Suite à l’arrêt du projet Truecrypt, le plus efficace des outils de chiffrement grand public, plusieurs développeurs avaient repris le flambeau pour poursuivre le développement de Truecrypt. Veracrypt, l’un de ces forks (un logiciel basé sur un autre) est passé ce 17 août en version 1.18a. Au menu des mises à jour: l’implémentation du chiffrement de l’EFI (le remplaçant des BIOS), des nouveaux algorythmes de chiffrements (Camellia, Kuznyechik, Magma et Streebog).

Autre bonne nouvelle, le moteur de recherche DuckDuckGo a fait une donation de 25.000$ qui servira à faire un audit. L’audit est organisé par l’OSTIF (Open Source Technology Improvement Fund) qui a confié l’analyse à la société française Quarkslab en lui demandant de communiquer le résultat de l’audit de façon chiffrée aux développeurs de Veracrypt (la société française Idrix) afin que les éventuelles failles découvertes ne soient pas utilisées avant d’être patchées.

Veracrypt

Des chercheurs ont mis au point un virus nommé DiskFiltration qui, une fois installé sur un ordinateur, peut transmettre des informations à un attaquant en émettant des sons « cachés ». Le virus prend le contrôle du petit bras du disque dur qui peut ensuite communiquer « discrètement » avec un micro caché. L’expérience a surtout démontré que cela était possible mais très compliqué pour le genre de difficulté que l’opération suppose. Premièrement, ce type d’attaque viserait essentiellement des ordinateurs qui ne sont pas connectés à internet pour qu’on veuille en voler les données via une telle technique: il faut donc avoir un accès physique à l’ordinateur puisque le virus ne peut y être installé autrement. Ensuite, il faut que le micro qui reçoit les sons soit à moins de 1,8 mètres de l’ordinateur pour pouvoir l’entendre. Enfin, le virus ne fonctionne évidemment qu’avec des disques durs mécaniques (donc pour les disques SSD et les clés USB, c’est foutu). Et plus gros problème encore, le virus ne peut intercepter que 180 bits par minute, ce qui est très lent.

DiskFiltration en action

Au dernier comptage, en septembre 2015, il y avait 1,4 milliard de smartphones et tablettes tournant sous Android dans le monde. Un nombre aussi astronomique pose des questions de sécurité: ces appareils fonctionnent sous des versions d’Android différentes (la dernière, Android 7.0 Nougat est attendue dans les prochains jours), avec des processeurs différents et des applications pré-installées différentes. Cette fracturation pose régulièrement des problèmes: on se rappelle de Stagefright, et de Shellshock. La nouvelle faille géante, Quadrooter, vise les 900 millions d’appareils qui tournent sous des processeurs du fondeur Qualcomm. C’est un ensemble de quatre failles qui permettent à une application « de source inconnue » (téléchargée en dehors du Play Store) et ne demandant « aucune autorisation particulière » de prendre un accès root sur l’appareil et d’y faire ensuite tout ce qu’on voudrait lui faire réaliser. Trois des quatre failles ont déjà été patchées par Qualcomm, mais les mises à jour mettront très longtemps à arriver, si elles arrivent un jour. Les Nexus recevront eux probablement le patch dans la mise à jour de sécurité de septembre.

Heureusement, depuis Android 4.2, Google a déployé une couche de sécurité « Verify Apps » dont le rôle est précisément de lutter contre ce genre d’applications qui exploitent l’accès root. Google a annoncé que 90% des appareils étaient protégés par cette fonction qui bloquera automatiquement l’installation.

Checkpoint, qui a découvert la faille, a mis en ligne une application pour savoir si votre appareil est vulnérable (attention, ce n’est pas parce qu’il est vulnérable qu’il est infecté). Pour la télécharger, c’est ici. Inutile d’acheter l’antivirus de Checkpoint pour ne pas être infecté: évitez simplement d’installer des applications qui ne proviennent pas du Play Store.

Le détecteur de Checkpoint

L’une des stratégies de cyber-guerre de la NSA est de constituer un stock de failles 0-Day (Une faille Zero Day est une faille de sécurité informatique qui n’a pas été publiée, documentée et corrigée et pour laquelle une attaque est donc théoriquement aisée) dont elle peut se servir pour attaquer ces cibles, à l’intérieur comme à l’extérieur des frontières états-uniennes. Vu le budget très conséquent de l’agence pour acheter ces failles aux hackers qui les découvrent, le stock de 0-Day de la NSA est parfois imaginé comme astronomique, il n’en serait en fait rien selon Jason Healey, un chercheur de l’Université de Columbie. Ce nombre se compterait en dizaines, pas plus, et seule une poignée serait ajoutée chaque année au tas. Il a présenté ses recherches à la dernière Defcon de Las Vegas et a assuré que s’il ne pouvait pas être sûr de ce qu’il avançait il en avait la conviction. L’un des arguments de sa recherche est que la NSA est depuis peu « obligée » de communiquer un certains nombres de ces failles aux fabricants, et qu’on a pas pour autant vu un ras-de-marée de failles critiques arriver. La NSA communiquerait 91% des failles, et des 9% restants, un certain nombre constitue des failles qui sont entre temps découvertes par d’autres chercheurs. Notons que ce chiffre n’inclut pas les failles possédées par d’autres agences comme le FBI.

L’image des Aventuriers de l’Arche Perdue est couramment empruntée pour désigner les stocks de la NSA

Quelques compagnies ont dévoilé au cours des derniers mois des téléphones équipés d’un lecteur d’iris, notamment le Fujitsu Arrows NX F-04G, le Microsoft Lumia 950 XL et plus récemment le Samsung Galaxy Note 7. Ces lecteurs d’iris sont placés au-dessus de l’écran des téléphones et balaient les yeux de l’utilisateur avec une lumière infrarouge afin de reconnaître les caractéristiques de ses iris. En plus des téléphones, certains ordinateurs sont aussi équipés de lecteurs d’iris, notamment les Surface Book et Surface Pro 4 de Microsoft, lancés l’année dernière.

La reconnaissance de l’iris est un procédé rapide. Une fois ses yeux enregistrés, une opération qui ne prend que quelques secondes, il suffit de regarder le lecteur pour déverrouiller un appareil. Dans le cas du Galaxy Note 7, l’utilisateur se place à environ 30 centimètres de son téléphone et le processus ne dure qu’une seconde ou deux. Parmi les avantages de la biométrie oculaire, le fait qu’on ne laisse pas de traces de ses iris derrière soi, tandis qu’on laisse ses empreintes sur tout ce que l’on touche, et qu’il est assez facile de déjouer un lecteur avec un moule 3D d’une empreinte. L’iris ne change pas non plus avec le temps ou selon les conditions ambiantes, et les systèmes de reconnaissance oculaires ont un très faible taux d’erreur.

Biométrie oculaire

Malgré le fait qu‘elle implémente le réputé protocole de chiffrement Signal, et que l’application soit régulièrement bloquée au Brésil pour cette raison, Whatsapp souffrirait de quelques failles sur iOS (le système d’exploitations des iphones et ipads), des failles qui mettent à mal le chiffrement. Première faille, l’effacement censé être définitif des conversations ne fonctionne pas sur iOS à cause d’un bug de la bibliothèque de moteur de base de données SQLite qui fait en sorte que des copies des messages sont stockées localement et sur iCloud. Cette faille n’affecte pas seulement Whatsapp, mais également d’autres apps qui utilisent SQLite. iMessage par exemple, souffre du même bug. Il est possible d’effacer ces fonds de bases de données en désinstallant l’application. Notons que Whatsapp propose à ces utilisateurs de stocker leurs messages sur Google Drive ou sur iCloud, ceci mettrait à mal le chiffrement qui n’est pas censé fonctionner sur plus d’un terminal à la fois.

Le second « bug » concerne le chiffrement justement, si les messages sont chiffrés durant leur transit, ils ne sont pas chiffrés lorsqu’ils sont sur l’appareil, une fonction que propose par contre l’application Signal originale. En fin de compte, même si Whatsapp, Google Allo et Facebook Messenger implémentent le protocole Signal dans leurs apps, l’application Signal est probablement plus sécurisée de par sa conception.

Facebook Messenger adopte Signal

Contrairement à ce qu’avait souhaité le Sénat (contre l’avis du gouvernement), l’usage des dispositifs biométriques ne sera pas durci. La commission mixte paritaire chargée de trouver un compromis sur le projet de loi Numérique a préféré retirer les dispositions introduites à cet effet par la Haute assemblée. En renonçant à cette disposition, le Parlement autorise de facto l’usage de la biométrie pour réguler l’accès à une cantine scolaire, une piscine municipale ou un atelier.

Aujourd’hui, la mise en place d’un dispositif utilisant des données biométriques est soumise à l’obtention d’une autorisation de la CNIL, selon des formalités variables en fonction des données exploitées (empreintes digitales, contour de la main, iris…) et de la finalité du traitement (contrôle d’accès à certaines salles, etc.). Le texte du prévoyait que le feu vert de la CNIL ne puisse être donné que dans les situations relevant de la protection de l’intégrité physique des personnes et des biens. Cette proposition a été supprimée. Le gouvernement y était opposé et la secrétaire d’État au Numérique avait invité les parlementaires à ne pas légiférer sur ce sujet, et de se satisfaire de l’article 9 du règlement européen sur les données personnelles.

Procédés biométriques

Parmi le club très fermé des applications ultra-sécurisées, TOR occupe une place de choix en offrant à ses utilisateurs de naviguer le web anonymement en redirigeant leur connexion à travers un réseau de volontaires (leurs machines sont appelés nodes ou nœuds). Une course permanente l’oppose toutefois aux services de renseignements américains qui tentent régulièrement de faire apparaitre une masse critique de relais-espions à l’intérieur du réseau TOR. Lors d’une première époque, les attaquants tentaient d’intervenir entre le dernier node et la page de destination pour intercepter des données, mais la stratégie est à présent d’augmenter la proportion de nodes compromis pour être capable de suivre la connexion d’un utilisateur à travers plusieurs nodes et éventuellement retrouver son point de départ pour le désanonymiser, ce sont des attaques Sybil. Les services de renseignements n’ont probablement eu qu’un succès mitigé dans ce genre de stratégie, puisqu’ils étaient rapidement repérés par le réseau TOR à l’aide de « honeypots » (des appâts) que seul un node espion pourrait vouloir espionner. Les espions sont toutefois de plus en plus efficaces, ce qui a poussé des chercheurs du MIT (l’université) et de l’Ecole Polytechnique de Lausanne a développé une alternative à TOR qui se renforce là où TOR faiblit, son nom est Riffle.

De base, Riffle utilise le même principe que TOR ainsi que du réseau .onion, mais il disperse et mélange les paquets de données avant de les envoyer à travers le réseau de telle façon à ce qu’un node compromis qui intercepterait plusieurs paquets ne pourrait pas même les replacer dans le bon ordre et identifier des données. Un protocole de chiffrement/signature permettra également de vérifier les données et d’identifier une éventuelle manipulation par un attaquant externe. Bonus, en plus d’être plus sécurisé, Riffle sera plus rapide (10X plus) et consommera moins de ressources processeur que son grand-frère. Riffle est présenté à la Privacy Enhancing Technologies Symposium qui se déroule du 19 au 22 juillet à Darmstadt. Pour en lire plus, voir le document publié sur le site du MIT.

Riffle

Suite à l’attentat de Nice, le coordinateur européen pour la « lutte contre le terrorisme » était en visite en Israël, notamment car l’Union Européenne cherche à acquérir des technologies qui permettent à l’état d’Israël de repérer les ‘loups solitaires’ sur les réseaux sociaux (ou pas, voir notre précédent article), c’est à dire des personnes qui passent à l’acte sans être liée à une quelconque organisation et donc sans se faire repérer par ses liens, communications, casiers judiciaires,… Les technologies qui intéressent l’UE seraient donc susceptibles de repérer ces personnes. Mais contrairement aux logiciels qui parcourent automatiquement les réseaux sociaux à la recherche de contenus illégaux, ici c’est plus un « comportement » qui doit être repéré. Les logiciels israéliens font donc intervenir des opérateurs humains pour départager les énormes masses de données. Le Coordinateur a également souligné que les services secrets européens avaient moins de marge de manœuvre que leurs homologues israéliens. Le fonctionnement de ces logiciels qui scannent vraisemblablement les posts Facebook à la recherche de messages d’adieu est d’ailleurs à peu près opaque.

L’UE cherche à acquérir des technologies israéliennes contre les ’loups solitaires’

Quand un utilisateur de Tor s’y connecte, des couches de cryptage s’ajoutent au message. Ce dernier passe par plusieurs serveurs intermédiaires avant d’arriver à sa destination finale. La force du réseau anonyme Tor s’appuie sur des relais dont environ le quart constitue des relais de sortie. Ce sont eux qui font le pont entre le réseau et le reste d’Internet. On savait déjà que ces relais de sortie pouvaient être manipulés de sorte que le contenu envoyé par les utilisateurs de Tor ne soit plus anonyme. Or, une nouvelle faille vient s’ajouter à celle-ci.

D’autres types de relais-espions viennent d’être dévoilés par une nouvelle étude de l’Université Northeastern. Ces relais modifiés permettent à ceux qui sont derrière de trouver les adresses de sites qui sont supposés être secrets sur le deep web, qui regroupe les sites accessibles mais non indexés et auquel on accède via un réseau comme Tor. Les chercheurs ont créé 4500 adresses cachées en 72 jours en passant par Tor. Ils n’ont jamais parlé de ces sites nulle part et ceux-ci ne contenaient rien d’intéressant. Si ces adresses établissaient des connexions, c’était parce qu’un système espionnait le circuit qui passait par le réseau Tor. Au moins 110 de ces relais-espions ont tenté d’en savoir plus sur les adresses secrètes, les services qu’elles pouvaient fournir ou leur créateurs. Ce type d’attaque avait déjà été envisagé par les administrateurs de Tor qui travaillaient à restructurer leur système de services cachés.

This, Jen, is the internet