Mes premiers articles ont été consacrés à la réglementation, et à la défense face aux risques d'abus par typosquatting (n'hésitez pas à aller les lire si ce n'est pas déjà fait :) ). Je pense qu'il est bon de faire un article un peu plus léger, et même personnel ! Apprendre à se connaître vous et moi, chers lecteurs de ce blog. Bien évidemment, je vais aussi vous donner des infos sur la cybersécurité en général, comment tout a commencé et évolué au fil de l'eau. Connaître le passé permet de mieux appréhender les défis à venir.
L'histoire du hacking... en très condensé
Pour parler de cybersécurité, il est important de regarder là où tout a débuté : les années..... 60 !
Eh oui, les premiers hackers se sont fait connaître dans les années 60.
Avant de vous parler d'eux, je pense qu'il est important de préciser que le terme "hacker" signifie, en français, "bidouilleur". On est loin de la notion de fuites de données et de menaces étatiques ! On parle dans un premier temps de passionnés d'électronique, au fin fond de l'université du MIT, qui souhaitaient faire fonctionner leur petit train électrique au mieux de ses performances.
Cela durera jusqu'aux années 70, où ces premiers hackers ont migré sur les lignes téléphoniques. Le "Phreaking" est né, et nous en sommes encore à de la curiosité plus que de la malveillance à ce moment de l'histoire.
Il faut comprendre que, avant de rechercher à tout prix à revendre des données, les hackers de l'époque cherchaient à prouver la faisabilité et à s'échanger des informations. Souvent des numéros de téléphone qu'ils pouvaient appeler gratuitement grâce aux "blue box" (cf. la page Wikipédia sur la blue box).
Une décennie se passe, et nous arrivons à la première attaque, informatique cette fois-ci, qui donnera lieu au premier procès pour cybercriminalité et malveillance : le ver "Morris" !
Ce fut le premier programme à propagation à faire autant de dégâts. On estime que 10% des ordinateurs de l'époque ont été infectés. Ce qui a valu une amende de 10 000$ à son créateur, mais qui a aussi mené à la création du Computer Emergency Response Team (CERT), pour faire face aux menaces émergentes.
Puis, avec la démocratisation d'internet, et le nombre croissant de services disponibles en ligne, la surface d'attaque grandit. La cybersécurité devient l'affaire de tous, et vous connaissez la médiatisation du sujet aussi bien que moi.
Et me voilà !
Déjà tout petit, l'informatique avait pris une place importante pour moi. Mes grands-frères (qui se reconnaîtront :) ) avaient un Amstrad CPC-464 avec lecteur de disquettes externe. Un bonheur pour moi car ils avaient des jeux vidéo ! Que de temps passé sur Boulder Dash, Fruity Frank et autre Sorcery !
Photo : Bill Bertram, CC BY-SA 2.5, via Wikimedia Commons
Le temps passe et voilà que nous avons notre premier ordinateur dans le bureau de mes parents. Pas d'internet encore à ce moment-là, mais cette fois-ci, l'ordinateur me fascinait. Comment tout cela peut-il bien fonctionner ? À quoi sert cette option, et celle-ci et... oh... tiens je n'ai plus de souris, et mon clavier ne répond plus ! Bon... on est bon pour réinstaller le tout ! (et tenter de nouvelles options pour voir ce que cela fait précisément).
Et c'est arrivé. Pour mon anniversaire, un ami m'a offert un modem 56k pour se connecter à internet, le tout avec un CD d'installation pour AOL (le "99 francs, illimité", que de souvenirs... et que de "déconnecte-toi !!! j'attends un appel !!" :D ).
Armé de mon modem et de ma connexion, je commence à découvrir un tout nouvel univers. Dans ma grande insouciance de l'époque, je cliquais évidemment partout pour tout découvrir ! Tout naturellement, j'ai aussi commencé à communiquer avec d'autres via la messagerie d'AOL (AIM). Un contact, puis un autre, et encore un autre, qui m'envoie une photo de lui : IMG001.jpg.exe... Bien sûr, pas d'antivirus à l'époque non plus. Vous voyez sûrement venir la suite... SubSe7en déployé...
Mais là, il s'est passé quelque chose. Un déclic. Après la énième réinstallation du PC du bureau (avec les 30 disquettes d'installation, donc un poil long comme processus), je me suis posé la question suivante : "Comment ça marche ? Comment fonctionne ce petit bout de code ?". Un nouvel univers s'est alors ouvert pour moi. J'ai dû mener des recherches comme je pouvais. À l'époque, pas de TryHackMe, ni de PortSwigger pour apprendre les ficelles du métier ! Il fallait lire : le Pujolle des réseaux, la bible d'UNIX, et autres livres indigestes à première vue, mais qui regorgeaient d'informations. Et pour les services en ligne, direction la RFC pour savoir comment cela fonctionne. C'est en connaissant le fonctionnement qu'on comprend comment le détourner.
La suite ?
En me documentant et en cherchant de l'information, j'ai toujours pensé : "Bon c'est bien beau tout ça, mais concrètement, comment je m'en protège ??". Cette simple question a été une vraie prise de conscience. Dès lors, j'ai toujours eu à cœur (sans jeu de mots) de mettre mes connaissances en avant pour aider à protéger les autres contre les attaques de tous types.
Bon, en ce qui concerne mon infection par le cheval de Troie SubSe7en, je ne pouvais plus rien y faire. Le mal était fait. Mais j'ai appris une leçon qui me sert encore aujourd'hui, et qui est : "Quand je ne connais pas, je ne clique pas...". Simple et efficace, mais que faire contre les attaques ne requérant pas de clic de la part de l'utilisateur final ?
Au départ de ma carrière professionnelle, je me suis quand même heurté à un mur ! Je me souviens encore d'un de mes chefs, qui m'avait dit : "Allons, allons... les hackers n'existent que dans les films ! Si certains attaquent aujourd'hui, ils sont marginaux et le resteront...". Je ne sais pas s'il se souvient de cette petite conversation, car pour moi, elle a été un vrai déclic : je devais, à mon échelle, faire quelque chose. Je réalisais tout d'un coup que le travail n'allait pas être que technique, mais aussi pédagogique.
Les années passent, la passion reste. Je continue de me documenter, de me former, d'apprendre. L'arrivée des plateformes d'entraînement (Root-Me, HackTheBox, PortSwigger Academy) me facilite la tâche, jusqu'à ma rencontre avec un responsable technique, ancien auditeur cybersécurité, qui a su m'aider à concrétiser mon objectif : travailler dans le domaine de la cybersécurité offensive. Pour faire de ma passion, une réalité de terrain. Et pour cela, je le remercie grandement ! (il se reconnaîtra aussi :) ).
Conclusion
Pourquoi je vous raconte tout ça maintenant ?
Pour plusieurs raisons :
- Tout d'abord, je trouve l'exercice intéressant !
- Aussi, je profite de ce billet de blog pour remercier publiquement tous ceux qui m'ont aidé, soutenu, et écouté durant toutes ces années. Je ne cite personne, mais chacun sait où il se place dans ce récit. :)
- Enfin, je profite de cet article pour vous expliquer comment et pourquoi j'en suis arrivé à la création de Lumerial. Apporter de la clarté, de l'accessibilité à ce domaine de passion.
Vous souhaitez échanger ? Partager vos expériences ou simplement discuter ? N'hésitez pas à me contacter !
