Le pentest : les choses à ne pas faire

Vous êtes quelques-uns à avoir tenté de pentester mon site. Voici quelques rappels technico-légaux.

Le pentest est une expression désignant un processus de tests de sécurité sur un site ou plus globalement une infrastructure. L’idée est d’essayer de découvrir les failles de sécurité et de se mettre dans la position d’un agresseur potentiel. Même si les intentions sont honnêtes, on ne procède pas n’importe comment.

On commence par prévenir le responsable/propriétaire du site. Certains ont eu la très mauvaise surprise de se faire bannir de mon site – et non je ne donnerai pas les noms des petits rigolos qui sont concernés – justement parce que je les ai pris pour des attaquants, parce qu’ils ne m’ont pas prévenu, ni avant, ni après. N’étant pas de nature (trop) belliqueuse, je ne me suis pas tournée vers les FAI qui gèrent les adresses IP que j’ai spotté, chose que j’aurais pu faire.

En effet, si lorsque vous avez un site, vous découvrez en consultant vos logs que quelqu’un a essayé de vous attaquer, vous pouvez remonter l’IP, découvrir quel est le FAI et entrer en contact avec ce dernier et même déposer une plainte sur le fondement de la loi Godfrain. Le système peut même être plus pernicieux car s’il s’avère que l’IP permet de remonter à une société, c’est cette dernière qui va prendre et qui va ensuite se retourner contre le salarié peu précautionneux. En bref, un engrenage juridique bien lourd. Il ne faut absolument pas s’imaginer que tous les responsables de site ont le sens de l’humour et lorsque l’on s’amuse à tester la sécurité d’un site, sans avoir eu au préalable l’autorisation du propriétaire, il est tout à fait en droit de se retourner pénalement et civilement contre l’apprenti-pentesteur.

Non seulement on prévient le propriétaire de la structure que l’on va tester mais on lui donne aussi certaines indications, notamment le type d’attaques et « l’identifiant » avec lequel on va attaquer. J’ai eu la surprise de constater que certains avaient pentesté le site en passant par leur machine personnelle, sans proxy ni VPN, avec l’IP fourni par leur FAI, quand cela n’a pas été fait avec les machines et les connexions Internet fournies par leurs employeurs (non, je ne donnerai toujours pas les noms, ils se reconnaîtront tous seuls).

Il est d’autant plus nécessaire de prévenir, de préférence a priori, le propriétaire du site que si ce dernier est sur un serveur mutualisé, les attaques qu’il va subir peuvent se répercuter sur les voisins du serveur. Si l’hébergeur subit un préjudice de par cette attaque, c’est lui qui va se retourner contre l’apprenti-pentesteur.

De la même manière, lorsque dans une entreprise, quelqu'un doit pentester une infrastructure, il convient de prévenir l'hébergeur, de rédiger formellement un document reprenant les informations : cible(s), méthodologie(s), remise d'un rapport, contenu du rapport, afin d'être protégé juridiquement. Même lors d'une audit en black-box, on ne procède pas n'importe comment et il est essentiel que des documents retracent cette demande afin qu'en cas de problèmes techniques, l'entreprise ne se retourne pas contre le salarié.

Enfin, si des erreurs ou des failles sont détectées, on avertit le site sur lequel on l’a trouvé, en expliquant la démarche, la méthodologie et éventuellement les patchs à appliquer. Si vous souhaitez plus d'explications et de détails juridiques, lisez ou relisez ceci.