Spécial sécurité : pour qui sonne le glas du WiFi

Sommaire

- 1 - Pour qui sonne le glas du WiFi (épisode 1) 

- 2 - Pour qui sonne le glas du sans fil (épisode 2)

- 3 - Cerrudo exhume la faille « Windows token » 

- 4 - La crise ? On s’en phishe 

- 5 - Pertes de données : Deloitte est… touché 

- 6 - Captchas, hacking IPv6, Tor torturé 

1) Pour qui sonne le glas du WiFi (épisode 1)

Elcomsoft, spécialistes du « password recovery », prétend compromettre les liaisons WiFi protégées WPA avec la vitesse de l’éclair. Une opinion plus partagée par les journalistes que par les experts du milieu.

Encore plus inquiétante que la chute des Airbus en automne (voir article suivant), la dégringolade de confiance que l’on accordait à WPA. Après que soit passé le message sur les dangers d’utiliser Wep en agglomération, voici que les spécialistes russes du mot de passe perdu, Elcomsoft, prétendent « casser WPA et WPA2 100 fois plus rapidement que par le passé ». Une « technologie » utilisant notamment des cartes graphiques très haut de gamme, dont l’usage accélère considérablement la conduite des attaques par dictionnaire. Du coup, la presse et les forums de discussion réservent un enterrement de première classe à WPA, et l’on entend çà et là conseiller l’usage du VPN. WPA est mort, vive le bout du tunnel ! Solution efficace, certes, mais dont le coût en QoS, en simplicité de déploiement et en administration dépasse le budget du plus riche des administrateurs réseau. Le cri d’alarme est lancé à l’aide d’un communiqué, puis se répand sur les médias : Slashdot, le Reg, ZDNet, voir même The Inq dont la conclusion est… pour le moins édifiante. Après le « Big One » qui ébranlait le monde TCP la semaine passée, c’est donc un véritable Tsunami qui secoue WiFi. Ou plus exactement la presse qui parle de WiFi.

Fort heureusement, quelques voix s’élèvent au dessus de ce brouhaha. A commencer par celle de Cédric Blancher, qui, dans le fil de discussion du Full Disclosure, renvoie à l’une des conférences qu’il a récemment donnée durant la dernière BA-Con. Après avoir passé en revue les différentes techniques de traitement, Cédric Blancher et Simon Maréchal abordent les considérations économiques qu’une telle attaque sous-entend, puis enchaînent sur les contre-mesures évidentes – notamment celle consistant à utiliser des mots de passe complexes. « 100 fois plus rapide ? La belle affaire », estime en substance « Sid ». « Admettons que cela représente une vitesse de traitement de 100 « pre-shared keys » (PSK) par seconde, cela n’offrirait pas de réduction significative du temps nécessaire à la découverte de la clef. C’est 10 millions de PSK qu’il faudrait atteindre pour que l’on commence à parler de perfectionnement réel de la méthode de hack ». Le monde WPA a encore de beaux jours à vivre.

On peut trouver d’ailleurs, dans les propos de nos deux experts français, une source qui semble avoir inspiré Robert Graham, d’Errata Sec. « WPA is NOT obsolete » affirme-t-il. Et de faire remarquer qu’une amélioration par un facteur 100 de la rapidité de « cassage » de clefs peut être contrée aisément par l’ajout d’une seule lettre dans la « passphrase » WPA, lettre qui accroît par un facteur 100 la complexité et la durée d’un hack en « brute force ». Même réaction de la part de George Ou, qui rappelle que l’accélération matérielle d’une « usine à casser du code » n’est pas propre à WPA… Entre les réseaux de machines collaboratives à la sauce Seti @ home et les fpga massivement parallèles tels que l’apprécient les membres du THC, il existe une multitude de machines particulièrement bien adaptées à ce genre de fonction… en attendant la déferlante encore science-fictionnesque des ordinateurs quantiques.

Pourtant, l’attaque d’Elcomsoft risque fort de porter ses fruits et de faire accroître les probabilités de piratage dans le domaine du sans-fil. En polarisant tout d’abord les attentions sur un point de vulnérabilité qui n’existe pas réellement, ce qui aurait pour première conséquence d’aveugler les usagers envers d’autres dangers, bien plus réels et plus simples à exploiter. Les « cookies empoisonnés » voyagent très bien d’un Web à une station, même par le biais d’une liaison sécurisée WPA. Existe également l’effet contraire, un « aquoibonisme » défaitiste qui consiste à dire que «  tout a déjà été cassé, et qu’il n’est pas nécessaire de s’inquiéter pour si peu ». Si rien n’est invulnérable, cela n’excuse pas l’absence de vigilance.

2) Pour qui sonne le glas du sans fil (épisode 2)

Tempête dans un verre d’éther. Elle commence par cette mésaventure aéronautique narrée par nos confrères du New Zealand Herald : un Airbus A330-300 aurait sans raison plongé de plus de 300 pieds. Echaudé par un précédent incident prétendument provoqué, en juillet dernier, par les interférences d’une souris sans fil, les enquêteurs cette fois se retournent vers les passagers et recherchent l’éventuel utilisateur d’un appareil sans fil. Il faut dire que l’inconscience des voyageurs est bien souvent la providence des compagnies aériennes. Chez Airbus, prudent, on « attend les conclusions de l’enquête ». Autrement dit, rien d’officiel avant 6 mois au moins, compte tenu de la célérité des experts dans de tels cas.

L’A330-300 et modèles semblables volent tout de même depuis un certain nombre d’années - 1993 très exactement. Si les quelques milliwatts d’une souris sans fil ou d’une clef WiFi avaient été susceptibles de précipiter 180 tonnes de ferraille et d’électronique de pointe au sol, on ne compterait plus les membres d’Al Quaida parmi les clients privilégiés de Logitech, et la division « Human Interface » de Microsoft aurait ouvert des unités de production sur l’axe Bagdad - Kandahar. C’est faire peu de cas des contraintes d’immunité aux bruits électromagnétiques (normes CEM) qui président à la qualification du moindre appareil susceptible de monter à bord d’un avion moderne. Et puis, laissent entendre certaines mauvaises langues, les téléphones portables, longtemps considérés comme mortellement dangereux à bord d’un aéronef, sont de plus en plus fréquemment les bienvenus sur les appareils en vol. Surtout, depuis l’apparition des « microcellules » embarquées, dont l’usage, facturé à la minute de communication, a fait disparaître comme par magie les risques monstrueux que pouvait faire courir la simple mise sous tension de ces terminaux mobiles. De là à imaginer que ces interférences relèvent plus du « principe de précaution shamanique » que d’une réelle protection envers un danger évident, il n’y a qu’un pas que les actions des opérateurs télécoms franchissent allègrement.

Précisons également qu’un aéronef, au cours de chacun de ses vols, passe statistiquement de très nombreuses fois au travers de champs radio intenses, notamment durant les phases de décollage et d’atterrissage. Champ émis très souvent par des installations situées dans l’immédiate périphérie des aéroports, et d’un niveau pouvant dépasser des centaines de fois l’énergie rayonnée par une clef WiFi, une souris sur 40 MHz ou un GSM sur 900 ou 1800 MHz. Il est légitime qu’un commandant de bord limite par tous les moyens les risques, même hypothétiques, qui pourraient mettre en danger la vie de centaines de personnes. Il est bien plus discutable de voir qu’une compagnie transforme ces règles de prudence en acte d’accusation, avant toute conclusion d’enquête, dans le seul but de se disculper.

3) Cerrudo exhume la faille « Windows token »

Longtemps après son premier article sur le sujet, Cesare Cerrudo nous offre, sur son site ainsi que sur Milw0rm, un petit exploit en « kidnapping de token ». C’est là le fameux «  PoC trouvé dans la nature justifiant une mise à jour du bulletin d’alerte », comme le précisait Bill Silk, du MSRC, dans le courant de vendredi dernier. Les « mesures de contournement », nous assurent les gens du Microsoft Response Team, « sont efficaces contre ce genre d’attaque ». Mais rien n’indique si le prochain « mardi des rustines » corrigera définitivement ce trou de sécurité un peu trop médiatique. Il est parfois plus simple de patcher un article technique qu’un pan du noyau Windows.

4) La crise ? On s’en phishe 

La chose pouvait être  aisément pressentie : chaque banque américaine ou européenne donne, ces jours-ci, prétexte à des campagnes de phishing mémorables. A tel point que la très sérieuse FTC, la Federal Trade Commission, lance un bulletin d’alerte prévenant les consommateurs de cette recrudescence de pourriels truffés avec de véritables morceaux d’escroquerie. Des courriers d’hameçonnage semblant provenir de l’un des nombreux repreneurs des Lehman Brothers, AIG, Bear Stearns et autres Wachovia. Des courriers qui demandent fort civilement de confirmer un dossier d’emprunt ou de vérifier une activité anormale qui n’aura pas échappé à l’acuité du chef comptable assurant la relève. Arbor Network se penche même sur l’autopsie de deux de ces escroqueries conjoncturelles. Brian Krebs, du Washington Post, développe même le sujet sur plusieurs pages, allant jusqu’à reprendre les conseils de prudence détaillés par la FTC. Il y a malheureusement de très fortes chances pour que ce genre de malversation prenne de l’ampleur. Déjà, les banque britanniques avaient, au tout début de ce mois, publié des chiffres relativement préoccupants à ce sujet, précisant que le volume de sites de phishing avait, durant la première moitié 2008, observé une croissance de plus de 180 %. Il y a fort à parier que la situation actuelle a quelque peu accéléré cette tendance.

5) Pertes de données : Deloitte est… touché 

Nos confrères d’Accountancy Age – revue dignement soporifique et pas alarmiste pour deux dollars - titre avec effroi « 100 000 identités de pensionnaires se font voler avec un ordinateur portable Deloitte ». Encore un drame de la vie des bases de données, encore un divorce de confiance. Le portable en question était glissé dans un sac à main, lequel s’est fait dérober dans un lieu public « avec les numéros d’assurance, le détail des salaires et les noms de près de 100 000 employés »… ce n’est qu’à la fin du quatrième paragraphe que l’on apprend que l’ordinateur en question était protégé par un « start up password, operating system user ID / password authentication and encryption »… C’est ce que l’on appelle « ménager ses effets ». A moins que le vol en question ait été précisément planifié et organisé par un concurrent ou ennemi, il est statistiquement peu probable que le voleur à la tire à l’origine de ce forfait se lance dans le « bruteforcing » du chiffrement de ladite machine. Laquelle doit, à l’heure qu’il est, être déjà revendue sur eBay ou reformatée pour y accueillir la dernière version de Warcraft.

Cette aventure est à rapprocher d’une autre, relatée par nos confrères de Network World : WBG, la World Group Bank, une institution spécialisée dans le financement des pays en voie de développement, nie toute rumeur de fuite de données suite à une intrusion système dévoilée par Fox News. Fox qui ne faisait pas particulièrement dans la dentelle, en affirmant que la WBG faisait face à une « crise sans précédent. Une seule chose est sûre : il y a bel et bien eu intrusion. Quant à déterminer si l’intrusion a pu parvenir jusqu’aux couches sensibles du système, il manque encore quelques preuves, que les papiers de Fox News ne peuvent apporter, s’indignent les banquiers.

Depuis l’affaire CardSystems, puis, plus récemment, le hack TJX, les médias sont de plus en plus sensibles aux histoires de perte de données. Poussés en ce sens par un quarteron de marchands d’outils de DLP (Data Loss Prevention) qui font tant et plus pour justifier le bienfondé de leurs équipements. Il est aujourd’hui des pertes de données comme il en était il y a une dizaine d’années à propos des failles découvertes dans le périmètre informatique de l’entreprise. Nessus était à l’époque le meilleur ami du Directeur Marketing, et ce n’est que 10 ans plus tard que l’on a généralement commencé à admettre le principe de gestion de risques et des rustines « plus chères à corriger qu’à craindre ». Il en sera probablement aussi ainsi pour qu’un jour on parvienne à faire le distinguo entre les intrusions, pertes accidentelles et vols de matériel d’une part, et l’exploitation effective des données d’autre part.

6) Captchas, hacking IPv6, Tor torturé 

Avalanche de « white papers », monographies et autres études en ce début de semaine. Tout d’abord, un papier (hélas in English) de François Paget sur le Blog McAfee. Paget y fait le tour des techniques anti-captchas inventées par le clan des grands polluposteurs. Rien de nouveau sous le soleil depuis les écrits de Dancho Danchev sur le sujet. Si ce n’est quelques compléments d’information intéressants et, comme d’habitude, la clarté synthétique de l’auteur. On y découvre comment les esprits retors du clan anti-captcha s’attirent la participation involontaire de personnes, qui offrent du temps de décodage aux réseaux de spammeurs, en échange des charmes d’une effeuilleuse très virtuelle. L’on apprend également que les captchas basés sur des images se font, eux aussi, percer à jour par des automatismes très perspicaces. Et ce pour une raison très simple, explique François Paget, c’est que les webmestres emploient pratiquement tous les mêmes images. Ce tour du monde du test de Turing battu en brèche par les automates prouve que rien n’est plus facile à détecter que l’erreur humaine de l’humain cherchant à déterminer une présence humaine sans erreur. Et réciproquement.

Un peu plus « drogue dure », le numéro 10 d’Uninformed. Avec notamment un papier fouillé sur les augmentations de privilège à l’aide de trois vulnérabilités découvertes dans Win32k.sys, et surtout un article signé par un ténor de la sécurité : H.D. Moore sur les failles et exploitations d’IPv6 . Si jeune et déjà 0wné ! Un peu de Nmap, un peu de Metasploit, la question n’est pas, dans les propos de Moore, de prouver la vulnérabilité de v6 ou la puissance de Metasploit, mais plutôt d’insister sur le fait que les principales failles sont provoquées par un manque de cohérence dans les infrastructures IP nationales ou mondiales, voire par une absence notable de connaissance réelle de la part de ceux qui utilisent ce protocole. Ce qui se conçoit bien s’énonce clairement et les bugs pour le dire partent automatiquement.

Le dernier tome de savoir de ce début de semaine a été rédigé par Wes Brown, de Matasano. Il explique en termes simples les techniques pour détecter et plus ou moins « percer » le secret des proxys d’anonymisation. Depuis deux ou trois ans, plusieurs chercheurs se sont penchés sur les moyens de cibler un utilisateur du réseau Tor, en circonvenant une passerelle, par exemple, ou en empoisonnant un site visité à l’aide d’astuces Java. Tor, jusqu’à présent, est infaillible. Les programmes clients utilisés sur la machine, en revanche, ouvrent des portes insoupçonnées.