Qui de mieux placé pour discuter de l’importance de la sécurité de votre plan d’hébergement que la personne qui s’assure en tout temps de la disponibilité, de la performance et de la sécurité de l’ensemble de nos serveurs? Francis nous livre son point de vue sur la sécurité, sujet qui a fait présentement l’actualité.
Parlons sécurité des Systèmes de Gestion de Contenu (SGC). Une vague impressionnante de piratage de Joomla v.1.5.x. à fait rage le mois dernier. Qu’est-ce qui explique cette nouvelle vague?
Ce type de vague apparait à chaque fois que de nouvelles failles de sécurité sont exposées, que ce soit pour Joomla, WordPress, Drupal, leurs modules complémentaires ou même leurs thèmes respectifs. Le mot se passe rapidement sur internet et les «botnets» (réseaux de zombies) tentent de trouver les installations vulnérables pour les exploiter.
En ce qui concerne la récente vague d’exploitation de Joomla 1.5.26, puisqu’il s’agit d’une veille version, il s’est passé ce qu’il se passe habituellement. Dès qu’on parle de vieilles version, il faut s’attendre à ce que des failles soient découvertes et exploités, surtout pour les versions qui ne sont plus supportées par les développeurs du SGC en question (Joomla 1.5.x dans ce cas). C’est pour cette raison qu’il est primordial de maintenir à jour son SGC aussitôt la nouvelle version disponible.
Pour plus d’information sur le problème Joomla 1.5.x, le blog de Sucuri.net (qui porte sur la sécurité – en anglais) a récemment mis en ligne un article qui couvre très bien cette problématique : http://blog.sucuri.net/2014/03/jce-joomla-extension-attacks-in-the-wild.html
Tu parles de mises à jour régulières. Y-a-t-il des moyens pour nos clients d’être à l’affût facilement des dernières mises à jour disponibles pour leur SGC?
Je recommande fortement l’utilisation du module One-Click (Softaculous) qui est offert avec tous nos plans d’hébergement. Il permet une gestion centralisée de plus de 200 applications, et contient les mises à jour de tous ces logiciels presqu’aussitôt leur disponibilité.
Si nos clients ont fait une installation manuelle d’un SGC comme Joomla ou WordPress, ils peuvent l’importer dans la gestion Softaculous. Nous avons aussi un tutoriel portant sur les nouvelles installations.
La personne qui gère son hébergement Web a une part de responsabilité importante vis-à-vis la sécurité de son site. Mais quelle est l’apport de Funio dans cette équation?
En mettant en place les bons outils de sécurité sur nos serveurs, nous essayons (autant que possible) de limiter les problèmes que nos clients peuvent rencontrer. Par exemple, mod_security filtre les requêtes http pour éliminer la plupart des séquences de requêtes communément attribuées au piratage. CSF et Fail2Ban bloquent les adresses IP qui tentent de faire des attaques force brute.
Lorsqu’un SGC n’est pas tenu à jour, cela peut engendrer beaucoup d’opérations, tant pour nous que pour notre client. Voici un exemple de scénario typique.
Un client utilise une vieille version vulnérable de Joomla comme site web. Du code malveillant est injecté à son site par une faille de sécurité connue, et son site est désormais utilisé pour envoyer des pourriels et héberger une page d’hameçonnage. Le client s’en rendra compte car son site ne fonctionnera plus et notre système de surveillance alertera notre équipe TI du problème de surcharge généré par l’envoi d’une quantité anormale de courriels à partir du serveur, ou recevra des plaintes d’abus.
Pour régler une telle situation, il faudra effectuer la restauration d’une copie de sauvegarde. Malgré que Funio conserve jusqu’à 7 jours de sauvegardes pour un site, il est de la responsabilité du client d’avoir sa propre copie qui peut nous être soumise. Suite à la restauration, le client devra effectuer la mise à jour du logiciel qui a été compromis le plus rapidement possible, sinon son site demeurera à risque.
Malgré tous nos efforts pour accompagner et guider nos clients, la responsabilité du bon fonctionnement du site web appartient à la personne qui crée et gère le site en question. Funio ne peut être tenu responsable de l’utilisation abusive d’un site web.
«Heartbleed» : Quel est ton point vue à ce sujet?
Il s’agit d’un phénomène très différent des autres problèmes majeurs qui ont été vécu dans le passé. Une faille de sécurité majeure a été révélée dans la librairie de OpenSSL. L’impact est non négligeable, car cette librairie se retrouve partout: d’un centre multimédia aux routeurs, en passant par les téléphones intelligents et les tablettes; rien n’a été à l’abri. Les gens devront rester vigilant afin de garder tous leurs gadgets à jour pour se protéger!
Ici chez Funio, nous avons réagi très rapidement lorsque la faille a été rendue publique. En moins de 12 heures, tous nos serveurs étaient à jour et nos certificats SSL remplacés en moins de 24 heures. Tous nos tests nous ont dévoilé qu’aucune intrusion n’a eu lieu.
Je crois que l’article que Funio a mis en ligne au sujet de Heartbleed résume bien mon opinion.
Mot de la fin
J’aimerais remercier Francis d’avoir pris ce temps pour discuter sécurité avec nous. Si vous n’avez qu’une seule chose à retenir de cette discussion c’est de toujours gardez votre SGC à jour!
