L’art de crocheter les clefs USB

La semaine dernière, SySS semait le trouble dans la communauté en publiant coup sur coup deux analyses expliquant comment lire le contenu des clefs SanDisk, Verbatim et Kingston prétendument protégées par des mécanismes de chiffrement certifiés et réputés inviolables… pour l’instant. Bob Graham prend un peu de recul et va même plus loin, en affirmant que ce ne sont là que des exemples, et qu’il ne serait pas étonnant que d’autres clefs soient potentiellement victimes d’une attaque similaire. Si l’algorithme de chiffrement est encore inviolable, explique-t-il, les techniques d’intégration dudit algorithme laissent souvent à désirer, et c’est à ce niveau que les hackers chevronnés tentent de contourner les protections. Un avis partagé aussitôt par les gens du Nist, le National Institute of Standards and Technology, celui-là même qui a « recommandé » l’AES 256 utilisé par ces clefs. Notons au passage que l’article traitant de la réaction du Nist, dans les colonnes du Security Focus, se trouve flanquée d’une publicité IronKey on ne peut plus de circonstance.

Les trois intégrateurs ont, entre temps, publiés les correctifs nécessaires au blocage de ce type d’attaque. Reste à savoir par quel moyen les usagers de ce genre de clef pourront être mis au courant et quelle sera la proportion d’utilisateurs qui appliqueront ce bouche-trou salvateur.