Contourner le chiffrement d’un disque sous Linux

Alors que le chiffrement complet du disque d’une machine compte parmi les pratiques de référence, pour éviter notamment le vol de données par compromission physique, celui-ci apparaît aisément contournable sous Linux, lorsqu’il est mis en œuvre en s’appuyant sur le standard Luks et l’utilitaire Cryptsetup. C’est du moins la découverte réalisée par Hector Marco et Ismael Ripoll, deux chercheurs de l’université polytechnique de Valence, en Espagne.

Dans un document détaillant leur trouvaille, les deux chercheurs expliquent que « la vulnérabilité permet d’obtenir un shell root initramfs sur les systèmes affectés. La vulnérabilité est très fiable parce qu’elle ne dépend pas de configurations ou de systèmes spécifiques. Les attaquants peuvent copier, modifier ou détruire le disque dur, ainsi que configurer une interface réseau pour exfiltrer des données ». Les systèmes utilisant dracut pour leur phase d’initialisation seraient également concernés.

La vulnérabilité trouve son origine dans la manière dont est gérée la vérification de mot de passe dans un script : « lorsque l’utilisateur dépasse le nombre d’essais erronés de saisie de mot de passe (trois par défaut), la séquence de démarrage continue normalement ». Mais le système échoue naturellement à monter le volume système chiffré, sans y parvenir. A l’issue de plusieurs essais en vain – 30 sur une machine x86, et 150 sur une machine PowerPC), le script fautif ouvre un shell – Busybox – à l’utilisateur. Dans la pratique, « l’attaquant n’a besoin que d’appuyer sur la touche entrée à la demande du mot de passe et de la laisser enfoncée jusqu’à l’apparition du shell, ce qui survient après environ 70 secondes ».

Si les chercheurs estiment que la vulnérabilité peut être particulièrement dangereuse sur des systèmes aux fonctionnalités ciblées – distributeurs de billets, kiosques publics, machines d’aéroports, laboratoires, etc. –, ils soulignent qu’elle pourrait également être exploitée en environnement Cloud, à distance, sans avoir d’accès physique.

Les systèmes utilisant Debian et Ubuntu – voire des distributions dérivées « mais nous n’avons pas testé », précisent les chercheurs – sont vulnérables. La correction de la vulnérabilité apparaît relativement simple, et les éditeurs de distributions Linux ne devraient pas mettre bien longtemps à proposer des mises à jour. Encore faudra-t-il qu’elles soient installées.