Vous utilisez
Tailscale
pour créer votre petit réseau privé virtuel sans vous prendre la tête ? Moi aussi, j'adore ce truc. Mais entre nous, est-ce que vous avez déjà vérifié si votre config était vraiment sécurisée ? Genre, vraiment ?
Hé bien c'est exactement pour ça qu'un développeur a créé
Tailsnitch
. L'idée est simple puisqu'il s'agit de faire passer votre réseau Tailscale au peigne fin pour détecter les failles de sécurité potentielles. Et y'a de quoi faire puisque l'outil embarque 52 vérifications réparties dans 7 catégories (accès, authentification, réseau, SSH, logs, appareils et DNS).
Du coup, comment ça marche ? Vous installez le bazar avec Go :
go install github.com/Adversis/tailsnitch@latest
Ensuite, vous configurez vos credentials Tailscale (soit via OAuth avec TS_OAUTH_CLIENT_ID et TS_OAUTH_CLIENT_SECRET, soit avec une simple clé API TSKEY), et hop, vous lancez tailsnitch. En quelques secondes, l'outil analyse votre configuration et vous sort un rapport avec des niveaux de sévérité : critique, élevé, moyen, faible ou informatif.
Et là, le truc vraiment cool c'est que si vous êtes flemmard (comme moi), y'a un mode --fix interactif. L'outil vous propose de corriger les problèmes un par un. Vous validez, il corrige. Et si vraiment vous n'avez pas envie de réfléchir, y'a même un mode --auto (combiné avec --fix) qui corrige tout ce qu'il peut sans rien demander. Perso, je vous conseille quand même de lancer un --dry-run avant pour voir ce qu'il compte faire, histoire de pas avoir de mauvaises surprises.
Pour les entreprises qui doivent prouver leur conformité, Tailsnitch peut aussi exporter ses résultats au format SOC 2. De quoi rassurer vos auditeurs sans vous galérer à compiler des preuves à la main.
Parmi les trucs vérifiés, on trouve : les clés d'authentification qui n'expirent jamais (mauvais plan), les ACL trop permissives, le MagicDNS désactivé, les appareils non mis à jour, ou encore les nœuds avec le transfert SSH activé alors qu'ils ne devraient pas. Bref, tout ce qu'on oublie de vérifier quand on configure son réseau mesh à l'arrache.
L'outil est open source (licence MIT), codé en Go, et tourne sur n'importe quel OS. C'est donc un truc à lancer de temps en temps pour s'assurer que personne n'a ouvert une brèche dans votre joli tunnel chiffré.
Imaginez pouvoir scanner votre propre installation Odoo comme un hacker éthique pour y débusquer toutes les failles en quelques minutes. Et bien c’est exactement ce que fait OdooMap créé par Mohamed Karrab et dispo sur GitHub. Avec plus de 7 millions d’entreprises qui utilisent Odoo dans le monde, les failles de sécurité peuvent coûter très cher, donc c’est super de s’y intéresser un minimum.
Pour ceux qui ne connaissent pas, Odoo c’est cet ERP open source hyper populaire qui gère tout dans une entreprise : ventes, stocks, comptabilité, RH, site web, et j’en passe. Le problème, c’est que beaucoup d’installations Odoo sont mal configurées ou pas à jour, ce qui les rend vulnérables. Et quand on sait que cet ERP contient littéralement toutes les données sensibles d’une boîte, ça fait froid dans le dos.
C’est là qu’OdooMap entre en jeu. Mohamed Karrab a développé cet outil de reconnaissance et de test de sécurité spécialement pour Odoo. Et c’est du sérieux car l’outil fait tout : détection de version, énumération des bases de données, vérification des permissions CRUD (Create, Read, Update, Delete), extraction de données, et même du brute-force sur les logins et le master password.
Ce qui est vraiment bien pensé, c’est que OdooMap couvre toutes les phases d’un test de sécurité. D’abord la reconnaissance pour identifier la version d’Odoo et récupérer les métadonnées. Ensuite l’énumération pour lister les bases de données accessibles et les modèles exposés. Puis l’authentification et la vérification des permissions pour voir ce qu’un utilisateur peut vraiment faire. Et enfin l’extraction de données depuis des modèles spécifiques si vous avez les droits.
L’installation est super simple. Vous clonez le repo GitHub, vous installez avec pipx (ou pip si vous préférez), et c’est parti. Le développeur recommande d’utiliser pipx pour éviter de polluer votre système Python, ce qui est une bonne pratique :
Les fonctionnalités de brute-force sont particulièrement intéressantes. Par exemple, OdooMap peut tester des credentials par défaut, utiliser vos propres listes de mots de passe, ou même attaquer le master password de la base de données. C’est exactement le genre d’attaques que les vrais hackers utiliseraient, donc autant les tester vous-même avant eux.
Pour un scan de base, c’est aussi simple que :
odoomap -u https://example.com
Mais la vraie puissance se révèle quand vous commencez à combiner les options. Par exemple, pour authentifier et énumérer les modèles :
L’outil a également la capacité d’extraire des données depuis des modèles spécifiques. Si vous avez accès à res.users ou res.partner par exemple, vous pouvez dumper toutes les infos comme ceci :
D’après mes recherches, les vulnérabilités les plus courantes dans Odoo incluent les failles XSS (Cross-Site Scripting), les problèmes de contrôle d’accès, les IDOR (Insecure Direct Object References) et les SSRF (Server-Side Request Forgery). OdooMap permet donc de tester une bonne partie de ces vulnérabilités, notamment les problèmes d’accès et d’authentification.
Ce qui est intéressant aussi, c’est que l’outil peut faire du brute-force sur les noms de modèles internes. Odoo a des centaines de modèles, et parfois certains sont exposés alors qu’ils ne devraient pas l’être. OdooMap peut les découvrir automatiquement :
Bien sûr, comme tout outil de sécurité, OdooMap doit être utilisé de manière responsable. Mohamed Karrab le rappelle clairement : c’est fait pour des tests autorisés uniquement. Utiliser cet outil sans permission, c’est illégal et vous risquez de gros problèmes avec la police (et pas la Municipale, hein ^^) !! Mais si vous gérez une installation Odoo ou si vous êtes mandaté pour faire un audit, c’est un must-have.
L’outil est sous licence Apache 2.0, donc totalement open source et gratuit et le code est en Python 3.9+, donc accessible si vous voulez comprendre comment ça fonctionne ou l’adapter à vos besoins.
Pour aller plus loin dans la sécurisation d’Odoo, je vous conseille de jeter un œil à la page officielle de sécurité d’Odoo. Ils prennent la sécurité au sérieux et encouragent la divulgation responsable des vulnérabilités.
Pour ceux qui cherchent d’autres outils de pentest, il y a évidemment les classiques comme Metasploit, Burp Suite ou Nessus mais l’avantage d’OdooMap, c’est qu’il est spécialisé pour Odoo. Il connaît les spécificités de cet ERP et peut donc aller beaucoup plus loin qu’un scanner générique.
Pour finir, un grand bravo à Mohamed Karrab pour cet outil !
Aujourd’hui, je vais vous causer d’un truc qui va révolutionner votre façon d’auditer le code : l’extension VSCode weAudit ! C’est développé par les génies de Trail of Bits et c’est vraiment chouette, vous allez voir.
Il s’agit un outil de revue de code collaborative (d’audit quoi…) qui vous permet de prendre des notes et de traquer les bugs directement dans VSCode. Plus besoin de jongler entre 36 outils, weAudit centralise tout
Il est d’ailleurs bourré de fonctionnalités ultra pratiques :
Des signets pour vos trouvailles et vos notes
Un suivi des fichiers audités pour savoir où vous en êtes
De la collaboration pour bosser en équipe sans vous marcher dessus
La création directe d’issues GitHub bien formatées
Comme ça, plus besoin de vous prendre la tête avec des outils externes. Vous pouvez aller jeter un œil au code sur le repo GitHub.
Bon allez, je vous donne un petit exemple pour vous montrer à quel point c’est facile à utiliser. Disons que vous tombez sur un bout de code louche. Hop, vous sélectionnez ce code et vous utilisez le raccourci Cmd+J pour ajouter un signet « Finding ». Ça va surligner le code en rouge et ajouter une note dans la liste des findings. Et si vous voulez ajouter des détails sur le problème, pas de souci ! Cliquez sur le finding, remplissez les champs et même créez direct une issue GitHub.
Connexion
