En Suède, de nombreuses informations sensibles exposées par le ministère des Transports

En Suède, de nombreuses informations sensibles exposées par le ministère des Transports

« Ingen ko på isen »

Avatar de l'auteur
Vincent Hermann

Publié dans

Internet

25/07/2017 7 minutes
46

En Suède, de nombreuses informations sensibles exposées par le ministère des Transports

En Suède, un vaste scandale entoure actuellement une fuite de données, probablement l’une des plus grandes jamais enregistrées. Le pays, en accord avec IBM pour gérer une importante masse de données, n’a pas assez travaillé la sécurité de ces échanges. Parmi les informations lâchées dans la nature, certaines sont sensibles.

Les fuites de données ont été particulièrement nombreuses ces dernières années. L’accent particulier mis sur la sécurité les a d’autant plus éclairées d’une lumière crue, mais le nombre d’attaques semble également s’être multiplié. La fuite révélée en Suède n’est cependant ni celle d’une entreprise, ni le résultat d’une attaque par un groupe de pirates.

Elle émane de la Transportstyrelsen, ou agence suédoise des transports. Liée par contrat à IBM pour l’hébergement et le traitement des données, il semble qu’elle n’ait pas suffisamment travaillé les procédures d’accès à sa colossale masse de données. L’affaire met désormais à mal le ministère, tout autant que le gouvernement.

Ce qui a fuité

La base de données de la Transportstyrelsen envoyée sur les serveurs d’IBM contient notamment la totalité des véhicules immatriculés dans le pays. On y retrouve bien sûr l’ensemble des voitures pour les particuliers, mais également tous les véhicules de fonction dans les administrations, ceux de l’armée, les poids lourds, et globalement tout ce qui a deux ou quatre roues et devrait faire l’objet d’une immatriculation.

Avec chaque plaque vient une fiche composée des renseignements trouvés dans l’équivalent suédois de la carte grise : nom, prénom, photo et adresse postale des conducteurs y sont donc présents. S’ajoutent à cette masse de données des informations sur les conducteurs dans l’armée, y compris les pilotes d’avions de l’armée de l’air.

Plus grave encore, la base contient aussi des informations très sensibles, comme les suspects de la police dans des enquêtes en cours, voire les personnes bénéficiant du programme de protection et de relogement des témoins. Actuellement, les raisons de la présence de ces informations dans la base du ministère des Transports ne sont pas claires.

Enfin, on trouve dans le stock des données techniques, comme le poids supporté par chaque route et pont du pays.

La fuite connue depuis longtemps

Déjà énorme au vu de l’énorme masse de données, la fuite attire d’autant plus les regards qu’elle est connue depuis un certain temps.

Le contrat avec IBM a été mis en place en avril 2015. Il incluait notamment toute la maintenance des bases de données et réseaux du ministère suédois des Transports. Dans le cadre de cet accord, les données de la Transportstyrelsen ont été copiées dans les serveurs d’IBM, avec l’idée de profiter des opportunités offertes par le cloud.

Le ministère a ensuite contacté les personnes qui pourraient avoir besoin d’accéder à la base. On ne sait pas exactement ce qui s’est passé, mais des employés d’IBM en République Tchèque se sont retrouvés avec des droits complets sur ces bases, pouvant donc les consulter à loisir, y compris les informations les plus sensibles.

Comme l’indiquent les médias suédois, il semble que la Transportstyrelsen n’ait pas réalisé en amont les contrôles nécessaires pour valider les identités des personnes qui pourraient accéder à ces données. Or, le problème s’est déclaré en même temps que la copie des bases sur les serveurs d’IBM. La fuite existe donc depuis 2015.

Toujours selon la presse locale, ce sont les services secrets suédois qui ont mis le doigt dessus l’année dernière. On sait qu’une enquête a commencé immédiatement. En janvier dernier, la ministre des Transports, Maria Ågren, était remerciée pour motifs inconnus. Plus récemment, avec la conclusion de l’enquête, elle a écopé d’une amende somme toute légère – environ 7 330 euros – pour « négligence involontaire sur informations secrètes ».

Le grand trouble

Comme le rapporte le Financial Times, le Premier ministre suédois tenait hier une conférence de presse pour informer de la situation. Stefan Lofven a fustigé un accord avec IBM très mal géré et n’a pas cherché à réduire l’ampleur de la fuite : « Ce qui est arrivé au ministère des Transports est un désastre. C’est extrêmement sérieux. [La fuite] a exposé la Suède et les citoyens suédois à des risques ».

La Transportstyrelsen, de son côté, communique amplement sur l’affaire. Elle a même mis en place une FAQ visant à répondre aux questions les plus évidentes. On y apprend notamment que le contrat avec IBM doit durer jusqu’en octobre 2020. Il est très clairement indiqué que l’administration de Maria Ågren n’a pas fait son travail, puisque ce sont les conclusions de l’enquête et du procureur en charge de l’affaire.

Plus intéressant, le ministère indique que depuis juin 2016, toutes les données sont à nouveau hébergées en Suède. L’information n’est pas donnée, mais il se pourrait que l’envoi initial des bases chez IBM ait été lui aussi une erreur. Actuellement, le nouveau ministre des Transports, Jonas Bjelfvenstam, indique cependant que la sécurisation complète des informations ne sera terminée qu’à l’automne.

Inquiétudes autour de la portée de l’incident

Le nombre potentiel de personnes ayant pu accéder aux données est élevé. En l’état, le ministère juge qu’il n’est pas besoin de s’inquiéter outre mesure. La faille se situe dans l’absence de vérification des antécédents qui aurait dû être réalisé pour toute personne habilitée à mettre la main sur ces informations, mais il est peu probable que tous ceux ayant reçu ces droits aient compris ce qu’ils pouvaient en faire.

La Transportstyrelsen précise qu’à l’heure actuelle, rien ne permet d’affirmer que ces données ont été copiées et diffusées « de manière incorrecte ». En d’autres termes, les données sensibles ont pu être vues par de nombreuses personnes habilités – et qui n’auraient pas dû l’être – mais aucune diffusion massive n’aurait eu lieu.

Le ministère précise toutefois que l’étude d’impact n’est pas terminée. Il n’est donc pas impossible qu’elle découvre des traces d’activités suspectes. Si ce ne devait pas être le cas, il s’agirait probablement d’un extraordinaire coup de chance au vu de la sensibilité des informations.

L’incident rappelle quoi qu’il en soit les dangers liés à la concentration des données. Il est évident que les ministères, qui concentrent des montagnes d’informations, sont bien forcés de créer de telles bases puisqu’ils sont en charge de pans entiers de l’activité du pays. Mais l’erreur étant humaine, il existera toujours le risque qu’une opération douteuse soit réalisée.

Le contrat avec IBM n’est a priori pas remis en question, puisque le faisceau d’éléments pointe vers une responsabilité complète du ministère. Ce qui pose d’ailleurs la grande question qui n’a toujours aucune réponse : que s’est-il réellement passé ? Il semblerait que le contrat avec IBM ait été mal interprété, conduisant une ou plusieurs personnes à envoyer les bases dans le cloud, mais une erreur aussi conséquente a de quoi surprendre.

46

Écrit par Vincent Hermann

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Ce qui a fuité

La fuite connue depuis longtemps

Le grand trouble

Inquiétudes autour de la portée de l’incident

Commentaires (46)


J’ai fais la même tête que la photo d’illustration&nbsp;<img data-src=" />




Plus grave encore, la base contient aussi des informations très sensibles, comme les suspects de la police dans des enquêtes en cours, voire les personnes bénéficiant du programme de protection et de relogement des témoins. Actuellement, les raisons de la présence de ces informations dans la base du ministère des Transports ne sont pas claires.



Quewa ? <img data-src=" />


On peut tout de même reconnaître la transparence de l’Etat suédois dans cette affaire.


probleme qui n est pas mentionne dans l article c est que les donnees ont ete envoyes a des sous-traitant situes dans des pays de l Est hors-UE








slasher-fun a écrit :



On peut tout de même reconnaître la transparence de l’Etat suédois dans cette affaire.





Ouep, tellement transparent qu’on voit les infos sensibles a travers <img data-src=" />



“Le contrat avec IBM n’est a priori pas remis en question”



Sauf que peut-être que maintenant il est devenu gratuit



<img data-src=" />



( IBM est assez connu pour son syndrome de l’UID 0)


Le minimum serait que les administrations sensible gère leur serveurs en interne pour avoir la main sur les données au lieu de les balancer au 4 vents.








Ami-Kuns a écrit :



Le minimum serait que les administrations sensible gère leur serveurs en interne pour avoir la main sur les données au lieu de les balancer au 4 vents.





Aussi.



Oups… Boulette ! <img data-src=" />


Ça montre surtout que le fichage de masse est présent partout (et même) là où il ne devrait pas.

&nbsp;du coup, multiplication de bases =&gt; multiplication de bévues aux conséquences amusantes.








Ami-Kuns a écrit :



Le minimum serait que les administrations sensible gère leur serveurs en interne pour avoir la main sur les données au lieu de les balancer au 4 vents.









  • “ça coute cher au contribuable”

  • “c’est pas notre métier”

  • “c’est un travail de spécialiste pour des spcialistes - qui mieux que IBM pour cela ?”

  • “la sécurité sera garantie, c’est écrit dans le contrat”

  • “comme c’est eux qui gèrent, nous, on s’en lave les mains”

    etc etc etc



A quand la même en France avec le fichier TES ?








Ami-Kuns a écrit :



Le minimum serait que les administrations sensible gère leur serveurs en interne pour avoir la main sur les données au lieu de les balancer au 4 vents.





En Belgique le gouvernement est en train de créer un “G-Cloud” (pour Gouvernement Cloud)&nbsp; pour réduire les couts d’hébergement et de maintenance des machines utilisé dans les ministères,&nbsp; etc



J’ai peur&nbsp;



Rapidement vu le QI de la France : On est mal partis<img data-src=" />


tu as oublié :

-“c’était comme ça quand je suis arrivé”

-“en cas de problème c’est pas moi qui prend”

-“si c’est pas moi qui fait fuiter ces données, ce sera quelqu’un d’autre”



<img data-src=" />

&nbsp;


pour le coup s’ils l’hébergent en belgique et migrent toutes les crasses pas sécurisées des 6 gouvernements, 52 communes à facilités, 12000 ministères en double ou en triple, et autres bilinguitudes qu’on ne voit que par chez nous dans un seul cloud bien géré, ça a moyen d’être positif.








Ami-Kuns a écrit :



Rapidement vu le QI de la France : On est mal partis<img data-src=" />





Les plus intelligents ne font pas d’enfants et le QI diminue parce qu’on fume plus de bedo….

Je dois être un génie alors, je ne fais toujours pas de gosses alors que j’ai fumé comme un porc pendant 25 ans…



Voilà une étude comme je les aime, scientifique au possible.









Dj a écrit :



En Belgique le gouvernement est en train de créer un “G-Cloud” (pour Gouvernement Cloud)&nbsp; pour réduire les couts d’hébergement et de maintenance des machines utilisé dans les ministères,&nbsp; etc



J’ai peur&nbsp;





S’ils stockent les données en flamoutche, c’est le meilleur des cryptages pour le reste du monde









Dj a écrit :



En Belgique le gouvernement est en train de créer un “G-Cloud” (pour Gouvernement Cloud)  pour réduire les couts d’hébergement et de maintenance des machines utilisé dans les ministères,  etc



J’ai peur







meuh non ça va bien se passer, ils sont utilisé un $sudo - u mysql_secure_installation au bon moment <img data-src=" />



Heureusement qu’en France, une telle chose est improbable à la vue des contrats signés (comme celui entre MS et l’Education Nationale pour les élèves). Et encore moins probable de trouver des infos qui n’ont rien à voir avec le contenu initial.



Le cloud, c’est bon, mangez-en surtout quand les données sont exportées hors du pays, vous avez rien à craindre.



(tout ça, c’est de l’ironie bien sûr mais bon, à entendre les “hautes sphères” (politiciens, députés, etc …) et voir les contrats signés, on a tellement rien à craindre qu’on doit être surpuissant …)







boogieplayer a écrit :



meuh non ça va bien se passer, ils sont utilisé un $sudo - u mysql_secure_installation au bon moment <img data-src=" />







Indiquez le mot de passe pour le compte superadmin :

admin



<img data-src=" />



Mais que font les immatriculations et adresses des propriétaires dans la même base que :




  • le poids maximal de chaque infrastructures

  • le nom des personnes faisant l’objet d’enquêtes en cours

  • le nom des personnes bénéficiant de programme de protection des témoins?



    Sérieux ça tourne pas rond la haut -_-


Je n’ai pas eu l’impression qu’ils avaient envie d’héberger ailleurs qu’en interne pour les projets que j’ai vu dans l’armée. Ils ont même quelques admins efficaces mais bien grognons !

D’ailleurs, le ministère de l’intérieur avait son hébergement avec ses admins aussi quand j’y étais il y a quelques années.



Par contre, je note une sérieuse perte de compétence au niveau des ingés système (ou informatiques de manière générale) qu’ils ont du mal à garder en interne (les statuts de la fonction publique ne vont pas toujours) et qui deviennent des prestas de grandes SSII (ou l’autre abréviation) qui ont de merveilleux contrats cadre qui font perdre beaucoup d’argent à l’état.








Café In a écrit :



Ça montre surtout que le fichage de masse est présent partout (et même) là où il ne devrait pas.

&nbsp;du coup, multiplication de bases =&gt; multiplication de bévues aux conséquences amusantes.





Pour moi, c’est une preuve supplémentaire que le progrès mène inévitablement à la surveillance.

Pourquoi on surveillait moins les gens avant ? Pas parce que l’EI n’existait pas, ni car la société a changé, tout simplement car la technologie ne le permettait pas.



De toute façon, le fichage sans les moyens humains derrière pour les exploités, c’est du numéro de cirque.<img data-src=" />


Oo Nom de Bleu …

Ca c’est de la fuite. ^^








Drepanocytose a écrit :



Les plus intelligents ne font pas d’enfants et le QI diminue parce qu’on fume plus de bedo….

Je dois être un génie alors, je ne fais toujours pas de gosses alors que j’ai fumé comme un porc pendant 25 ans…



Voilà une étude comme je les aime, scientifique au possible.





Pas besoin d’étude scientifique pour savoir que les français sont des cons. <img data-src=" />









PtiDidi a écrit :



Mais que font les immatriculations et adresses des propriétaires dans la même base que :




  • le poids maximal de chaque infrastructures

  • le nom des personnes faisant l’objet d’enquêtes en cours

  • le nom des personnes bénéficiant de programme de protection des témoins?



    Sérieux ça tourne pas rond la haut -_-





    En fait, c’est l’inverse. <img data-src=" />





la base contient aussi des informations très sensibles, comme les suspects de la police dans des enquêtes en cours, voire les personnes bénéficiant du programme de protection et de relogement des témoins. Actuellement, les raisons de la présence de ces informations dans la base du ministère des Transports ne sont pas claires.







  • SELECT * FROM Users INNER JOIN WitnessProtection ON Users.id = WitnessProtection.real_id

  • T’es certain pour le INNER JOIN ?

  • heu… ouais. Enfin je crois.

  • ok.








Café In a écrit :



Ça montre surtout que le fichage de masse est présent partout (et même) là où il ne devrait pas.

 du coup, multiplication de bases =&gt; multiplication de bévues aux conséquences amusantes.







Oui et non. Avoir plusieurs bases n’est pas plus mal que d’avoir une seule grosse base de données.

Maintenant ce sont les recoupements entre celles-ci qui doivent être encadrés et toutes les informations ne doivent pas être transmises en même temps.



Exemple tout à fait prit au hasard :

-Tartampion est ministre (Tout le monde le sait, pas dangereux en soit)

-Tartampion possède une voiture immatriculée ZZ-ZZZ-ZZ (c’est gênant)

-Tartampion habite à une certaine adresse (c’est dangereux)



Imagine le recoupement : Tartampion possède une une voiture immatriculée ZZ-ZZZ-ZZ et habite à une certaine adresse.









Dj a écrit :



En Belgique le gouvernement est en train de créer un “G-Cloud” (pour Gouvernement Cloud)&nbsp; pour réduire les couts d’hébergement et de maintenance des machines utilisé dans les ministères,&nbsp; etc



J’ai peur&nbsp;





Après des essais foireux ils vont sûrement utiliser cahttp://docs.aws.amazon.com/govcloud-us/latest/UserGuide/whatis.html



Et là les US auront toutes les infos .. <img data-src=" />



&nbsp;









tpeg5stan a écrit :



pour le coup s’ils l’hébergent en belgique et migrent toutes les crasses pas sécurisées des 6 gouvernements, 52 communes à facilités, 12000 ministères en double ou en triple, et autres bilinguitudes qu’on ne voit que par chez nous dans un seul cloud bien géré, ça a moyen d’être positif.







Oui ça peut être utile de mutualiser certains moyens informatique, surtout pour les petits trucs qui n’ont pas de spécialiste en stockage etc.&nbsp; Sauf que là c’est juste pour le fédéral



Mais d’après ce que je vois c’est surtout une marche forcé pour que ceux qui ont déjà une infra et les compétences&nbsp; laissent tomber et passent sur le G-cloud.



Le/les datacenter seront au fédéral, mais la gestion sera du full privé..&nbsp;



Une liste de ce qu’ils proposent pour l’instant&nbsp; https://www.gcloud.belgium.be/fr/services.html



Sinon quand on y pense, heureusement que c’est la Suède et pas la Finlande



Sinon la base de donnée comporterait aussi les revenus des gens vu que leurs amendes routières sont proportionnelles a leur revenu








Arcy a écrit :



Indiquez le mot de passe pour le compte superadmin :

admin





<img data-src=" />







técon <img data-src=" />



c’est pas aussi simple malheureusement. Souvent, ces grosses sociétés proposent des vrais avantages en termes de sécurité et de vie privée. Il y a une pesée des intérêts à faire (là manifestement ils se sont ratés)



Probablement que stocker les données chez IBM avec tout le savoir faire d’IBM était moins risqué à la base que de faire ça à l’interne du ministère des transports (moins de spécialistes qualifiés dans le domaine, un matériel moins conséquent, ou autre).



C’est un peu comme de faire un cloud privé: c’est bien pour éviter les hébergeurs curieux, mais Quand t as un fournisseur qui dispose de nombreuses fermes à serveurs bien entretenues, disposées à des endroits divers et dont l’accès est bien contrôlé et dispose d’une maintenance de spécialistes, il y a un gain en sécurité dans certains aspects à prendre en compte, surtout si le fournisseur avance des garanties de non traitement à ses propres fins.



Le graal serait de disposer des avantages de chaque (un fournisseur de stockage qui peut fournir une bonne sécurité, une bonne redondance et faire des gros calculs sur les données tout en ne sachant pas ce qu’il traite). C’est gentiment en train de s’installer.








bloossom a écrit :



Le graal serait de disposer des avantages de chaque (un fournisseur de stockage qui peut fournir une bonne sécurité, une bonne redondance et faire des gros calculs sur les données tout en ne sachant pas ce qu’il traite). C’est gentiment en train de s’installer.





/me sort de son chapeau le cloud hybride et le chiffrement homomorphe <img data-src=" />



Plus sérieusement sur le cloud hybride tu as des projets pas mal qui sortent, l’homomorphie ça reste largement expérimental.



edit : et sinon, globalement assez d’accord avec ton analyse



<img data-src=" />



&nbsp;c’est là que je voulais en venir^^



y a aussi d’autres projets visant à rapprocher de l’utilisateur la maitrise en partitionnant suffisamment pour que chaque prestataire n’ait pas la possibilité de tirer des informations de ce qu’il stock/ ne puisse fournir ces informations si on les lui demande.



En tout cas, dans le monde juridique on attend beaucoup de ces nouvelles technologies, qui permettront d’éviter la facilité qu’est l’actuel “on avait à faire un choix, c’est pas parfait mais sinon c’était peut-être pire (plus cher en tout cas)”.


“voire les personnes bénéficiant du programme de protection et de relogement des témoins” vs les revenus, je prends les revenus!


Bigre … <img data-src=" />



Comme disait Tapie dans les gignols de l’info



“Arrête pierrot tu t’est gaufré, tu t’est gaufré&nbsp; c’est tout !”







<img data-src=" />

&nbsp;


C’est quoi le “syndrome de l’UID 0” ??



Là où s’est inquiétant c’est que le Ministère des Transports contiennent des données sur les témoins protégés, les véhicules de l’armée, les avions de l’armée, etc.


David Goodenough (©) bosse au ministère Suédois !


En France des organismes d’état moyennement sensibles sont hébergés localement, alors j’imagine que les plus sensible ne sont pas envoyé dans un autre pays.


Simplement que dans beaucoup de bouquins ( Red books) les exemples sont faits avec un user Root car n’arrivant pas à faire fonctionner certaines de leurs applications avec un user standard ils passent en UID0(root)

par fainéantise, incompétence et ras le bol, ils se mettent en superuser.

On nomme aussi ce syndrome le syndrome EPM ( Et Pis Merde)

<img data-src=" />


Ah Ok, je connais l’EPM <img data-src=" />



C’est comme un de mes scripts de nettoyage de l’AD utilisant le compte admin de domaine, ça peut faire des ravages :sifflote: <img data-src=" />


<img data-src=" />

<img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" />


Pendant ce temps-là, en Hongrie