Le gouvernement sans verrou

Statistiques de campagne

Une seule opération de reconnaissance passive contre le domaine Web du gouvernement haïtien – les ministères, les organismes de surveillance financière, l'appareil de sécurité et les sous-domaines découverts en matière de transparence des certificats – a produit les résultats globaux suivants. Chaque requête était un HTTPGETnon authentifié. Aucune information d'identification n'a été utilisée. Aucun système n’a été violé.

Tout a commencé avec une inscription dans un annuaire

Il n’y a eu aucun exploit. Il y avait une URL.

curl -s https://civitax.gouv.ht/

civitax.gouv.htest l'application d'administration fiscale municipale d'Haïti — le système qui gère le recensement des propriétés (Recensement) et la facturation fiscale (Bordereau) pour les citoyens. Le serveur n'a pas renvoyé de mur de connexion. Il a renvoyé une liste complète du répertoirede l'ensemble de l'application: fichiers sources, pages de rapport, modules de statistiques, pages d'administration de sécurité (Edit_User,GroupRights), et archives téléchargeables.rardes modules Recensement et Bordereau.

L'application exécuteTelerik UIv2013.3.1015.40— une pile de composants vulnérable àCVE-2017-9248(faiblesse cryptographique) etCVE-2019-18935(exécution de code à distance non authentifié). Le point de terminaison TelerikDialogHandler.aspxa répondu avec200 OK. Le gestionnaire IIStrace.axdexistait. Ce qui est censé être un système fiscal gouvernemental contrôlé n’était, en pratique, qu’un classeur ouvert dont le tiroir était déjà retiré.

Aucune authentification n'était requise. Aucun exploit n'a été déployé. L'index du répertoire était public par configuration – ou par négligence. Du point de vue du citoyen, la différence n’a pas d’importance.

Cibles évaluées

L'enquête a balayé le domaine gouvernemental d'Haïti en plusieurs couches : 13 domaines ministériels, 15 agences financières et de surveillance, 9 domaines militaires et de sécurité, 13 sous-domaines de transparence des certificats jamais évalués auparavant et 20 cibles de messagerie cPanel/autodiscover. Les résultats ci-dessous sont ceux qui comptent.

3 233 citoyens dans une seule feuille de calcul

L’artefact le plus dommageable n’était pas une base de données. Il s'agissait d'un fichier public sur le site de la Douane :DOUANE-GOUV/downloads/Liste-des-candidats-retenus.xlsx— la liste complète des3,233 candidats retenus pour l'examen de la Douane d'Haïti (AGD), chaque ligne comportant des données personnelles complètes.

Code         | Last Name  | First Name   | Sex | Phone            | Department
OE12AG7570   | Abdon      | Gerald       | M   | (+509) 5544-6924 | OUEST
OE12AO1940   | Abel       | Osmane       | M   | (+509) 4019-1719 | OUEST
ND18AC1872   | ABEL       | CAMY         | M   | (+509) 3259-5650 | NORD_EST

Un jumeau expurgé (Liste-des-candidats-retenus-no_phone.xlsx) existe sur le même serveur – prouvant que l'éditeur savait que les numéros de téléphone étaient sensibles, puis a quand même publié la version qui les contenait.

Dans l’ensemble du corpus de documents plus large, ODINT a analysé 227 documentset 1 365 imagesnumérisées par EXIF ​​récupérées à partir de points de terminaison du gouvernement public. Le résultat global : 59 adresses e-mail uniques, des milliers de numéros de téléphone, des identifiants fiscaux NIF, des personnes nommées, des PDF budgétaires et de lois financières et des données opérationnelles des douanes (tableaux de codes de conteneurs, de ports et d'entrepôts SYDONIA - y compris une référence de port international de 895 lignes). Dix-huit utilisateurs, auteurs et commentateurs de WordPress ont été recensés auprès de la banque centrale (brh.ht), de la direction des impôts (dgi.gouv.ht, où un compte Gmail personnel est enregistré en tant qu'auteur) et d'autres agences, chacune avec son hachage Gravatar public.

Un État sur l'hébergement mutualisé

La découverte structurelle n’est pas une vulnérabilité unique : c’est l’architecture. Le gouvernement haïtien fonctionne sur l'hébergement partagé de base. ODINT a pris les empreintes digitales des sites du ministère et de surveillance sur les plans partagésBluehost,SiteGroundetHostinger, plusieurs divulguant leur origine d'hébergement via des en-têtes d'hôte codés en base64. WordPress 6.9.1 est récurrent dans des agences indépendantes, suggérant un responsable ou un modèle partagé. Parmi les domaines financiers et de surveillance, 10 des 15 domaines étaient actifs (cinq WordPress, deux Laravel, un CMS d'octobre, un IIS/ASP.NET avec divulgation détaillée du chemin d'erreur). Sur neuf domaines militaires et sécuritaires, sept n'existent pas dans le DNS public – le périmètre de sécurité numérique de l'État haïtien est, en grande partie, tout simplement absent.

Lorsqu’un domaine de la police nationale peut être redirigé silencieusement vers une plateforme frauduleuse et que personne ne le remarque, le problème n’est pas un correctif manquant. Le problème est que personne ne détient les clés.

Données brutes et téléchargements

Toutes les preuves collectées ont été archivées et sont disponibles pour les chercheurs, les journalistes et les organisations de la société civile via le serveur de données d'ODINT. Les archives publiées contiennent les captures par agence et les rapports de reconnaissance analytique ; les outils de dénombrement utilisés pour les collecter sont intentionnellement retenus.