Buq Traq : le clone de Back Track

*Ceci est un article basé sur les conférences et ateliers du RSSIL 2012*

Les spécialistes de la sécurité informatique connaissent très bien Back Track qui est une distribution axée sur la sécurité. Lors des RSSIL 2012, son clone a été présenté : Buq Traq.

Créé par un Espagnol et un Argentin, Buq Traq se veut être une version améliorée de Back Track, accès débutants, plus légère, plus efficace. La version -1 Final est d’ailleurs basée sur Ubuntu tout comme Back Track 5. Les concepteurs ont repris la plupart des outils déjà présents dans Back Track comme BTScan ou Havij. Mais ils ont également ajouté leurs propres outils de pentesting comme de Log Remover qui permet d’effacer et/ou réécrire des logs.

Certains outils ne sont en fait que des raccourcis amenant à divers sites Web permettant de faciliter le travail, notamment celui de social engineering. En la matière, les développeurs ont d’ailleurs créé un vrai petit bijou car un des outils permet de lancer différents scénarios basés sur l’ingénierie sociale, notamment le clonage complet d’un site. Le Social Engineer Toolkit est l’un des outils les plus originaux qui soient inclus dans cette distribution.

Au niveau du design, on retrouve les fondamentaux de Back Track avec une interface très épurée mais la nouveauté réside dans le tableau de bord latéral qui montre quelles applications sont en cours d’utilisation, lesquelles sont désactivées ainsi que celles qui ne sont pas installées.

En tout, une centaine d’outils sont présents dans cette distribution. Pourtant, malgré cette apparente facilité, elle n’est pas encore mûre pour une utilisation.

En effet, là où l’installation de la dernière version d’Ubuntu ne prend qu’une dizaine de minute sur un ultra-portable de type eee-pc, l’installation de Buq Traq a été matériellement impossible. Pour une raison inconnue, l’installation persistante n’a pas été possible malgré différentes tentatives d’installation. Le boot sur clef USB fonctionne malgré tout mais cela signifie qu’aucune sauvegarde de données n’est possible sur le disque dur puisque le système n’est pas installé.

Par ailleurs, il n’existe pas réellement d’équipe constituée dédiée à cette distribution, ce qui sous-entend qu’en cas de problèmes, aucune aide ne sera possible. Il n’y a d’ailleurs aucune documentation disponible, que ce soit en Français ou en Anglais, ce qui est regrettable, d’autant plus lorsqu’il s’agit d’une distribution axée sur la sécurité.

Autre problème de taille : lorsque la distribution n’est pas installée de façon persistante, le clavier reste en QWERTY espagnol. Il n’est pas possible de configurer le clavier lorsque l’on boot en USB, ce qui est très problématique lorsque l’on n’est pas familier des claviers de ce type.

Il convient également de noter que le trop grand nombre d’outils pré-installé n’est pas forcément une bonne chose. Un pentesteur débutant sera noyé dans cette masse de softs et ne saura pas lesquels utiliser. De la même manière, une bonne partie du travail de tests est déjà effectuée, ce qui pourrait être une bonne chose mais qui ne l’est pas en réalité. Lorsque l’on ne sait pas lire les résultats d’une opération, il n’est pas utile de la lancer. Il convient de commencer par l’apprentissage des bases de la sécurité informatique – peu importe les failles que l’on recherche – plutôt que de commencer tout de suite par quelque chose que l’on ne maîtrise absolument.

C’est d’ailleurs l’une des inquiétudes qui pourrait surgir avec cette distribution : son apparente facilité et sa possible médiatisation risquent de pousser les script-kiddies en tout genre à se jeter sur elle, afin d’effectuer certaines opérations malveillantes. Par exemple, il est dommageable qu’elle soit livrée avec des outils permettant le DDOS.

Quelle conclusion tirer de cette distribution ? Si l’initiative en elle-même est louable et intéressante, le système reste profondément perfectible et ne remplace aucunement une bonne formation en sécurité informatique, même s’il est possible de l’utiliser pour certains tests rapides. 

*Vous pouvez retrouver la vidéo de la présentation ici*