Shodan : le serial chercheur d'objets connectés et vulnérables

Comparativement à Google et aux autres moteurs de recherche qui n'indexent que le Web, Shodan indexe à peu près tout le reste : les webcams, les installations de traitement de l'eau, les yachts, les appareils médicaux, les feux de circulation, les éoliennes, les lecteurs de plaques minéralogiques, les téléviseurs connectés, les réfrigérateurs. Bref, tout ce qui peut être connecté à Internet (et qui, souvent, ne devrait pas l’être). Le livre écrit par John Matherly, le fondateur de Shodan, permet de bien comprendre ce que fait le moteur de recherche. L'algorithme de base est précis et concis :

1- Generate a random IPv4 address

2- Generate a random port to test from the list of ports that Shodan understands

3- Check the random IPv4 address on the random port and grab a banner

4- Goto 1

Trouver toutes les choses, les indexer et les rendre consultables. L’ensemble de ces services donne Shodan.

Comment Shodan fonctionne ?

Les services fonctionnant sur les ports ouverts s'annoncent avec des bannières (metadata du logiciel qui fonctionne sur le terminal). Un bannière déclare publiquement à l'ensemble de l'Internet quel service il offre et comment interagir avec lui. Shodan donne l'exemple d'une bannière FTP :

220 kcg.cz FTP server (Version 6.00LS) ready.

Bien que Shodan n'indexe pas le contenu Web, il interroge les ports 80 et 443. Voici la bannière https de nos confrères de CSOonline :

$ curl -I https://www.csoonline.com

HTTP/2 200

server: Apache-Coyote/1.1

x-mod-pagespeed: 1.12.34.2-0

content-type: text/html;charset=UTF-8

via: 1.1 varnish

accept-ranges: bytes

date: Fri, 25 May 2018 14:16:18 GMT

via: 1.1 varnish

age: 0

x-served-by: cache-sjc3135-SJC, cache-ewr18125-EWR

x-cache: HIT, MISS

x-cache-hits: 2, 0

x-timer: S1527257779.808892,VS0,VE70

vary: Accept-Encoding,Cookie

x-via-fastly: Verdad

content-length: 72361

d'autres services sur d'autres ports offrent des informations spécifiques aux services. Mais cela ne garantit pas que la bannière publiée soit vraie ou authentique. C’est généralement le cas, et publier une bannière délibérément trompeuse revient à appliquer le principe de non-divulgation d’information de la sécurité par l'obscurité. Certaines entreprises empêchent Shodan d'explorer leur réseau, et le moteur respecte cette barrière. Mais les attaquants n'ont pas besoin de Shodan pour trouver les périphériques vulnérables connectés à un réseau. Bloquer Shodan peut éviter des soucis temporaires, mais il est peu probable que cela améliore le niveau de sécurité de l’entreprise.

Un moteur de recherche qui fait peur

Shodan terrifie les personnes sans compétences techniques qui ne comprennent pas comment fonctionne Internet. En 2013, CNN n’a pas hésité à qualifier Shodan de « moteur de recherche le plus effrayant de l’Internet » et se demandait si, en indiquant aux hackers où se trouvaient les centrales électriques, on ne favorisait pas les attaques contre ces infrastructures. Tout à fait effrayant, en effet !

C'est, évidemment, très exagéré. Les attaquants dont l’objectif est de nuire, n'ont pas besoin de Shodan pour trouver leurs cibles. C'est à cela que servent les botnets et le scanner de sécurité gratuit zmap qu’ils exécutent. Or, le véritable intérêt de Shodan, c’est qu’il permet de mieux connaître son propre réseau et donc de mieux se défendre. On ne peut pas se défendre correctement si l’on ne sait pas ce qu’il faut défendre, et c’est aussi vrai pour une entreprise que pour la société dans son ensemble. Shodan offre une plus grande visibilité sur le cyberespace interconnecté et très exposé dans lequel nous vivons tous aujourd’hui.

Une arme de défense

L'entreprise moderne s'expose généralement plus à Internet qu'elle ne le voudrait. Les employés connectent des tas de choses au réseau pour leur travail. Toute cette informatique fantôme augmente la surface d'attaque à surveiller. Shodan facilite la recherche de sous-réseaux ou de domaines pour les périphériques connectés, les ports ouverts, les identifiants par défaut, et même les vulnérabilités connues. Exactement ce que peuvent voir les attaquants. Alors, autant commencer par fermer ces accès avant qu’ils ne passent à l’attaque. De nombreux périphériques livrent publiquement leurs mots de passe par défaut dans leur bannière. Par exemple, de nombreux appareils de Cisco annoncent leur nom d'utilisateur et leur mot de passe par défaut (cisco/cisco). D’où l’intérêt de repérer ce genre de dispositifs avant que les attaquants ne s’en chargent.

Shodan permet également de rechercher des dispositifs vulnérables à des exploits spécifiques, comme Heartbleed. Non seulement le moteur aide les responsables de la sécurité à identifier quels dispositifs sécuriser, mais il aide aussi les pen-testeurs pendant la phase de collecte d'informations : l'utilisation de Shodan est plus rapide et plus furtive qu’une cartographie nmap complète du sous-réseau de son client. Les abonnés Shodan (de 59 à 899 dollars HT/mois) ont accès à l'API et peuvent même créer des alertes lorsque de nouveaux périphériques apparaissent sur le(s) sous-réseau(x) qu'ils souhaitent surveiller. C’est un moyen économique et efficace de garder un œil sur ce que les collègues branchent sur Internet.

Arrêtons de connecter n’importe quoi à Internet !

Cependant, l’impact le plus salutaire de Shodan pourrait bien être la prise de conscience par tous, de la grande quantité d'infrastructures critiques et peu sûres connectée à Internet. La cartographie de l’Internet faite par Shodan permet de quantifier les problèmes de sécurité systémiques auxquels est confronté le cyberespace, aux journalistes d'écrire et aux décideurs politiques de trouver des solutions à des problèmes de cette ampleur. Prenons l’exemple des systèmes de contrôle industriel ICS/SCADA. Ils sont antérieurs à Internet et ont été volontairement conçus sans aucune sécurité. Après tout, ils n'ont jamais été destinés à être connectés à un réseau Internet mondial, et les contrôles de sécurité physique ont été jugés plus que suffisants pour empêcher un attaquant malveillant de déverser, par exemple, des eaux usées brutes dans un réseau d'eau douce.

Mais la situation a changé. L'infrastructure critique qui n'avait jamais été destinée à être connectée à Internet est désormais à la portée de tous les attaquants de la planète. Shodan permet de trouver facilement ces systèmes et de déclencher l'alarme. Faut-il vraiment connecter des installations de traitement de l'eau, des barrages, des crématoriums, des yachts, etc. à Internet, quel que soit le contexte ? Probablement pas, et Shodan sensibilise fortement à ce sujet.

De même, une quantité norme d'appareils IoT, peu ou pas sécurisés, inonde le marché, depuis les cafetières connectées, jusqu’aux sextoys et aux frigidaires… Enfin, tout et n’importe quoi ! Il est clair que le marché n'a pas réussi à adopter des mesures de sécurité robustes pour ces dispositifs, et, à quelques exceptions près, les régulateurs n'ont pas fixés des contrôles plus stricts en matière de cybersécurité. Pire encore, les fabricants d’IoT mettent la clef sous la porte ou abandonnent tout simplement le support des dispositifs qu'ils fabriquent, laissant les consommateurs utiliser des équipements peu sûrs - et non sécurisés – qui peuvent être asservis à des armées de botnets. On ne saurait trop insister sur le risque systémique que cela représente pour l'ensemble de l’Internet. L’affolement des non-techniciens quand ils ont découvert Shodan devrait plutôt se reporter sur le marché et les régulateurs qui permettent à cette situation de se développer.

Shodan Enterprise Edition

Pour ceux qui veulent la cartographie totale, la dernière version Enterprise Edition de Shodan donne accès à toutes les données du logiciel un accès à l'infrastructure globale de Shodan à la demande et une licence illimitée qui permet à tous les employés de l’entreprise de tout voir à tout moment. Cela fait beaucoup ! Si les questions de menace et de sécurité sont votre domaine de prédilection, alors Shodan Enterprise va vous combler. « La plate-forme Shodan permet de surveiller non seulement son propre réseau, mais aussi l'ensemble d'Internet. Elle permet de détecter les fuites de données vers le cloud, les sites de phishing, les bases de données compromises, etc. La licence Enterprise Data License comprend tous les outils pour surveiller tous les appareils connectés à Internet ».

Pour une grande entreprise, ou une entreprise qui ne veut pas réinventer la roue en Interne en exécutant elle-même zmap, la licence Shodan Enterprise permet d’utiliser les données à des fins commerciales sans rétribution. La prévention de la fraude, la connaissance du marché, sans parler des renseignements sur les menaces, font partie des exemples d’usage possibles. Le prix de tout cela ? Pour le savoir, il faut contacter l’équipe de vente de Shodan. Mais, probablement, le tarif est conséquent.

Détails pratiques

Il est possible d’utiliser Shodan gratuitement, mais le nombre de résultats est limité. Pour disposer de filtres avancés, il faut opter pour une adhésion payante (49 dollars HT à vie). Les développeurs qui ont besoin d'un flux de données en temps réel peuvent également choisir cette option. Il y a aussi la solution de la version Shodan Enterprise, dont le tarif n’est pas public. Protéger son entreprise de l’embarras a peut-être de la valeur en terme de relations publiques, mais aucune valeur en terme de sécurité. Shodan fournit aux entreprises une visibilité sur leur niveau de sécurité externe et celle d'autres entreprises. L'Internet expose de plus en plus la sécurité des entreprises. Shodan permet de se confronter clairement à ce problème, même si cela peut mettre mal à l'aise les personnels qui n’ont pas de compétences techniques dans ce domaine.