Search Results

iAwacs 2011 : CTF ouvert, programme RSSIL fixé

Posté on 25 Mai 2011 at 9:06

Inutile de dire qu’il y en a, des images, dans cette carte Sim de téléphone Samsung. Aux plus malins d’aider l’équipe de Forensic de la Police qui est en train d’y perdre son latin.

iAwacs se déroulant dans le cadre des Rencontres Solution Sécurité et Informatique Libre (Rssil les 27 et 28 mai prochain à Maubeuge, espace Sculfort), l’on ne peut également manquer de signaler le programme détaillé de cette manifestation et surtout des conférences qui s’y tiendront. A noter une présentation de Renaud Lifchitz, La sécurité des téléphones portables, et diverses causeries sur la stéganographie, l’usage bien tempéré de Metasploit, les techniques d’attaque via des logiciels bureautiques, sans oublier bien sûr le traditionnel concours de crochetage de serrures… sans lequel une conférence de sécurité ne serait que l’ombre d’elle-même.

Anti-Virus : iAwacs, Matousec, les « signés » sont furax

Posté on 19 Mai 2010 at 3:31

Le récent challenge iAwacs ou le dernier exploit Matousec ont ceci de commun : avec deux doigts d’ingéniosité, une « charge » peut franchir sans problème (ou presque) la barrière des antivirus sans réveiller le plus petit octet de ces enceintes numériques. Ceci pour peu que le moyen de poser cette charge ne soit pas « connu des services compétents », en d’autres termes, qu’il ne possède de « signature » répertoriée.

Et c’est précisément sur cet argument que contre-attaquent les éditeurs d’A.V.. Adrian Kingsley-Hughes, dans une colonne rédigée pour le compte de ZD Net, se fait l’écho de leurs propos… lesquels, sans surprise, reposent sur des arguments très discutables. Ainsi, le fait de signaler qu’un « virus en chambre » peut tromper « tous les antivirus » est une façon de voir les choses excessivement alarmiste … dans la bouche d’un vendeur de produits de sécurité qui abreuve régulièrement le public de statistiques dramatiquement montées en épingle et de « bilan de sinistralité mensuel », voilà qui est savoureux. S’il était diffusé « in the wild », l’on en posséderait immédiatement une signature et serions à même de le combattre insiste Graham Clueley. Est-ce en fonction d’un tel principe que l’on se défausse du problème des attaques ciblées ? Si l’on pousse la logique à son comble, il serait donc nécessaire que les éditeurs d’A.V. précisent sur leur publicité « capable de vous protéger contre tous les virus connus, pour les autres, Dieu s’en charge ».

Seules les machines Windows XP sont affectées par le virus Matousec… à l’heure de Windows 7, la belle affaire, semble dire en substance Paul Ducklin, le « Sophos’s Head of Technology ». Est-ce avec ces mêmes arguments invoquant la vétusté et l’obsolescence technologique que ces mêmes éditeurs sont immédiatement parvenus à commercialiser des solutions de protection compatibles Vista 64 dès le lancement de ce noyau ? Pas franchement. Au gré de l’actualité, le « trop vieux » l’oppose au « trop moderne », et le lamentoso des éditeurs trouve toujours une source de malheur dans la conception du système d’exploitation.

Chez F-Secure, l’on insiste sur le fait que la menace Matousec n’était pas « connue » des antivirus. « if we would see such an attack, we would simply add signature detection for it, stopping it in its tracks ». Oui, mais zunpeutard.

Pourquoi de telles réactions défensives ? Probablement parce que les éditeurs d’A.V., dont le business-model est en train d’être sérieusement bousculé par l’apparition d’outils « gratuits » de renom, craignent précisément un mouvement de rejet généralisé, une « simplification réductrice » qui pourrait détourner les utilisateurs de leurs logiciels. Rassurons-les : en premier lieu, les virus « en chambre » ne sont qu’une poignée à être connus des médias… les autres ne sont employés que par les blackhats spécialistes des attaques en « spear intrusion » ou par les fonctionnaires des mille et une officines étatiques de barbouzes. Pas de quoi s’inquiéter, donc, car ces personnes-là se confient rarement à la presse, et les victimes ne se rendent compte de rien. Le business-model est donc préservé. Ensuite, à l’exception de quelques spécialistes du sujet, ce genre de révélation n’a que très peu d’influence à moyen terme. Dans moins de deux ou trois semaines, le monde entier aura oublié Matousec et les antivirus poreux. Dans le cas contraire, les éditeurs pourront même modifier leurs accroches et retourner la situation à leur profit : « protège de tous les virus connus, y compris ceux de Matousec que même les « mécréants » n’utilisent pas ! ». Rien de nouveau sous le soleil, donc. Les techniques utilisées par les concepteurs d’A.V. sont et seront encore régies par un système de « blacklist ». Les exploits d’un Matousec ou d’un concours iAwacs ne semblent pas pouvoir infléchir la position de ces marchands de sécurité ou les inciter à réfléchir à de nouveaux modes de fonctionnement.

Par le plus grand des hasards, une association « indépendante », l’Amtso (Antimalware Testing Standard Organisation) publie cette semaine un communiqué condamnant les auteurs qui créent et publient des « échantillons de virus destinés aux tests ». Un morceau de bravoure qui, si l’on sait lire entre les lignes, laisse clairement entendre que seuls ceux qui « savent » peuvent probablement se livrer à ce petit jeu. Les « bench », c’est une histoire de pros. Le directoire, ainsi que la liste des membres laissent planer quelques doutes quand à l’objectivité de l’étude. Mais reste que tous les arguments avancés dans cet article ne sont pas à ignorer.

iAwacs 2010 : des virus et des hommes

Posté on 11 Mai 2010 at 1:45

Ce tour d’horizon des conférences iAwacs ne serait pas complet si l’on oubliait les différentes présentations détaillées effectuées par certains participants au concours P0wn2kill. Notamment celle de Alan Zaccardelle, de Dimension Data, ou celle de David Baptiste de l’Esiea qui montre en détail combien la conception d’un vecteur d’attaque est une succession de contre-contre mesures rappelant à certains moments les calculs anticipés d’un joueur d’échecs contre un adversaire pugnace. Il faut également parcourir la description de l’équipe Jonathan Dechaux, Jean-Paul Fizaine, Kanza Jaafar, Romain Griveaux (Esiea), qui avait révélé l’an passé, à l’occasion de la BH Europe 2009, la trop grande puissance et les dangers des macros sous Open Office. Notons d’ailleurs que les deux premières places du concours P0wn2kill ont été remportées par des « preuves de faisabilité » reposant précisément sur des macros OoO. Fort heureusement, compte tenu de « l’effet monopole » de Microsoft en matière d’outils bureautiques, les vagues de virus-macro appartiennent à l’histoire ancienne. Il faut cependant garder à l’esprit que ce qu’a conçu une équipe d’étudiants, un team de blackhats peut fort bien le concevoir pour mener à bien une attaque ciblée.

Toute aussi détaillée, mais nettement moins technique cependant, la conférence donnée par notre confrère Jean Marc Manach a permis à l’assistance d’effectuer un voyage dans le temps… un périple à l’époque où le vol de fichier ne faisait pas les gros titres des journaux, ou le réseau d’espionnage américain Echelon était encore inconnu, ou Internet était encore un espace de relative liberté non surveillée. J.M. Manach, principal initiateur des Big Brother Awards Français, rappelle tant sur son blog que via son « multimètre d’anonymat » combien les choses ont évolué depuis et combien il est difficile de situer la frontière entre ce qui doit demeurer du domaine privé et ce qui peut être diffusé sur le Réseau des Réseaux. « C’est surtout un problème générationnel, explique en substance notre confrère.Il y a, pour paraphraser John Freed, d’un côté la génération des « Parents », qui frémissent à la simple idée de voir leur date de naissance publiée sur un site Web, et la génération des « Transparents » qui s’épanche sur les réseaux sociaux sans y voir le moindre mal. Il faut apprendre aux parents à jongler avec les nouvelles technologies et ces nouvelles notions d’identités numériques, tout en expliquant aux transparents que le fait de franchir certaines limites peut avoir des conséquences graves. Les enfants de nos sociétés modernes confient parfois à leurs relations sur Internet des choses qu’ils cachent énergiquement à leur propre famille».

Reste à déterminer la durée nécessaire au développement de cette phase éducative. Car pendant ce temps, les « usines à accumuler des détails privés », pilotées tant par les instances gouvernementales (fichiers de police, banques d’ADN, communications transfrontières intergouvernementales etc) que par des sociétés de droit privé (Google, Facebook, les principaux réseaux sociaux et gestionnaires de logiciels « cloud » grand public) moissonnent sans discernement jusqu’aux données les plus improbables, vite, avant que les Etats ne réagissent et commencent à imposer des limites.

iAwacs 2010 : CPL, ou l’art d’être au courant de ce que raconte le voisin

Posté on 11 Mai 2010 at 1:40

Xavier Carcelle, chercheur renommé et membre du Tmp/lab, accompagné de quelques étudiants de l’Esiea, a passé plus de deux heures à détailler les différences protocolaires des standards utilisés dans les « transmissions par courant porteur ». Voyage passionnant au pays du HomePlug et de tous ses dérivés, un monde qui compte aujourd’hui près de 5 millions de ports actifs en France, dont au moins 2 millions peuvent être piratés sans énormément de problème pour peu que l’on comprenne quelques faits importants : le CPL est une technologie essentiellement « wireless » et non un « réseau câblé » conventionnel, et l’arrêt du réseau aux bornes du compteur est une légende urbaine. Si les nouveaux développements du protocole promettent une protection relativement forte du contenu des transmissions, les anciennes installations, en revanche, sont exposées à toutes les attaques possibles, souvent abritées derrière un unique AES 128 à usage quasi permanent. Ces vielles prises réseau sont d’autant plus vulnérables qu’elles ont été vendues à une clientèle grand public donc non technicienne, et sous forme de modules qui n’ont généralement pas du tout été conçus pour être « mis à niveau » (hormis via un éventuel Jtag, dont l’ergonomie et l’accessibilité laissent à désirer). A l’heure où nous rédigeons ces lignes, les « transparents » de Xaviers Carcelle ne sont pas encore disponibles sur le site de l’Esiea. Mais les principaux arguments développés peuvent se retrouver dans les documents déjà diffusés à l’occasion de la 25C3 et les détails techniques du sniffer cpl Faifa sur le site qui lui est consacré. A noter que, compte tenu de l’important niveau de rayonnement que dégage un réseau CPL, sa détection à l’aide d’un analyseur de spectre est un jeu d’enfant à quelques mètres, et demeure possible avec des outils un peu plus sérieux (notamment des SDR) à plusieurs centaines de mètres des installations. Pour ce qui concerne la capture et le décodage à distance de ladite information, c’est une autre histoire…

iAwacs 2010, sur les traces des perversions polymorphes

Posté on 11 Mai 2010 at 1:33

Enquête policière encore, dans les murs de l’Esiea, mais sur les traces d’un virus polymorphique chiffré et camouflé, conduite par Zdenek Breitenbacher d’AVG. Sans entrer dans les détails mathématiques, ce chercheur explique comment il est possible de reconnaître un type de virus précis lorsque celui-ci est caché par une technique polymorphique. Car, noyé dans le chaos d’un chiffrement interdisant toute possibilité de comparaison, rien ne distingue un polymorphe d’un autre… information pourtant indispensable au blocage et éventuellement à l’éradication de la charge. Pourtant, les méthodes sont nombreuses explique le chercheur Tchèque : tenter de déterminer le type de générateur de virus utilisé, les compilateurs employés, les compacteurs (UPX, PECompact, ASPack…). A ces indices l’on peut ajouter les bugs propres à un générateur, les erreurs dans les formats de ressources ou les en-têtes de fichiers, les palettes d’instructions, les panoplies d’outils anti-debug, les astuces anti-désassemblage etc. Mais lorsque toutes ces traces ne donnent rien de particulièrement significatif, il faut avoir recours à une sorte d’examen de l’enveloppe du code. Pour ce faire, Zdenek Breitenbacher ne cherche plus à découvrir les instructions derrière les octets du fichier, mais applique un calcul d’entropie sur la partie considérée comme douteuse, l’espace qu’occupe généralement le virus. Le résultat de ce calcul laisse clairement apparaître une empreinte avec des résultats de poids « fort » et des zones pratiquement vides (ou de poids faible). Et c’est la simple comparaison de l’empreinte de ce calcul entropique qui permet très aisément de déterminer un lien de parenté entre deux infections polymorphiques et ainsi savoir s’il s’agit ou non d’un seul et même virus. Le « packet shaping » appliqué à la lutte antivirale en quelques sortes.

iAwacs 2010, sécurité sans obscurité

Posté on 10 Mai 2010 at 3:26

A l’occasion de l’iAwacs (International Alternative Workshop on Agressive Computing and Security), trois jours durant, enseignants, étudiants, responsables sécurité, chercheurs indépendants ou du monde de l’industrie se sont réunis dans les locaux parisiens de l’Esiea (Ecole Supérieure d’Informatique Electronique Automatique). Une série de conférences cordonnée par le désormais traditionnel challenge Pwn2kill, exercice de pentesting visant une quinzaine d’antivirus.

Challenge à la fois étonnant et sans grande surprise, placé, comme les années précédentes, sous la houlette d’Eric Filiol, Directeur de la Recherche et du Développement Industriel de l’école. Sans surprise car depuis les dernières grandes attaques de botnet dont certaines sont passées totalement inaperçues par bon nombre d’A.V., plus personne ne s’étonne que les outils de protection périmétrique soient imparfaits « eux aussi ». Etonnant également, car si certains « proof of concept » étaient d’une subtilité remarquable (polymorphisme, chiffrement de données à clef constamment modifiée, infections multiples doublées d’un contrôle mutuel d’intégrité des virus par eux-mêmes…), certaines vieilles ficelles ou comportements antédiluviens continuent à « passer », malgré les nombreuses communications effectuées à ce sujet : installation d’un code suspect dans le menu démarrer, consommation de ressources anormalement brutale, inscription d’un exécutable par lui-même dans la clef Run de la ruche, passivité étonnante face à certaines macros particulièrement actives, assassinat de processus en userland avec des privilèges « user » (les accès « administrateurs » n’étaient plus tolérés cette année, et la seule plateforme acceptée était un Windows 7 « à jour »)… Sur 15 antivirus testés et 7 « virus concept », une seule attaque s’est avérée globalement inefficace pour de simples problèmes d’adaptation du code aux conditions « locales » du concours. Les autres sont généralement parvenues au terme de leur exécution sans éveiller l’antivirus ni lors de l’examen du fichier « infecté » ni à l’exécution du code. Le résultat final de la campagne de test montre que certains logiciels ont parfois signalé un comportement suspect en laissant à l’utilisateur, pour certains, la possibilité de passer outre. Rares ont été les protections capables de bloquer ces assauts sans donner à l’usager la possibilité de passer outre (le syndrome des UAC Microsoft ayant « dressé » bon nombre d’utilisateurs à cliquer sans réfléchir sur toute fenêtre de pop-up).

Nul besoin d’être devin pour distinguer les programmes d’attaque les plus élégants : ce sont également les plus efficaces (attaques numéro 6, 4 et 1 par ordre d’appréciation du jury, voir sur le site Web de l’Esiea). Mais mêmes brutaux et sans finesse, certains codes se sont révélés d’une efficience digne du cheval d’Attila. L’attaque numéro 5, par exemple, un simple batch lançant une boucle consommatrice de ressources s’avère diablement efficace et n’est bloquée que par deux antivirus. Résultat guère encourageant pour un bout de code que l’on peut écrire sous Notepad en 5 minutes et qui pourrait agenouiller toutes les stations de travail d’une entreprise en un instant. Avec toutefois un léger bémol : il est rare que dans une entreprise correctement gérée, l’administrateur laisse à ses utilisateurs les droits d’écriture sur la registry ou dans le menu « programme-démarrer ».

Faut-il en conclure que les antivirus ne servent à rien ? Ce serait aller vite en besogne. Ils protègent des principales attaques provenant d’Internet, autrement dit une impressionnante quantité de menaces bien réelles. Mais leur absolue efficacité doit être remise en question au moins dans deux cas de figure précis : lorsque l’attaque est totalement nouvelle et n’a pas encore été détectée par les honeypots ou les « retours de logiciels clients » des éditeurs d’antivirus, et lorsque l’on est confronté à une agression ciblée qui n’a par définition aucune « chance » de se répandre sur Internet… et donc d’être détectée. Contre de telles menaces, le principe de fonctionnement (détection « in the wild »+autopsie du programme+rédaction de signature+diffusion et enrichissement de chaque A.V. installé) doit rapidement évoluer, s’enrichir à la fois de nouveaux mécanismes d’analyse comportementale et d’outils bien plus intelligents en matière d’examen de la structure des binaires douteux. Le système d’exploitation lui-même pourrait fort bien prendre le relais dans certaines circonstances. Quelques activités pourraient ainsi être interdites d’exécution par les UAC… notamment les écritures sauvages en BDR provenant d’un programme cherchant à s’inscrire lui-même, ou au moins demander une confirmation d’exécution exigeant un privilège plus élevé. Voilà qui serait bien plus utile que de demander inlassablement à l’usager d’autoriser le lancement d’un driver de souris non signé à chaque démarrage de l’ordinateur. Ceci en attendant l’avènement des systèmes n’acceptant d’exécuter que des exécutables « signés/certifiés »… ce qui posera à son tour la question de l’indépendance, de la compétence et du « coût » de l’autorité délivrant lesdites signatures.

Le regard que l’on porte sur les antivirus au terme d’une telle journée de tests ressemble un peu à celui d’un parent sur sa progéniture adolescente : la confiance sans illusion. Contre une attaque « non répertoriée », même utilisant des techniques connues, voir d’un classicisme désuet, les solutions de protection antivirales ne servent pratiquement à rien. Une rapide lecture de Millw0rm (même dans son état actuel d’abandon), du Bugtraq ou de la liste F.D. montre que c’est probablement aussi le cas des autres outils de protection périmétrique.

NdlR : L’auteur précise, par souci de transparence, que la Rédaction de CNIS-Mag faisait partie du jury du concours P0wn2kill. Une fonction presqu’uniquement « honorifique » puisqu’elle se limitait à vérifier l’absence d’éventuelles tricheries et à constater, test après test, la réaction ou l’absence de réaction des logiciels de protection et des « user access control »du noyau.

iAwacs 2010, la sécurité informatique est un sport de combat

Posté on 10 Mai 2010 at 12:39

L’analyse forensique est-elle aussi sportive que la sociologie? Elle n’est en tous cas pas de tout repos, si l’on en juge par la qualité et le niveau des présentations qui se sont déroulées dans les amphis de l’Esiea durant le week-end passé. Damien Aumaître et Christophe Devine (Sogeti), au fil d’une communication intitulée Real-world physical attacks and countermeasures, ont dressé un panorama actuel des types d’attaques pouvant être combinées pour compromettre un réseau ou une machine stratégique. Nulle nouveauté, mais un cocktail très épicé, où l’on retrouve la « chambrière diabolique » de Joanna Rutkowska, les attaques en mémoire vive et la pêche aux mots de passe pouvant s’y trouver (bien entendu l’intrusion Firewire signée Devine, mais également celles d’autres chercheurs Français), les clefs USB autoexécutables (celles qui ont un petit goût de Conficker), les keyloggers. Tout çà sans oublier un peu d’entraînement dans le crochetage des serrures et un soupçon d’attaque en social engineering, pratiques éloignées de l’informatique mais sans lesquelles bien des techniques susmentionnées ne pourraient être conduites avec succès. Si tout cela peut paraître un peu décousu aux yeux d’un non spécialiste, un chasseur de pirate verra là immédiatement les ingrédients qui, combinés avec intelligence, peuvent conduire une entreprise à sa perte. Cette vision globale qu’apporte l’équipe Aumaître-Devine est à opposer à ce que prétendent apporter les vendeurs de sécurité (du moins pour ce qui concerne les secteurs grand-public, TPE et petites entreprises), vendeurs pour qui chaque type de menace peut être contré par un équipement ou un logiciel particulier. Cette discrétisation de la défense, dont le découpage relève plus souvent de stratégies marketing que de réflexions tactiques, est rarement adaptée face à un adversaire qui, lui, « pense » une attaque avec une vision d’ensemble.

Iawacs 2010 : Conférences, Ateliers, Concours A.V. sur Paris

Posté on 13 Avr 2010 at 1:40

Plus que quelques jours avant l’ouverture, entre autres choses, des hostilités à l’encontre des antivirus les plus connus : iAwacs 2010 se déroulera du 7 au 9 mai prochain, à l’ESIEA à Paris, et non pas dans la Capitale du Père Ubu*. Cette année, afin d’éviter certains arguments de la part de quelques éditeurs peut-être un peu récalcitrants vis-à-vis de ce genre d’expérience, les « suites de protection » seront accédées en mode « utilisateur » sur une plateforme Windows 7 elle-même installée dans une VM à des fins de commodité. Le règlement du concours est disponible en ligne sur le site de l’Esiea. Mais iAwacs, ce n’est pas que le concours Pwn2kill. Plusieurs conférences se dérouleront, parmi lesquelles un exposé sur les attaques et contremesures, par MM Damien Aumaître et Christophe Devine, un atelier sur la sécurisation des réseaux CPL par Xavier Carcelle du tmp/lab, un autre sur les cartes à puces par Vincent Guyot, ou encore une causerie portant l’improbable titre « Do you still believe that nobody can make a Win 7 system become useless despite using a « powerful » antivirus? » par David Baptiste. Le détail des sessions peut être téléchargé toujours sur les ressources de l’Esiea.

NdlCT Note de la Correctrice-Traductrice : autrement dit de la ville-palindrome qu’est Laval, berceau d’Alfred Jarry.

NoSuchCon, des réseaux familiaux piratés, des sonnettes folles

Posté on 13 Jan 2015 at 5:18

Les déjà « vieux » participants du défunt iAwacs se souviennent du hack mémorable des réseaux CPL par Xavier Carcelle et de la publication des premières versions de Faifa . C’est sur cette vague, et inspiré en partie par les travaux de son prédécesseur, que Sébastien Dudek, chercheur chez Sogeti, s’est attelé : l’analyse de ces adaptateurs à courant porteur « sans fil qui ont tout de même besoin de fil mais pas de courant porteur ». Une analyse qui débute par un rappel sur les désinformations et autres légendes urbaines que diffusent encore certains (sinon tous) revendeurs de ce genre d’équipement. Non, les CPL ne sont pas « bloqués » par le compteur électrique de la plupart des logements, et peuvent se propager sur le réseau de tout un quartier. Non, les compteurs modernes ne possèdent pas tous de selfs de choke (réjection en mode commun bloquant les signaux radio du CPL). Non, enfin, le système de chiffrement de ces appareils n’est pas inviolable. D’autant moins inviolable que beaucoup de matériel norme « homeplug » installés par défaut acceptent même l’apparition d’un « rogue plug » sans trop s’émouvoir.

Mais correctement configuré par un utilisateur prudent et amoureux des mots de passe alambiqués, le problème se corse. Le chercheur Français cherche tout d’abord à lancer une attaque Bruteforce contre la Network Membership Key (NMK), procédé lent et peu efficace, surtout si le mot de passe est complexe. Une approche plus intelligente consiste à s’intéresser à la phrase de passe DAK (Direct Access Key) propre à chaque prise qui a son tour permettra la modification des clefs de chiffrement réseau. Or, cette DAK est inscrite en clair sur le boîtier dans la majorité des cas. Si l’on ne bénéficie pas d’un accès physique audit boîtier, une requête réseau avec certains outils (ainsi ceux de tp-link) peuvent récupérer cette DAK sans la moindre difficulté. Sans la moindre difficulté ? Une clef de 16 caractères ? Impossible… a moins qu’il y ait une faille dans le système soupçonne Sébastien Dudek. Après analyse de la DLL effectuant ce travail miraculeux, le reverser de Sogeti se rend compte que la clef en question est dérivée de l’adresse MAC de l’adaptateur… une adresse MAC qu’il est bien plus facile de récupérer à distance. Le reste de l’histoire se résume à retrouver l’algorithme de dérivation qui, de l’adresse MAC, génère la clef DAK (que Sébastien Dudek baptise avec ironie K.O. DAK). Cette mauvaise pratique affecte une majorité de vendeurs utilisant le jeu de composants CPL de Qualcomm-Atheros. Pis encore, l’usage de l’adresse MAC en guise de radical de clef Web ou servant à dériver une clef plus complexe a longtemps été une habitude détestable des boutiquiers de l’accès ADSL via Wifi. Les bases changent, le manque de sérieux des revendeurs d’équipements persiste. L’opérateur Free est l’un des rares dont les boîtiers CPL ne sont pas affectés par ce défaut. Reste qu’un système de transmission dont l’appellation est un mensonge technique et dont la technologie même ne respecte pas le quart du début des normes Européennes sur la compatibilité électromagnétique devrait être interdit de séjour dans tout réseau construit par un administrateur sérieux et responsable.

Bien plus simple, mais tout aussi instructif était l’atelier de Damien Cauquil, directeur R&D de l’équipe Sysdream et figure emblématique de la « Nuit du Hack ». Le but du jeu (car l’atelier était très ludique) était de « pirater » une sonnette de porte sans fil, du genre de celles vendues en supermarchés. Comment fonctionnent ces appareils domestiques, comment en détecter la présence sur le spectre radioélectrique de proximité (vive les clefs RTL-SDR et autres outils d’analyse à faible coût), comment deviner le type de modulation utilisé, la nature de l’information transmise et surtout le mécanisme qui empêche que la sonnette d’un voisin déclenche le carillon d’une autre habitation. Chaque participant à l’atelier, généralement des gens du « soft », se sont alors mis au fer à souder pour modifier le boîtier de commande d’une dizaine de kits-sonnette afin de le transformer en « frankenbouton » capable de déclencher une tempête de « Ding Dong » dans toutes les habitations à la ronde. « Plus qu’un « sonnette be-gone » explique Damien Cauquil, ce hack de premier niveau montre à quel point parfois les objets quotidiens sont vulnérables à des attaques de béotiens ». Car derrière cette démonstration, l’on peut imaginer une foultitude d’adaptations, de « fuzzing en mode hardware » visant soit tous les appareils utilisant un lien radio faiblement sécurisé, soit tous les périphériques domestiques intégrant un microcontroleur standard et une zone mémoire flash directement accessible. Ce petit piratage entre amis pourrait aussi donner des idées à toutes les personnes avides de savoir comment fonctionnent, par exemple, les parties « non IP » de l’Internet des objets …

Le smartphone est-il nuisible à la santé (numérique) ? Suite

Posté on 02 Déc 2011 at 11:08

Android sert-il de parafoudre ? Probablement un peu. Car au même moment, si l’on se penche sur la liste des failles publiées sur Bugtraq relative à la plateforme Webkit, l’on se rend compte qu’il ne doit pas falloir chercher longtemps pour trouver un exploit fonctionnel sur une plateforme X ou Y. 331 CVE recensés depuis 2005, dont un nombre élevé de failles non corrigées et exploitables. Or, Webkit est utilisé par une multitude de plateformes, à commencer par IOS. Ce qui ne veut pas dire estiment les spécialistes de NSS labs, qu’IOS soit plus vulnérable qu’une autre plateforme et « impropre à la consommation en entreprise ». Sophisme ou analyse de risques ?

Qui croire ? Tout le monde et personne. A la question « une attaque de mon mobile est-elle possible », la réponse est « oui, indiscutablement ». A celle « faut-il acheter un antivirus pour appareil mobile », les avis commencent à diverger. L’installation de programmes de sécurité a de fortes chances de poser des problèmes de ressources et d’ergonomie, sans oublier le fait qu’un A.V. constitue lui aussi une surface d’attaque certaine et bénéficie « par définition et par construction » de procédures d’audit pas toujours aussi poussées que l’on pourrait le souhaiter. S’il est possible de tromper la quasi-totalité des antivirus à l’occasion de concours tels que Iawacs, il n’y a pas de raison que les protections pour smartphones échappent à cette règle.

« Peut-on sous-traiter la sécurité de nos terminaux aux opérateurs télécom » ? Là encore, personne ne peut répondre par l’affirmative. Bien sûr, chaque opérateur peut effectuer un filtrage minimaliste… mais peut-il filtrer toutes les navigations Web ? En possède-t-il d’ailleurs le droit ? Utilisé en mode ISP, sera-t-il en état d’offrir quelque chose de plus qu’une fonction antivirus/dlp dont on ne connaît pas nécessairement l’efficacité et le niveau de sécurité ? Et quand bien même les Telco se chargeraient-ils de ce travail de salubrité que les plateformes ne seraient pas moins vulnérables. Aucun opérateur, par exemple, n’accepte de « pusher » les correctifs d’un éditeur de plateforme lorsqu’une faille a été détectée : ce serait donner carte blanche à une entreprise de droit privée, étrangère de surcroît, sur une infrastructure Scada d’envergure nationale. Entre la sécurité d’Etat fantasmée et l’insécurité réelle quotidienne, le choix ne tient pas compte de l’utilisateur final.

Mais si l’on demande « cette attaque est-elle probable », il est difficile d’être aussi catégorique. En premier lieu, parce que les canaux d’attaque sont réduits : navigateur, mail, Bluetooth pour les plus paranoïaques. Parce que, aussi, l’interactivité est faible avec l’éventuel « collecteur d’informations ». Pourquoi, en effet, aller chercher à r00ter le tout dernier Samsung ou les armées d’iPhones alors qu’il existe de par le monde des millions d’Internet Explorer non patchés fonctionnant sur les systèmes susceptibles de contenir bien plus d’informations qu’un terminal mobile, et raccordés à une infrastructure réseau considérablement plus rapide que le plus rapide des « hauts débit » des marchands d’abonnements illimités ?

Publicité

MORE_POSTS

Archives

mars 2024
lun mar mer jeu ven sam dim
« Déc    
 123
45678910
11121314151617
18192021222324
25262728293031