Jouer aux cartes… “sans-contact” sous Windows

L’objectif de cette article est de vous montrer comment utiliser le lecteur Gemalto Prox-DU avec l’outil RFIDiot sous Windows.

Le lecteur Gemalto Prox-DU est un lecteur permettant d’utiliser à la fois des cartes “contact” et “sans-contact”. Vous pourrez trouver la description du produit à l’URL suivante: http://www.gemalto.com/france/entreprise/prox_du.html

Les “drivers”, la documentation et quelques outils peuvent également être trouvés à l’URL suivante: http://support.gemalto.com/index.php?id=prox-du_prox-su

RFIDiot est une librairie Python “open-source” permettant d’explorer les périphériques RFID. Pour ceux d’entre nous qui se posent la question, RFIDiot signifie ”RFID IO Tools”

Pour mes tests je dispose d’un PC sous Windows 7 64 bits.

Pour l’installation :

1. Le lecteur est reconnu par défaut sous Windows 7. Il n’est donc pas nécessaire d’installer un “driver”. C’est appréciable!
2. Installer RFIDiot pour Windows. RFIDiot peut être téléchargé sur http://rfidiot.org/ (fichier “RFIDIOt-Windows-1.0a”)
3. Installer Python 2.7 en 32 bits. Python peut être téléchargé sur   http://www.python.org/download/releases/2.7.3/. Il est obligatoire de choisir une version 32 bits pour assurer la compatibilité avec certains des modules ci-dessous; et  il est aussi préférable de choisir la version 2.7 pour la même raison.
4. Ajouter le module Pyscard. Pyscard peut être téléchargé sur http://sourceforge.net/projects/pyscard/ (fichier “pyscard-1.6.12.win32-py2.7.msi”)
5. Ajouter le module Pycrypto. Pycrypto peut être téléchargé sur http://pypi.python.org/pypi/pycrypto/2.0.1 (fichier “pycrypto-2.0.1.tar.gz”). Pour finaliser l’installation, il est nécessaire d’extraire le contenu et de lancer “C:\Python27\python.exe setup.py”)
6. Ajouter Pyreadline. Pyreadline peut être téléchargé sur https://launchpad.net/pyreadline/+download (fichier « pyreadline-2.0-dev1.win32.exe »)

Pour le test :

1. Choisir par exemple une carte “Mifare Ultralight” et la poser sur le lecteur
2. Dans une « invite de commandes », lancer « C:\Python27\python.exe readmifareultra.py » (si votre carte sans contact est une carte “Mifare Ultralight” bien entendu)
3. On obtient alors le contenu de la carte:

 

RFIDiot propose de nombreuses autres fonctionnalités que je n’ai pas encore testé sous Windows. C’est pourquoi vos commentaires, remarques ou suggestions sont les bienvenus.

Dropbox entre dans le monde de l'authentification forte

Bien que je ne confierais pas mes secrets à Dropbox (confer MISC n°60 avec l’article intitulé “Le nuage Dropbox vu de la terre ferme”), je suis en partie rassuré par le passage de Dropbox à l'authentification 2 facteurs, rejoignant ainsi Google avec son célèbre "Google Authenticator" (voir l'article Quand Google se met à l’authentification forte…).

Comme vous pourrez le constater dans le vidéo ci-dessous, le passage au 2ème facteur se fait en souplesse.



Ce passage est facilité si vous possédez déjà l'application mobile de Google permettant de générer des OTPs, appelée Google Authenticator, et c'est mon cas! Sinon vous devez l’installer sur votre téléphone, et ce n'est pas bien compliqué (voir l'article Quand Google se met à l’authentification forte…).

Dropbox est donc complètement intégré à Google Authenticator, et c'est tant mieux!
Mais vous n'êtes pas obligé de générer les OTPs avec une application mobile. Vous pouvez également demander l’envoi d'un SMS contenant un OTP. Léger inconvénient, vous devez avoir un accès au réseau GSM!

Bravo Dropbox!

Quelques questions restent cependant en suspens:

• Qu'en est-il du chiffrement de mes données sur les serveurs de Dropbox?
• Quid de la garantie de suppression définitive de mes données (et des backups éventuels) après la suppression de mon compte?
• …

Une solution, chiffrez vos données avec un bon AES 256 avant de les stocker sur Dropbox! Surtout si vous l'utilisez dans un contexte professionnel!

Moi j'ai fait mon choix!

Gérer son PRA à la maison, comme les pros

Dans l’idée d’appliquer des solutions professionnelles aux particuliers, ou, formulé autrement, dans l’idée de professionnaliser mon “home network”, j’ai décidé de mettre en place un “backup” de mes données prenant en compte les intempéries (incendie, tremblement de terre, pluie de sauterelles géantes) et les vols. Il ne vous a pas échappé, en passant, que je suis un brin paranoïaque. Il parait que cela va de pair avec la sécurité.

Donc l’idée est de mettre en place une sauvegarde sécurisée de mes données dans un endroit de confiance suffisamment éloigné de chez moi pour les raisons citées plus haut.

Plusieurs options s’offrent à moi:

• soit je m’offre un service de type “cloud”
• soit je gère moi-même la sauvegarde

Les inconvénients de la première solution, l’achat d’un service de sauvegarde sur internet, sont les suivants:

• il est difficile de savoir réellement où sont archivées les données (dans quel pays ,dans quelles conditions de sécurité,…)
• il est aussi difficile de connaitre la politique de sécurité en ce qui concerne par exemple la suppression des données: (sont-elles réellement supprimées?) et la suppression du compte
• et finalement les meilleurs services sont assez chers quand on les compare aux avantages de la deuxième solution

L’avantage de la deuxième solution est, hormis un prix d’entrée plus important (surtout si vous partez de “0” en terme de matériel), est le contrôle total de l’hébergement et de la sécurité. Et cette solution peut être rentabilisée sur quelques années!

Quelles sont les pré-requis pour la mettre en œuvre?

• posséder deux NAS (un pour la maison et un pour le site de sauvegarde)
• disposer de la fonctionnalité “rsync” ou équivalente sur chacun des NAS
• et avoir un ami (ça c’est pas simple), de confiance (ça c’est encore plus dur) et habitant à une distance raisonnable de la maison ( ça c’est quasi impossible, mais j’ai quand même fini par en trouver un, merci “Glando”)

Donc, l’idée consiste comme vous l’avez compris à configurer un NAS (Network Access Server) en “maitre” pilotant la sauvegarde (compressée et chiffrée, la sécurité c’est important), et l’autre NAS en esclave (capable d’accepter la sauvegarde). Puis de définir une fréquence de sauvegarde en fonction de la criticité de vos données.

Voici comment le NAS '”esclave” est configuré (au fait j’utilise des NAS Synology, du matériel quasi pro à mon avis):

Dans “Panneau de configuration / Sauvegarde réseau”:

Et voilà la configuration du NAS “maitre”:

Dans “Sauvegarder et restaurer”:

Dans “Obtenir des informations”:

Bien entendu vous devez configurer les firewalls (local et distant). La configuration choisie est la suivante (elle peut certainement être optimisée):

La bonne nouvelle, à part que cela marche bien entendu, est que votre bande passante internet n’est quasiment pas affectée. Oui, oui, vous pouvez continuer à jouer à BF3 en réseau!

Remarque: en fonction de la quantité de données que vous souhaitez sauvegarder, le premier “backup” peut prendre longtemps, très longtemps! Mais on s’en fiche, c’est en “background”, et sans réel impact sur votre bande passante (ca je l’ai déjà dit!), et cela même si vous avez pris la précaution au préalable, de synchroniser vos NAS sur votre réseau local.

Note: vos commentaires permettant pour améliorer la solution sont les bienvenus.

Merci à “Uzy” pour son précieux retour sur la faisabilité.

Passe-moi le “hash”, s’il te plaît…

Dans la série, “Vidéos avec Metasploit”, en voici une sur l’exploitation d‘une faille '”Microsoft SQL Server” et d’une faille SMB.

Comme toujours l’objectif est d’obtenir un “shell” sur la machine de la victime.

La particularité de cette vidéo, au-delà de l’exploitation de la faille “Microsoft SQL Server” liée à une mauvaise configuration de la base de données, est  de réaliser un “pass the hash”. Mais qu’est-ce donc qu’un “pass the hash”?

Une fois que l’on a “dumper”, le contenu du fichiers des mots de passe de Windows, une alternative se présente:

• soit on “craque” le mot de passe de l’administrateur, à l’ancienne, avec un outil comme “john the ripper”. Mais cela demande généralement un peu de temps, proportionnel à la longueur du mot de passe
• soit on utilise directement le hash pour s’authentifier sur la machine cible en tant qu’administrateur: c’est la technique du “pass the hash”. Solution qui, cela va sans dire, est beaucoup plus rapide

C’est cette deuxième approche que l’on utilise dans cette vidéo.

Mais je vous laisse juger par vous même.

Dans la seconde partie de la vidéo, on s’attarde sur l’exploitation du “shell” que l’on vient d’obtenir en tant qu’administrateur sur la machine cible (cette partie est assez habituelle).

Remarque: dans cette exemple la longueur du mot de passe est de 7 caractères. Un de mes camarades, merci “Uzy”, m’a remonté un problème avec des mots de passe de plus de 7 caractères. Vos commentaires sont donc les bienvenus.