Et visiblement il y a maintenant du monde à se plaindre du piratage de leurs comptes mail Orange!
C'est encore le signe que les serveurs d'Orange ont bien été piratés ou spoofés. Pas étonnant que des routes normales pour le trafic destiné à Orange soient tombées.
Orange DOIT absolument communiquer à ses clients la nature de la panne subie: et je suis persuadé qu'Orange en n'ayant pas sécurisé ses noms de domaine s'est fait "spoofer" ses services critiques, puis des certificats invalides ont été émisra pour reconfigurer des routeurs d'Orange et détourner massivement du trafic.
Les premières erreurs que j'ai vues datent du 16 avril (erreur rapportée par Google pour la collecte des mails en POP3), mais les attaques massives (spoofing) ont eu à partir du soir du week-end du 1er mai et continuent depuis. Il a fallu plus d'une semaine pour que les autres opérateurs mettent en place des tunnels VPN pour rétablir une partie de la connectivité (uniquement pour HTTP et HTTPS, avec des restrictions de protocole et des parefeux). Et Orange n'a toujours pas réparé son réseau et doit être occupé à résintaller ses routeurs piratés mais il ne s'est pas encore occupé de certains services dont le POP3 et des routes IP qui devraient y aboutir.
En attendant des clients Orange se connectent aux serveurs de messagerie Orange et se font pirater leurs mails, ou leur mai lest utilisé pour envoyer du phishing (voir les autres topics sur ce forum). Et Orange ne communique toujours pas !
C'est grave, Orange devrait dire clairement aux clients de ne PAS utiliser les clients de messagerie externes (POP3/SMTP) et que pour l'instant seul son webmail fonctionne tant bien que mal. Orange devrait aussi donner des explications aux autres opérateurs qui doivent subir la situation.
Je pense qu'il s'agit réellement d'une attaque de sécurité massive contre l'infrastructure d'Orange qui était déjà très fragile en terme de sécurité, y compris sur ses propres enregistrement DNS (pas de DNSSEC, utilisation de certificats expirés ou signés seulement par des CAS qui n'existent plus, et non respect des normes de base de sécurité). Orange a peut-être été abusé par une attaque utilisant Spectre/Meldown via des VMs hébergées sur des systèmes partagés avec des tiers, ou visant par des javascripts les navigateurs Internet de ses agents, en exécutant des scripts capables d'écouter les sessions connectées aux systèmes sensibles de son réseau (même si c'était dans une autre VM ou dans une appli que l'OS hyperviseur: on sait que c'est possible, et cela a pu compromettre des donénes sensibles.
Si tu veux des détails sur le type d'attaque (qui est encore possible dans tous les navigateurs et tous les OS) il y a des documents qui expliquent comment ça fonctionne, et que les "mitigations" actuelles (consistant à réduire la précision des timers comme performance.now en arrondissant les temps à 10 millisecondes, ou me^me 100 ms avec le navigateur Tor, sont totalement inefficaces car on peut toujours simuler une horloge de précision utilisant les seuils précis de basculement, et fabriquer en Javascript même dans une VM sans aucune communication réseau un timer précis à quelques nanosecondes près (entre 10 et 30 nanosecondes soit à peine quelques cycles CPU) ce qui permet alors les time-attack et l'expolotiation de "covert channels" permettant de détecter l'état des caches du CPU, ou même l'état des controleurs DRAM (caches d'adresses de bank et row) et savoir précisément quelle adresse mémoire est utilisée et quand par le processus "protégé" qu'on veut pirater, et utiliser la même techynique pour créer un lien de communication entre deux systèmes isolés. Il y a même possibilité par ce moyen à forcer un processus protégé à adopter un comportement et même parvenir à le convaincre d'utiliser des données falsifiées ou l'empêcher de reporter une attaque dans les temps ce qui laisse alors un autre système accepter une requête qui normalement aurait du être refusée.
Les "time-attacks" (connues depuis environ 1996 mais pas encore facilemetn exploitables) n'en sont qu'au début et Spectre/Metdown ne sont que la partie visible d'un problème bien plus général (et qui ne concerne pas que les processeurs, on le voit maintenant aussi sur d'autres composants dont la DRAM, les caches de bus, les liens Ethernet, les processus clients-serveur, les routeurs). Et elles sont rendues possibles aujourd'hui parce que les systèmes sont globalement très rapides et disposent de plein de surcapacités (cycles "idle") ce qui permet de mener une attaque (non facilement détectée) en une fraction de seconde (avant même qu'on puisse noter un pic soudain et persistant d'activité avec les attaques classiques).
Il n'est pas anodin que les attaques sur les routes IP d'Orange ait commencé justement dans la nuit de vendredi à samedi du pont du 1er mai, à partir de 2 ou 3 heures du matin, là où les systèmes étaient à la fois les moins chargés, et les moins surveillés et avec le moins de monde en plus pour résoudre l'incident: les pirates ont eu tout le weekend pour agir et ça s'est agrrvé ensuite avec les points du 8 mai et de l'ascension le 10 mai. Et cela a par boule de neige affecté la connectivité de tous les opérateurs internet et de téléphonie fixe et mobile en France (ainsi que plusieurs autres pays notamment africains).
Orange a du faire appel à des ressources hors de France dans ses filiales (notamment au Royaume-Uni et en Pologne) pour rétablir des services rendus inexploitables en France.
Et on sait que tous les opérateurs sont sur le pont. Orange va le payer cher car ils vont demander des dommages à Orange. On en saura plus dans quelques semaines, mais il n'est pas admissible qu'Orange ne dise toujours rien à ses clients (et je trouve étrange qu'aucun détail n'est donné non plus chez les autres opérateurs également touchés concernant la sécurisation de leurs propres données, hébergées chez Orange ou transitant par Orange, qui est encore incontournable en France, y compris pour le dégroupage)
