00:07Bonjour, je m'appelle Arnaud Lemaire, je suis responsable à revendre chez F5 France et
00:10aujourd'hui je vais hacker Numérama. Bon, on va pas le laisser toucher au vrai site de Numérama.
00:21Et pour cette vidéo, on a préparé une copie et la tac, elle ressemble à peu près à ce qui
00:26peut
00:26arriver dans la vraie vie. On est en décembre 2025. Les fêtes approchent, des millions de Français
00:31attendent leur colis et ont le même réflexe, aller sur le site de La Poste pour suivre leur livraison.
00:36Sauf que le 22 décembre, depuis ce matin le site internet laposte.fr est inaccessible. C'est une
00:41panne qui pourrait bien retarder les dernières livraisons. Le système informatique du groupe
00:45est totalement paralysé depuis près de 24 heures. Il devient inaccessible et mis à part de breves
00:50accalmies, les perturbations durent jusqu'au 5 janvier. On nous explique alors que La Poste vient de subir
00:55une cyberattaque. Une attaque des DOS. Mais c'est quoi exactement ? Comment ça marche ? Et est-ce
01:01qu'on peut s'en remettre ? Mais surtout, pour nous, comment la rendre visuelle ? Comment vous l'expliquez
01:06?
01:06Alors aujourd'hui, on va essayer de montrer une attaque de déni de service et de vous expliquer
01:11un petit peu comment ça fonctionne. Pour notre vidéo, l'objectif d'Arnaud est simple. Générer
01:16suffisamment de requêtes pour que notre site ne réponde plus. A l'écran, ça peut juste ressembler à une page
01:22qui charge dans le vide. Mais du côté de notre serveur et dans la préparation de l'attaque,
01:27ça va être beaucoup plus violent. La machine et le processeur doivent saturer et au bout d'un moment,
01:32le site doit devenir inaccessible. C'est ça qu'on appelle une attaque des DOS. Mais avant
01:37d'appuyer sur le bouton rouge, on va tout d'abord chercher à comprendre pourquoi des gens s'amusent
01:41à faire ça. Si on aimerait croire que ce type d'attaque est cantonné à la cyberguerre entre états,
01:45uniquement accessible à des groupes hyper structurés ou à des activistes comme Anonymous,
01:50le problème, c'est que la réalité est bien plus terre à terre. Il ne faut pas se leurrer. Les
01:54sources principales de DDoS aujourd'hui sont plus criminelles, à savoir la menace d'extorsion de
01:59fonds. Attention, je vais faire tomber votre service. Regardez, je peux le faire. Et si vous ne me
02:03versez pas une certaine somme, de préférence en crypto-monnaie, ça va se produire et tous vos
02:07services seront donc indisponibles. En gros, la principale motivation, c'est du
02:11racket 2.0. Et alors vient la question naturelle, comment on fait tomber un site comme Numéra 20 ? Alors
02:16déjà, je voulais déjà dire, assurez-vous, Arnaud ne va pas attaquer notre vrai site public mais
02:20plutôt une sorte de copie en utilisant une technique qu'on appelle le scrapping. Ça aspire le contenu
02:25d'un site pour le republier. Dans la vraie vie, un hacker pourrait d'ailleurs commencer par cette
02:29phase de reconnaissance pour trouver les points faibles d'un site. Ensuite, il lui reste à choisir
02:34son arme. Les attaques de Denis Service sont les attaques qui vont essayer de saturer,
02:38exaucer toutes les ressources de la machine ou alors le tuyau auquel est connectée la machine,
02:42quand une machine est hébergée quelque part. Une analogie, par exemple, votre maison,
02:46vous avez une rue pour y accéder. Si je remplis la rue de camion, vous ne pouvez plus accéder à
02:50votre maison. Ok, on a donc d'un côté les attaques volumétriques qui bouchent le tuyau avec des
02:55camions. On a aussi des attaques qui visent l'annuaire d'internet, c'est ce qu'on appelle les
03:00fameux serveurs DNS. Et enfin, il y a la méthode qu'on va voir aujourd'hui, l'attaque applicative. Le
03:05but,
03:06c'est pas de toucher le tuyau mais de saturer directement le cerveau du site, sa mémoire et son
03:11processeur pour qu'il monte à 100% de ses capacités et plante. Et pour envoyer autant de requêtes,
03:16un hacker seul ne suffit pas. La première chose que va faire la plupart du temps un hacker, il va
03:20demander à des amis de l'aider. Soit on a une communauté de cybercriminels qui sont prêts à
03:24attaquer un site web et se synchroniser tous ensemble pour le faire écrouler, soit on va utiliser,
03:30comme vous le voyez ici à l'écran, ce qu'on appelle un centre de commande, un control center en
03:34anglais, et on va se faire aider d'amis, mais cette fois virtuels, à savoir par exemple un réseau de
03:39bot qui est distribué sur internet. Évidemment, on va pas louer des serveurs sur Amazon ou investir
03:44dans son infrastructure propre, on va aller compromettre la plupart du temps des machines
03:49pour aller y installer notre petit logiciel, notre bot, qui va être dormant la plupart du temps,
03:54et lorsqu'on va l'activer à travers un control center, il va se mettre à répondre à nos exigences
03:59et typiquement lancer une attaque. Et ces machines compromises, ces fameux bots, ça peut être
04:04n'importe quoi. Si votre frigo connecté, votre box internet ou votre caméra de surveillance ne sont
04:09pas mis à jour, ils pourraient être recrutés. Arnaud nous a expliqué d'ailleurs que des
04:13parcmètres connectés en Asie s'étaient fait pirater pour participer à ce genre d'attaque. Et le pire,
04:18c'est que le hacker n'a même pas besoin d'être un génie pour lever cette armée.
04:21Donc aujourd'hui sur le dark web, on est capable de louer des campagnes, on est capable de louer des
04:26réseaux de bots, dans ces cas là aucune expertise nécessaire, juste le risque d'une transaction financière,
04:30soit carrément prendre la main sur un réseau qui serait disponible et qu'on pourrait louer ou
04:35acheter encore une fois pour lui faire faire ce qu'on souhaite faire, à savoir une attaque de
04:38DDoS dans cet exemple. Notre expert a donc loué son armée de caméra, ses parcmètres, ses serveurs
04:43mal sécurisés. Il reste maintenant à les réveiller. C'est parti, je vais me connecter donc à mon réseau
04:51de bots. On passe par un réseau de TOR, donc pour ceux qui ne connaissent pas un réseau de TOR,
04:54c'est un réseau qui permet d'anonymiser les connexions sur internet. Donc là on voit un petit, un grand
04:59nombre même
05:00de petits points verts, ce sont mes bots qui sont disponibles et maintenant en ligne et qui vont se
05:05rendre donc disponibles pour l'attaque. Alors encore une fois, on voit ici une dispersion géographique,
05:09encore une fois, pour noyer finalement les sources d'attaque. 55 points verts, prêts à attaquer,
05:15bref, les troupes sont en place, place à la démo. Donc on va cliquer sur le petit bouton ici launch
05:22et
05:23on va lancer cette hors d'attaque. Donc on voit ici la cible, numerama.com, on a un vecteur,
05:28HTTP fluid, ça veut dire qu'on va essayer de saturer le site web avec des requêtes. Donc
05:32les bots sont en train de monter en puissance. L'attaque est lancée. Si on regardait les
05:38écrans de contrôle de numerama, on verrait que l'utilisation de notre processeur de machine,
05:42le fameux CPU, vient de passer à 100%. Et pour moi, l'utilisateur normal qui a juste envie de lire
05:48un article depuis mon canapé, voilà ce qui se passe. On va ouvrir un nouvel onglet pour se connecter,
05:53et là on commence à voir un petit cône familier de ceux qui ont des problèmes de connexion internet,
05:58à savoir le petit point qui commence à bouger ici. Donc là en fait, on a saturé tellement rapidement
06:03les ressources de la machine distante qu'elle est occupée à traiter toute cette avalanche de
06:08requêtes et elle n'a plus de ressources libres pour traiter nos requêtes d'êtres humains qui
06:13arrivent sur le site web. En gros, notre site agonise. Les navigateurs sont conçus pour tolérer un peu de
06:19latence, mais au bout de 30 à 60 secondes de chargement dans le vide, comme c'est le cas ici,
06:23ils finissent par abandonner et afficher le fameux message d'erreur, ce site est inaccessible. Pour
06:28notre copie de numerama, l'attaque a fonctionné avec seulement 55 bots, mais vous imaginez bien
06:33que dans le monde réel, les proportions sont beaucoup plus effrayantes. Evidemment, si on va
06:39vouloir écrouler un site web personnel hébergé à la maison, on aura peut-être besoin de 100,
06:44200, 300 requêtes secondes. Un site institutionnel d'une entreprise, on aura peut-être besoin de 5 000,
06:4910 000 requêtes secondes. Et un webmonster, un géant sur internet, on aura besoin de peut-être
06:54600 000, 500 000, 1 million de requêtes secondes pour le faire écrouler. Alors comment on se défend
06:58face à 1 million de requêtes par seconde ? On ne peut pas juste débrancher internet. Pour les
07:02attaques volumétriques, on utilise ce qu'on appelle du content scrubbing. C'est des opérateurs de
07:07sécurité qui filtrent tout le trafic en amont pour séparer les vrais humains des robots comme une
07:12passoire. Mais pour les attaques applicatives, comme celle qu'Arnault vient de lancer, c'est
07:15plus compliqué. La majorité du temps, les flux sont chiffrés en HTTPS, donc on ne voit pas la
07:21nature des flux. Et là, il faut des équipements qui soient capables d'intercepter le trafic,
07:25de faire le déchiffrement et d'aller voir dans les requêtes applicatives des comportements
07:28d'attaque des DOS. Il faut donc déchiffrer le trafic en temps réel. Analyser le comportement
07:33et limiter la cadence des requêtes pour sauver le serveur. C'est une véritable guerre technologique
07:39invisible. Et quand l'attaque s'arrête ? Après, on est dans la tech. Rien n'est sûr à 100%.
07:44Il se
07:45peut que sur la machine, le fait d'avoir la CPU qui monte à 100% cause des problèmes et
07:50le site
07:50ne revient pas à la normale. On va être obligé soit de le remonter, soit de le rebooter, par exemple,
07:55pour le remettre en service. Ça peut se produire dans certains cas de figure, effectivement. Pour
07:59nous, la copie de Numérama a fini par se remettre sur pied. Vous l'avez compris, les attaques
08:03des DOS, c'est une course contre la montre constante. Les attaques qui pesaient quelques
08:07mégabits il y a 10 ans atteignent aujourd'hui des dizaines de terabits. Et nous avons tous
08:12un rôle à jouer. La prochaine fois que votre box internet, votre frigo connecté ou un vieux
08:17logiciel traînant sur votre PC vous demande une mise à jour de sécurité, faites-la. Ça
08:21évitera peut-être à votre grippe inconnectée de participer à la prochaine cyberguerre mondiale.
08:39Merci d'avoir regardé cette vidéo !
08:39pour vous abonner à la prochaine vidéo !
08:44Sous-titrage Société Radio-Canada
Commentaires