Therace.org : bugs à voile et à vapeur

Voir la capture d’écran de la page contenant les identifiants et mots de passe de therace.org

Saperlipopette ! On n’avait pas vu ça depuis des lustres. Des sites événementiels qui ne sont pas au point pour accueillir les nombreux visiteurs, cela ne se faisait plus. Mais France Télécom vient de prouver que rien n’est impossible. Therace.org, le site de la course autour du monde à la voile, était inaccessible pendant 5 jours. Et lors de sa réapparition en ligne, ce sont des pages un peu spéciales qui étaient, cette fois, un peu trop visibles. En effet, avec un simple navigateur, un internaute pouvait consulter les identifiants et les mots de passe permettant d’accéder aux bases de données liées au site. Rien de bien grave rétorqueront certains puisque ces bases étaient stockées sur des ordinateurs dont les adresses IP sont internes, et donc, invisibles pour toute personne placée à l’extérieur du réseau sur lequel elles se trouvent. Cependant, le fait même que ces pages aient été accessibles de la sorte révèle que France Télécom n’avait pas passé le correctif nécessaire sur les serveurs de therace.org. Un vrai défaut de conception...

Pourtant ce bug est connu depuis longtemps. Et qui plus est, de France Télécom. En effet, il s’agit de la même imperfection qui permettait d’accéder à la base de données du site du Téléthon il y a quelques semaines... France Telecom avait traîné les pieds pour corriger ce problème. Mais avait fini par le faire. Pourtant, il ne semble pas que l’expérience acquise à cette occasion ait profité aux concepteurs de The Race.org.

On assume, on va regarder...

Joints en fin de journée vendredi, les responsables de l’opération chez France Télécom assumaient toute la responsabilité des problèmes de connexion sur les serveurs de therace.org. "Nous allons mettre en place 6 serveurs frontaux pour répondre à la demande", précisaient-ils. Toutefois, le problème de sécurité concernant les bases de données semblait les étonner : "Il est possible que l’un de nouveaux serveurs mis en place ait pu avoir ce défaut, on travaille à chaud. Mais on va regarder de près." Les responsables, chez France Télécom, de l’opération The Race précisent que l’équipe est différente de celle qui a traité le Téléthon. Ceci n’excuse toutefois pas le fait de mettre en ligne un serveur IIS de Microsoft avec un défaut connu et corrigé par Microsoft depuis début mars 2000...

Par ailleurs, France Télécom indiquait à Transfert le 4 janvier que les serveurs étaient hébergés par une entreprise sous-traitante dont le nom devait rester secret. Une version totalement démentie aujourd’hui. "On parlait de la marque des serveurs", précise-t-on. Un malentendu donc... À l’époque du problème du Téléthon, France Télécom et la Web Agency se renvoyaient déjà la balle. "C’est pas moi c’est l’autre" est une excuse qui semble de plus en plus à la mode dans le petit monde du développement des applications Internet.