## Mon petit serveur

Comme à mon habitude, je travaille sur des projets persos et met en ligne mes tests sur des serveurs **VPS**. Dernièrement j'ai un de mes serveurs qui s'est fait hacké par un soit disant "rambler" qui me demandait 0.2 BTC soit 4000€ au moment où je vous parle pour récupérer mes données. 

Bien entendu, il s'agissait d'un serveur de test donc autant vous dire qu'il peut s'asseoir dessus encore bien longtemps, avant de recevoir quoique ce soit de ma part. Quoiqu'il en soit j'ai tout de même réalisé qu'il y avait un problème quelque part. 

Mais où ?

### Ce que je vérifie par défaut sur mes serveurs

A chaque serveur que je monte, je prends le soin de mettre en place **ufw** (le firewall) et un **fail2ban** (pour empêcher le brut force). Et jusque là tout s'est toujours bien passé. Pour tout vous dire, je désactive toujours la connexion distante par mot de passe sur **SSH** et j'ai une liste de clé **SSH** autorisés que je garde précieusement (backupé au cas où). 

Jusque là j'ai eu des serveurs qui ont tenu bon. Je vois des logs passer, sur des dizaines de millier d'IP que j'identifie être une tentative de brut force de la part d'un bot net. Mais ils ne sont pas prêt d'y arriver et ça fait 5 ans que ça dure... 

### Trouver la faille

Le jour où je me suis fait hacké ce serveur, ils ont réussi à accéder à ma base **MySQL** et ont tout extrait avant de supprimer et de laisser un message avec les instructions pour la récupération. Très bien mais comment ont-ils fait ?

J'étais pourtant persuadé que mon ufw était configuré en deny by default. Ce qui veut dire que le firewall rejette systématiquement tout ce qui rentre, à part ce que j'ai ajouté en liste comme étant autorisé. Par exemple certains ports, comme SSH, certains protocoles comme le Web avec Nginx, etc...

Me serais-je loupé cette fois-ci ? Aurais-je oublié de le faire ? 

Je vérifie... Et la réponse est **NON** !

Je n'ai absolument rien oublié, et tout était bien configuré. 

Donc il ne me reste plus qu'à tester quelque chose : une connexion distante vers mon serveur **MySQL**.

Résultat : Ca passe ! J'arrive à me connecter ! WTF ? 😱

Je suis sans voix, qu'est-ce qui a bien pu se passer pour que **ufw** ne fasse pas son boulot ?

Je reprends mes investigations, le service défaillant est **MySQL**. 

Il a été déployé comment ? Je suis passé par un **Docker**. 

Certes, j'ai fait l'erreur de laisser un mot de passe bidon, mais jusque là j'étais persuadé d'être derrière un intranet. Bon... Ceci n'est plus un problème.

Mais pour ce qui est de la vraie question : Qu'est-ce que **Docker** est en train de me faire là ? 🧐

Et ben la réponse est : vraiment n'importe quoi ! **Docker** crée ses propres règles firewall, donc il bypass **ufw** ! 

Pour régler le problème il faut configurer un fichier **/etc/docker/daemon.json** et ajouter une ligne :


```
{"iptables":false}
```

**Incroyable !** 🤔

Mais maintenant, j'en rigole, je me dis qu'il vaut mieux que ce soit un serveur de test qui sert à rien. Ca aurait pu être beaucoup plus grave, et ça veut dire que ça l'est pour beaucoup de gens qui ne savent pas que **Docker** et **ufw** ne font pas bon ménage, par défaut.

### Conclusion

Faîtes bien attention si vous aussi vous utilisez ces services, vous risquez d'avoir bien des surprises dans le futur. Mais cette expérience m'a fait réaliser qu'il vaut mieux ne jamais faire confiance lorsque l'on monte une machine et que l'on teste absolument tout pour vérifié le niveau de sécurité.

Content d'avoir appris quelque chose. 😄

large_clint-patterson-dYEuFB8KQJk-unsplash.jpg

medium_clint-patterson-dYEuFB8KQJk-unsplash.jpg

small_clint-patterson-dYEuFB8KQJk-unsplash.jpg

thumbnail_clint-patterson-dYEuFB8KQJk-unsplash.jpg

clint-patterson-dYEuFB8KQJk-unsplash.jpg

Ce genre de problèmes arrive à tout le monde et je ne serai pas le dernier. Lorsque l'on monte son serveur, il y a souvent des petites failles qu'il faut colmater pour éviter de se faire pirater. C'est ce que j'ai fait, pourtant des hackers sont passés, je vous explique comment il s'y sont pris.

Comment des hackers ont essayé de me ransomware

## Pourquoi faire de la sécurité informatique ?

Quels sont les risques encourus si je ne fait pas attention à mon matériel et mes logiciels ? Car oui, la sécurité informatique c'est un tout, et ça commence déjà par l'accès au matériel. Donc les locaux jouent déjà un rôle dans tout ça. 

Les devices contiennent souvent des code d'accès que vous sauvegardez dans vos navigateurs pour éviter d'avoir à les entrer à chaque fois. Pour beaucoup de gens, l'accès à leur machine, signifie immédiatement, l'accès à leur données sensibles.

### L'accès aux informations des particuliers

Tout d'abord en tant que particulier, faire attention à l'accès à nos devices, ça signifie mettre une barrière entre nos données et d'autres personnes mal intentionnées. Beaucoup de gens pourraient dire, oui mais je n'ai rien à cacher... Si si, je vous assure que si ! Votre carte bancaire par exemple, vous aurez tout intérêt à le cacher ! Votre adresse, vos itinéraires quotidiens, vos numéros de téléphone, tout peut servir et jouer contre vous. 

Il a été plusieurs fois prouvé que l'accès à des données vraisemblablement anodines ont causés énormément de tord à plusieurs personnes. Votre numéro de téléphone peut être utilisé pour vous spammer de SMS, d'appels surtaxés etc... Votre adresse peut servir pour vous prospecter, ou encore à savoir où venir régler des comptes si vous vous mettez à dos les mauvaises personnes. Votre profession peut servir à faire du démarchage ciblé, parfois même ce que l'on appelle le social engineering (une forme de hacking, basé sur l'humain).  Bruno Gaccio, qui travaillait aux guignols de l'info parlait d'une tentative d'assassinat sur sa personne basée sur son itinéraire personnel quotidien. 

Parfois, l'accès aux données des particuliers permettent aux hackers de remonter leur hack jusqu'au lieu de profession de ces derniers. Une faille d'un particulier devient alors un problème d'entreprise, donc il faut rester vigilant et se former à chaque instant !

### L'accès aux données des pro

De nombreuses fois, le fait de savoir qu'une personne était la secrétaire de direction d'une entreprise a permis à des hackers d'utiliser ses accès pour lui faire exécuter des ordres de virement. La personne a reçu un email de la part de son patron, enfin, en apparence, mais son manque de connaissance en informatique et de clairvoyance au moment où c'est arrivé ne lui a pas permis de voir la nuance dans le nom de domaine de l'entreprise, enregistré ailleurs que sur le traditionnel ".fr". 

Sur des serveurs, l'accès aux données peut compromettre énormément de gens. Le hack d'un site e-commerce peut diffuser à grande échelle des code de carte bancaire, nom et prénom, de tous les clients. Ceci est déjà arrivé ! Et les professionnels doivent prendre encore plus de mesure pour stocker ce genre d'informations compromettantes. Une certification est demandée pour être habilité à le faire, dans le cas contraire il faut passer par des services qui possèdent cette certification. La CNIL (organisme en charge des bonnes pratiques concernant les données informatiques) veille à ce que des règles soient respectées par les acteurs du web.

De même, sur des serveurs, il peut arriver que si vous stocker vos machines dans des datacenter. Les failles logiciels provenant de vos machines peuvent vous coûter cher. Etant donnée que vous êtes responsable du maintient et de la mise à jour des machines en matière de faille logicielle, si jamais vos machines donnent l'accès au datacenter à cause d'une faille, en tant qu'entreprise vous êtes passible de poursuites.

Il y a tellement à perdre dans ce genre de situation, que désormais les grands groupes etc accordent un budget dédié à la sécurité. De même pour ne prendre aucun risque sur les projets, je recommande souvent aux développeurs de partir de librairies créés from scratch par les équipes pour éviter les failles dans les paquets téléchargés. 

En outre, une entreprise si elle s'est faite hackée ou si elle a la moindre suspicion d'un hack sur ses serveurs, a l'obligation de le déclarer. C'est une loi qui date de plusieurs années maintenant, pourtant on apprend parfois que les sociétés font l'autruche et se taisent pendant des années. En 2012, on apprenait que Coca Cola s'est fait hacké par les chinois, lors de sa tentative d’acquisition de China Huiyuan Juice Group, et ce hack remontait à 2009...

### Comment mieux se protéger

En tant que particulier, il faut prendre le temps d'apprendre, de comprendre ce que l'on fait pour éviter tout problème. De plus, pour éviter le hack, il faut souvent éviter d'avoir un comportement qui nous fait prendre des risques. Les gens qui cherchent absolument à pirater du contenu sont les premiers touchés par ce genre de problème. En voulant absolument télécharger la dernière série à la mode, ils se font eux même contaminer leur machines. 

Par ailleurs, le hack arrive aussi dans des cas de téléphone ou ordinateur prêté aux enfants. Très souvent, il s'agit d'une porte d'entrée pour des gens mal intentionnées. Les enfants qui voient "nouveau jeu gratuit, clique ici"... C'est arrivé plus d'une fois et dans quasiment toutes les familles. Parfois on oublie que dans ces appareils, il y a un accès vers nos compte en banque, nos documents d'identité... Je ne dis pas qu'il ne faut plus prêter d'appareils aux enfants, mais surtout qu'il faut prendre le temps de surveiller ce qu'ils en font, et de leur inculquer les bons réflexes.

En tant qu'entreprise, je vous conseille un budget dédié à la sécurité informatique, tant les événements des dernières années ont changé la dimension du numérique. L'apparition des crypto locker et autres ransomware qui servent à mettre les boîtes à la merci des pirates ont démontré que très peu de sociétés prenaient cette menace au sérieux. 

### Parfois la menace vient de l'intérieur

Dans de nombreuses sociétés, on a pu trouver des éléments qui montre que les failles venaient de l'intérieur. Et que parfois ces failles étaient volontairement ouvertes ! De même, on a pu trouver énormément de cas où, des employés ont essayé de tirer profit de leur entreprise. En exploitant des machines pour miner de la crypto, en prenant des documents et demandant des rançons, etc... 

Je pense qu'il faut revoir les stratégie d'habilitations et d'accès aux fichiers dans une entreprise pour ne pas permettre à n'importe qui de faire n'importe quoi.

### Parfois même la menace vient d'une organisation corrompue

Dans certains pays où règne la corruption, il arrive même que des gens glissent des documents corrompus dans vos affaires pour vous faire porter le chapeau et vous mettre en prison. Le but n'est pas de vous emprisonner pour rien, si vous êtes quelqu'un d'influent, un politicien etc, vous risquez de vous retrouver hors course, car enfermé...

01net a [écrit sur le sujet](https://www.01net.com/actualites/certains-policiers-sont-passes-maitres-en-fabrication-de-fausses-preuves-informatiques.html) et montre à quel point des organismes officiels peuvent cacher des pirates.

### Conclusion

Il y a quelques temps, on apprenait que les failles peuvent aussi venir des appareils eux même. Certains fabriquant laissent volontairement ce que l'on appelle une backdoor (c'est ce que D. Trump reprochait à Huawei), d'autres le font involontairement (enfin c'est ce qu'ils disent). Intel et AMD ont connu ce genre de problèmes sur leur CPU et ont du mettre en place des mises à jour pour combler ces failles.

La meilleure arme contre le piratage, c'est d'être informé, des méthodes car même si elles évoluent toujours, il est plus probable que vous ne soyez pas le premier visé lorsque cela arrive. De même, il faut comprendre ce qui permet le hack, et ce qu'il y a à pirater pour prendre des mesures. Pour les société, il faut investir pour sa sécurité. Cela parait fou de devoir faire ça, mais c'est surtout beaucoup de bon sens. 



nahel-abdul-hadi-flha0KwRrRc-unsplash.jpg

large_nahel-abdul-hadi-flha0KwRrRc-unsplash.jpg

medium_nahel-abdul-hadi-flha0KwRrRc-unsplash.jpg

small_nahel-abdul-hadi-flha0KwRrRc-unsplash.jpg

thumbnail_nahel-abdul-hadi-flha0KwRrRc-unsplash.jpg

Cela fait un moment que les gens commencent à prendre conscience de la sécurité informatique et des enjeux autour de cela. L'informatique a fait avancer le monde dans de nombreux domaine, mais peut aussi être une menace sur d'autres plans, du moins, tant que l'on n'adopte pas de bonnes pratiques avec nos machines.

La sécurité informatique à tout prix

Cela fait quelques temps que je suis assez discret sur ce blog ! Et bien c'est tout simplement parce que j'ai changé de mission et que le départ m'engloutie un peu sous toute la machine d'onboarding. Mais sinon ça va ! Le projet est top et j'ai déjà hâte d'en découdre !

### Ce que je faisais avant

Pour ceux qui sont en contact avec moi sur **LinkedIn**, j'ai passé quelques mois sur un projet automobile. J'ai appris pas mal de choses et j'ai surtout rencontré des gens vraiment top ! Mes clauses de contrat m'empêchent de vous en dire plus sur ce que je faisais exactement mais je travaillais en tant que **Lead Dev Front** dans une équipe incroyable. C'était la première fois que je travaillais sur une stack **Typescript**, **Next**, **GraphQL**, bien que j'avais utilisé chacune de ces trois technologies de manière totalement indépendante par le passé.

### Ce que je fais maintenant

Alors je viens de passer dans une société un peu plus américaine je dirais 😅. Donc au niveau des process, meeting etc, on est en full anglais car les équipes sont répartis à travers le globe. Donc c'est top, ça fait une nouveauté pour moi de travailler de la sorte. Après pour le reste, on est sur des méthodos que l'on connait déjà. Sans trop rentrer dans les détails, mais voilà, ceci explique le fait que je poste un peu moins d'actus ces derniers temps, malgré ma reprise d'activité. 

### Ce que je compte faire bientôt

- J'ai attaqué [la refacto d'un projet AWS en simple projet Typescript Node.js hébergé sur un VPS](https://dev-freelance.fr/dev/je-lache-aws)
- Je vais bientôt créer mon premier projet [Fresh Deno](https://fresh.deno.dev/)

Le process d'onboarding me prend vraiment 100% de mon temps, donc je pense que je pourrais reprendre un rythme normal d'ici quelques temps.



nubelson-fernandes-Cc9Yso_xn4I-unsplash.jpg

large_nubelson-fernandes-Cc9Yso_xn4I-unsplash.jpg

medium_nubelson-fernandes-Cc9Yso_xn4I-unsplash.jpg

small_nubelson-fernandes-Cc9Yso_xn4I-unsplash.jpg

thumbnail_nubelson-fernandes-Cc9Yso_xn4I-unsplash.jpg

Après avoir passé près d'un an dans le monde de l'automobile. Je bascule dans la restauration. Moi qui aime bien manger, je suis servi !

J'ai changé de boulot

Me revoilà après quelques jours d'absences. 🥳️

Cela m'a fait du bien de prendre un petite pause avant d'attaquer de nouveau !

Sinon à mon retour, j'ai eu la frayeur de ma vie avec l'outil de backup du site dev-freelance. 😂

Pour info, faîte gaffe à votre **yarn** sur vos serveurs, il remplie souvent les répertoires **/tmp**, ce petit filou ! 🤔

### Où est-ce que j'étais tout ce temps ?

Je suis allé chercher un peu de soleil en Corse. 😄☀️

C'était très sympathique, voyez plutôt :

![dev-freelance-en-corse ><](https://bo.dev-freelance.fr/uploads/corse_5ab75b69ce.jpg)

### Qu'est-ce qu'il y a au menu ?

Beaucoup de changement, car depuis j'ai changé de client. Je suis passé du côté américain de la force. Mdr, sans trop rentrer dans les détails mais pour ceux qui me suivent sur Linkedin, vous pourrez facilement avoir l'info. Aussi je vous invite à m'ajouter car je partage beaucoup sur cette plateforme aussi.

#### Qu'est-ce que cela change ?

Qui dit changement de boulot dit souvent nouveaux process, nouveaux outils. Donc il y a de fortes chances que j'apprenne énormément de nouvelles choses que je vous partagerai prochainement.

### Un peu de lecture en attendant

Voici un petit cru de la sélection dev-freelance partagé sur twitter :

📰[Nobody ever got fired for buying AWS](https://chaordic.io/blog/nobody-ever-got-fired-for-buying-aws/) article qui traite de l'abus des coûts AWS (une raison pour laquelle je me suis tourné vers une petite infra VPS faite à la main).

📰[Des pilotes Vulkan pour RPI 4](https://www.01net.com/actualites/les-raspberry-4-vont-devenir-bien-plus-performants-en-3d-grace-aux-drivers-vulkan.html) grosse montée de FPS pour notre mini machine !

📰[Meta qui investie massivement dans une infra pour de l'IA](https://www.theregister.com/2022/07/28/meta_pours_cash_into_servers/). Ils sont toujours en phase de R&D mais cela annonce des changements majeurs dans l'avenir de la boîte. Il suffit d'une trouvaille pour que le cours de l'action explose ensuite, à bon entendeur... 😏

harshil-gudka-77zGnfU_SFU-unsplash (1).jpg

medium_harshil-gudka-77zGnfU_SFU-unsplash (1).jpg

small_harshil-gudka-77zGnfU_SFU-unsplash (1).jpg

thumbnail_harshil-gudka-77zGnfU_SFU-unsplash (1).jpg

Est-ce que j'ai été kidnappé par des extra-terrestres ? 👽 Est-ce que j'ai été happé par un trou noir ? 😂
Non je rentre de vacances !

Je suis de retour

## Rire en programmation

Vous le savez probablement, les 10 dernières années, le monde a connu une transformation essentiellement numérique. L'apparition de beaucoup de services connectés a changé la vie des gens et beaucoup de personnes ont essayé de se frayer un chemin dans cet univers, tant sa croissance attire les loups et les requins.

De même, des gens pas forcément mal intentionnés se sont aussi senti obligés de franchir le pas pour paraître "au goût jour". Ce qui donne parfois des discours loufoques...

Je vous propose un petit outil pour vous rappeler de ces phrases que vous avez probablement déjà entendu par-ci ou par-là. Toute ressemblance avec quelques personnes que ce soit de votre entourage serait purement fortuite 🤣

**Voici notre générateur de bullshit :**

![my-pipotron ><](https://bo.dev-freelance.fr/uploads/Capture_d_ecran_de_2022_06_14_10_15_12_ebd171f642.png)

lien vers : [My Pipotron](https://mypipotron.fr)

large_afiq-fatah-jFMAz9hHeY8-unsplash.jpg

medium_afiq-fatah-jFMAz9hHeY8-unsplash.jpg

small_afiq-fatah-jFMAz9hHeY8-unsplash.jpg

thumbnail_afiq-fatah-jFMAz9hHeY8-unsplash.jpg

afiq-fatah-jFMAz9hHeY8-unsplash.jpg

Pour célébrer le bullshit à tout va, je vous propose un petit outil qui vous rappellera probablement des conversations, en tout cas, un air de déjà vu...

Le pipo bat son plein

## Changement de technologie sur mon blog

Cela fait quelque année que j'ai créé moi même mon blog **dev-freelance** avec **Node.js**, **Handlebars** et **Express.js**. J'ai passé beaucoup de temps à peaufiner mon projet en y ajoutant pas mal de fonctionnalités. Avec le temps je réaliser que j'ai de plus en plus de mal à faire évoluer mon code, car je suis à un stade avancé et je voulais tout réécrire avec **Typescript** pour faire des choses beaucoup plus stable et lisible. 

Mais je me voyais mal reprendre de 0 après autant de travail. Cela aurait tout de même été plus rapide que ma première fois, mais je voulais aller à l'essentiel : faire du contenu. Je passe déjà mes journées à coder des projets pour mes clients, je teste de nouvelles librairies et nouveaux langages de temps en temps, je me suis demandé comment j'allais m'y prendre.

### Parfois il faut savoir se détacher de ses créations

Concevoir ce blog m'a pris beaucoup de temps. Mais j'ai tellement appris lors de cette expérience, j'ai mis en place beaucoup de choses comme des middlewares custom qui servaient à surcharger le render, d'autres qui servaient à la sécu, ou encore au caching...

J'ai beaucoup travaillé sur les optimisations, d'ailleurs le blog avait un niveau de perf (délais de chargement) assez impressionnant. En revanche il me restait encore énormément de boulot à faire pour arriver à 100% de ce que je voulais faire. Sans parler de la maintenance qui était juste trop longue (montée de version des libs, vérifier sans cesse la compatibilité inter-lib, passage à typescript...). 

J'avais commencé à bosser dessus jusqu'à ce que je me dise, non mais si ça se trouve on peut faire encore plus simple, plus rapidement, avec une base maintenue par des dizaines de développeurs voire plus. Et j'ai commencé à creuser pour une solution à ce moment.

Voici le résultat, je ne regrette pas, je vous dis tout dans une vidéo un peu plus bas !

[Voir la vidéo](https://youtu.be/S_iMEz5WBAQ)

kristopher-roller-PC_lbSSxCZE-unsplash.jpg

large_kristopher-roller-PC_lbSSxCZE-unsplash.jpg

medium_kristopher-roller-PC_lbSSxCZE-unsplash.jpg

small_kristopher-roller-PC_lbSSxCZE-unsplash.jpg

thumbnail_kristopher-roller-PC_lbSSxCZE-unsplash.jpg

Grosse mise à jour du blog, nouveau moteur, nouveau carburant... Passage de Node.js/Express/Handlebars à StrapiTS/Next.js.

Découvrez tous nos articles de la catégorie News - page 1 sur 1

Comment des hackers ont essayé de me ransomware

La sécurité informatique à tout prix

J'ai changé de boulot

Je suis de retour

Le pipo bat son plein

Nouvelle peau pour le blog