Spécial sécurité : l'implémentation de SSL par les smartphones n'est pas à toute épreuve

Sommaire :

1 - Smartphones : globalement vulnérables

2 - Le marché de la sécurité en faillite ?

3 - Hacker des humains à coup de wireless

1 - Smartphones : globalement vulnérables

Smobile Systems s’est livré à un test portant sur la solidité des protections SSL mises en œuvre dans les « smartphones » utilisant une liaison WiFi. L’Apple iPhone, le Nokia N95, le HTC Tilt, l’Android G1 ont tour à tour été soumis à une série d’attaques, afin de vérifier si les informations transmises pouvaient être interceptées. Et ce notamment durant la phase la plus délicate de la session de connexion : l’envoie du couple login/mot de passe.

Et les résultats ne sont pas brillants.

Les outils employés sont classiques : Arpspoof, SSLstrip de Moxie Marlinspike et Wireshark. Les tests ont porté sur les principaux navigateurs et « clients » de messageries utilisés par ces téléphones. A une exception près –Xpress Mail- aucun terminal n’a résisté à l’attaque MITM. La probabilité d’une telle technique d’intrusion est d’autant plus élevée qu’il est aisé de trouver des « nids » de téléphones en train de tenter de se connecter à un serveur de messagerie du côté de La Défense ou autour des hot-spots du premier arrondissement, par exemple. Et rien ne permet de suspecter un hacker « noir » qui utiliserait un ordinateur portable à proximité desdites victimes.

2 - Le marché de la sécurité en faillite ?

De l’avis même des équipementiers, le marché « grands comptes » en matière d’équipement de sécurité a subi, tout au long de l’année 2009, un fléchissement notable. Fléchissement principalement dû au fait que les investissements liés aux « mises en conformité » (Sarbox, Bâle II etc) avaient été épuisés. La crise aidant, les enveloppes « sécurité » ont été soit diminuées, soit réaffectées à d’autres postes IT. En revanche, le secteur des UTM et autres équipements d’entrée de gamme semblait résister au choc : les ventes appliances intégrant la totalité des « anti-tout » (antivirus, antispyware, antirootkit, firewall etc) remplissaient les carnets de commande.

McAfee, dans une étude détaillée par nos confrères du Security Focus, semble penser exactement le contraire. Le secteur SMB, sur un échantillonnage mondial d’une centaine d’entreprises « type », aurait, pour les trois-quarts des sondés, fortement restreint, voir supprimé les budgets consacrés à la sécurité. Et ce, insiste McAfee, malgré la conscience aigüe que ces mêmes entreprises ont de l’importance à mieux protéger leurs « richesses numériques », dont la perte ou la fuite pourrait entraîner leur disparition pure et simple.

3 - Hacker des humains à coup de wireless

MM Joey Wilson, Neal Patwari et Fernando Guevara Vasquez de l’Université de l’Utah ont publié un mémoire de recherche portant sur la conception d’un radar capable de « voir » au travers des murs. La version « hard science » toute en équations se télécharge sur le site de l’Université, l’édition vulgarisée avec vidéo de démonstration peut se lire sur le Web de cette même Université. Dans les grandes lignes, ce radar indiscret fonctionne par échotomographie. Il utilise une ceinture d’émetteurs-récepteurs qui, en fonction des réflexions provoquées par les objets et les personnes, donnera après traitement une cartographie dynamique de l’intérieur d’une pièce. Comparativement à d’autres procédés hyperfréquences analogues, celui-ci possède plusieurs avantages indéniables : son coût, tout d’abord, puisque la ceinture est constituée d’appareils peu coûteux fonctionnant dans la bande WiFi. La fréquence employée est également très intéressante, car capable de traverser certains matériaux (notons que les démonstrations ont été effectuées dans une pièce dont 3 cloisons sur 4 sont en bois, la quatrième en briques). Des applications en défense périmétrique physique sont donc tout à fait envisageables tant que l’espace à couvrir n’est pas occulté par un panneau en béton armé ou de nature métallique. Son temps de réponse ensuite (la détection s’effectue pratiquement en « temps réel »), et enfin son caractère purement « volumique », qui détecte toute variation de perturbation du champ électromagnétique. Humain ou robot, tout mouvement apparent peut être remarqué, ce que ne peut pas prétendre un détecteur à infrarouge passif, qui ne remarquera que certaines sources de chaleur.