Archives de catégorie : Logiciels

WordPress : liste de 22 points de sécurisation.

CMS parmi d’autres, WordPress permet comme les autres de créer et gérer facilement un site web, de le personnaliser à l’extrême, d’y ajouter des tonnes de fonctionnalités.

Bien que ce CMS soit l’un des plus infectés en 2018 sur internet (source Suciri.net ), c’est aussi l’un des plus répandus, et qui bénéficie de nombreux articles pour le sécuriser.

L’objet de l’article n’est pas de faire la retape de WordPress mais de se concentrer sur les meilleurs moyens pour rendre son installation la plus securisée possible.

Les recommandations ci-dessous ne concernent pas les couches inférieures qui supportent WordPress (environnement virtuel ou physique, OS , moteur PHP,…). Tous ces éléments se doivent d’être à jour, bénéficier des derniers correctifs de sécurité, ne pas être obsolètes (EOL).

Très utile pour vérifier l’efficacité des mesures ci-dessous, quelques sites « d ‘audit » automatiques de votre propre CMS à la seule condition que vous en soyez le gestionnaire, propriétaire ou que vous ayez toutes les autorisations nécessaires (opérateur, hébergeur,…) avant de lancer ces tests.

Effectuer un scan de vos entêtes HTTP et obtenir une note (de A+ à R). L’outil sous licence CC-BY-SA 4 sponsorisé par Sophos.

https://securityheaders.com/

Effectuer un scan gratuit dédié à WP.

https://wpscans.com/

Effectuer un scan gratuit de WP avec un faible impact sur la stabilité de votre site

https://hackertarget.com/wordpress-security-scan/

plus https://firstsiteguide.com/tools/free-fsg/wordpress-security-online-scanner/

….

Toutes les mesures proposées ci-dessous visent à renforcer le niveau de sécurité de WordPress mais peuvent aussi provoquer un crash de votre CMS pour plein de raisons : ne les appliquez que UNE  par UNE , en vous assurant de bien avoir sauvegardé au préalable votre CMS (fichiers + base) avant chaque opération.

Si vous ne savez pas restaurer votre CMS,  ou si votre CMS est en production/critique, abandonnez la lecture de cet article.

1 – règles de bon sens

Avant d’aller plus loin dans les aspects techniques, quelques règles essentielles lors de l’installation du CMS

1.1 Mises à jour AUTO WP

Vérifier que son WordPress soit mis à jour automatiquement : depuis la version 3.7, c’est automatique pour les versions mineures mais vous devrez rester vigilant pour appliquer les mises à jour majeures.

Si les mises à jour sont configurées en manuel, vous recevrez un email prévenant de la mise à disposition de nouvelles versions.

Le paramétrage précis des mises à jour WP se fait dans le fichier wp-config.php, en modifiant sur la valeur de la constante  suivante : 

define( 'WP_AUTO_UPDATE_CORE', true);

Si true, alors toutes les mises à jour sont appliquées automatiquement

Si minor, alors seules les mises à jour mineures sont appliquées

Si false, aucune mise à jour… donc fortement déconseillé (sauf incompatibilité avec un dev spécifique ou un plugin).

1.2 Plugins et Thèmes

Limitez au maximum l’utilisation des Plugins ou des Thèmes sans en justifiant réellement le besoin ou en maitriser la source ou sa conception. Les Plugin notamment sont régulièrement des sources d’introduction de backdoor, de fuite de données, de contournement d’authentification, de collecte d’information personnelle des visiteurs,…

Quelques soient le nombre de plugin ou thèmes installés (le moins possible de préférence), pensez à en faire la mise à jour régulièrement.

Les site https://wpvulndb.com/ recense les vulnérabilités connues autour de l’écosystème de WordPress.

1.3 HTTPS

Là aussi, c’est sans doute redondant de dire pourquoi :

  • votre site sera mieux indexé dans les moteurs de recherche
  • tout le trafic réseau et les données entre votre site et le navigateur web seront chiffrées, y compris les authentifications (notamment lorsque vous vous connectez à l’interface d’administration).

La mise en œuvre d’un certificat TLS/SSL ne relève pas de cet article, mais le meilleur conseil serait d’utiliser Let’s Encrypt , gratuit, automatique et ouvert !

Une fois le certificat ajouté, pensez à préciser la nouvelle URL dans WordPress :

Menu Réglages / Général :

1.4 Inscription automatique des visiteurs

Si cette fonction ne présente pas d’intérêt pour votre site web (l’auto inscription des visiteurs), désactivez-là !

Menu Réglages / Général :

1.5 Mise à jour des articles par email

Si cette fonctionnalité n’est pas utilisée (et évitez), assurez-vous qu’elle ne soit pas exploitable.

Menu Réglages / Ecriture

1.6 Mots  de passe de BDD et mot de passe du compte d’administration

Là aussi c’est élémentaire, mais prévoyez des mots de passe longs et complexes (12 caractères minimum, avec un mélange de chiffres/lettres/majuscules/minuscules/caractères exotiques,…).

Références :

https://www.cnil.fr/fr/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires

https://www.ssi.gouv.fr/administration/precautions-elementaires/calculer-la-force-dun-mot-de-passe/

1.7 Renommer le compte admin

Par défaut, vous utiliserez le compte ADMIN créé avec l’installation de WP ; autant le changer par un compte qui vous soit propre et inconnu.

Il faut :

  1. créer un nouvel utilisateur (menu utilisateurs/Ajouter)
  2. ajouter à cet utilisateur avec un rôle Administrateur (en renseignant @mail, mot  de passe complexe,…)
  3. connectez-vous avec ce nouveau compte et cela fonctionne passez à l’étape 4
  4. supprimer le compte nommé ADMIN

En complément : vous pouvez envisager de créer un second compte WordPress qui vous servira à la publication des articles, ainsi le nom de votre compte d’administration ne sera jamais affiché ou associé à vos articles.

1.8 Activer l’authentification double facteur sur votre compte admin.

Complémentaire au 1.7, le mieux pour éviter les attaques par brute force par exemple (ou la connexion à votre WordPress par une personne ayant vos identifiants), c’est de mettre en place une solution d’authentification à double facteur (2FA).

L’un des plugins confortable et fonctionnel est Google Authenticator https://wordpress.org/plugins/google-authenticator/#installation

Une fois installé/configuré ce plugin nécessitera une validation compléntaire de votre mobile (android ou iphone).

L’avantage est que l’app Mobile Google Authenticator est utilisée également par d’autres applications ou sites webs !

Cet article décrit très bien toutes les étapes de configuration :

Activer l’authentification à deux facteurs sur WordPress

2 – Configuration de WordPress

Toutes les recommandations ci-dessous s’appliqueront au fichier wp-config.php de votre site web.

2.1 Editeur de thème

Une fonction avancée de WP permet d’éditeur le code du thème installé, dans le principe cela peut être confortable pour le personnaliser, voire y ajouter des fonctions…. mais c’est aussi le meilleur moyen pour qu’une personne malveillante y copie/colle du code mailveillant (trojan, cryptominage,….).

Dans si ce n’est pas utile , désactivez cette fonction dans le fichier wp-config.php an ajoutant les 2 lignes

/* désactiver l'édition de fichiers PHP dans l'editeur WP */
define(‘DISALLOW_FILE_EDIT’,true);

2.2 Désactiver les messages d’erreur

Les rapports ou messages d’erreur WP qui peuvent s’afficher pourraient fournir des informations sur la configuration de votre site web (comme le chemin). Autant les désactiver en ajoutant les 3 lignes :

/* désactiver les messages d'erreurs */
error_reporting(0);
@ini_set(‘display_errors’, 0);

2.3 Ajouter des clefs de chiffrement des mots de passe

Par défaut, vous devriez avoir dans votre fichier wp-config.php les lignes suivantes :

define('AUTH_KEY', 'xxxxxxxxxxxxxx');
define('SECURE_AUTH_KEY', 'xxxxxxxxxxxxxx');
define('LOGGED_IN_KEY', 'xxxxxxxxxxxxxx);
define('NONCE_KEY', 'xxxxxxxxxxxxxx');
define('AUTH_SALT', 'xxxxxxxxxxxxxx');
define('SECURE_AUTH_SALT', 'xxxxxxxxxxxxxx');
define('LOGGED_IN_SALT', 'xxxxxxxxxxxxxx');
define('NONCE_SALT', 'xxxxxxxxxxxxxx');

il est recommandé de changer ces clés/phrases installées par défaut en utilisant le lien https://api.wordpress.org/secret-key/1.1/salt/

A chaque connexion sur cette url, vous aurez une génération auto de nouvelles clés à copier/coller dans votre fichier initial :

define('AUTH_KEY',         '~)rD^kdp<)HqoCLfQu3#n|;9}7TKPmc0oJ?9CVhN-K$F?>a{bVTSMrJq<*Z=>+N8');
define('SECURE_AUTH_KEY',  'lpY(J;9j6EQe`GCYLT|u?V}$-D5vd-|n%!h9Yh12&#%1/JqD?kWCa Y/u2Syd )<');
define('LOGGED_IN_KEY',    'X[h>%!b;kEKj:=aYQ&V_)`5;]E.C6`r+(,)fAA=nzAM/?(44--5E_+`LtO<D?Bhn');
define('NONCE_KEY',        '3hCDkB~T0E9e.vY(F(`XG^m&vSSJw}c9VF10vnb/1~)=@n^I-P0xPaeJp}DnRBfi');
define('AUTH_SALT',        'L]/}[e[19r}7]nB2UZ-3.<-G_n[*%|^hHBf~^Fx+BzQz3+H#p}gx>T0Gw4?tt1M@');
define('SECURE_AUTH_SALT', 'K]L|mcc38&RCw[^[2SylmQ>Z&`~|Rv_d&hW

lt;+]mtI+=J_Z[@GP_!!J+Nv1=99|x'); define('LOGGED_IN_SALT', 'G&Be{v`b6Gb*+2GrZ_6Wiy ?&o>gU,.}X+XQb2-{qrTR64pjHAX551(}[R`{nG |'); define('NONCE_SALT', 'Y3V/f4AIe/a}IHA32b-rW8N^QZu(g-)qvc3TB-`d#pS4p@Hm#Dq&8EGF!IM-6L%A');

2.4 Changer l’URL de connexion au portail

La page de connexion ou d’authentification au WordPress est classiquement https:/www…..truc.fr/wp-admin

Le mieux est changer le /wp-admin par un nom improbable  afin d’éviter les tentatives de connexion (même en ayant le bon login et mot de passe).

Le plus simple est d’utiliser un plugin WordPress WPS Hide Login https://wordpress.org/plugins/wps-hide-login/

L’autre solution est d’intervenir dans la configuration du WordPress + le nom du répertoire.

3 – configuration du .htaccess (pour WP)

Toutes les recommandations ci-dessous s’appliqueront au fichier .htaccess de votre site web.

3.1 Blocage de l’accès au fichier wp-config.php

Ce fichier est central dans la configuration de WP, autant le protéger, notamment en ajoutant dans votre fichier .HTACCESS à la racine de votre site web, la directive suivante :

<Files wp-config.php> order allow,deny deny from all </Files>

3.2 Protection contre le XSS / ClickJacking

Le Click Jacking consiste pour un utilsateur malveillant de superposer par exemple un second bouton sur votre propre bouton de formulaire . Autrement dit, la protection consiste à interdire toute inclusion de page issue d’un autre domaine que le domaine courant (référence : https://www.lexsi.com/securityhub/en-tetes-et-vous-comment-ajouter-de-la-protection-dans-ses-echanges/).

Ajouter la ligne  ci-dessous pour s’en protéger :

Header set X-Frame-Options SAMEORIGIN

3.3 Protection contre le XSS / Drive by Download

Cette fois, il s’agit de forcer le type MIME envers le navigateur pour éviter toute mauvaise interprétation du type de données envoyée.

Il faut ajouter la directive :

Header always set X-Content-Type-Options "nosniff"

3.4 Mise en œuvre de HSTS

HSTS est l’acronyme de HTTP Strict Transport Security, spécification de HTTPS qui renforce la communication entre le serveur et le navigateur (sur la politique de sécurité) avant de commencer les échanges en HTTPS.

Une vaste campagne de mise à jour des navigateurs Web consiste à vérifier que HSTS soit activé sur le serveur Web avant d’en autoriser l’accès (ou sinon d’émettre un warning). Par ailleurs, les sites HSTS peuvent aussi bénéficier d’un meilleur référencement dans certains moteurs de recherche.

Il faut ajouter cette ligne :

Header set strict-transport-security "max-age=31536000; includeSubDomains"

3.5 Désactiver la version PHP

Afficher la version du moteur PHP de votre CMS peut déjà renseigner sur les vulnérabilités existantes liées à votre version PHP, autant la masquer.

Il faut ajouter cette ligne :

/* masquer la version PHP */
expose_php = Off

3.6 Interdire la navigation dans les répertoires de votre site

Cette option essentielle impose de naviguer dans votre site web par les pages et non en explorant le contenu des répertoires (à l’image de l’explorateur Windows ou d’une liste type FTP).

/* Interdire la navigation */
Options All -Indexes

4 Compléments

4.1 Plugin Utile

Un plugin opensource peut être utile à la protection de l’authentification, il s’agit au choix de

  • Login LockDown https://wordpress.org/plugins/login-lockdown/
  • Limit Login Attempts Reloaded https://wordpress.org/plugins/limit-login-attempts-reloaded/

Ce plugin vous permettra de :

  • limiter le nombre de tentatives de connexions avec un mauvais mot de passe,
  • de le verrouiller automatiquement quelques minutes,
  • de masquer les erreurs si le bon login est renseigné avec le mauvais mot de passe.

4.2  Version WP

Il peut être utile de masquer le numéro de version WP mentionné dans les variables meta renvoyées au navigateur web. Il faut ajouter au fichier functions.php les 2 lignes suivantes :

/* supprimer la version WP*/

 remove_action('wp_head', 'wp_generator');

4.3 Sauvegarde WordPress

La sauvegarde automatique de WordPress passe inévitablement par un plugin (sauf si vous avez la main sur les tâches CRON…) : BAckupWordPress est un plugin facile , intuitif qui vous créera un backup par jour, avec un mail de notification pour chaque backup.

Pensez-juste à sauvegarder le fichier de backup généré quotidiennement vers un autre emplacement (en local).

Ponctuellement, avant de grosses mises à jour ou modifications WP : réalisez aussi une sauvegarde via FTP ou SCP de vos fichiers ainsi qu’un DUMP MySQL.

5 Si ca devait arriver.

Il faut prévoir le jour où un chercheur de vulnérabilités  détectera un problème majeur sur votre site, le mieux est alors de prévoir ce cas et de placer  un fichier security.txt placé dans le répertoire /.well-know/ de votre site.

Ce fichier contiendra les éléments qui permettront de vous contacter  rapidement si un incident est détecté sur votre site.

Ce principe est tellement simple qu’il a été soumis à l’examen de la RFC

Pour vous aider à le générer, vous pouvez utiliser ce site :

https://securitytxt.org/

6 Conclusion

Refaites les deux premiers test/scan/audit proposés en début d’article, et vous devriez obtenir des résultats corrects !

A suivre :  sauvegarde, page légale,…

OpenVAS 9 – audit de vulnérabilités

OPENVAS 9 – audit de vulnérabilité

Concept d’OpenVAS

OpenVAS est  un framework, et un fork (ou une branche dérivée) de NESSUS. Nessus étant sous licence propriétaire, OpenVAS s’est développé sous licence GNU GPL.
Il est constitué d’éléments Backoffice :
– Scanner en charge du scan des vulnérabilités
-Manager qui contient toute l’intelligence du framework, il contrôle notamment le scanner, écrit dans la base SQLite. Il planifie, les audits, génère les reports, …
– Administator qui se charge de la gestion des utilisateurs, de l’alimentation en modèle de vulnérabilités ou en plugins,
D’éléments FrontEnd :
o Interface CLI en ligne de commande pour transmettre les ordres d’audit au Manager
o Greenbone Security Desktop, l’interface complète qui suit via un tableau de bord l’état des audits, des vulnérabilités. Disponible pour Linux comme pour Windows.
o GreenBone Security Assistant, un client http/HTTPS pour le Manager.
A noter que la solution OpenVAS s’appuie sur un ensemble de vulnérabilités connues (environ +55000 NVTs connues en 2017).
Le schéma présente les différents composants de l’architecture d’OpenVAS ainsi que les sources d’alimentation des NVTs.
Depuis 2017, il existe 2 éditions bien distinctes : l’edition Entreprise (GSF = Greenbone Security Feed) et l’édition Communautaire (GCF = Greenbone Communauty Feed). Le tableau ci-dessous précise  les NVTs auxquels vous pourrez souscrire.

 Il peut être utile de rappeler que cet outil ne peut être utilisé sur son propre réseau, uniquement à destination de son environnement, à l’exclusion de tout autre serveur, application, site web tiers.

Installation/Configuration

L’installation documentée est sur une base KALI 2018.4 avec OpenVas 9.

Préparation de Kali :

  • mise à jour complète (prévoir de patienter…)
    • apt-get clean && apt-get update && apt-get upgrade --fix-missing -y && apt-get dist-upgrade --fix-missing  -y
  • Installation de NMAP 5.51.6  : la version 7 installée n’est réellement supportée que pour des scan « Full & Fast »,  si vous prévoyez d’utiliser les NVT NSE alors installez la version recommandée.

Options :

Vous pouvez choisir d’installer les packages suivants pour la partie reporting (polices de caractère et génération de documents PDF) :

  • apt-get install texlive-latex-extra --no-install-recommends
  • apt-get install texlive-fonts-recommended

Si vous prévoyez des scans d’environnement Windows, notamment sur des partages SMB, installez le client SMB (normalement déjà installé sous Kali):

  • apt-get install smbclient

 Installation de OpenVas :

  • Installation :
    • apt-get install openvas
  • Le Setup (le script intégra la mise à jour des bases de vulnérabilité depuis 2002, et plus de 1.2 Go de données, donc prévoir un peu de temps ….) :
    • Openvas-setup
  • Vérification que l’installation s’est bien déroulée : il ne doit y avoir aucun warning.
    • Openvas-check-setup
  • Par la suite, il sera nécessaire d’effectuer les mises à jour des bases de vulnérabilités avec les commandes ci-dessous :
    • greenbone-scapdata-sync
    • greenbone-certdata-sync
    • greenbone-nvt-sync

Configuration d’OPENVAS

  • Pour changer le mot de passe Admin de la console Web :
    • openvasmd --user=admin --new-password=le-nouveau-motdepasse
  • Pour pouvoir vous connecter sur l’interface Web depuis une IP autre que KALI, il faut modifier l’IP 127.0.0.1 par l’IP de KALI :
    • nano /lib/systemd/system/greenbone-security-assistant.service
  • Complétez les modifications sur ces fichiers par un :
    • systemctl daemon-reload

C’est fini, le re-démarrage d’OpenVAS se fait par la commande :

 openvas-stop && openvas-start

Time out au démarrage d’OpenVAS ?

Si vous avez ce message d’erreur au démarrage du service openvas :

Redirecting to /bin/systemctl start openvas-scanner.service.service
Job for openvas-scanner.service failed because a timeout was exceeded.
See "systemctl status openvas-scanner.service" and "journalctl -xe" for details.

  1. Effacer le fichier  dump.rdb (dans /var/run/redis )
  2. Sur le fichier redis.conf (/etc/redis), retirez le commentaire devant save xy z
  3. Faites un flush de votre base de données redis  redis-cli -s /var/run/redis/redis.sock flushall
  4. Redémarrez redis :  service redis-server restart
  5. Redémarrez le Scanner (openvassd)

Mon premier scan !

La connexion à l’interface se fait via https://@ip:9392 avec le login admin et le mot de passe défini plus haut.

Deux méthodes pour lancer un audit depuis Openvas :

  • la plus rapide (et la moins efficace)
    1. aller dans le menu Scans / Tasks
    2. cliquer sur l’icone assistant et sélectionnez Task  Wizard
    3. saisir l’adresse IP à scanner et cliquer sur Start Scan
  • la plus complète : cf paragraphe ci-dessous.

Un audit « complet »

Le principe d’un audit dans Openvas  consiste à configurer au préalable son environnement de test ; cela consiste à définir au préalable les éléments suivants :

  • le type de scan (listés dans Configuration / Scan Configs) qui définir le nombre de vulnérabilités testées (nombre de NVTs actives), ce qui aura un impact sur la richesse des résultats, la lenteurs d’exécution,.. il est possible de créer, personnaliser son propre scan en utilisant le bouton News Scan Config (étoile blanche/bleue en haut à gauche).
  • les identifiants (dans Configuration/ Credentials). Pour le cas, où vous avez déjà des indices sur les identifiants, mots de passe à utiliser pour l’exécution de certains tests applicatifs : vous pouvez déclarez ceux-ci en créant un nouveau « Credential »
  • la liste des ports (dans Configuration/ Port Lists) ; un certain nombre de listes de port est déjà préconfigurée, mais vous pouvez ajouter/créer une liste de ports personnalisés comme par exemple  vouloir scanner que ce qui touche au HTTPS (en ajouter une nouvelle liste, déclarer dans port range : T:443 pour ne scanner que le port 443 sur TCP).
  • et enfin, les cibles (dans Configuration / targets) ; ici vous déclarer vers quelles IP l’audit va s’exécuter, en se basant sur quels ports (présents dans Port Lists), en utilisant quelle authentification (parmi celles présentent dans Credential) et enfin avec quelle méthode de détection (Alive Test) : le choix par défaut « Scan Config Default » est trop souvent bien inadapté, il est préférable de test avec TCP-ACK Service Ping  ou ICMP & TCP-Ack Service Ping (voire ARP Ping si vous êtes sur un réseau local direct).
  • Quand vous avez précisé tous les paramètres, cliquez sur CREATE.
  • Allez ensuite dans Scans /Tasks, puis cliquez sur l’icone NEW TASK
  • Nommez votre tâche d’audit, sélectionnez la TARGET créée précédemment, choisissez le type de scan (Full, Fast, ou personnalisé), si vous avez plusieurs IP vous pouvez choisir un scan basé sur un choix séquentiel ou aléatoire, et enfin vous pouvez ajuster (baisser)  le nombre d’IP scannée en simultanée ainsi que le nombre de tests de vulnérabilités simultanés par IP.

  • Puis créez la tâche en finissant sur Create.
  • Retournez dans le menu Scans / Tasks puis au regard de votre nouvelle tâche, cliquez sur le bouton Play pour lancer l’exécution de l’audit. Celui-ci sera terminé lorsque le status passera à DONE.
  • la colonne Reports indiquera le nombre d’audit exécuté, la dernière date de l’audit et le niveau de sévérité détecté.
  • En cliquant sur la date der dernier audit vous afficherez le résultat de l’audit
  • En cliquant sur chacune des vulnérabilités, vous aurez accès au résumé, au détail de la détection, la solution proposées, les logiciels affectés, la méthode de détection ainsi que les références CVE/CERT ou autres organisme.
  • Sur la page de report, en haut à gauche, vous pourrez exporter le rapport complet au format XML, HTML ou PDF (entre autres).

Exemple PDF

Exemple d’un scan sur un Windows 2008R2 standard, mise à jour en date de 07/2016, donc vulnérable à Wannacry

reportW2K8

Richesse d’Openvas

Ce qu’on voit ici est puissant et plutôt basique : OPENVas offre des fonctionnalités à ne pas négliger comme, la programmation régulière d’audit afin d’identifier automatiquement si de nouvelles vulnérabilités sont trouvées (par exemple après une livraison ou mise à jour applicative) ; il est également possible de générer des alertes par mail au delà d’un certain seuil, …

Liens complémentaires :

http://wiki.networksecuritytoolkit.org/index.php/OpenVAS

https://www.blackmoreops.com/2014/03/03/20-things-installing-kali-linux/

http://docs.kali.org/general-use/kali-linux-sources-list-repositories

https://hackertarget.com/openvas-9-install-ubuntu-1604/

Chiffrer vos données avec VeraCrypt

Le menu :

1 – Intro.

2 – Modes opératoires possibles avec TrueCrypt

3 – Installation.

4 – Configuration.

5 – Montage automatique des volumes

6 – Montage de volume en ligne de commande

7 – Sauvegarde / Restauration.

8 – Les  KeyFiles pour une authentification renforcée

9 – Chiffrement du volume contenant le Système d’Exploitation.

10 – Chiffrer ET cacher sa partition (système).

11 – Détecter la présence de volume VeraCrypt

 

1 – Intro.

Sur la base de TrueCrypt, VeraCrypt est un logiciel qui permet le chiffrement des fichiers et partitions sous forme de conteneur global ou fichier unique.

Dans la continuité de Truecrypt, sans les problèmes identifiés en 2014, une société Française Idrix a développé un produit similaire disponible sur SourceForge et CodePlex. VeraCrypt est sous licence TrueCrypt et surtout MS-PL (Licence Microsoft Public).

 

Qu’apporte VeraCrypt vis à vis de la version de TrueCrypt ? Les équipes de VeraCrypt ont tenu compte et corrigé  un bon nombre de faiblesses/vulnérabilités identifiées par l’Open Crypto Audit Project sur TrueCrypt.

Le rapport d’origine sur l’audit de TrueCrypt  : https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf

La liste des corrections apportées suite à l’audit de TruceCrypt :

https://veracrypt.codeplex.com/discussions/569777#PostContent_1313325

 

Le document présente différentes utilisations possibles de VeraCrypt: un usage classique avec création d’un fichier(volume) chiffré et protégé par un mot de passe, la même chose protégé par un fichier clé (keyfile), le chiffrement de tout votre PC ou portable y compris la partition système ( !), et le chiffrement d’un volume qui sera caché.

VeraCrypt effectue le chiffrement/déchiffrement à la volée après lecture du fichier, avant enregistrement du fichier. C’est aussi ce qu’on appelle le chiffrement OFT = On The Fly

La version 1.0f2 présente les fonctionnalités suivantes :

  • Compatibilité Mac OS X  10.6 à 10.10
  • Compatibilité Windows XP à 8.1 en 32 et 64 bits
  • Compatibilité Linux kernel 2.6+ en 32 et 64 bits
  • Montage automatique des volumes VeraCrypt. Si vous posséder un volume VeraCrypt sur un support amovible que vous connectez celui-ci sur votre PC, le volume pourra être monté automatiquement.
  • Comptabilité entière des volumes TrueCrypt (merci Korben : http://korben.info/veracrypt-est-maintenant-compatible-avec-les-conteneurs-truecrypt.html)
  • Les partitions supportent des secteurs de taille 1024 à 4096 octets.
  • La gestion de Volumes Favoris présente de nombreuses options (montage lecture seule, ordre de montage, etc…)
  •  la possibilité de chiffrer une partition contenant des données, sans perdre le contenu (sous Vista/Windows 2008)
  •  le support des tokens et smart cards
  •  l’interopérabilité d’un volume chiffré sous Windows et utilisable sous Linux/Mac
  •  …

Cette dernière release intègre des corrections aux vulnérabilités identifiées dans la phase II de l’audit de TrueCrypt (https://opencryptoaudit.org/reports/TrueCrypt_Phase_II_NCC_OCAP_final.pdf)

Précaution élémentaire : n’effectuez pas les opérations ci-dessous sur un environnement de production ou bien acceptez que ce soit en totalité à vos risques et périls .

 

2 – Modes opératoires possibles avec VeraCrypt

Il existe plusieurs variantes à l’usage de VeraCrypt : certains ont la première utilité de chiffrer ses fichiers pour se protéger de tout vol alors que d’autres visent à masquer, voire leurrer l’hypothèse que vous puissiez chiffrer vos fichiers. En voici cinq :

 

–      Créer un conteneur VeraCrypt dans un fichier visible. Cette option basique vous permet de vous promener avec votre conteneur (fichier) sur une clé USB, votre disque externe, vos sauvegardes, etc avec un minimum de confidentialité. C’est ce qui est expliqué dans la partie 3

–      Dédier une partition (non système) en tant que conteneur VeraCrypt . Option similaire à la précédente avec un conteneur qui fera la taille de votre partition ou de votre disque complet, donc particulièrement confortable pour les disques externes par exemple.

–      Mettre sa partition Système dans un conteneur VeraCrypt . Cette fois-ci, votre système d’exploitation et tout l’environnement/paramètres/données qui se trouvent sur la partition système se trouvent chiffrés, de manière transparente pour l’OS, hormis le VeraCrypt Boot Loader initial qui vous demandera un mot de passe pour lancer votre OS. Partie 7.

–      Déclarer un conteneur dans un fichier qui contiendra lui-même un autre conteneur caché. Imaginez un coffre-fort caché derrière un tableau de maitre, ce coffre-fort une fois découvert s’avère posséder quelques documents peu compromettants mais possède surtout un double fond contenant vos véritables documents confidentiels. A ceci près qu’en fonction du mot de passe du conteneur initial, soit vous ouvrez le conteneur leurre, soit vous ouvrez le conteneur qui vous est cher.

–      A l’image de l’option précédente, vous chiffrez votre partition système, qui se trouve contenir également une autre partition systèmes chiffrée accessibles l’une comme l’autre selon le mot de passe saisi. Cet usage est détaillé en partie 8

 

Enfin, une fonctionnalité commune à tous les modes ci-dessus concerne la clé d’accès au conteneur chiffré : dans les cas les plus simples, la clé sera un mot de passe mais peut également être un fichier de votre choix.

 

 

3 – Installation

Parce que le parc de postes Windows est encore important, c’est cet OS qui est utilisé pour expliquer un peu plus comment çà s’installe.

Il vous faudrait donc :

Windows 7+

VeraCrypt 1.19 (https://veracrypt.codeplex.com) – le package d’installation fait environ 23 Mo

Etre administrateur du poste (uniquement durant la phase d’installation)

 

Après avoir accepté la licence, un premier choix :

VeraCrypt1

 

 

Vous pouvez choisir de poursuivre une installation classique ou d’extraire VeraCrypt: ce choix est utile si vous souhaitez utiliser VeraCryptponctuellement sans installer quoique soit sur l’ordinateur (utilisation dans un cadre mobile). Choisissons le cas le plus répandu : install

VeraCrypt2

Rien de particulier dans cet écran sauf à noter la possibilité de forcer un point de restauration Windows.

 

L’installation finie

Veracrypt3

Vous aurez cette icône sur votre bureau :

Capture.4PNG

Pour avoir une interface en langue autre qu’US :

Allez simplement dans Settings / Langages….

 

4 – Configuration

L’étape primordiale est ensuite de créer un volume (unité logique de type e, f, g,…) qui sera chiffrée et qui contiendra l’ensemble de vos données protégées.

Allez dans le menu Volumes, Créer un Nouveau Volume ou cliquez sur le bouton « Creer un volume »

Capture5

 

Trois choix s’offrent à vous :

1 – « Créer un fichier conteneur  chiffré», créer un volume qui sera associé à un fichier unique de type confidentiel.tc qui contiendra les fichiers chiffrés sur votre volume habituel (par exemple sur C 🙂

2 – « Chiffrer une partition/ un disque non système », créer un volume complet sur un espace disque disponible tel que une clé USB, une partition de disque non-utilisée, un disque externe

3 – « Chiffrer la partition ou l’intégralité du disque système », modifier une partition actuelle pour la rendre chiffrée en totalité. Cette partition peut-être la partition système ou le disque système.

 

Ces 3 choix définissent ce à quoi ressemblera le container chiffré qui stockera les fichiers chiffrés.

 

Choisissons la première option .

 

L’écran suivant vous propose deux options (disponibles également pour les autres choix précédents) :

Capture6

–          Standard TrueCrypt Volume : globalement, vous allez créer un espace (fichier ou partition) qui sera visible en tant qu’élément chiffré. Traditionnel…

–          Hidden TrueCrypt Volume (ou mode paranoïa) : le container qui recevra les fichiers chiffrés sera ‘invisible’, cet espace sera plus précisément sur un espace de disque non partitionné donc non visible sous Windows. Dans le détail, c’est un schéma de fonctionnement peu plus compliqué mais davantage sécurisé puisqu’une analyse rapide d’un ordinateur ne permettra pas de repérer l’existence d’un volume chiffré.

Capture7

 

 

Vous devez ensuite définir de l’emplacement de votre container (ou fichier global) qui contiendra vos éléments à protéger). Cet emplacement peut être vos disque local, externe, USB,… précisez un chemin, voir un nom de fichier. Si celui-ci existe, il ne sera pas réutilisé mais écrasé par TrueCrypt.

Sans titre8

 

L’étape suivante consiste à sélectionner en premier le type de chiffrement que vous souhaitez utiliser. AES, Serpent ou TwoFish mais plus amusant encore, vous pouvez choisir d’additionner séquentiellement 1 ou 2 voire 3 de ces algorithmes déjà forts puissants utilisés de manière individuelle. Partons sur AES, un système de chiffrement à clé symétrique très répandu dans maintes applications informatiques, système robuste et approuvé par le NIST, le FIPS et la NAS comme algorithme de chiffrement fort. Pour l’anecdote qui n’en pas une, l’algorithme a été conçu par deux Belges Vincent Rijmen et Joan Daemen.

Le menu Outils / Banc de Test vous permettra d’évaluer le chiffrement le plus rapide.

 

Sélectionnez aussi le type de hachage retenu. Le hachage étant l’algorithme qui permet de définir une empreinte « unique » pour un fichier donné. Si le contenu du fichier est modifié, le hachage ne sera plus vérifiable et confirmera que le fichier a été modifié.

Choisissez SHA-512, relativement répandu et très fiable (produit un condensat ou Hash de 512 bits, ce qui est assez important).

Sans titre9

 

Définissez le volume que fera votre conteneur (en Ko ou Mo ou Go). L’espace sera alors alloué dans son intégralité sur le disque mais comme une coquille vide.

Petit rappel : un Ko est Kilo Octet = 1000 octets et qu’il ne faut pas confondre avec un Kibi Octet = 1024 octets. Le CEI a normalisé tout ceci (le kibi octet, le mebioctet,…) en 1998.

Sans titre10

 

Sur le choix du mot de passe, inutile de préciser que plus c’est long plus c’est bon … mais si c’est trop long et trop compliqué on est obligé de le noter sur un post-it… Cela n’empêche pas pour autant d’y glisser quelques caractères exotiques, chiffres, majuscules, minuscules,…).

Le mot de passe est limité à 64 caractères. C’est ce mot de passe qui vous sera demander pour accéder au volume chiffré.

Si vous cochez « Fichier Clé », vous devrez indiquer un fichier qui servira de « clé » supplémentaire au mot de passe. Ce fichier sera ensuite toujours nécessaire pour pouvoir ouvrir le fichier TrueCrypt. Cela peut-être un fichier mp3, avi, texte… Mais un fichier qui ne soit plus modifié !

 

En fonction de l’utilisation de votre conteneur (notamment si la taille des fichiers hébergés dans le volume sont > 4 Go), TrueCrypt utilisera le système de fichier adapté (exclusion de FAT).

Sans titre11

L’étape suivante est de générer les clés nécessaires au chiffrement du volume sur un modèle le plus aléatoire possible sans utiliser la fonction pseudo aléatoire de votre ordinateur. Plus le mouvement de la souris sera long, plus la clé sera difficile à reproduire.

 

 

 

Sélectionnez également le système de fichier retenu (FAT, NTFS)

L’option « Dynamique » permet de créer un conteneur de taille limité qui grossira au fur et à mesure des besoins (mais ne diminuera pas) :  cette fonction mérite de ne pas occuper la totalité du volume spécifié au départ, en revanche cela a un impact sur les performances.

Vous devez donc bouger la souris puis faire « Formater »

Sans titre12

Le container sera formaté et l’espace chiffré

Sans titre13

 

Vous pouvez ensuite quitter sans quoi l’assistant vous re-proposera de créer un nouveau volume…

Sans titre14

Le conteneur créé (sous forme de fichier)  avec l’extension que vous avez choisi.

 

5 – Montage automatique des volumes

Une icône en bas à droite est apparue :Capture1

Faites un double-click pour accéder à l’interface

2

–          Sélectionnez la lettre de lecteur qui sera affectée au volume chiffré,

–          Dans Volume, sélectionnez le fichier que vous avez généré.

–          Cliquez sur  « Monter »

–          Saisissez votre mot de passe Sans titre3

– l’option « Mode Truecrypt » vous permet de spécifier que le volume sélectionné a été créé par TrueCrypt.

–        Cliquez sur   OK

Sans titre4

–          Aller ensuite dans le menu Favorites, et sélectionnez « Add mounted volumes to Favorites…»

Sans titre5

De nombreuses options associables au montage de ce volume favori :

–          Mettre un label pour rendre le volume facile à identifier parmi d’autres.

–          Monter le volume en lecture seule,

–          Préciser que le volume est monté à partir d’un support amovible,

–          Ne monter le volume que pendant que la session est ouverte,

–          Préciser que le volume est monté à partir d’un lecteur réseau

–          Ouvrir l’explorateur Windows dès que le volume est monté,

–          Ne pas monter le volume favori quand la hot key est pressée.

–          Choisir parmi plusieurs volumes, l’ordre de montage des volumes chiffrés.

Validez par OK.

 

Lorsque vous redémarrez votre PC, VeraCrypt se lancera au démarrage (à l’ouverture de session) et vous demandera votre mot de passe (ou le fichier clé et/ou le mot de passe) puis montera automatiquement le volume chiffré.

 

L’idéal est dans la plupart des cas, d’avoir VeraCrypt exécuté et initialisé à chaque démarrage de Windows.

Dans le menu Paramètres / Préférences des options sont à activer pour permettre cela :

Sans titre6

Notamment  « Start VeraCrypt Background Task »

 

Vous trouverez alors dans votre explorateur windows,  l’unité logique montée comme une partition ; tout ce que vous y mettrez sera chiffré et accessible uniquement avec VeraCrypt + votre mot de passe (ou votre fichier clé+mot de passe)

A chaque lancement de VeraCrypt , le (ou les) volumes sauvegardés dans les favoris seront montés automatiquement.

 

6 – Montage de volume en ligne de commande

Un volume VeraCrypt peut être monté en ligne de commande.

Exemple : "C:\Program Files\VeraCrypt\VeraCrypt.exe" /a /v d:\temp\test.vc /l m /e /p montmotdepasse

/a => pour monter automatiquement le volume qui va suivre

/v d:\temp\test.vc => /v permet de préciser où se trouve le fichier VeraCrypt à monter en indiquant le chemin complet.

/l m => indique la lettre de lecteur (ici : M) doit être associée au volume chiffré.

/p monmotpdepasse => évidemment à déconseiller, mais permet de renseigner automatiquement le mot de passe du conteneur chiffré.

 

7 – Sauvegarde / Restauration

 

L’essentiel est maintenant d’envisager la situation suivante :

–          que faites-vous si votre fichier conteneur est perdu, altéré, effacé ?

Il n’y a pas grand chose à faire dans le cas où le conteneur est un fichier stocké sur un volume windows : sauvegardez le fichier classiquement sur bande, média externe,…Restaurez, réinstallez VeraCrypt et voilà…

 

 

8 – Les KeyFiles pour une authentification renforcée

 

Dans l’étape 3, vous avez associé l’accès au conteneur à un mot de passe. Ce dernier est plus facilement vulnérable (exemple de BrutForce ou Keylogger,….)

Avec VeraCrypt, une utilisation plus sécurisée est possible. L’accès à une donnée confidentielle n’est plus dépendant de ce que je sais, mais aussi de ce que je possède : le keyfile

L’utilisation des keyfiles : c’est associer un fichier ou les fichier d’un répertoire (la clé) qui vous donnera accès au volume chiffré à la condition initiale que le mot de passe fourni soit le bon.

Le fichier peut-être aussi bien un mp3, qu’un avi, qu’un fichier word,… Il doit faire au moins 30 octets et ne doit plus être modifié.

Pour basculer d’u simple « mot de passe » au mode « mot de passe + keyfile »

–          Ouvrez l’interface VeraCrypt (ne montez pas le volume)

–          Cliquez sur Outils pour le Volume (ou dans le menu Volume / Modifier le mot de passe du volume)

image054

 

–          Choisissez Change Volume Password…

image056

Sans titre1

 

–          Dans la zone Actuel, saisissez votre mot de passe actuel

–          Dans la zone Nouveau , saisissez avec confirmation votre nouveau mot de passe, puis

–          Cliquez sur le bouton Fichiers clés

–          Sélectionner le fichier (ou le répertoire) qui vous servira de clé

Sans titre2

Le fichier sélectionné ne sera pas modifié.

Sans titre3

-Validez.

Sans titre4

Bougez votre souris de manière aléatoire.

Sans titre

Et c’est tout.

 

Pour monter le volume chiffré, il vous restera à spécifier le fichier clé et le mot de passe comme auparavant.

 

Pensez à sauvegardez votre fichier clé  car il devient désormais une clé essentielle pour l’ouverture de votre conteneur (ainsi que votre mot de passe).

 

 

9 – Chiffrement du volume contenant le Système d’Exploitation

 

Plus délicat maintenant mais tellement plus efficace, la mise en place du chiffrement au niveau du volume complet où se trouve le système d’exploitation.

Autrement dit, le système démarre au sein d’un conteneur chiffré.

Pour commencer, il faut avoir son OS et VeraCrypt installés normalement.

1 –    aller ensuite dans le menu Système / Chiffrer la partition/le disque système…

Choisir « Normal »

Capture

 

–          Dans le choix suivant, soit vous décidez de chiffrer le volume système seulement, à l’exception de toutes les autres partitions présentes, soit « Chiffrer l’intégralité du disque » , soit de « Chiffrer la partition système Windows » . Dans le premier cas vous décidez (et c’est sans doute le meilleur choix) de chiffrer le volume système et TOUTES les partitions présentes sur le disque physique ; dans ce dernier cas, un chargeur VeraCrypt sera installé : à chaque boot du système, le chargeur vous demandera le mot de passe Veracrypt et la séquence de boot système pourra démarrer ensuite.

Capture1

 

Attention, si vous avez choisi l’option « Chiffrer l’intégralité du disque »,  VeraCrypt va alors chiffrer TOUS les volumes du disque physique, y compris les volumes contenant des utilitaires ou boot spécifiques ou systèmes de restauration etc… Donc si pensez être dans cette situation (vérifier avec les DiskManager de Windows), choisissez Yes. Veracrypt va alors détecter ces volumes spécifiques et les exclure.

Capture2

Dans le cas d’un volume sur un disque virtuel, sur certains portables également, on pourra choisir No.

L’écran suivant permet de spécifier si le module de boot doit intégrer la présence de 1 ou plusieurs OS déjà installés en multi-boot.

Capture3

Étapes suivantes, choisissez l’algorithme de chiffrement :

Capture4

 

Spécifiez votre mot de passe suffisamment robuste, c’est à dire 20car min avec une complexité habituelle (vous pouvez le tester ici : http://www.passwordmeter.com/)

Capture5

 

Puis se démarre les séquences de génération de clés :

Capture6

 

Capture7

L’étape suivant consiste à créer un fichier ISO de secours – passage obligatoire.

 

Capture8

Ce fichier est stocké sur un autre CD ou DVD.

Il vous permettre de booter votre système, de déchiffrer votre partition et contient une sauvegarde des premiers secteurs de boot. Veracrypt vous invitera d’ailleurs à le graver sur un CD ou DVD immédiatement : condition nécessaire pour pouvoir lancer le chiffrement de la ou des partitions.

Capture9

Une fois, le CD gravé, vous devrez vérifier la bonne issue de l’opération.

Capture10

Dernière opération : VeraCrypt prévoit une passe simple ou complexe de nettoyage du volume afin de réduire toute récupération de donnée non chiffrée.

Capture11

Ensuite, VeraCrypt fera un premier test de chiffrement du système (au prochain reboot) :

Capture12

Un dernier click : le reboot de votre système est lancé

 

 

Au boot du système, VeraCrypt vous demandera votre mot de passe :

Capture13

Il suffit de le saisir, et Windows démarrera (pour faire un premier test de boot).

Après ce premier reboot, VeraCrypt doit valider que le prétest est OK puis vous proposera de lancer le chiffrement final des partitions.

Capture14

Appuyez juste sur « Chiffrer » et c’est parti pour le chiffrement des partitions.

Ci-dessous une progression  ; environ 25 minutes pour 30 Go.

Capture15

 

A la fin :

Capture16

Vos partitions sont chiffrées !

 

PS : si la partition est chiffrée, une fois l’OS démarré, les données sont bien entendues en clair accessible depuis l’explorateur, donc également à travers le réseau du PC…

 

 

10 – Chiffrer ET cacher sa partition (système) –

(partie non mise à jour pour VeraCrypt)

Cela peut s’avérer utile lorsque vous voyagez dans certains pays où on peut légalement vous demander votre portable à la douane : chiffrer un volume de données, ET le rendre non visible afin de ne pas susciter d’attention particulière.

 

Cette méthode est sensiblement plus complexe que l’étape précédente.

Globalement cela consiste à mettre en œuvre un premier OS sur une partition chiffrée dans lequel nous insérerons un second volume contenant l’OS final (et donc les données) chiffré et caché. Le premier OS sera ensuite formaté et vous devrez réinstaller un OS sur cette première partition !

 

Voici ce à quoi va ressembler votre partitionnement final :

image089

La partition 1 est celle qui reçoit l’OS chiffré qui servira de leurre (c’est l’OS1).

La partition 2, juste après la partition 1 est celle qui reçoit l’OS chiffré et caché (c’est l’OS2) : sa taille doit être de 2.1 fois la partition 1. La partition 2 doit être créée..

Sur l’OS1, vierge avec VeraCrypt installé :

1      – dans le menu Système, choisissez « Créer un systèmes d’exploitation caché»

Capture

Capture1

On vous prévient que vous DEVREZ réinstaller vos OS situé sur la première partition. Votre OS1 et le contenu entier de la partition 1 sera recopié sur la partition 2.

 

 

Capture1

 

 

Dans la question suivante, VeraCrypt détecte que le fichier d’échange est sur votre partition system ce qui peut représenter le risque de dévoiler la présence de votre partition système cachée. Si vous répondez Yes, Veracrypt fera la modification nécessaire.

Capture2

 

Après le reboot éventuel pour suppression du Pagefile.sys, on peut relancer la séquence :

Capture3

 

On vous rappelle que l’OS1 sera à réinstaller (donc supprimé)

Capture4

 

Attention, nombreux avertissements de sécurité qui visent à faire en sortie que l’usage d’un système chiffré/caché reste « indétectable » : raison pour laquelle toute écriture en dehors de la partition 2 (typiquement sur la partition 1) ne sera pas possible.

 

Capture5

Page suivante : on retrouve l’installation du BootLoader qui sera adapté en fonction votre choix « avez-vous un seul OS ou bien avez-vous plusieurs OS distincts ? »

 

Capture6

Info importante : sous Windows, assurez-vous d’avoir activé votre système auprès de Microsoft avant de lancer la copie vers la Partition 2. Toujours pour éviter de faciliter la détection de l’existence de cet OS2…

Capture7

 

Le « Volume de Chiffrement externe » sera par défaut, la totalité de votre partition 1 (officielle) et partition 2 (cachée).

Capture8

 

Capture9

Spécifiez un mot de mot de passe spécifique pour l’accès à ce volume.

Capture10

Rappel que tout ce qui se trouve sur votre seconde partition sera effacé.

Capture11

On lance le formatage de la partition dès que vous avez généré assez de mouvement aléatoire avec votre souris.

Capture12

 

Maintenant que le volume externe est créé est accessible (par d »faut monté sous Z:), on passe à la création du volume caché de la partition 2.

 

 

Capture14

 

Attention : l’algorithme de chiffrement de la partition 2 devra être le même que celui de la partition 1.

Capture15

 

Spécifiez un mot de passe (un3ème) disctinct des 2 autres.

 

Capture16

 

Formattage de la partition 2.

Capture17

 

Reboot du système.

Capture19

Saisissez le dernier mot de passe saisi (celui fourni pour la mise en œuvre du système caché)

 

L’opération de recopie du premier système vers le second système en version cachée commence. (clonage de la partition 1 vers Partition 2.)

Capture20

Et là, il faut s’armer de patience….

 

 

Capture21

Quand la copie est terminée, ressaisissez à nouveau votre mot de passe (le dernier créé, celui de votre partition cachée).

Votre système caché démarre.

A l’ouverture de session Windows, un nouvel avertissement fort sur les recommandations :

Capture22

Ensuite démarre la procédure d’effacement de l’OS1 :

 

Capture23

 

Capture24

Une fois démarré, TrueCrypt va vous proposer d’effacer le plus efficacement possible le contenu de la partition 1.

 

Capture25

 

Générer une clé supplémentaire aléatoire pour renforcer l’effacement :

Capture26

Attention, toutes les données de la partition 1 seront effacées (sachant que c’est une copie de cette première partition qui actuellement sur la partition 2).

Capture27

 

Quand c’est terminé :

Capture28

Vous devez éteindre vos ordinateur (histoire de vider autant que possible toute rémanence de mémoire).

Redémarrez votre ordinateur et installez votre OS : ne bootez pas sur le disque contenant le système caché = donc démarrez sur votre média d’installation (DVD/USB/WDS).

Installation de votre OS

Une fois votre OS installé, bien sûr vous ne pouvez plus booter sur votre système caché.

 

Installez VeraCrypt sur le système fraichement réinstallé et lancez la fonction de chiffrement de votre partition système (comme au chapitre 7 précédent), c’est-à-dire :

–          menu Système / Chiffrer la partition, le disque système,

–          Choisissez « Normal » et non « Caché »

–          Choisissez « Chiffrer la partition Sysème Windows »

–          Si votre PC n’a qu’un seul système (hors celui est caché), choisissez Amorçage (simple),

–          Dans l’étape Options de Chiffrement : choisissez impérativement le même chiffrement que celui utilisé pour votre système chiffré  ET caché.

–          Spécifiez un mot de passe (différent de celui qui vous permet de booter sur votre OS cyrpté et caché)

–          Laissez VeraCrypt vous graver un CD de récupération d’urgence (si vous en avez déjà, mettez le CD pour que VeraCrypt en fasse la vérification)

–          Sélectionnez le mode de nettoyage qui vous convienne,

–           Lancez le pré-test de chiffrement du système => un reboot sera proposé.

–          Au reboot, saissez votre password créé dernièrement (pas encore celui de la partition chiffrée/cachée)

–          Lancement de votre OS chiffré (non caché), VeraCrypt vous propose vous confirme que le prétest est terminé et lance le chiffrage de votre partition.

–          Quand c’est terminé, rebootez votre OS.

 

Maintenant, le process est terminé :

–          Au boot de votre PC, le loader VeraCrypt vous demande un mot de passe

Capture19

Si vous mettez le password de votre partition système chiffré ET cachée, vous booterez sur cet OS (l’OS2).

 

Si vous mettez le password de votre partition système chiffrée (la partition leurre), vous booterez sur l’OS normal .

 

Le troisième password vous permet d’accès à la partition externe.

 

 

11 – Détecter la présence de Conteneurs TrueCrypt

(partie non mise à jour pour VeraCrypt)

Utiliser TrueCrypt est sans doute indispensable lorsqu’on manipule des données confidentielles mais lorsqu’il s’agit à l’inverse de détecter si une personne abuse utilise TrueCrypt. Il existe à minima quelques pistes, outils et traces laissées par TrueCrypt.

 

TCHunt (TC pour TrueCrypt et Hunt pour…) : cet outil permet de détecter les fichiers TrueCrypt sur un ordinateur, pas seulement si ils ont l’extension .TC => http://16s.us/TCHunt A cette heure, TCHunt ne détectait pas encore les partitions. La dernière version était la 1.6, voici son usage :

TCHUNT –d C:\temp –v

-d pour Detect

C:\temp ou autre répertoire

-v pour mode verbeux.

Si vous lancez cette commande (surtout à la racine d’une partition), tous les fichiers seront analysés à la chaine, avec un résultat difficile à exploiter.

Préférez alors : tchunt –d c:\ 2>nul

TChunt vous renverra alors les éventuels fichiers ayant 1 conteneur TrueCrypt.

image137

Attention : TChunt permet de suspecter la présence d’un fichier TrueCrypt. Le taux de faux négatifs et faux positifs peut être déroutant.

Traces locales :

Dans le cadre de conteneurs cachés (de second niveau), il reste deux arguments systématiques pour détecter la présence de ces conteneurs : 1 – le conteneur premier ne pourra jamais contenir ou stocker la totalité de l’espace qui lui est alloué, 2 – les fichiers leurres du premier conteneur sont rarement mis à jour et donc souvent obsolètes.

Le système d’exploitation laisse apparaitre également la présence de fichiers tels que truecrypt (-x64).sys dans system32\drivers

Le registre laisse entrevoir quelques associations de fichiers : .TC par défaut

Etc …

Ransomware & Cryptolocker – limiter les dégâts en entreprise

Locky puis … puis …. puis WannaCry … puis (not)Petya

Des malware particulièrement dangereux se propagent dans nombre d’entreprises de taille différente, de secteur d’activité, dans nombre de pays ; leur but est d’infecter un premier PC de la société, puis par ce biais de chiffrer tous les fichiers bureautiques que le malware va rencontrer aussi bien sur le poste local et que sur les partages des serveurs de fichiers.  Une fois les dizaines de fichiers chiffrés, la société est condamnée à restaurer ses fichiers… à payer…. ou avec un peu de chance à utiliser l’un des outils proposés par certains éditeurs d’Antivirus (cf point 3).

Attention : Petya ne permet aucune récupération (même avec paiement), il semble que l’objectif soit de rendre inaccesiblement les données (au niveau de la partition et des fichiers), il se classe donc moins dans la catégorie des ransomwares que des destructeurs.

Tous ces malwares ne sont pas à mettre dans le même sac et n’ont pas les mêmes objectifs : mais tous justifient de respecter quelques règles d’hygiène en terme de sécurité informatique pour s’en prémunir efficacement.

1 – Fonctionnement d’un cryptolocker / ransomware

Comment l’utilisateur contribue à infecter son poste de travail et surtout les serveurs de sa société ?

  • un mail assez bien rédigé est envoyé à l’utilisateur, le mail contient soit une pièce jointe, soit un lien URL.
  • le mail est souvent envoyé en rafale à un nombre important de collaborateurs supposant qu’il s’en trouvera bien pour ouvrir la pièce jointe.
  • pour les 2 vecteurs de propagation (mail ou URL), la charge active est rarement détectée par les antivirus voire jamais les premières heures de l’attaque. Il faut souvent attendre 12 heures pour commencer à voir les premiers antivirus se mettre à jour.
  • dès qu’un poste informatique est infecté, le malware va chercher tous les lecteurs réseaux accessibles en écriture puis chiffrer tous les fichiers en les renommant avec une extension particulière (par exemple *.locky ou dernièrement *.wcry)
  • même si l’utilisateur n’est pas admin de son poste Windows, l’infection fonctionne correctement.
  • Les ransomwares rencontrés (janvier 2016) se limitent à se connecter aux lecteurs réseaux des postes de travail. Il faut prévoir que progressivement ces malware iront chercher les partages réseau (même sans lecteur réseau connecté) et mieux encore, les partages administratifs ou cachés (avec le $).  Depuis début mars 2016, ces mêmes logiciels savent se propager non seulement sur les lecteurs réseaux, mais aussi sur les partages réseaux des serveurs de fichiers.

L’infection d’un poste de votre entreprise voire de vos serveurs est un scénario hautement probable voire inévitable….

…Autant vous y préparer au mieux.

 

2 – La prévention

En quelques points rapides :

  • 1 – Maintenez votre parc de PC et Serveurs avec les dernières mises à jour !!!WannaCry ne se propage que sur des Windows non à jour avec le patch MS017-10, Petya fait de même mais peut aussi utiliser les comptes windows locaux pour se propager sur les autres postes.
  • 2 – Assurez vous d’avoir des sauvegardes fonctionnelles et régulières de vos serveurs de fichiers.
  • 3 – Assurez-vous de tester régulièrement vos sauvegardes du point 1
  • 4 – Activer les Clichés Instantanés de Windows , plusieurs fois par 24h si vous avez assez d’espace  sur vos stockages. La restauration des versions précédentes, en cas d’infection sera particulièrement efficace et rapide.
  • 5 – Filtrer tous vos mails internet entrants contenant scripts (type js, js dans du ZIP, macro dans les XLS, DOC, PPT, PDF) – exemple de Petya
  • 6 – Rejetez les mails internet envoyés depuis votre domaine interne en vérifiant que tous les procédés d’obfsucation soient détectés dans la rédaction du domaine source.
  • 7 – Vérifiez que le contrôle des mails entrant se fasse bien sur le  type MIME et SMTP.
  • 8  – A partir de Windows 2008R2, activez la fonctionnalité de filtrage d’extension de fichier. Cette fonctionnalité doit être installée et permet de bloquer la création de nouveaux fichiers avec une extension définie, et/ou de générer une alerte mail auprès des sysadmins dès qu’un fichier avec une extension non désirée apparait sur le serveur de fichiers (par exemple *.locky ou *.wcry). L’article ici détaille les opérations pour un exemple avec LOCKY. mais c’est très simple de l’adapter à WannaCry
  • 9 – si votre parc de PC est en Windows 7 Entreprise , activez APPLOCKER : pour Petya, interdire PSExec a un effet immédiat.
  • 10 – Ne naviguez pas sur internet ou ne consultez pas vos mails avec un compte utilisateur privilégié (ou administrateur) : exemple avec Petya se sert du compte Admin pour se propager.
  • 11 – Sensibilisez, Sensibilisez, et recommencer, à sensibiliser vos utilisateurs. Comme pour les sauvegardes : ce point est primordial.

Ne comptez pas sur les seuls « antivirus, antispam et firewall  » pour vous protéger efficacement.  Les points ci-dessous seront un parfait début, à compléter par le trio.

Une plaquette de prévention éditée par l’ANSSI en 4 points à respecter en entreprise : https://www.ssi.gouv.fr/uploads/2016/06/20160819_flyers_eben_a4_v10.pdf

 

3 – Touchés  ?

La question est de savoir comment vous allez avoir l’information qu’un PC du parc est infecté (au moins 1…). Vous vous en rendez compte par une alerte sur un serveur de fichiers ou par un utilisateur.

Dans l’ordre, il faudra stopper la propagation du chiffrage, identifier quels postes sont infectés et mettre de côté vos dernières sauvegardes pour ne pas qu’elles soient ré-écrasées par une sauvegarde corrompue.

Immédiatement : éteignez le serveur identifié puis tous les serveurs de fichiers de votre parc ayant un partage réseau (ou sur lesquels les postes informatiques ont un lecteur réseau).  Cette seule opération vise à stopper le cryptage des fichiers, cela va très vite : en 1 heure, un PC infecté peut chiffrer près de 40 000 fichiers d’un seul serveur.

Reste à identifier le ou les PC ayant causés ces infections :

  • demandez à l’ensemble des utilisateurs de se manifester, si ils pensent avoir cliqué sur un lien ou une pièce jointe mais que rien ne s’est produit  : cela aide, certains utilisateurs se manifesteront et cela permettra rapidement d’isoler ces postes du réseau puis de les soumettre à une analyse complète à partir d’ISO antivirus proposé par les éditeurs.. le temps que les définitions soient mises à jour.
  • redémarrez le premier serveur détecté, hors réseau, puis en tant qu’admin du serveur  et après avoir affiché tous les systèmes / cachés des volumes du serveur, recherchez tous les fichiers ayant été infectés. Un DIR *.locky /S  > C:\temp\diag-date-heure.txt permettra de faire un premier journal des fichiers infectés. Ce journal texte vous indiquera quels sont les premiers fichiers infectés (date et heure). Mieux encore, il est possible que certains fichiers infectés n’auront été accessibles que par un utilisateur (lecteur  individuel) ou une poignée d’utilisateurs ce qui vous permettra très vite d’isoler les postes des personnes identifiées.
  • Faites de même avec l’ensemble des autres serveurs de fichiers pour vous assurer de ne pas avoir laissé un poste infecté.
  • Si le fichier chiffré contient une extension non filtré par le serveur de fichiers, ajoutez cette extension au filtre (passif ou actif).
  • Identifiez la source potentielle d’infection (mail ou URL) par l’utilisateur puis soumettez le fichier infecté à www.virustotal.com .

Rappel précieux, les conseils de l’ANSSI : https://www.ssi.gouv.fr/actualite/alerte-campagne-de-rancongiciel-2/

+ un lien spécifique pour Petya : http://www.cert.ssi.gouv.fr/site/CERTFR-2017-ALE-012/CERTFR-2017-ALE-012.html

 

4 – Remise en route

Lors que les PC infectés semblent avoir été identifiés, que les filtres sur les serveurs de fichiers sont effectifs et correspondent à l’attaque actuelle, remettez les serveurs sur le réseau progressivement en vérifiant (par la commande Dir /s *.locky) si de nouveaux fichiers apparaissent ou pas.

Restaurez les répertoires touchés via les clichés instantanés ou par les backups.

Ne remettez les postes soupçonnés sur le réseau que lorsque vous avez en main un antivirus à jour qui détecte la charge active.

Des outils gratuits pour retrouver vos fichiers chiffrés.

Kaspersky propose 6 décrypteurs de fichiers – https://noransom.kaspersky.com/

AVAST propose 15 outils pour des variantes différentes  – https://www.avast.com/ransomware-decryption-tools

AVG contribue également avec 5 outils – http://www.avg.com/fr-fr/ransomware-decryption-tools

TrendMicro propose une console unique qui intervient sur bon nombre de variantes de Ransomware – https://success.trendmicro.com/solution/1114221-downloading-and-using-the-trend-micro-ransomware-file-decryptor

A cette heure, il n’existe pas d’outils pour les fichiers chiffrés par WannaCrypt.

Dans tous les cas, ne téléchargez ou n’exécutez jamais un outil magique déchiffreur sur un autre site qu’un éditeur d’antivirus, sans quoi vous risquez de vous retrouver avec d’autres problèmes.

Quelques liens utiles :

http://korben.info/locky-quil-y-a-a-savoir-malware-moment.html

 

Alerte sécurité : Nouvelle vague d’attaque virale de type « ransomware » à l’aide du virus Locky

Locky Ransomware

http://www.ssi.gouv.fr/en-cas-dincident/

PETYA :

 

Filtrage de fichiers sous Windows 2008, Windows 2012, Windows 2016

Sous Windows Server 2008R2+, le filtrage de fichiers est l’une des nouvelles fonctionnalités permettant de gérer efficacement la nature des fichiers stockés sur votre serveur de fichiers.

Dit autrement, vous pouvez contrôler le type d’extensions autorisé sur un volume ou un répertoire : le contrôle peut être soit un verrou quant à l’écriture de fichiers non conformes aux extensions autorisées, soit le déclenchement d’une alerte (notamment par mail) si un nouveau fichier comportant une existant explicite est créé.

Sous Windows 2008 R2

Installation.

Prérequis trivial : si ce n’est déjà le cas, il est nécessaire que votre serveur de fichiers, et donc le Rôle Service de Fichiers

Capture

Il faut ensuite installer le service de rôle Gestion de ressources du serveur de fichiers

  • Dans la console Gestionnaire de Serveur, et sur le service Serveur de fichiers, choisir ajouter des services de rôle.

Capture

Capture

Sélectionnez le volume auquel s’appliquera ce service :

Capture

Par défaut, une alerte est pré configurée à 85% du volume global et deux rapports d’utilisation de fichiers sont pré-cochés, le bouton Options vous permet d’accéder à nombre d’autres rapport pertinents :Capture

  • Laissez les options de stockage de rapport et d’envoi de mail par défaut puis lancez l’installation.

Configuration des alertes

Dans la console de gestion du serveur, vous avez désormais le module Gestionnaire de ressources du serveur de fichiers.

Capture

  • Click droit – Configurer les options
  • Spécifiez le nom de votre serveur smtp, à qui vous souhaitez envoyer les alertes et quelle adresse email émettrice sera affichée.

CaptureAttention, cette page ne permet de faire de l’envoi SMTP sur autre chose que du SSL ni en mode authentifié.

 

Création d’alerte sur des fichiers de type Ransomware

Il faut commencer par construire le modèle qu’on appellera « Ransomware ». Ce modèle contiendra l’extension ou les extensions connues générées par les ransomwares sur un serveur de fichiers.

  • Créer un nouveau Groupe de Fichiers

Capture

  • Lui donner un nom  puis ajouter la ou les extensions pour lesquelles vous envisagerez de bloquer la création de fichiers ou d’être alerté.
  • Il faut ensuite définir un modèle de filtrage basé sur le modèle des extensions ci-dessus. Autrement dit cela revient à définir les actions qui seront menées en cas de détection des extensions du modèle de groupe de fichiers.

Capture

  • il faut donner un nom à votre filtre, puis choisir le type de filtrage. Actif = blocage immédiat des fichiers, Passif = les fichiers sont autorisés mais cela génère une alerte.
  • Il est indispensable de sélectionner le modèle de fichiers à surveiller (ici Ransomware).
  • Dans l’onglet Message electronique, vous avez au minimum à cocher la case Envoyer un courrier.

Capture

Notez bien dans l’objet du message, le texte et les variables qui vont construire le mail : si un fichier interdit est détecté, vous recevrez un mail avec le nom de login de l’utilisateur, le répertoire concerné, la date et l’heure de la création de fichiers.

Dernière étape, indiquer sur quelle arborescence de votre volume vous souhaitez appliquer ce filtre.

Dans l’option Filtres de Fichiers, il faut en créer un nouveau :

Capture

  • Sélectionner le répertoire à risque car partagé, puis le filtre qui s’applique au répertoire.

Pour tester : il suffit de tenter de créer un fichier avec l’extension .locky. Selon l’exemple ci-dessus, vous recevrez un mail de ce type :

Capture

Sous Windows 2012R2

Installation.

Dans l’assistant Ajout de rôles et de fonctionnalités,  développez le Services de fichiers et de stockage puis Services de fichiers et iSCSI. Sélectionnez ensuite le Gestionnaire de ressource du serveur de fichiers.

Capture

 

Une fois installé, l’outil Gestionnaire de ressources du serveur de fichiers sera fonctionnel (sans redémarrage du serveur).

 

Configuration des alertes

Sur la racine de l’arborescence, click droit / Configurer les options :

Capture

La page Notifications par courrier électronique est la même que pour Windows 2008R2

  • Spécifiez le nom de votre serveur smtp, à qui vous souhaitez envoyer les alertes et quelle adresse email émettrice sera affichée.

Attention, cette page ne permet de faire de l’envoi SMTP sur autre chose que du SSL ni en mode authentifié.

Création d’alerte sur des fichiers de type Ransomware

Il faut commencer par construire le modèle qu’on appellera « Ransomware ». Ce modèle contiendra l’extension ou les extensions connues générées par les ransomwares sur un serveur de fichiers. (Toutes les boites de dialogues sont similaires à Windows 2008R2)

  • Créer un nouveau Groupe de Fichiers
  • Lui donner un nom  puis ajouter la ou les extensions pour lesquelles vous envisagerez de bloquer la création de fichiers ou d’être alerté.
  • Il faut ensuite définir un modèle de filtrage basé sur le modèle des extensions ci-dessus. Autrement dit cela revient à définir les actions qui seront menées en cas de détection des extensions du modèle de groupe de fichiers.
  • il faut donner un nom à votre filtre, puis choisir le type de filtrage. Actif = blocage immédiat des fichiers, Passif = les fichiers sont autorisés mais cela génère une alerte.
  • Il est indispensable de sélectionner le modèle de fichiers à surveiller (ici Ransomware).
  • Dans l’onglet Message electronique, vous avez au minimum à cocher la case Envoyer un courrier.

Notez bien dans l’objet du message, le texte et les variables qui vont construire le mail : si un fichier interdit est détecté, vous recevrez un mail avec le nom de login de l’utilisateur, le répertoire concerné, la date et l’heure de la création de fichiers.

Dernière étape, indiquer sur quelle arborescence de votre volume vous souhaitez appliquer ce filtre.

Dans l’option Filtres de Fichiers, il faut en créer un nouveau :

  • Sélectionner le répertoire à risque car partagé, puis le filtre qui s’applique au répertoire.

Pour tester : il suffit de tenter de créer un fichier avec l’extension .locky. Vous recevrez un mail similaire à celui envoyé avec Windows 2008R2.

 

Sous Windows 2016

Installation.

Dans l’assistant Ajout de rôles et de fonctionnalités,  développez le Services de fichiers et de stockage puis Services de fichiers et iSCSI. Sélectionnez ensuite le Gestionnaire de ressource du serveur de fichiers.

Capture

Une fois installé, l’outil Gestionnaire de ressources du serveur de fichiers sera fonctionnel.

Configuration des alertes

Sur la racine de l’arborescence, click droit / Configurer les options comme pour Windows 2012.

La page Notifications par courrier électronique est la même que pour la version antérieure.

  • Spécifiez le nom de votre serveur smtp, à qui vous souhaitez envoyer les alertes et quelle adresse email émettrice sera affichée.

Attention, cette page ne permet de faire de l’envoi SMTP sur autre chose que du SSL ni en mode authentifié.

Création d’alerte sur des fichiers de type Ransomware

Il faut commencer par construire le modèle qu’on appellera « Ransomware ». Ce modèle contiendra l’extension ou les extensions connues générées par les ransomwares sur un serveur de fichiers. (Toutes les boites de dialogues sont similaires à Windows 2012)

  • Créer un nouveau Groupe de Fichiers
  • Lui donner un nom  puis ajouter la ou les extensions pour lesquelles vous envisagerez de bloquer la création de fichiers ou d’être alerté.
  • Il faut ensuite définir un modèle de filtrage basé sur le modèle des extensions ci-dessus. Autrement dit cela revient à définir les actions qui seront menées en cas de détection des extensions du modèle de groupe de fichiers.
  • il faut donner un nom à votre filtre, puis choisir le type de filtrage. Actif = blocage immédiat des fichiers, Passif = les fichiers sont autorisés mais cela génère une alerte.
  • Il est indispensable de sélectionner le modèle de fichiers à surveiller (ici Ransomware).
  • Dans l’onglet Message electronique, vous avez au minimum à cocher la case Envoyer un courrier.

Notez bien dans l’objet du message, le texte et les variables qui vont construire le mail : si un fichier interdit est détecté, vous recevrez un mail avec le nom de login de l’utilisateur, le répertoire concerné, la date et l’heure de la création de fichiers.

Dernière étape, indiquer sur quelle arborescence de votre volume vous souhaitez appliquer ce filtre.

Dans l’option Filtres de Fichiers, il faut en créer un nouveau :

  • Sélectionner le répertoire à risque car partagé, puis le filtre qui s’applique au répertoire.

Pour tester : il suffit de tenter de créer un fichier avec l’extension .locky. Vous recevrez un mail similaire à celui envoyé avec Windows 2012.


 

Fini. En quelques clic, vous avez un filer qui vous alerte ou/et qui vous bloque si un fichier ayant une extension non désirée qui tente de se créer sur votre volume ; en supplément cela vous permet d’identifier rapidement quel poste et utilisateur en est à l’origine et est donc probablement infecté.

 

 

 

 

Chiffrer vos données dans le Cloud avec CryptSync

Les usages et pratiques  nous « invitent » à stocker nos données sur le « Cloud », ou plus précisément sur ces espaces de stockages proposés aux professionnels comme aux particuliers tels que OneDrive, Google Drive, DropBox and co… Les espaces proposées se comptent en dizaine de giga disponibles ; en complément les bandes passantes sont toujours plus confortables…. sauf que les données stockées « là-bas » sont à la merci :

– de l’hébergeur

– d’un accès frauduleux à votre compte Cloud

– ..

Un outil aussi simple que puissant permet de répliquer ou sauvegarder ses données sur le Cloud avec un peu plus de sécurité : en les chiffrant.

CryptSync fait cela très bien , il réplique une arborescence locale non chiffrée vers une arborescence distante chiffrée. Un inconvénient, le volume local des données sera multiplié par 2…

 

CryptSync

 

Ce soft est sous licence GNU GPL v2, disponible pour Windows Vista et supérieur .

il est téléchargeable en version 32 ou 64 bits : http://stefanstools.sourceforge.net/CryptSync.html

Les explications ci-dessous sont pour un OS Windows 7 32 bits, un accès OneDrive (le client installé sur le poste) et la version CryptSync 1.2

L’installation est basique et sans difficultés :

c1

A la fin de l’installation, un raccourci est ajouté dans le menu :

C2

 

Le lancement de CryptSync ouvre cette fenêtre de configuration :

C3

Commencez par cocher « Start with windows » afin que l’outil permette une synchro auto entre vos données locales et celle du cloud.

Puis déclarer une « paire » de répertoires que vous souhaitez synchroniser. Autrement dit, spécifiez l’arborescence des données à répliquer sur One Drive, puis indiquez le chemin distant vers lesquelles les données doivent répliquées/chiffrées :

C4

Spécifiez un mot de passe complexe, et cochez « use GnuGPG » pour renforcer le chiffrage mis en œuvre.

 

Validez par OK, puis sur la fenêtre principale, cliquez sur « Run in Background ».

 

CryptSync se retrouve dans la barre des tâches : un click droit « Sync Now » sur l’icône pour activer la synchro+chiffrement avec le cloud.

C5

Vous pourrez ensuite vérifier vos fichiers sur One Drive, ils se retrouvent avec l’extension .gpg :

C6

 

C’est presque tout. CryptSync peut être piloté en ligne de commande ; des options sont nombreuses, comme crypter également le nom des fichiers etc….

Reste à s’intéresser à un point pas encore testé mais qui a une issue : votre système d’exploitation est réinitialisé et vos données locales sont perdues, comment retrouvez-vous vos données sauvegardées et chiffrées sur le Cloud ?!

 

Chiffrez vos données avec TrueCrypt

C’était l’un des meilleurs outils en matière de chiffrage de données sur poste de travail (fixe ou mobile). Multi plateformes, léger, libre, éprouvé, en constance évolution…

Historiquement, l’un des membres de l’équipe de développement de TrueCrypt avait fait ses preuves déjà dans un produit proches de TrueCrypt : E4M (Encryption For the Masses) . Ce talentueux développeur nommé Paul Le Roux a su s’associer et faire évoluer TrueCrypt vers un outil robuste. Son histoire si elle est vraie, serait digne d’un film.

Son développement actuel est stoppé pour des raisons toujours pas expliquées officiellement… ( http://www.cryptogon.com/?p=48528  , http://clublinuxatomic.org/2014/07/04/resume-de-laffaire-truecrypt/ ,…)

 

Deux successeurs potentiels:

TCNext (une équipe de développeur connue, basée en Suisse) dont les premières versions devraient sortir cette année : https://truecrypt.ch/

VeraCrypt (projet OpenSource soutenu par Idrix, société Française) dont la dernière version compatible Truecrypt est détaillée dans cet article :

GostCrypt : autre projet opensource, soutenu notamment par l’ESIA et Qwant.


 

Ici, une doc d’installation et d’utilisation sur clé USB, disque physique, pour chiffrer sa partition système etc….

Le menu :

1 – Intro.

2 – Modes opératoires possibles avec TrueCrypt

3 – Installation.

4 – Configuration.

5 – Montage automatique des volumes

6 – Sauvegarde / Restauration.

7 – Les  KeyFiles pour une authentification renforcée

8 – Cryptage du volume contenant le Système d’Exploitation.

9 – Chiffrer ET cacher sa partition (système).

10 – Détecter la présence de volume TrueCrypt

 

1 – Intro.

Sortie le 7 février 2012, la version 7.1a de TrueCrypt fait son apparition.

Qu’est-ce que TrueCrypt en quelques mots ? Un outils open-source qui fonctionne aussi bien sous Mac/linux/Windows, dont le projet a démarré depuis plus de 5 ans ; cet outil permet de chiffrer n’importe quel forme de donnée, c’est à dire un fichier, répertoire, partition cachée ou pas, volume, disque, mais aussi un OS complet sur un volume crypté, voire caché…. Les algorithmes de cryptage proposés sont parmi les plus robustes/courants.

La version 6.0a a reçu le certificat de sécurité de premier niveau délivré par l’ANSSI http://www.ssi.gouv.fr/fr/produits-et-prestataires/produits-qualifies/p_32_TrueCrypt_version_6.0a.html

Depuis avril 2014, le site d’origine de TrueCrypt a « fermé », en recommandant l’usage de BitLocker de MS. Les raisons de ce changement sont encore non communiquées.

En complément des informations et recommandations fournies par l’ANSSI, un audit du code True Crypt est en cours de réalisation par le groupe Open Crypto Audit. La première phase du rapport est disponible ici https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf

Dans tous les cas, le développement de TrueCrypt a été repris par une équipe dont le site web est localisé en Suisse : https://truecrypt.ch/

La prochaine version devrait donc se nommer TCNext.

 

 

 

TrueCrypt effectue le cryptage/décryptage à la volée après lecture du fichier, avant enregistrement du fichier. C’est aussi ce qu’on appelle le cryptage OFT = On The Fly

La version 7.1a apporte :

–      Compatibilité 32 et 64 bits sur Mac OS X 10.7

–      Correctifs mineurs par rapport à la version 7.1 et 7.0

La version 7.0 apporte notamment :

–          le support l’accélération matérielle pour le cryptage AES (à condition que votre processeur supporte les instructions AES-NI = essentiellement des processeurs Intel L)

–          le montage automatique des volumes TrueCrypt. Si vous posséder un volume TrueCrypt sur un support amovible que vous connectez celui-ci sur votre PC, le volume pourra être monté automatiquement.

–          Les partitions TrueCrypt peuvent désormais supporter des secteurs de taille 1024 à 4096 octets.

–          La gestion de Volumes Favoris est plus fine et présente de nombreuses options (montage lecture seule, ordre de montage, etc…)

–          Le menu Favoris contient désormais une liste de volumes favoris qui ne sont pas des volumes systèmes.

–          Utilisation des API d’hibernation améliorées de Windows 7/2008 lorsque le mode hibernation de l’OS est activé = amélioration de l sécurité mais cela risque de rendre moins compatible la version TrueCrypt 7.0 avec XP ou 2003.

 

La version 6.3 apporte notamment :

–          le support de Windows 7

–          la notion de Volume System Favoris (utiles quand il s’agit de monter automatiquement les volume nécessaires au moment du boot de l’OS)

La version 6.2 améliore notamment la performance en lecture, particulièrement sur disques SSD.

La version 6.1 apportait déjà :

–          la possibilité de chiffrer une partition contenant des données, sans perdre le contenu (sous Vista/Windows 2008)

–          le support des tokens et smart cards

–          l’interopérabilité d’un volume crypté sous Windows et utilisable sous Linux/Mac

–          …

 

Le document présente différentes utilisations possibles de TrueCrypt : un usage classique avec création d’un fichier(/volume) crypté et protégé par un mot de passe, la même chose protégé par un fichier clé (keyfile), le cryptage de tout votre PC ou portable y compris la partition système ( !), et le cryptage d’un volume qui sera caché.

 

 

2 – Modes opératoires possibles avec TrueCrypt

 

Il existe plusieurs variantes à l’usage de TrueCrypt : certains ont la première utilité de chiffrer ses fichiers pour se protéger de tout vol alors que d’autres visent à masquer, voire leurrer l’hypothèse que vous puissiez chiffrer vos fichiers. En voici cinq :

 

–      Créer un conteneur TrueCrypt dans un fichier visible. Cette option basique vous permet de vous promener avec votre conteneur (fichier) sur une clé USB, votre disque externe, vos sauvegardes, etc avec un minimum de confidentialité. C’est ce qui est expliqué dans la partie 3

–      Dédier une partition (non système) en tant que conteneur TrueCrypt . Option similaire à la précédente avec un conteneur qui fera la taille de votre partition ou de votre disque complet, donc particulièrement confortable pour les disques externes par exemple.

–      Mettre sa partition Système dans un conteneur TrueCrypt. Cette fois-ci, votre système d’exploitation et tout l’environnement/paramètres/données qui se trouvent sur la partition système se trouvent cryptés, de manière transparente pour l’OS, hormis le TryeCrypt Boot Loader initial qui vous demandera un mot de passe pour lancer votre OS. Partie 7.

–      Déclarer un conteneur dans un fichier qui contiendra lui-même un autre conteneur caché. Imaginez un coffre-fort caché derrière un tableau de maitre, ce coffre-fort une fois découvert s’avère posséder quelques documents peu compromettants mais possède surtout un double fond contenant vos véritables documents confidentiels. A ceci près qu’en fonction du mot de passe du conteneur initial, soit vous ouvrez le conteneur leurre, soit vous ouvrez le conteneur qui vous est cher.

–      A l’image de l’option précédente, vous cryptez votre partition système, qui se trouve contenir également une autre partition systèmes chiffrée accessibles l’une comme l’autre selon le mot de passe saisi. Cet usage est détaillé en partie 8

 

Enfin, une fonctionnalité commune à tous les modes ci-dessus concerne la clé d’accès au conteneur chiffré : dans les cas les plus simples, la clé sera un mot de passe mais peut également être un fichier de votre choix.

 

 

 

3 – Installation

Parce que le parc de postes Windows est encore important, c’est cet OS qui est utilisé pour expliquer un peu plus comment çà s’installe.

Il vous faudrait donc :

Windows 7.0

TrueCrypt 7.1a (http://www.truecrypt.org/downloads) – le package d’installation fait environ 3.3 Mo

Etre administrateur du poste (uniquement durant la phase d’installation)

 

Après avoir accepté la licence, un premier choix :

image003

Vous pouvez choisir de poursuivre une installation classique ou d’extraire TrueCrypt : ce choix est utile si vous souhaitez utiliser TrueCrypt ponctuellement sans installer quoique soit sur l’ordinateur (utilisation dans un cadre mobile). Choisissons le cas le plus répandu : install

image005

Rien de particulier dans cet écran sauf à noter la possibilité de forcer un point de restauration Windows.

 

L’installation finie

image007

Vous aurez cette icône sur votre bureau :

image009

Pour avoir une interface en Français :

Il se peut que vous deviez télécharger le complément en français : http://www.truecrypt.org/localizations.php

Dézippez le fichier XML dans c:\programmes\TrueCrypt

Allez ensuite dans le menu Settings / Langage ; sélectionnez le langage Français…

image012

4 – Configuration

L’étape primordiale est ensuite de créer un volume (unité logique de type e, f, g,…) qui sera cryptée et qui contiendra l’ensemble de vos données protégées.

Allez dans le menu Volumes, Créer un Volume.

image013

 

Trois choix s’offrent à vous :

1 – « Créer un fichier conteneur », créer un volume qui sera associé à un fichier unique de type confidentiel.tc qui contiendra les fichiers cryptés sur votre volume habituel (par exemple sur C 🙂

2 – « Créer un volume dans une partition non système », créer un volume complet sur un espace disque disponible tel que une clé USB, une partition de disque non-utilisée, un disque externe

3 – « Chiffrer la partition ou l’intégralité du disque système », modifier une partition actuelle pour la rendre cryptée en totalité. Cette partition peut-être la partition système ou le disque système.

 

Ces 3 choix définissent ce à quoi ressemblera le container crypté qui stockera les fichiers cryptés.

 

Choisissons la première option .

 

L’écran suivant vous propose deux options (disponibles également pour les autres choix précédents) :

image015

–          Standard TrueCrypt Volume : globalement, vous allez créer un espace (fichier ou partition) qui sera visible en tant qu’élément chiffré. Traditionnel…

–          Hidden TrueCrypt Volume (ou mode paranoïa) : le container qui recevra les fichiers cryptés sera ‘invisible’, cet espace sera plus précisément sur un espace de disque non partitionné donc non visible sous Windows. Dans le détail, c’est un schéma de fonctionnement peu plus compliqué mais davantage sécurisé puisqu’une analyse rapide d’un ordinateur ne permettra pas de repérer l’existence d’un volume crypté.

image017

 

 

Vous devez ensuite définir de l’emplacement de votre container (ou fichier global) qui contiendra vos éléments à protéger). Cet emplacement peut être vos disque local, externe, USB,… précisez un chemin, voir un nom de fichier. Si celui-ci existe, il ne sera pas réutilisé mais écrasé par TrueCrypt.

image019

 

L’étape suivante consiste à sélectionner en premier le type de cryptage que vous souhaitez utiliser. AES, Serpent ou TwoFish mais plus amusant encore, vous pouvez choisir d’additionner séquentiellement 1 ou 2 voire 3 de ces algorithmes déjà forts puissants utilisés de manière individuelle. Partons sur AES, un système de cryptage à clé symétrique très répandu dans maintes applications informatiques, système robuste et approuvé par le NIST, le FIPS et la NAS comme algorithme de cryptage fort. Pour l’anecdote qui n’en pas une, l’algorithme a été conçu par deux Belges Vincent Rijmen et Joan Daemen.

Le menu Outils / Banc de Test vous permettra d’évaluer le cryptage le plus rapide.

 

Sélectionnez aussi le type de hachage retenu. Le hachage étant l’algorithme qui permet de définir une empreinte « unique » pour un fichier donné. Si le contenu du fichier est modifié, le hachage ne sera plus vérifiable et confirmera que le fichier a été modifié.

Choisissez SHA-512, relativement répandu et très fiable (produit un condensat ou Hash de 512 bits, ce qui est assez important).

image021

 

Définissez le volume que fera votre conteneur (en Ko ou Mo ou Go). L’espace sera alors alloué dans son intégralité sur le disque mais comme une coquille vide.

Petit rappel : un Ko est Kilo Octet = 1000 octets et qu’il ne faut pas confondre avec un Kibi Octet = 1024 octets. Le CEI a normalisé tout ceci (le kibi octet, le mebioctet,…) en 1998.

image023

 

Sur le choix du mot de passe, inutile de préciser que plus c’est long plus c’est bon … mais si c’est trop long et trop compliqué on est obligé de le noter sur un post-it… Cela n’empêche pas pour autant d’y glisser quelques caractères exotiques, chiffres, majuscules, minuscules,…). Si votre mot de passe fait moins de 20 caractères , vous aurez le droit à ce joli avertissement :

image025

Le mot de passe est limité à 64 caractères. C’est ce mot de passe qui vous sera demander pour accéder au volume crypté.

Si vous cochez « Fichier Clé », vous devrez indiquer un fichier qui servira de « clé » supplémentaire au mot de passe. Ce fichier sera ensuite toujours nécessaire pour pouvoir ouvrir le fichier TrueCrypt. Cela peut-être un fichier mp3, avi, texte… Mais un fichier qui ne soit plus modifié !

 

En fonction de l’utilisation de votre conteneur (notamment si la taille des fichiers hébergés dans le volume sont > 4 Go), TrueCrypt utilisera le système de fichier adapté (exclusion de FAT).

image028

L’étape suivante est de générer les clés nécessaires au cryptage du volume sur un modèle le plus aléatoire possible sans utiliser la fonction pseudo aléatoire de votre ordinateur. Plus le mouvement de la souris sera long, plus la clé sera difficile à reproduire.

 

 

 

Sélectionnez également le système de fichier retenu (FAT, NTFS)

Vous devez donc bouger la souris puis faire image029

image031

Le container sera formaté et l’espace chiffré

image033

 

Vous pouvez ensuite quitter sans quoi l’assistant vous re-proposera de créer un nouveau volume…

image035

Le conteneur créé (sous forme de fichier) sera associé à l’icône suivante :

image038

 

5 – Montage automatique des volumes

Une icône en bas à droite est apparue :image040

Faites un double-click pour accéder à l’interface

image041

–          Sélectionnez la lettre de lecteur qui sera affectée au volume chiffré,

–          Dans Volume, sélectionnez le fichier que vous avez généré.

–          Cliquez sur image044

–          Saisissez votre mot de passe image045

–          OK

image047

–          Aller ensuite dans le menu Favorites, et sélectionnez « Add mounted volumes to Favorites…»

image049

L’un des nouveautés de la version 7 est de proposer de nombreuses options associables au montage de ce volume favori :

–          Mettre un label pour rendre le volume facile à identifier parmi d’autres.

–          Monter le volume en lecture seule,

–          Préciser que le volume est monté à partir d’un support amovible,

–          Ne monter le volume que pendant que la session est ouverte,

–          Préciser que le volume est monté à partir d’un lecteur réseau

–          Ouvrir l’explorateur Windows dès que le volume est monté,

–          Ne pas monter le volume favori quand la hot key est pressée.

–          Choisir parmi plusieurs volumes, l’ordre de montage des volumes cryptés.

Validez par OK.

 

 

 

Vous trouverez alors l’unité logique montée comme une partition, tout ce que vous y mettrez sera chiffré et accessible uniquement avec TrueCrypt + votre mot de passe.

 

Particularités Windows

L’idéal est dans la plupart des cas, d’avoir TrueCrypt exécuté et initialisé à chaque démarrage de Windows.

Dans le menu Paramètres / Préférences des options sont à activer pour permettre cela :

image051

Notamment  Exécuter TrueCrypt

Désormais, à chaque lancement de TrueCrypt , le (ou les) volumes sauvegardés dans les favoris seront montés automatiquement.

 

 

 

6 – Sauvegarde / Restauration

 

L’essentiel est maintenant d’envisager la situation suivante :

–          que faites-vous si votre fichier conteneur est perdu, altéré, effacé ?

Il n’y a pas grand chose à faire dans le cas où le conteneur est un fichier stocké sur un volume windows : sauvegardez le fichier classiquement sur bande, média externe,…Restaurez, réinstallez TrueCrypt et voilà…

 

 

7 – Les KeyFiles pour une authentification renforcée

 

Dans l’étape 3, vous avez associé l’accès au conteneur à un mot de passe. Ce dernier est attaquable par BruteForce, Keylogger,….

Avec TrueCrypt, une utilisation plus sécurisée est possible. L’accès à une donnée confidentielle n’est plus dépendant de ce que je sais, mais aussi de ce que je possède : le keyfile

L’utilisation des keyfiles : c’est associer un fichier ou les fichier d’un répertoire (la clé) qui vous donnera accès au volume crypté à la condition initiale que le mot de passe fourni soit le bon.

Le fichier peut-être aussi bien un mp3, qu’un avi, qu’un fichier word,… Il doit faire au moins 30 octets et ne doit plus être modifié.

Pour basculer d’u simple « mot de passe » au mode « mot de passe + keyfile »

–          Ouvrez l’interface TryeCrypt (ne montez pas le volume)

–          Cliquez sur Volume Tools ou Outils pour le Volume

image054

 

–          Choisissez Change Volume Password…

image056

image057

 

–          Dans la zone Current, saisissez votre mot de passe actuel

–          Dans la zone New, saisissez avec confirmation votre nouveau mot de passe, puis

–          Cliquez sur le bouton Fichiers clés

–          Sélectionner le fichier (ou le répertoire) qui vous servira de clé

image059

 

 

-Validez.

image061

Bougez votre souris de manière aléatoire.

image063

 

 

 

Et c’est tout.

 

Pour monter le volume crypté, il vous restera à spécifier le fichier clé et le mot de passe comme auparavant.

 

Pensez à sauvegardez votre fichier clé !

 

 

8 – Cryptage du volume contenant le Système d’Exploitation

 

Plus délicat maintenant mais tellement plus efficace, la mise en place du cryptage au niveau du volume complet où se trouve le système d’exploitation.

Pour commencer, il faut avoir son OS et Truecrypt installé normalement.

1 –    aller ensuite dans le menu System / Encrypt System Partition/Drive…

image065

Choisir « Normal »

image067

 

–          Dans le choix suivant, soit vous décidez de chiffrer le volume système seulement, à l’exception de toutes les autres partitions présentes, soit (Encrypt the whole system) vous décidez (et c’est sans doute le meilleur choix) de chiffrer le volume système et TOUTES les partitions présentes sur le disque physique ; dans ce dernier cas, un chargeur TrueCrypt sera installé : à chaque boot du système, le chargeur vous demandera le mot de passe Truecrypt et la séquence de boot système pourra démarrer ensuite.

image069

 

Attention, si vous avez choisi l’option « Encrypt the Whole drive », je vous rappelle que TrueCrypt va alors chiffrer TOUS les volumes du disque physique, y compris les volumes contenant des utilitaires ou boot spécifiques ou systèmes de restauration etc… Donc si pensez être dans cette situation (vérifier avec les DiskManager de Windows), choisissez Yes. Truecrypt va alors détecter ces volumes spécifiques et les exclure.

image071

Dans le cas d’un volume sur un disque virtuel, sur certains portables également, on pourra choisir No.

 

Étapes suivantes, choisissez l’algorithme de cryptage :

image073

Spécifiez votre mot de passe suffisamment robuste (vous pouvez le tester ici : http://www.passwordmeter.com/)

image075

 

L’étape suivant consiste à créer un fichier ISO de secours

image077

Ce fichier est stocker sur un autre CD ou DVD.

Il vous permettre de booter votre système, de déchiffrer votre partition et contient une sauvegarde des premiers secteurs de boot. Truecrypt vous invitera d’ailleurs à le graver sur un CD ou DVD immédiatement : condition nécessaire pour pouvoir lancer le cryptage de la ou des partitions.

Une fois, le CD gravé, vous devrez vérifier la bonne issue de l’opération.

image079

Un dernier click : le reboot de votre système

image081

 

 

Au boot du système, TrueCrypt vous demandera votre mot de passe :

image083

Il suffit de le saisir, et Windows démarrera (pour faire un premier test de boot). Après ce premier reboot, Truecrypt vous proposera de lancer le cryptage final des partitions.

image085

Appuyez juste sur « Encrypt » et c’est parti pour le cryptage des partitions.

 

A la fin :

image087

Vos partitions sont chiffrées !

 

PS : si la partition est chiffrée, une fois l’OS démarré, les données sont bien entendues en clair accessible depuis l’explorateur, donc également à travers le réseau du PC…

 

 

9 – Chiffrer ET cacher sa partition (système)

Cela peut s’avérer utile lorsque vous voyagez dans certains pays où on peut légalement vous demander votre portable à la douane : chiffrer un volume de données, ET le rendre non visible afin de ne pas susciter d’attention particulière.

 

Nous considérons que TrueCrypt est déjà installé, normalement.

 

Cette méthode est sensiblement plus complexe que l’étape précédente.

Globalement cela consiste à mettre en œuvre un premier OS sur une partition cryptée dans lequel nous insérerons un second volume contenant l’OS final (et donc les données) crypté et caché. Le premier OS sera ensuite formaté et vous devrez réinstaller un OS sur cette première partition !

 

Voici ce à quoi va ressembler votre partitionnement final :

image089

La partition 1 est celle qui reçoit l’OS crypté qui servira de leurre.

La partition 2, juste après la partition 1 est celle qui reçoit l’OS crypté et caché : sa taille doit être de 5% > à la partition 1.

1      – dans le menu System, choisissez « Create Hidden Operating System… »

image091

On vous prévient que vous DEVREZ réinstaller vos OS situé sur la première partition. Votre OS1 et le contenu entier de la partition 1 sera recopié sur la partition 2

image093

 

Attention, nombreux avertissements de sécurité qui visent à faire en sortie que l’usage d’un système crypté/caché reste « indétectable » : raison pour laquelle toute écriture en dehors de la partition 2 (typiquement sur la partition 1) ne sera pas possible.

image095

Dans la question suivante, TrueCrypt détecte que le fichier d’échange est sur votre partition system ce qui peut représenter le risque de dévoiler la présenter de votre partition système cachée. Si vous répondez Yes, Trye crypt fera la modification nécessaire.

 

Page suivante : on retrouve l’installation du BootLoader qui sera adapté en fonction votre choix « avez-vous un seul OS officiel ou bien avez-vous plusieurs OS distincts ? »

image097

Info importante : sous Windows, assurez-vous d’avoir activé votre système auprès de Microsoft avant de lancer la copie vers la Partition 2. Toujours pour éviter de faciliter la détection de l’existence de cet OS2…

image099

 

Le « OuterSIze » sera par défaut, la totalité de votre partition 1 (officielle) et partition 2 (cachée).

image101

Spécifiez un mot de mot de passe spécifique pour l’accès à ce volume.

image103

 

On lance le formattage de la partition.

 

image105

image107

 

image109

image111

Attention : l’algorithme de cryptage de la partition 2 devra être le même que celui de la partition 1.

image113

 

Spécifiez un mot de passe (un3ème) disctinct des 2 autres.

image115

image117

 

Formattage de la partition 2.

image119

 

Reboot du système.

image121

Saisissez le dernier mot de passe saisi (celui fourni pour la mise en œuvre du système caché)

 

L’opération de recopie du premier système vers le second système en version cachée commence. (clonage de la partition 1 vers Partition 2.)

image123

image125

Quand la copie est terminée, ressaisissez à nouveau votre mot de passe (le dernier créé, celui de votre partition cachée).

Votre système caché démarre.

image127

Une fois démarré, TrueCrypt va vous proposer d’effacer le plus efficacement possible le contenu de la partition 1.

image129

image131

Attention, toutes les données de la partition 1 seront effacées (sachant que c’est une copie de cette première partition qui actuellement sur la partition 2).

 

Quand c’est terminé :

image133

Vous devez éteindre vos ordinateur (histoire de vider autant que possible toute rémanence de mémoire).

Redémarrez votre ordinateur et installez votre OS : ne bootez pas sur le disque contenant le système caché.

Installation de votre OS

Une fois votre OS installé, bien sûr vous ne pouvez plus booter sur votre système caché.

 

Installez TrueCrypt sur le système fraichement réinstallé et lancez la fonction de cryptage de votre partition système (comme au chapitre 7 précédent), c’est-à-dire :

–          Encrypt System Partition Drive,

–          Choisissez « Normal » et non « Hidden »

–          Choisissez « Encrypt the Windows system partition »

–          Si votre PC n’a qu’un seul système (hors celui est caché), choisissez Single Boot,

–          Dans l’étape Ecnryption : choissisez impérativement le même cryptage que celui utilisé pour votre système crypté ET caché.

–          Spécifiez un mot de passe (différent de celui qui vous permet de booter sur votre OS cyrpté et caché)

–          Laissez TrueCrypt vous graver un CD de récupération d’urgence (si vous en avez déjà, mettez le CD pour que Truce Crypt en fasse la vérification)

–          Lancez le WipeMode,

–          A la fin de l’installation TrueCrypt vous demandera de rebooter après un premier test.

–          Au reboot, saissez votre password créé dernièrement.

–          Lancement de votre OS crypté (non caché), TrueCrypt vous propose , après le test de lancer le cryptage de votre partition.

–          Quand c’est terminé, rebooter votre OS.

 

Maintenant, le process est terminé :

–          Au boot de votre PC, le loader TrueCrypt vous demande un mot de passe

image135

Si vous mettez le password de votre partition système cryptée ET cachée, vous booterez sur cet OS,

 

Si vous mettez le password de votre partition système crytpée (la partition leurre), vous booterez sur l’OS normal de leurre.

 

Le troisième password vous permet d’accès à la partition Outage.

 

 

10 – Détecter la présence de Conteneurs TrueCrypt

Utiliser TrueCrypt est sans doute indispensable lorsqu’on manipule des données confidentielles mais lorsqu’il s’agit à l’inverse de détecter si une personne abuse utilise TrueCrypt. Il existe à minima quelques pistes, outils et traces laissées par TrueCrypt.

 

TCHunt (TC pour TrueCrypt et Hunt pour…) : cet outil permet de détecter les fichiers TrueCrypt sur un ordinateur, pas seulement si ils ont l’extension .TC => http://16s.us/TCHunt A cette heure, TCHunt ne détectait pas encore les partitions. La dernière version était la 1.6, voici son usage :

TCHUNT –d C:\temp –v

-d pour Detect

C:\temp ou autre répertoire

-v pour mode verbeux.

Si vous lancez cette commande (surtout à la racine d’une partition), tous les fichiers seront analysés à la chaine, avec un résultat difficile à exploiter.

Préférez alors : tchunt –d c:\ 2>nul

TChunt vous renverra alors les éventuels fichiers ayant 1 conteneur TrueCrypt.

image137

Attention : TChunt permet de suspecter la présence d’un fichier TrueCrypt. Le taux de faux négatifs et faux positifs peut être déroutant.

Traces locales :

Dans le cadre de conteneurs cachés (de second niveau), il reste deux arguments systématiques pour détecter la présence de ces conteneurs : 1 – le conteneur premier ne pourra jamais contenir ou stocker la totalité de l’espace qui lui est alloué, 2 – les fichiers leurres du premier conteneur sont rarement mis à jour et donc souvent obsolètes.

Le système d’exploitation laisse apparaitre également la présence de fichiers tels que truecrypt (-x64).sys dans system32\drivers

Le registre laisse entrevoir quelques associations de fichiers : .TC par défaut

Etc …

Création de l’image physique d’un disque dur

Un mode opératoire pour capturer l’image physique d’un disque dur à des fins d’analyse de contenu.

Deux modes de copie de contenu d’un disque dur :

– la logique => identique à celle retrouvée dans une copie de fichiers Windows ou Linux. Inconvénient : modification de la propriétés des fichiers copiés (horodatage, canaux cachés, etc… et copie seule des fichiers connus/indexés par le système source.

– la physique => on prend une partition ou un disque entier puis on transfère octet par octet l’intégralité du contenu (incluant les zones ayant contenu des fichiers effacés, contenant aussi les conteneurs cachés ou cryptés) sans toucher aux propriétés des fichiers.

Les différentes informations ont été pompées depuis ces 2 sites (par ailleurs passionnants)  : http://zythom.blogspot.fr et http://www.brunovalentin.com

1 – Création du Live USB.

L’objectif : pouvoir démarrer l’ordinateur visé sur un périphérique externe sans intervenir sur le contenu du disque dur.

Deux outils open source sont utilisés :  l’ISO de DEFT 8   (ou à peu près n’importe quel LiveCD Linux) et  LinuxLive USB Creator

Une clé USB (> 4Go)

Un partage réseau (CIFS) sur un NAS ou PC ou un autre PC pouvant exécuter Netcat, avec suffisamment d’espace disque pour accueillir l’image du disque capturé.

– Installez LinuxLive USB Creator sur votre propre PC : il va vous permettre de générer une clé USB bootable contenant Deft 8.

  • Choisissez la lettre de votre clé USB
  • Sélectionnez l’ISO => un test de compatibilité sera fait pour s’assurer que le boot soit possible.
  • (à mon avis), décochez la première case et la 3ème, cochez la seconde.
  • cliquez sur l’éclair.

Capture2

Si la capture de l’image disque doit se faire depuis un PC ancien (qui ne supporterait pas un OS 64bits), préférez DEFt 7.2.

 2 – Préparation de la capture et prise d’empreinte

– Assurez-vous d’avoir désactivé les fonctions SMART dans le bios (soit du PC, soit de la carte Controleur).

– Si votre transfert se fait via un partage CIFS (ou Samba), regroupez les informations nécessaires à la connexion au partage (@IP, nom d’utilisateur, voire de domaine AD,  password, et nom du partage).

– Bootez sur Deft, lancez l’interface graphique (deft-gui) passez en clavier FR, puis sous terminal montez votre partage Windows sous Deft :

mount -t cifs //10.0.0.10/capture  -o username=utilisateur   /root/capture1

 

Prenez l’empreinte du disque à capturer. Cette empreinte, réalisée avant toute intervention, vous donnera une valeur ou une clé (un hash)  qui correspond à un calcul sur la totalité des données du disque. Si vous refaites l’opération X fois et que vous obtenez toujours la même clé : cela signifie que le contenu du disque n’a pas été altéré ou modifié.

– Utilisez pour cela Dhash 2 :

Capture1

 

– Cochez les cases MD5 et SHA1 afin de générer les Hash selon ces deux modes de calcul puis cliquez juste sur Acquire

– Sauvegardez le résultat en cliquant sur SaveLog et en spécifiant le chemin CIFS monté plus haut.

 

 3 – Réalisation de la Capture

Juste un :

dd_rescue  -l /root/capture1/journal.log /dev/sda  /root/capture1/sda-xxxx.hdd

où  :

/dev/sda désigne le disque physique à capturer

le -l /root/capture1/journal.log sert à journaliser les erreurs qui seraient rencontrées lors de la lecture des secteurs .

 

Si le disque comporte des erreurs physiques, l’utilisation de ddrescue (sans le _) peut s’avérer plus efficace en terme de délai de capture.

ddrescue -B -r 1 /dev/sda  /root/capture1/sda-xxxx.hdd

 

4 – Exploitation du disque capturé

Le fichier généré ci-dessus est exploitable de plusieurs manières :

– montage sous VMWare du disque comme secondaire d’un OS existant (attention si c’est Windows , le simple fait de monter une nouveau lecteur en écriture suffit à ce qu’il modifie le contenu , entre autres choses à cause de l’indexation automatique…)

– lancement de PhotoRec avec le fichier hdd en ligne de commande

– exploitation avec AutoPsy 3.x

 

Quelques liens utiles :

http://www.garloff.de/kurt/linux/ddrescue/

http://forum.hardware.fr/hfr/OSAlternatifs/Hardware-2/recuperation-donnees-illisible-sujet_58662_1.htm

http://major.io/2010/12/14/mounting-a-raw-partition-file-made-with-dd-or-dd_rescue-in-linux/

 

OpenVas : audit de vulnérabilités opensource

En remplacement de Nessus devenu propriétaire, voici OpenVas, un fork de Nessus.

Cet outil open source s’avère très complet, avec de nombreuses références, mises à jour et surtout TRES utile lorsqu’il s »agit de connaitre rapidement la situation d’une entreprise lorsque celle-ci offre de nombreux services sur internet… (et que vous avez bien l’autorisation d’auditer celle-ci !!)

Le doc joint permet d’installer rapidement la solution OpenVAS, de l’exploiter pour en tirer de premiers rapports de vulnérabilités (le document détaille l’installation sous CentOS 6, x64).

En fonction de la criticité des biens de l’entreprise (si celle-ci est définie ou connue), l’usage de cet outil n’empêchera pas de faire appel à de vrais spécialistes de l’audit, tels que XMCO Partners ou HSC.

Bonne lecture.

Document PDF : Openvas6-CentOS

 

Table des matières

Concept de OpenVAS. 

Installation d’OpenVAS 6.

Lancement du client

Ouverture Greebone Security Assistant OpenVAS

Mise en place d’un audit.

Première Etape :  définir la ou les adresses IP à auditer.

Seconde Etape  : définition d’une liste de ports personnalisée.

Troisième Etape : définir le type de scan attendu.

Quatrième Etape : lancer l’audit. 

 

 

 

Calcul de la Disponibilité en %

Ou comment calculer rapidement sans se prendre la tête un taux de disponibilité à partir de contraintes (24h/24 ou 09h/24, 7j/7 ou 5j/7) et vice-versa.

Exemple : un fournisseur vous garantit 99,9% de disponibilité sur l’année (en 24h/24 et 7j/7), sachez que cela correspond à une tolérance de panne de …. 08h et 45 minutes.

Programme développé en VB.NET 2005

Source dispo sur demande.

L’EXE est en pièce jointe, testé sans malware.

DispAnnuel.exe