février 7th, 2011

C’est une longue histoire où se mêle suspens et effets narratifs que nous relate Wired, via une reproduction publiée par Lottery Post. L’histoire d’un statisticien Canadien qui, par passion et curiosité, découvre une faille dans les gilles de « jeux de grattage ». Une exception dans le domaine ? Pas même, car sa « technique » pour découvrir les tickets gagnants s’avère efficace sur plusieurs cartes émises dans plusieurs villes, tant Canadiennes qu’Etats-uniennes : il suffit de repérer les billets comportant, dans la partie de la grille « découverte », des singletons (numéros uniques, non redondants). Une faille corrigée depuis (de l’autre côté de l’Atlantique) et provoquée par la nécessité pour l’éditeur de tickets de maîtriser les pourcentages de gains. Une obligation qui bannit l’usage d’une distribution des nombres réellement aléatoire. Or, en chiffrement comme en jeux de hasard, une faille (ou une limitation) dans le générateur de nombre aléatoire utilisé pour fabriquer les jeux gagnants ou les clefs de protection compromet fortement l’intégrité du système. Comment un tel défaut n’a-t-il pas été découvert plus tôt ? Parce que, explique l’auteur, la grande majorité des tickets de jeu sont achetés par à peine 20 % de la population, et que ces habitués des jeux de hasard de grande consommation en quête d’espoir de richesse, font partie de la tranche la moins riche et la moins éduquée de la population. Peut-on y voir l’indice d’une sorte de ségrégation des niveaux de sécurité selon les clivages sociaux ? D’autres exemples tendraient à confirmer cette tendance, exemples allant de l’antivol pour automobile aux huisseries et serrures de domiciles, en passant par la disponibilité ou non d’utilitaires tel que Bitlocker sur Windows 7 Entreprise et Intégrale.. mais pas sur les éditions « Home ».

Pourquoi est-il intéressant de moins protéger les « pauvres » ? Les réponses sont multiples. Dans bien des cas, ce raisonnement est lié à un problème d’économie d’échelle : modifier la conception d’un billet de loterie défectueux, d’une serrure ou d’un chambranle de mauvaise qualité coûterait plus cher que les pertes qu’occasionnerait ce défaut. C’est sur cette logique que fonctionnent encore bon nombre d’établissements bancaires et compagnies d’assurance lorsqu’une fuite d’information est constatée ou qu’un cambriolage a lieu : le remboursement est toujours moins élevé que l’estimation des atteintes à l’image de marque. L’autre raison est bien plus pernicieuse : si les « pauvres » étaient mieux protégés, il n’y aurait plus de différence technique entre deux victimes potentielles… ce qui inciterait les escrocs, voleurs, cambrioleurs, usurpateurs d’identités et autres membres des petites et grandes truanderies, à déployer des efforts comparables que la victime soit riche ou pauvre. Autant, dans ces conditions, s’attaquer aux plus possédants. La préservation de l’espèce pauvre est une logique largement pratiquée par les compagnies d’assurance, les constructeurs d’automobile etc. Les pauvres sont plus nombreux, ils rapportent plus aux délinquants. Y compris dans le domaine de la sécurité informatique.

Des p’tits trous, encore des p’tits trous… dans WebEx, le logiciel de vidéoconférence de Cisco. La solution : mettre à jour avec la nouvelle édition en date.

Une nouvelle version de Cain et Abel (attention, lien de téléchargement direct) est disponible sur le site Oxid.it. Elle porte le numéro d’immatriculation 4.9.38 (touché, mot de passe coulé)