mai 22nd, 2014

Insomni’hack a achevé son cycle de conférences avec l’intervention très attendue d’Adam Laurie, pour une fois non accompagné de son « hardware guy » Zak Franken. Depuis quelques temps, ce spécialiste des RFID s’est engagé dans le lancement d’un « kickstarter » baptisé RFIDIer, à la fois un lecteur, enregistreur et émulateur d’étiquettes RFID … et qui fonctionne. Laurie clonera, en fin de conférence et en moins de 15 secondes, la carte d’accès d’un OIV important situé en région Grenobloise. RFIDIer n’est rien d’autre qu’un SDR, une radio logicielle, spécialisée dans l’attaque des RFID sur 13 MHz. Le fait que la section analyse-démodulation-décodage-émulation-modulation de signal soit purement logicielle donne à cet outil la capacité de travailler même sur des étiquettes radio hors protocole connu, hors norme définie. C’est d’ailleurs en expliquant les principes de l’analyse des signaux en bande de base que le père de RFIdiot débute sa conférence : afsk, fsk, psk, codage NRZI et autres Manchester ou Bi-phase. Les principaux moments de cette conférence sont détaillés sur le blog de l’auteur, sous le titre évocateur de « the long dard tea-time of the blog ». Les lecteurs du Douglas Adams et les fans de Dirk Gently apprécieront.

En moins d’une heure, le Hacker holistique massacrait allègrement toute trace de confiance aveugle que l’on pourrait encore avoir en ces véhicules de « l’internet des objets ». La généralisation des RFID est probablement la plus grande opportunité offerte par les lobbies du commerce et du micro-payement aux escrocs en tous genres, aux collectionneurs de données personnelles et aux cambrioleurs qui trouvent plus simple de clôner une clef en plastique plutôt que de varapper sur une façade d’immeuble. Car toutes les cartes ne seront pas égales devant les dieux du couplage magnétique. Certaines sont très bien conçues, protégées, chiffrées, très difficilement contournables, d’autres sacrifient la sécurité aux prix de revient ou sont conçues par des équipes qui écartent d’un revers de main toute probabilité d’attaque matérielle. « Trop complexe, trop coûteuse »… Il y avait une époque avant GnuRadio et les SDR d’entrée de gamme. Mais ça, c’était il y a longtemps.

Alors que Laurie copiait sans vergogne cartes d’accès et jetons de péage, Bruno Kerouanton intriguait l’assistance avec une autre forme de hack radio (voir photo). Un court message en AFSK était diffusé sur une portion libre de la bande FM dans le cadre très restreint de l’enceinte de conférence. Le ton était donné : Kerouanton, le plus breton des hommes sécurité Helvétiques a disserté sur l’esprit hacker, sur cette quête perpétuelle de la connaissance intime des techniques en général, sur ce désir de détourner et de comprendre « for fun and profit ». Est-il surprenant alors que Bruno Kerouanton ait joyeusement mélangé le décodage d’un signal « pirate » à l’aide d’un récepteur SDR, la composition d’œuvres musicales numériques ou le monde des jeux époque Commodore 64 ? Une vidéo de cette présentation peut être trouvée en parcourant Internet… aux plus « hackers » dans l’âme de la trouver.

Ange Albertini, un autre habitué des conférences sécurité, avait impressionné l’assistance de Hack in Paris l’an passé sur son art de faire contenir pratiquement n’importe quoi à un fichier EXE. Depuis, ce chercheur s’est évertué à diversifier son art du camouflage et du « même », faisant passer des vessies pour des fichiers pdf et des documents stéganographiques parfaitement chiffrés pour des lanternes parfaitement lisibles par des yeux non experts. Cette science de la structure des fichiers est détaillée au fil de ce qui doit être probablement le « slideware » le plus volumineux de l’histoire des conférences sécurité. Rappelons au passage l’impressionnant travail de reverse engineering que ce chercheur a effectué dans le domaine des jeux d’arcade.

Nicolas Grégoire, dont la réputation de tueur de MSXML a largement dépassé les frontières Européennes, montrait comment gagner honnêtement sa vie de chercheur grâce aux « primes aux bugs » offertes par les entreprises et organisations telles que le Zero Day Initiative, tout en dénichant des défauts ne nécessitant ni analyse poussée à grands coups d’IDA Pro, ni exploitation de vulnérabilité en mode « client side attack ». Quatre « victimes expiatoires », Oracle, Xalan-J, Prezi et YQL ont été ainsi donnés en exemple. Et l’on apprend, par exemple, que certains services en ligne utilisent des versions de code réputé vulnérable, quand bien même des éditions plus récentes corrigées seraient disponibles dans le commerce. Une bonne connaissance de l’histoire des failles, un examen attentif des applications accessibles sur Internet, un travail de bénédictin, la recette qu’applique nicolas « nicob » Grégoire depuis des années fait de lui l’un des chasseurs de failles