes « pirate », « pirater » et « piratage » sont également utilisés.

2. Malware, que l’on peut traduire par logiciel malveillant, aussi communément appelé maliciel.

3. Un whitehat hacker ou hacker à chapeau blanc désigne un hacker bien intentionné.

4. Un blackhat hacker ou hacker à chapeau noir désigne un hacker mal intentionné.

5. Un grayhat hacker ou hacker à chapeau gris désigne un hacker parfois bien intentionné et parfois mal intentionné.

Ouvrage original : Hacking the Hacker : Learn from the Experts Who Take Down Hackers
Copyright © 2017 by John Wiley & Sons, Inc., Indianapolis, Indiana All Rights Reserved. This translation published under license with the original publisher John Wiley & Sons, Inc.

Pour toute information sur notre fonds et les nouveautés dans votre domaine
de spécialisation, consultez notre site web : www.deboecksuperieur.com

© De Boeck Supérieur s.a., 2019
Rue du bosquet 7, B - 1348 Louvain-la-Neuve

Il est interdit, sauf accord préalable et écrit de l’éditeur, de reproduire (notamment par photocopie) partiellement ou totalement le présent ouvrage, de le stocker dans une banque de données ou de le communiquer au public, sous quelque forme et de quelque manière que ce soit.

« Cette œuvre est protégée par le droit d’auteur et strictement réservée à l’usage privé du client. Toute reproduction ou diffusion au profit de tiers, à titre gratuit ou onéreux, de tout ou partie de cette œuvre, est strictement interdite et constitue une contrefaçon prévue par les articles L 335-2 et suivants du Code de la Propriété Intellectuelle. L’éditeur se réserve le droit de poursuivre toute atteinte à ses droits de propriété intellectuelle devant les juridictions civiles ou pénales. »

Ce document numérique a été réalisé par PCA