novembre 25th, 2015

Il se fait appeler Superfish 2.0, en référence à un problème similaire rencontré sur les ordinateurs Lenovo. « Il » est un certificat racine (baptisé Edellroot) et une clef privée installés par défaut sur une majorité de machines Dell vendues depuis août dernier, et identiques sur tous les appareils vendus. Ce qui a pour résultat que n’importe quel possesseur de ladite clef peut créer des certificats donnant « patte blanche » à n’importe quelle sorte de service (équipement réseau, service IP, programme signé…) qui seront alors considérés comme dignes de confiance par le certificat racine.

Cet ensemble de certifications a été conçu pour fonctionner jusqu’en 2039, assez de temps pour que tous les ordinateurs Dell de la création soient, un jour ou l’autre, victime d’une injection de code ou d’une attaque « man in the middle » accompagnée de fuites d’information, puisque la vulnérabilité rend possible l’écoute de tout échange SSL. La procédure d’élimination de ce certificat n’est pas triviale, car tant que le service « Dell Foundation » est actif, Edellroot renaît de ses cendres. Le Sans décrit la procédure d’éradication pas à pas et fournit, au passage, un lien permettant de déterminer quelle machine est vulnérable.

Patreon, site de financement participatif Britannique qui avait subi une attaque résultant en une fuite de données début octobre, voit ses clients menacés par des maîtres-chanteurs. « Payez ou nous révélons au public vos données personnelles et bancaires… » intime ce groupe d’escrocs qui semblerait être le même à s’être livré à ce genre d’exercice avec les clients Ashley-Madison. Hélas pour eux, la politique de chiffrement des données bancaires qu’affirment avoir déployé les responsables de Patreon rend excessivement improbable le fait que la moindre information bancaire puisse être obtenue. Les victimes potentielles, indiquent nos confrères de CSO Online, ne font preuve d’aucune inquiétude. Parfois, les black hats subissent des revers qui ne doivent rien aux vendeurs de produits de sécurité.