Archives

Le consortium WiFi Alliance annonce le lancement de WPA3, protocole de sécurité des liaisons sans fil qui équipera progressivement les équipements au fil de l’année 2018. Cette nouvelle génération de système de défense est une réponse à l’attaque Krack (Key Reinstallation Attack) qui avait défrayé la chronique en octobre dernier. Comme la majorité des vulnérabilités liées aux réseaux sans fil, l’impact de ce genre de menace était limité à de rares attaques ciblées.

Selon les allégations du consortium, ce WPA new look résisterait aux attaques par dictionnaire et autres « brute force »… affirmation sans plus d’informations. Le nouveau protocole bénéficiera également d’une procédure de paramétrage et d’installation simplifiée, particulièrement destinée à l’interconnexion de périphériques dépourvus d’interface ou difficiles à relier à un terminal. On pense notamment aux IoT. Simplification et renforcement de la sécurité des points d’accès partagés ou publics, puisque WPA 3 devrait être capable de fournir un chiffrement individualisé, non lié à un mot de passe réseau général. Enfin, l’Alliance promet une entière conformité avec les recommandations du Commercial National Security Algorithm (CNSA), protocole de chiffrement 192 bits recommandé par l’Administration Fédérale dans le cadre du déploiement de réseaux sécurisés.

Passées les deux semaines nécessaires aux experts pour expliquer les détails d’une double faille complexe, une question demeure : quelle sera la persistance de ce bug ?

Fausse question au demeurant, car pratiquement tout le landernau de la sécurité est du même avis : cela prendra du temps. Si les professionnels et les grandes entreprises ont techniquement les moyens de déployer des correctifs, ce ne sera quasiment pas le cas des millions de stations de travail équipant les particuliers, les PME, une grande partie du monde du contrôle de processus industriel, des équipements médicaux, des IoT de tous poils, les bornes interactives qui vont des TPV aux DAB, en passant par les billetteries automatiques des organismes de transport ou de loisirs, sans oser mentionner les périphériques connectés et microprocessorisés que sont les imprimantes, les routeurs divers… en bref, tout ce qui intègre une cpu Intel, partiellement AMD ou ARM.

Cette prévisible résistance au déploiement de correctif est ce que l’on pourrait appeler le « syndrome T.J. Maxx ». Souvenons-nous. C’était en 2007, 45 millions d’identités clients et bancaires « fuitées » par le biais d’équipements Wifi que l’on savait vulnérables depuis plus de 6 ans, car utilisant le protocole WEP. WEP, si facile à remplacer sur une station de travail par un WPA triomphant à l’époque, mais oh combien enquiquinant à reflasher (lorsque cela était possible) sur une foultitude de routeurs, de caisses enregistreuses, d’étiquettes communicantes… Et c’est bien là le problème de la faille Meltdown/Spectre : elle concerne plusieurs familles de processeurs équipant bon nombre d’appareils connectés mais rarement, voir jamais, mis à jour car exigeant un re-flashage de Bios (opération délicate pour 98% de la population informatisé, et hors de portée pour 80% d’entre elle, faute d’outils ou de connaissances techniques). Ce n’est plus une « fenêtre de vulnérabilité », c’est le gouffre de Padirac de la SSI. Ceci sans mentionner le faible niveau de prévention, que nul média grand public, radio, TV, presse écrite quotidienne, ne peut véritablement diffuser. Car Spectre n’est jamais que la énième fin du monde informatique de ces derniers 300 jours, et que l’on aura oublié à la fin du « 20 Heure ». Une fois de plus « la sécurité (des S.I.) est un échec », car elle échappe à toute action coordonnée dans ce cas précis. Point de « patch Tuesday » salvateur hors les principaux systèmes d’exploitation, aucune signature d’antivirus fiable pour l’instant, excepté peut-être les quelques exploits publiés par les chercheurs, et encore trop de terminaux intelligents, de tablettes, de smartphones, d’instruments de mesure, d’électroniques de commande connectés en permanence sur des réseaux publics mais dépourvus de protocole de déploiement de rustines véritablement unifié.

Il faut alors se concentrer sur ce que l’industrie de la sécurité a toujours fait, la détection d’attaque plutôt que la remédiation. Le coup par coup plutôt que le définitif. La sécurité « externalisée » confiée à des logiciels, des « pizza box », des services, des réseaux d’opérateurs qui sauront -peut-être- intercepter les malwares, tout en rendant un peu plus dépendants les utilisateurs de systèmes numériques. Dépendants et toujours aussi peu informés. « Meltdown and Spectre: Security is a Systems Property » explique Steve Bellovin au fil de l’un de ses trop rares billets. La sécurité est une chaîne, qui lie à la fois le système local, les moyens de communication… et d’autres éléments dont la majorité des usagers ne soupçonne même pas l’existence et sur lesquels ce même usager n’a strictement aucune prise.

Et les exemples comparables ne manquent pas. Tout au long de l’année qui vient de s’écouler, les avalanches de fuites d’informations personnelles ont montré à quel point les précautions de chiffrement (notamment en termes de salage ou de choix d’algorithmes récents) étaient traités par-dessus la jambe par des acteurs que l’on croyait respectables et sur lesquels le fameux « utilisateur final » n’a aucun moyen de pression. Des acteurs de la part desquels ce même usager n’obtient aucune information. Tant qu’une négligence est ignorée du public, pourquoi chercher à la corriger en priorité ? D’ailleurs, quand bien même la majorité des principaux acteurs pratiquerait une politique du « meilleur effort » que l’effort en question peut être compromis par les manquements de quelques-uns. Et ce, parfois, par ignorance, par oubli… et certainement pas dans l’intention de nuire.

Ce n’est pourtant en aucun cas une raison pour ne pas appliquer les correctifs qui sont disponibles. Cela va sans dire… cela va mieux en le déployant. Ajoutons au passage que les pertes de performances liées à l’application du patch Intel ne concernent que quelques gros serveurs de jeux en ligne et peuvent affecter, dans une faible proportion, des outils CAO sollicitant fortement les ressources CPU. L’occasion rêvée pour demander une mise à niveau matérielle ou une légère rallonge budgétaire ?

La conférence Clusif du 6 décembre s’est ouverte avec un seul mot d’ordre : « non, nous ne parlerons pas du GDPR »…

Ce fut qu’un vÅ“ux pieu, car comment aborder les « Obligations juridiques liées aux systèmes d’information » -titre du Vade-Mecum de 50 pages disponible sur l’espace téléchargement de l’association sans mentionner ne serait-ce qu’une fois de l’obligation juridique la plus importante de ces 5 dernières années.

Un Vade-Mecum qui n’est bien entendu pas centré sur le GDPR. C’est là le résultat de 2 ans de travail unissant le Clusif et Cyberlex, un groupe de spécialistes du droit (juristes, avocats, professeurs de droit, mais aussi professionnels de la sécurité). Un mariage qui vient de donner naissance à ce « livrable », sorte de manuel de première nécessité à l’usage du RSSI et du CISO, que l’on peut à l’occasion glisser dans la pile de documents à destination d’un CEO ou d’un directeur marketing qui comprendra probablement plus rapidement les implications légales d’une impasse SSI ou d’une réduction budgétaire impactant la sécurité des systèmes d’information, voir un lancement sur le marché d’un produit logiciel ou matériel imparfaitement « bordé » d’un point de vue juridique. Nul n’est besoin d’être un gourou du Pénal pour comprendre les risques de poursuite d’un objet de l’internet « fuiteux », d’un serveur de plateforme e-commerce poreux, d’un échange de documents hors de contrôle… Tout aussi rares sont ceux qui mesurent toutes les conséquences d’un échec dans ces domaines-là.

Le mémento débute, sans surprise, par une description des lasagnes de normes -ISO 27xxx en tête. Il continue sur un vaste descriptif des responsabilités de chacun : contractuelles, pénales, le tout accompagné de descriptions assez précises des prérequis de mise en œuvre et des nécessités de collectes de preuves recevables… la conservation des traces étant souvent l’un des principaux défauts en cas de conflit ou de sinistre.
L’ouvrage s’achève avec trois dossiers très documentés sur les données personnelles -thème à la mode s’il en est-, la cybersurveillance et la sécurité des contrats.

Ce serait, estime Julio Casal de 4IQ, la base d’identifiants-mots de passe la plus importante jamais mise sur le marché noir de nos jours. Il s’agit en fait d’une compilation des différents vols de données perpétrés ces derniers temps, donc parfaitement identifiés. Mais les « vendeurs » ont travaillé avec soin, et se sont livrés à un déchiffrement en règle des identifiants encore protégés (ce qui accroît le volume directement exploitable de 14 % par rapport aux bases de données concurrentes), et ont amélioré les procédures de recherche interactive de la base de données ainsi constituée, avec détails sur l’origine, la date fraîcheur de la récolte, et notes explicatives d’utilisation. Une conscience professionnelle dans le mitan de l’arnaque, en quelques sortes.

Brian Krebs revient une fois de plus sur les us et coutumes des sites de phishing afin d’en analyser les évolutions techniques.

Le niveau de présentation et de rédaction de ces « fausses pages web plus vraies que nature » s’est singulièrement perfectionné ces derniers mois. Tant d’un point de vue graphique que sur le plan de l’orthographe ou des jeux de caractères exotiques. Mais les deux améliorations les plus marquantes, explique Krebs, en reprenant une étude de Phishlabs, concernent l’adoption quasi systématique de certificats et l’usage de plus en plus courant de sites construits spécifiquement pour les besoins de l’opération.

Concrètement, la grande majorité des grandes opérations d’hameçonnage s’affichent donc désormais sur les pages « https:// », arborant un cadenas vert et tous les signes d’une navigation protégée. La mode, continue Krebs, n’est plus à l’hébergement sauvage utilisant des sites légitimes piratés, mais à des domaines réellement hébergés sur des serveurs loués par les gangs mafieux. Le choix judicieux du nom de domaine et de la page contenant le formulaire de vol d’information rend encore plus difficile la détection de l’escroquerie.

55 failles colmatées ce mois-ci par Microsoft, dont beaucoup concernant les navigateur Edge et Internet Explorer et un total de 15 failles critiques. A cette impressionnante collection de rustines il faut ajouter deux alertes et corrections complémentaires, et notamment l’ADV180002 qui concerne la faille « Spectre » et qui vient s’ajouter aux déjà nombreuses « corrections de correctifs » qui ont accompagné la découverte de ce défaut.

45 trous chez Adobe, avec quelques exploitations distantes possibles. Seul point de discordance entre experts Microsoftiens et Adobistes, l’alerte ADV180004 relative à un problème (encore) détecté dans Flash (deux alertes, CVE-2018-4877 et CVE-2018-4878). Microsoft la qualifie d’importante, mais Adobe signale que le défaut est activement exploité « dans la nature ». Ce qui permet au bulletin quotidien du Sans d’attribuer un « patch now » en tête de son tableau mensuel des vulnérabilités.

HP alerte les possesseurs de « notebook » qu’un keylogger vient d’être détecté dans les pilotes de « touchpad » Synaptics qui équipent les ordinateurs de la marque. Une découverte décrite par le chercheurs « zwclose ». D’autres OEM utilisant ce périphérique devraient rapidement suivre

Rocambolesque histoire que celle de Konrad Voits, pirate informatique à ses heures, cherchant à faire évader à coups de clavier et de pages html un proche incarcéré à la prison de Washtenaw (Michigan, USA). Voits, dans un premier temps, crée un site de phishing avec un nom trompeur, ewashtenavv.org. Les habitués du très officiel site ewashtenaw.org n’y voient que du feu et, parmi eux, quelques employés des services municipaux et de l’administration pénitentiaire. Lesquels, on l’imagine, se font infecter, compromettant ainsi le réseau administratif du comté et donnant au pirate la possibilité de falsifier une levée d’écrou. Mais le hack est stoppé net lorsque les employés de l’établissement soupçonnent une activité anormale et alertent le FBI.

L’administration du Comté de Washtenaw a estimé les coûts de colmatage et de réparation à près de 235 000 USD (une note un peu salée pour éradiquer un troyen et expliquer à quelques fonctionnaires qu’il ne faut pas cliquer sur un lien à tord et à travers), tandis que le spécialiste de l’évasion virtuelle risque 250 000 USD d’amende et 10 ans de privation de liberté. S
ans arme, sans haine et sans violence…

Nghia Hoang Pho, l’employé indélicat de la NSA qui avait stocké sur son ordinateur personnel des documents classés, a plaidé coupable, relatent nos confrères Rob Wright de Search Security ainsi que Brian Krebs.

Le prévenu travaillait au sein du département des TAO (Tailored Access Operations), le département de « sécurité offensive » de la NSA.

Une fuite de plus ou de moins au sein d’une « agence à trois lettres » ne change pas grand-chose pour l’Administration Fédérale, qui, peu à peu, a abandonné toute souveraineté sur ses services de renseignements à force de sous-traitance à des sociétés privées. Mais cette affaire est particulièrement suivie par les médias car ce serait cet ordinateur privé qui aurait servi de brèche exploitée par des pirates « probablement Russes et probablement pilotés par les services de renseignements de la Fédération de Russie ». C’est aussi, c’est surtout, l’affaire de piratage qui a servi de cassus belli à l’encontre de la société Kaspersky, laquelle devenait un peu trop encombrante en menaçant de procès antitrust les géants US de l’informatique, Microsoft notamment. Nghia Hoang Pho mériterait donc presque une médaille pour services rendus à l’industrie informatique Nord Américaine toute entière ainsi qu’au « département d’Etat », l’équivalent du Ministère des Affaires Etrangères du Gouvernement Fédéral.