Administration et Open Source : c'est pas gagné ...

Je parle bien sûr de l'administration française, pas de l'administration des réseaux informatiques :)

Comme beaucoup de contribuables 2.0, j'ai reçu ce mail hier :


Sauf qu'il semble y avoir un petit problème de sécurité :


En regardant le source du message, je ne peux pas en croire mes yeux (j'ai légèrement modifié le code pour passer les filtres de Blogger) :

[...]
Received: from mail.dgi.minefi.gouv.fr (mta3-milter-pas2.dgi.minefi.gouv.fr [145.242.2.164])
by lmin06.st1.spray.net (Postfix) with ESMTP id 7D04B340E4
for ; Thu, 3 May 2007 06:05:46 +0000 (GMT)
Received: from mail.dgi.minefi.gouv.fr (localhost.localdomain [127.0.0.1])
by localhost (Postfix) with SMTP id A96735E4C4E
for ; Thu, 3 May 2007 08:05:45 +0200 (CEST)
Received: from E59A-60.eole.dgi (e59a-60.eole.dgi [10.153.67.60])
by mail.dgi.minefi.gouv.fr (Postfix) with ESMTP id EC9365E4C43
for ; Thu, 3 May 2007 08:05:44 +0200 (CEST)
Received: from E59B-60.eole.dgi (unknown [10.153.68.60])
by E59A-60.eole.dgi (Postfix) with ESMTP id CF7561362C4
for ; Thu, 3 May 2007 08:05:44 +0200 (CEST)
Received: from localhost.localdomain (unknown [10.153.67.42])
by E59B-60.eole.dgi (Postfix) with ESMTP id AC2733BA66
for ; Thu, 3 May 2007 08:05:44 +0200 (CEST)

Date: Thu, 3 May 2007 06:05:44 UT
Subject: Impôts sur le revenu : Déclaration par internet
From: direction-generale-des-impots@dgi.finances.gouv.fr
X-Mailer: MIME::Lite::HTML 1.21
[...]
xmlns:v="urn:schemas-microsoft-com:vml"
xmlns:o="urn:schemas-microsoft-com:office:office"
xmlns:w="urn:schemas-microsoft-com:office:word"
xmlns:st1="urn:schemas-microsoft-com:office:smarttags"
[...]
meta name="ProgId" content="Word.Document"
meta name="Generator" content="Microsoft Word 11"
meta name="Originator" content="Microsoft Word 11"
[...]
o:mainfile href="2007_02_mel_abonnés_fidélisation_Vdepcomv=2.htm"
o:File HRef="image001.png"
o:File HRef="image002.jpg"
o:File HRef="image005.wmz"
o:File HRef="image006.gif"
o:File HRef="header.htm"
o:File HRef="filelist.xml"
[...]
o:documentproperties
o:author GRU
o:lastauthor dgi
o:revision 3
o:totaltime 0
o:lastprinted 2007-03-16T17:17:00Z
o:created 2007-04-18T15:23:00Z
o:lastsaved 2007-04-18T15:27:00Z
o:pages 1
o:words 355
o:characters 1955
o:lines 16
o:paragraphs 4
o:characterswithspaces 2306
o:version 11.5606
[...]
object classid="clsid:38481807-CA0E-42D2-BF39-B33AF135CC4D" id=ieooui
[...]

Pour résumer :

• Ce mail a été rédigé avec Microsoft Office 2007 en format XML natif, ce qui explique sa taille incroyable (1455 lignes de code source, pour une trentaine de lignes de texte utile).
• Les propriétés du document n'ont pas été supprimées avant envoi, d'où la fuite d'information sur l'auteur et la configuration Office.
  
• Le mail contient des références à des contrôles ActiveX (ici le contrôle SmartTags). Si ces contrôles sont présents sur le poste du destinataire, et que sa configuration de sécurité est laxiste, ils seront exécutés.
  
• Le mail contient des images aux formats PNG, JPG, WMZ, GIF et VML. Quant on connait le nombre de failles trouvées dans les décodeurs Microsoft pour ces formats, ça fait peur. Surtout le format WMZ qui est du WMF compressé : non seulement il serait possible d'exécuter du code sur les machines non à jour du patch MS06-001, mais en plus la compression ZIP risque d'empêcher l'analyse par les antivirus (j'espère que non, mais sait-on jamais ;).
  
• Le mail n'est pas signé, alors que la DGI possède un certificat de confiance.

A mon avis, peut mieux faire !