« La sécurité. Le mot-clef qui tourne en boucle actuellement sur les réseaux. Entre la mode des objets connectés, les affaires de chiffrement du FBI ou des attentats de novembre, les failles diverses et variées qui sont publiées chaque matin sinon chaque heure, ce n’est très clairement pas l’actualité qui va éteindre cette tendance.

Histoire de rigoler un petit peu (et de me faire peur beaucoup), je me suis lancé un petit défi pour mesure l’état de la non sécurité ambiante : tester l’intégralité de la plage IPv4 à la recherche de systèmes VNC ouverts.

[...]

IPv4 compte 4 294 967 295 adresses. Le scan de cette plage entière sur le port 5900 (port par défaut de VNC) a pris 8h sur une ligne à 100Mbps (merci ZMap).

[NDLR : en vrai, si l'on exclu les plages réservées (y comprend multicast et experimental) et les plages pas encore annoncées, il y a beaucoup moins d'adresses IPv4 que cela ].

Le scan a relevé 5 184 227 ports ouverts sur cette plage, soit 0.12%. Ça peut sembler un faible pourcentage, mais je trouve la valeur absolue assez flippante. Autant de serveurs avec un VNC public, c’est juste totalement effroyable. Un admin sys censé devrait mettre un pare-feu devant et restreindre au maximum les IP pouvant s’y connecter. [...]

Sur les VNC accessibles, 2 246 s’avèrent n’être protégés par aucun mot de passe, soit 0.043%. [...]

[ NDLR : Dont 44 trucs mega critique (avec des vies humaines en jeu). ]

Usine hydro-électrique, génératrice diesel, système d’aération, métro, silo, haut fourneau, système de production de bio-gaz ou d’eau potable… Tout y passe. Autant, les VNC d’avant, ça ne pouvait pas trop faire de dégat sinon la compromission de la machine en question, autant là on parle de systèmes qui peuvent conduire à des morts… Il se passe quoi si je coupe l’aération ? C’est un tunnel et j’asphyxie tous ses occupants ? Et si je change le taux de chloration de l’eau potable ? Ou si je ferme toutes les vannes d’un silo de bio-gaz ?
Il va sans dire que j’ai contacté les responsables de ces systèmes pour ceux que j’ai pu identifier (trop peu…), ou contacté les CERT des pays concernés. Mais les vitesses de réaction sont très (trop) faibles, par exemple sur les 12 systèmes français signalés, 5 sont toujours accessibles 15 jours après le signalement…
À noter aussi que la plupart de ces systèmes proviennent d’un seul et même fabriquant, qui semble mettre du VNC par défaut sur ses systèmes SCADA… »