janvier 31st, 2013

Douche écossaise pour Skype qui, en moins d’une semaine, essuie deux revers. L’un purement viral, l’autre essentiellement politique.

Le revers viral est notamment révélé par Trend Labs, qui décortique deux virus-vers capables d’être véhiculés par Skype. L’un de ces malwares fait partie intégrante du tristement célèbre Shylock, l’un des « trojan banker » voleur de crédences le plus répandu dans le cyberespace ces jours-ci. Une vulnérabilité et une exploitation active qui tombent fort mal, puisque ces derniers jours, Microsoft lance une campagne pressant les usagers de Messenger d’abandonner leur ancien IM et de migrer sous Skype.

Certes, Messenger n’est pas un parangon de sécurité et nombreux sont les malwares capables de propager des url faisandées via cet outil de communication. Mais abandonner un vieux navire dont on connaît le moindre défaut pour s’embarquer sur une embarcation que l’on sait activement exploitée par des infections n’est pas franchement rassurant.

Mais plus que ces considérations infectieuses, c’est, une fois encore, le soupçon de l’existence de multiples backdoors qui turlupine un groupe de personnalités de la presse ainsi que diverses associations de défense des libertés individuelles. Lesquels ont formé une sorte de comité de salut public et écrit une lettre ouverte aux principaux responsables de Microsoft en général et de la division Skype en particulier. Lettre qui demande instamment des clarifications sur les soupçons de portes dérobées pouvant se trouver dans le code de ce programme utilisé par plus de 600 millions de personnes de par le monde. Et de citer en exemple les politiques de transparence pratiquées notamment par Google, Twitter ou Sonic.net. Les promesses n’engageant que ceux qui font l’erreur d’y croire, on peut se demander à quoi peut bien servir un tel Dazi Bao. Probablement n’est-ce là qu’une manière comme une autre de prévenir les usagers qu’un risque existe et que, quel que soient les réponses que Microsoft daignera apporter, la confidentialité des propos tenus via Skype n’est en aucun cas meilleure que celle garantie par une liaison GSM. Le nombre de services officiels et de « plombiers officieux » susceptibles de fliquer les conversations est simplement légèrement plus élevé dans l’un des deux cas.

*NDLC Note de la correctrice : lire « cent sous six ». Rébus de Frédéric le Grand à Voltaire (venez souper à Sans Soucis) auquel François Marie Arouet répondit par un « j’ai grand appétit ».

Une porte dérobée (accès ssh) a été découverte dans certains équipements Baracuda par les chercheurs de Sec Consult. « Several undocumented operating system user accounts exist » précise l’alerte du laboratoire Autrichien. Comptes burinés dans les entrailles les plus profondes du silicium et qui « ne pourraient être désactivés ». Baracuda, pour sa part, éclaire la chose d’une manière très différente et parle de « mots de passe liés aux configurations par défaut ». Un fichier correctif colmate en grande partie les risques liés à cet état. Le Sans a immédiatement répercuté l’alerte, tandis que Brian Krebs s’est intéressé à la persistance de cette mauvaise configuration. Tout laisse à penser, estime Krebs, que ces vulnérabilités existent au moins depuis 2003. Outre ces trous dont on ne sait s’ils ont été prévus à des fins de télémaintenance, de contrôle de parc ou de barbouzerie, les chercheurs Autrichiens ont relevé plusieurs plages de ports réservés, certains d’entre eux étant situés dans des segments « privés non routables », d’autres, entre 205.158.110.0 et 216.129.105.0, ouvrant vers le réseau public.

* NDLC Note de la correctrice : De Voltaire à Frédéric le Grand, se prononce « G grand, A petit »… voir NDLC de l’article sur les backdoor Skype