Ce que vous exposez vraiment

Tant que votre serveur reste chez vous, il n'intéresse personne. Le jour où vous le rendez accessible depuis l'extérieur, pour consulter vos photos depuis le train, il change de statut : il devient une adresse parmi les quatre milliards d'adresses publiques d'Internet, et il sera visité.

Cette leçon ne donne aucune manipulation. Elle explique ce que vous mettez en jeu. La leçon suivante donnera les options, par ordre de sûreté. Cet ordre n'est compréhensible qu'après celle-ci.

Le mécanisme, en une minute

Votre box a une adresse publique, visible d'Internet. Vos appareils, eux, ont des adresses privées qui ne valent que chez vous. Personne depuis l'extérieur ne peut joindre directement votre serveur : la box ne sait pas à qui remettre une demande entrante, et elle la jette.

Rendre un service joignable de l'extérieur consiste à lui dire : « toute demande arrivant sur tel numéro de porte, remets-la à telle machine du réseau ». Ce numéro de porte s'appelle un port, et cette règle est ce qu'on nomme l'ouverture de port.

Le mot « ouverture » est bien choisi. Vous ne publiez pas une page : vous creusez un passage permanent depuis Internet jusqu'à une machine de votre salon.

Pourquoi vous serez visité, et vite

Internet est balayé en permanence par des programmes automatiques qui testent toutes les adresses publiques, une par une, sur les ports les plus courants. Ce n'est pas dirigé contre vous, et cela n'a rien à voir avec votre importance : c'est industriel, et le tour complet d'Internet prend quelques heures.

Un service nouvellement exposé reçoit ses premières tentatives de connexion automatisées dans les heures qui suivent. Pas dans les mois : dans les heures. Ce qui suit dépend de ce qu'elles trouvent.

Un mot de passe faible ou par défaut. Le programme essaie les combinaisons les plus répandues, sans se fatiguer, pendant des semaines.

Une version connue pour avoir une faille. Le programme identifie le logiciel et sa version, puis applique une méthode d'attaque publiée. Aucune compétence n'est requise : l'outil est disponible tout fait.

Une porte d'administration laissée accessible. Un accès en ligne de commande exposé sans précaution est la cible la plus recherchée, parce qu'il donne tout d'un coup.

Ce que vous exposez réellement, et ce n'est pas qu'un service

C'est le point que les tutoriels sautent.

Les données du service. Vos photos, vos documents, votre historique. Lisibles, copiables, et effaçables.

La machine entière. Qui prend la main sur un service tourne souvent sur la machine qui l'héberge. Vos autres services y sont.

Votre réseau domestique. Cette machine est à l'intérieur de chez vous, du bon côté de la box. Depuis elle, on voit votre imprimante, vos ordinateurs personnels, vos caméras, vos objets connectés. Une machine compromise n'est pas une porte sur un service, c'est une porte sur le logement.

Votre responsabilité. Une machine compromise est enrôlée pour attaquer d'autres machines ou envoyer du courrier indésirable. Cela part de votre adresse et de votre abonnement.

sequenceDiagram
  participant B as Robot de scan
  participant X as Votre box
  participant S as Votre serveur
  B->>X: Test du port ouvert
  X->>S: Demande transmise
  S-->>B: Reponse : service et version
  B->>S: Essai de mots de passe courants
  B->>S: Essai d une faille connue
  Note over S: Si ca passe : machine et reseau

Cas concret

Quelqu'un suit un tutoriel pour voir ses films depuis le travail. Ouverture de port, service accessible, tout marche. Le mot de passe d'administration est resté celui de l'installation, parce que « ce n'est qu'un serveur de films ».

Onze jours plus tard, la connexion Internet du logement devient inutilisable aux heures creuses. Le serveur envoie du courrier indésirable en continu depuis une semaine. Le fournisseur d'accès finit par envoyer un avertissement.

Les films n'avaient effectivement aucune valeur. La machine, elle, en avait une pour quelqu'un d'autre, et le serveur de photos de famille tournait sur la même.

Erreurs fréquentes

• Croire qu'on est trop petit pour être visé. Les balayages sont automatiques et ne choisissent personne : ils passent sur toutes les adresses.
• Raisonner sur la valeur du service exposé. Ce n'est pas le service qui est convoité, c'est la machine et l'accès à votre réseau.
• Suivre un tutoriel d'ouverture de port sans avoir rien sécurisé avant. L'ordre compte : les précautions se prennent avant, jamais après.

À retenir

• Ouvrir un port crée un passage permanent d'Internet jusqu'à une machine de chez vous.
• Un service nouvellement exposé est trouvé et testé en quelques heures, sans que personne vous ait visé.
• Ce qui est exposé dépasse le service : la machine, votre réseau domestique, et votre responsabilité.

Mini-exercice

Cherchez sur Internet la dernière faille de sécurité publiée pour un logiciel auto-hébergé que vous envisagez d'installer. Lisez sa date et ce qu'elle permet. L'objectif n'est pas de vous décourager, mais de constater que ces failles existent, sont publiques, et qu'un service exposé non mis à jour finit par rencontrer la sienne.