mai 10th, 2013

HES 2013 (2 au 4 mai dernier) pourrait se résumer ainsi : Vive l’Internet des Objets, vive les NFC, vive les technologies Sans Fil de tous crins, elles nous promettent des décennies de développement « quick & dirty », des avalanches d’erreurs d’intégration, des torrents de trous et de « sécurité par obscurantisme » qui feront la joie des reversers et autres hackers. Poussées par la mode et par l’opportunisme des formules faciles, ces techniques (appelées aussi technologies) font de plus en plus parler d’elles dans le monde du hacking et de la sécurité. Principalement en raison de la mode de l’Internet des Objets tant vantée par quelques Ministres et beaucoup d’industriels, mais également parce que la communauté sécurité commence à découvrir, avec près de 15 ans de retard, la souplesse et la facilité d’utilisation des radios logicielles.

Le festival du sans-fil s’est ouvert avec une présentation de RFCat, effectuée par Adam Laurie, Pape du hacking des RFID (http://rfidiot.org/). Il s’agit à la fois d’un firmware open source que l’on peut récupérer sur Google Code et d’une plateforme matérielle organisée autour du CC1111EMK, outil de développement signé T.I.. Ce circuit intégré est en fait un émetteur-récepteur couvrant les bandes ISM 315/433/868/915 MHz. Une vision bien plus étriquée que ce qu’appelle Laurie un hacking « sub-GHz ». C’est d’ailleurs avec un récepteur à couverture générale, le Funcube Dongle que le chercheur effectue ses premières approches de détection.

Le principal avantage des radios logicielles sur les émetteurs-récepteurs conventionnels, c’est qu’elles travaillent non plus sur un signal unique de quelques centaines de Hz, mais sur tout un spectre, pouvant couvrir plusieurs MHz d’un coup. Un travail qui s’entend aussi bien en émission qu’en enregistrement de ce spectre. En enregistrant un spectre, l’on peut plus aisément analyser « post mortem » une transmission numérique, même et surtout si celle-ci est accompagnée de signaux associés ou de sous-porteuses ou qu’elle comporte (c’est d’ailleurs souvent le cas) des données très importantes durant les premières secondes de transmission : préambules, handshake, échanges de clefs… En émettant dans les mêmes conditions tout spectre enregistré, sans même que l’utilisateur/hacker ait à analyser le signal, il devient possible de lancer des séries de « replay attack ». Adam Laurie montrait ainsi comment activer une sonnette de porte, ouvrir les portières d’une coûteuse automobile de marque allemande ou décoder le signal d’une commande de porte de garage.

Comme la majorité du traitement de signal est effectuée par logiciel sur un ordinateur tout à fait conventionnel (sous Windows ou Linux) il est également possible de filtrer, traduire, transformer des informations analogiques reçues en données binaires compréhensibles par tout système numérique. La démonstration de Laurie reprenait en ce sens ce qu’il avait déjà écrit sur son blog début mars et qui explique de manière très claire comment passer de la réception au décodage, puis du décodage au spoofing.

Ouvrir un porte, activer une sonnette, voilà, reconnaissons-le, de tous petits hacks sans grande conséquence. Mais ils donnent à réfléchir à la communauté des chercheurs en sécurité qui, des années durant, ont ignoré la couche « hardware » et son cousin germain, le fer à souder. Il faudra attendre encore quelques mois, peut-être quelques années avant que l’on voit se répandre des outils un peu moins « gadget » que des RFCat. Propreté d’émission, immunité à l’intermodulation provoquée par des signaux hors bande, sélectivité, propreté en termes de bruit de phase, tout ça est encore inconnu de bien des apprentis RF hackers aujourd’hui.

Nous nous enfonçons chaque jour un peu plus profondément dans la quatrième cyberdimension. Sans le secours d’AlienVault, comment aurions-nous su, par exemple, que le Ministère du Travail US avait été piraté par de probables agents Chinois ?. Un hack qui redirigeait outrageusement d’honnêtes travailleurs afin probablement de leur extorquer quelque menue monnaie et, au passage, plusieurs informations techniques concernant leur environnement dans le but de zombifier leur machine. On frémit à la seule idée qu’une telle aventure puisse un jour survenir en France, que le site de Pôle Emploi (en maintenance, veuillez consulter cette page plus tard) soit subrepticement caviardé par de dangereux agents asiatiques.Chrch monteur H/F comp. Electron. travaillant plus pour gagner moins, Ref Foxconn007. Urgent, Chef de rang et gâte sauce, spécialiste cuisine Sichuan, repas à emporter. Salaire : 3500 Yuan x12, appartement de fonction, banlieue de Wanxian. On en frémit.

Autre attaque, revendiquée cette fois par la très médiatique cyber-armée syrienne, qui a pris pour cible le compte Twitter de The Onion, journal satirique d’expression Anglaise, aussi irrévérencieux que loufoque. Plusieurs médias ont rapporté l’information, notamment Raw Story. A moins que ce hack ne soit un canular de plus monté par la rédaction de The Onion, ce que laisserait penser le Twitt prétendument détourné : « non, il n’y a pas eu usage d’arme chimique, affirme l’ONU. Les analyses prouveraient qu’il s’agirait des odeurs corporelles des jihadistes ». Détourner un compte est une chose parfois plus facile que de savoir imiter le mauvais goût et le nonsense du média anglo-saxon le plus farfelu de la planète. Et quand bien même cela serait que tout l’honneur en reviendrait encore à l’Onion.

Selon le Ministère de la Justice US, l’administrateur principal du botnet « financier » SpyEye aurait été extradé de Thaïlande vers les USA. Il est sous le coup de 22 chefs d’inculpation auprès de la Cour de Géorgie. Sa culpabilité réelle est cependant contestée et minimisée par plusieurs experts Français qui ne voient en lui qu’un lampiste, ex-petit truand du phishing en France il y a quelques années, et codeur occasionnel de plugins autour de SpyEye.