TinKode, le pirate de la NASA et du Pentagone, arrêté en Roumanie

Un hacker de 20 ans, connu sur Internet sous le pseudonyme de TinKode, a été récemment arrêté par la police roumaine. Celui-ci s'était vanté d'avoir piraté les systèmes informatiques du Pentagone et de la NASA.

De son vrai nom Razvan Manole Cernaianu, le pirate TinKode est accusé d'avoir révélé les failles de sécurité des systèmes informatiques du Pentagone et de la NASA et d'avoir publié des informations sur la manière de mener des attaques par injection de code SQL contre ces agences. La Direction roumaine de la lutte contre le Crime organisé et le Terrorisme a déclaré que le pirate avait également proposé sur son blog un logiciel pouvant servir à pirater des sites web et avait publié une vidéo dans laquelle il décrivait les attaques Internet qu'il avait menées contre le gouvernement américain. Le FBI et la NASA ont collaboré à l'enquête. Selon l'ambassade des États-Unis à Bucarest, Razva Cernaianu a utilisé « des outils de piratage sophistiqués pour avoir un accès non autorisé à des systèmes gouvernementaux et commerciaux. » En avril dernier, le hacker aurait ainsi réussi à s'introduire dans un serveur informatique du Goddard Space Flight Center appartenant à la NASA, et avait publié une capture d'écran sur laquelle on pouvait voir des fichiers contenant des données satellitaires confidentielles. D'après Anthony M. Freed, rédacteur en chef d'Infosec Island, TinKode a profité de plusieurs vulnérabilités bien connues et les agences ciblées auraient pu les résoudre avant que le pirate n'exploite ces failles en livrant des attaques par injection de code SQL. La plupart des experts en sécurité connaissent bien cette technique et la désignent - un peu par dérision - sous le nom de « Hacking 101 », pour dire que la méthode est simple.

Des failles de sécurité dans tous les systèmes complexes

« Le pirate a ciblé de grosses entités qui ont sans aucun doute des réseaux complexes et de multiples interfaces pour permettre l'accès à des tiers, avec des bases de données d'entreprises avec lesquelles elles travaillent ou des bases clients, » a indiqué Anthony Freed. «  Ces différents accès augmentent la probabilité de trouver des points d'entrée non protégés. » a ajouté le rédacteur en chef d'Infosec Island. Selon lui, dans des réseaux de cette ampleur, l'intrusion d'un pirate déterminé est presque assurée. «  Dans ce type d'infrastructure, il faudrait se concentrer davantage sur la détection et la protection des données au sein des réseaux et moins travailler avec l'hypothèse qu'il ne sera pas possible d'empêcher toutes les tentatives d'intrusion, » a-t-il déclaré. Il est notamment essentiel de mettre en place des systèmes de surveillance avancée, d'établir une classification appropriée des données, et d'utiliser des protocoles d'authentification de second niveau pour contrôler l'accès aux informations les plus sensibles afin de détecter les intrusions éventuelles et contrer l'action des pirates éventuels. « Ces précautions pour verrouiller un système compromis et éviter le vol de données valent bien le temps que l'on peut y consacrer, » a ajouté Anthony Freed.

Pour Gary McGraw, directeur technique de Cigital, TinKode n'aurait pas été repéré s'il ne s'était pas vanté publiquement de ses exploits. « Si vous cherchez à vous faire remarquer que vous allez sûrement réussir,» a-t-il déclaré. Le directeur technique affirme aussi que le dommage causé est probablement mineur. « Pour éviter ces problèmes stupides, des agences comme celles-ci devraient plutôt construire des systèmes où la sécurité est une priorité principale. Pour l'instant, elles essaient juste de remédier au coup par coup aux défauts d'un système qui ne fonctionne pas correctement. »