janvier 21st, 2010

Cryptome divulgue deux tomes publiés par le Mitre et intitulés « Study of Vulnerability of Electronic Communication Systems to Electronic Interception ». Une analyse des risques d’interception des principaux moyens de communication modernes. Le document date de 1977 et s’avère dépassé en matière d’écoutes des réseaux numériques et radio.

Les mauvaises langues diront qu’il y a là un certain parfum de vengeance… Tavis Ormandy, sur le « Full Disclo », signale l’existence d’une faille dans le support 16 bits de Windows NT. Un trou qui remonte à la haute époque de Windows NT 3.10 (le tout premier du nom). Pour information, Tavis Ormandy est Information Security Engineer chez Google. Vous avez dit bizarre ? Comme c’est étrange ! Sa découverte aurait fait l’objet d’une première signalisation fin juin 2009 et serait demeurée sans correction depuis… Ce qui aurait motivé la publication spontanée de ce PoC à piquer sur l’une des ressources de l’auteur. Ah, si tout le réseau Google avait utilisé Chrome et Chrome OS…

La parade est simple, explique Sylvain Sarmejeanne sur le blog du Cert Lexsi, puisqu’il s’agit de désactiver le sous-système 16 bits. Une astuce également signalée par l’inventeur de la faille et l’équipe technique de Microsoft au fil d’une alerte publiée le 20 du mois. Les noyaux 64 bits, précise l’éditeur, ne seraient pas concernés. Toujours dans ce même communiqué, l’on peut lire la description pas à pas d’une modification de la ruche supprimant les exécutions en mode 16 bits. Voilà qui risque de poser quelques problème à d’antiques applications héritées de la période « Nantucket Clipper » et autres vieilleries, qui n’ont plus de possibilité de survie que dans le cadre étroit et ralenti d’une machine virtuelle sous Hyper-V ou Virtual PC.

Amusante et sans surprise, cette étude d’Imperva sur l’analyse statistique des 32 millions de mots de passe qui ont pu « fuir » de RockYou. Par ordre de fréquence, les inscrits utilisaient les sésames suivants :

1. 123456

2. 12345

3. 123456789

4. Password

5. iloveyou

6. princess

7. rockyou

8. 1234567

9. 12345678

10. abc123

Passé la onzième place, les crédences deviennent nettement plus personnelles : Nicole, Daniel, Jessica, Michael, Ashley… à tel point que les très classiques 654321 et QWERTY ne viennent qu’en 19ème et 20ème position. De manière plus générale, 41,6 % des mots de passe étaient constitués de minuscules alphabétiques, 1,6% de majuscules alphabétiques, 37 % de caractères alphanumériques, 15% de caractères uniquement numériques et seuls 3,8% mélangeaient lettres, chiffres et caractères spéciaux.