🏴‍☠ Labo – Chiffrez et hackez!

Dans ce labo, vous continuerez de tourmenter votre prof. Votre tâche sera toutefois plus difficile. Le prof se méfie maintenant. Il sait que vos talents de hacker progressent de semaine en semaine. Il surveille le trafic sur son serveur par crainte de se faire à nouveau pirater.

Vous êtes prêts? Allons-y! Suivez les étapes et notez toutes vos manipulations. La remise se fait sur Moodle. N’oubliez de garder une copie de votre travail et de noter les commandes que vous utilisez. Il y aura des manipulations semblables à effectuer à l’examen pratique 1 et vous n'aurez pas droit à Internet.

Vous avez déjà votre porte dérobée pour accéder au serveur du prof, soit un accès SSH. Toutefois cet accès n'est pas bien sécurisé. Si quelqu'un met la main sur votre mot de passe, il pourra alors vous dérober votre porte dérobée!

Votre première mission consiste donc à sécuriser votre accès SSH. Pour se faire, vous utiliserez la cryptographie asymétrique en générant une clé privée et une clé publique.

Entrez la commande suivante dans le terminal de votre machine virtuelle Ubuntu:

ssh-keygen

Vous pouvez accepter toutes les valeurs par défaut en tapant plusieurs fois la touche ENTRÉE.

Une paire de clés publique et privée se trouve dans le dossier .ssh de votre répertoire utilisateur.

Si vous listez les fichiers dans ce répertoire, vous verrez un fichier avec l’extension .pub (clé publique) et un fichier sans extension (clé privée).

Utilisez ensuite la commande ssh-copy-id avec les bons arguments pour installer votre clé publique sur serveurprof.com.

Quelle commande avez-vous utilisée pour installer la clé publique sur le serveur?

Si l'opération a réussi, vous n’aurez plus besoin d’un mot de passe pour vous connecter au serveur. C’est votre clé privée qui vous authentifiera.

Connectez-vous à nouveau au serveur du prof en SSH. Si tout a bien fonctionné, vous ne devriez pas avoir besoin d’entrer le mot de passe. Si vous devez entrer un mot de passe, revoyez l'étape précédente ou demandez de l'aide!

Sur serveurprof.com, vous trouverez le fichier authorized_keys dans le dossier caché .ssh. Ce fichier contient les clés publiques des systèmes autorisés à se connecter à votre compte. Vous pourriez par exemple utiliser différents ordinateurs pour vous connecter à votre compte sur le serveur et chaque ordinateur possède sa propre paire de clés.

Collez ici le contenu du fichier authorized_keys. Il devrait contenir la clé publique que vous avez générée avec la commande ssh-keygen.

Bien! Maintenant que vous êtes connecté au serveur du prof, regardez ce qui se trouve dans votre répertoire utilisateur.

Une image JPEG? C’est peut-être une photo de la vie privée du prof qu’il tient à garder secrète. Malheureusement nous avons besoin d’une interface graphique pour visualiser la photo.

Vous pourriez télécharger la photo à l’aide de la commande scp mais le prof se méfie et il a mis en place un système de détection qui l’alertera si vous tentez d'exfiltrer la photo du système.

Pour masquer vos traces et brouiller les pistes, vous devrez chiffrer la photo grâce à la cryptographie symétrique. Et pour vous assurer que la photo n’est pas altérée ou corrompue dans le transfert, vous devrez aussi produire une signature de celle-ci (hachage).

Commencez par produire un hachage du fichier de la photo à l’aide de l’algorithme SHA-256. La signature doit être enregistrée dans un fichier nommé checksum.txt. Vous devriez être capable de faire ces deux opérations (hachage et enregistrement) à l’aide d’une seule commande en utilisant la commande sha256sum et l’opérateur de redirection >.

Quelle commande avez-vous utilisé pour générer la signature de la photo et l’enregistrer dans le fichier SHA256SUM?

Vous allez maintenant créer une archive TAR nommée photo.tar.gz contenant l’image et le fichier de signature. Vous devez utiliser l'utilitaire tar et l’archive doit être compressée avec l’algorithme gzip.

Quelle commande avez-vous utilisé pour créer l’archive TAR?

Finalement, vous utiliserez l’utilitaire de chiffrement GNU Privacy Guard (gpg) pour chiffrer le fichier TAR de façon symétrique avec un mot de passe. Le fichier chiffré doit se nommer photo.tar.gz.gpg.

Quelle commande avez-vous utilisé pour le chiffrement?

Bingo! Si tout s’est bien déroulé, vous avez réussi à créer un fichier chiffré contenant l’archive TAR de la photo du prof et la signature du fichier.

Ouvrez un nouvel onglet et utilisez maintenant scp pour transférer le fichier vers votre machine virtuelle Ubuntu.

Utilisez à nouveau GNU Privacy Guard, cette fois pour déchiffrer le fichier.

Quelle commande avez-vous utilisé pour le déchiffrement?

Décompressez l’archive TAR avec l'utilitaire tar.

Quelle commande avez-vous utilisé pour décompresser l'archive?

Vérifiez la signature du fichier de la photo à l’aide de la commande sha256sum utilisée précédemment. Assurez-vous que la signature correspond à celle inscrite dans le fichier checksum.txt.

Si la signature est la même, cela confirme que la photo n'a pas été altérée dans le transfert et a conservé son intégrité.

Ouvrez maintenant le fichier JPEG pour consulter la photo. Tiens donc… Il s’agit bel et bien d’une photo de famille mais cet homme n’est pas votre prof et ces enfants sont bien trop beaux pour être les siens… Tout cela est louche!

Faites une recherche d’images inversée avec Google Images pour voir si cette photo est utilisée ailleurs sur le web.

Combien de résultats obtenez-vous en faisant une recherche d’images inversée?

Ah! Cette photo provient d’une banque d’images. Alors en quoi cela peut-il bien être confidentiel? Votre prof a peut-être utilisé un outil de stéganographie afin de dissimuler un message secret dans l’image…

Installez l’utilitaire steghide et cherchez un fichier texte caché dans l’image. Le contenu n'est pas protégé par un mot de passe.

Quelle commande avez-vous utilisé pour extraire le fichier caché?

Le fichier texte contient un URL secret. Copiez-le dans la barre d’adresse de votre navigateur.

Écrivez le code secret dans le quiz Moodle pour compléter le labo. N'oubliez pas non plus de compléter le questionnaire.

Félicitations, vous avez à nouveau réussi votre mission avec brio. Votre prof devra redoubler d’effort pour mieux se protéger!