février 15th, 2016

On causait « électromagnétique » et hacking matériel, lors du dernier FIC 2016. Timidement, certes. Car le sujet est encore peu vendeur aux yeux des grandes structures. Certes, l’internet des objets (et les multiples hacking en coupe réglée qui font le buzz des DefCon et CanSecWest) est parvenu à attirer l’attention des instances sur la quasi absence de sécurité numérique desdits objets. Dame, on ne transforme pas un équipementier en expert sécurité du jour au lendemain. Les exigences en termes de mise sur le marché, la quasi absence de responsabilité financière, le langage ésotérique des gourous du reversing ne jouent certainement pas en faveur d’une amélioration de la situation.

C’est Renaud Lifchitz (Digital Security), un coutumier des hacks inattendus, qui a le plus fait parler de lui, en décrivant par le menu les multiples erreurs d’intégration d’un verrou « connecté » de fabrication Française. Déjà, par le passé, ce chercheur s’était évertué à tutoyer les systèmes de fermeture VigiK qui équipent la majorité des immeubles d’habitation, entreprises et bâtiments de collectivités… le crochetage (même virtuel) des verrous et loquets est une tradition du milieu. Cette fois, c’est au tour d’une serrure IoT prétendument sécurisée par un chiffrement AES256 « niveau Défense Nationale ». Mais les erreurs de développement et d’intégration s’accumulent. Notamment une question révélatrice posée probablement par l’un des développeurs sur un forum public et aisément retrouvée après un peu de « google hacking ». Ou encore le choix de certaines options techniques (notamment une clef dérivée d’un code PIN à 4 digits (une graine qui n’autorise en fait qu’une clef 14 bits)). Voir un jeton secret directement lisible dans le code source, une URL d’authentification extractible et utilisable ad nauseam… la conférence tenue par Lifchitz est, comme à l’accoutumée, pareille à un feu d’artifice d’absences, d’erreurs humaines, de négligences et de confiance mal placée. Même un spécialiste de la sécurité périmétrique physique ne peut avoir la science infuse et se prétendre compétent en matière de sécurité numérique.

Moins officiellement, l’on parlait également dans les allées du FIC, des vulnérabilités des deux grands opérateurs de réseaux IoT Français. Mauvais choix d’intégrateur pour l’un (choix dont la responsabilité ne dépend pas du concepteur), volonté absolue de tout vouloir contrôler et intégrer, du protocole à la plateforme pour l’autre, avec les risques de sécurité qu’implique cette dispersion des énergies et des compétences. Pour l’heure, la meilleure des attitudes est de considérer que tout objet de l’Internet est faillible « by design », que tout réseau de liaison desdits objets ne peut être considéré comme fiable, tout comme l’étaient les applications et serveurs Web au début des années 2000.

Lorsqu’en notre pays François l’on évoque le mot « souverain », c’est généralement pour détacher soigneusement le chef de celui qui en porte le titre à l’aide d’un instrument tranchant …

Il est donc assez logique qu’à l’occasion du FIC 2016, se soit vue décapitée l’idée d’un « OS souverain ». Double décapitation, devrait-on dire, puisque la première lame qui soulève l’idée est maniée par Guillaume Poupart, Patron de l’Anssi, lequel assure en substance que « tout au plus parlera-t-on d’un noyau Android ou Linux durci pour certains secteurs d’application ». Il n’est pas question (d’ailleurs qui donc pourrait assurer un tel travail) de concevoir un système d’exploitation de A à Z, dont les espérances de survie seraient bien faibles face à des géants de la taille de Microsoft, Google ou des principaux Linux.

La seconde lame qui coupe l’idée à la racine est maniée par Bernard Benhamou, lequel préside aux destinées de l’Institut de la Souveraineté Numérique (ISN). Dans une tribune publiée par nos confrères des Echos, Benhamou réduit en cendre cette chimère, prouvant si besoin en était que l’ISN a de la voix et ne compte pas entrer dans le hit-parade des Comités Théodule de la Vème République. Durcir un noyau déjà existant, oui, le concevoir entièrement, hors de question.

Et pourtant. C’est bel et bien dans l’amendement CL129, qui réclame à cor et à cris la création d’un organisme spécifiquement chargé de cette mission (ndlr : la souveraineté numérique), qu’est lâché la petite phrase « Ce rapport précise les conditions de mise en place, sous l’égide de ce Commissariat, d’un système d’exploitation souverain et de protocoles de chiffrement des données ». En jargon de Ministre, on appelle ça une logique de causalité … un léger moment d’égarement ?

Tout aussi abracadabrant que puisse être le mythe d’un noyau et d’une panoplie de chiffrement franco-franchouillards utilisés dans les limites d’un périmètre Plougastel-Mittelhaubergen- Le Petit Bornand- Saint-Jean Pied de port, cela n’arrête pas un quarteron de députés de droite, sous la houlette de Madame Kosciusko-Morizet, de sauter à pieds joints sur le sujet et déposer l’amendement CL92. Amendement qui viserait à « éviter que des systèmes de cryptage individualisés ne retardent la poursuite d’une enquête », en « obligeant les constructeurs de matériel à prendre en compte l’impératif d’accès des policiers et gendarmes ». Ergo, coller des backdoors de partout.

Au risque de rabâcher de vieilles évidences, il faut rappeler que le titre même de « tiers de confiance » (le gardien des clefs donnant accès à ces portes dérobées) est un véritable appel au viol numérique. S’il ne fallait citer qu’un seul exemple, ce serait celui précisément de tous les grands vendeurs de certificats, de RSA à Commodo en passant par DigiNotar, dont certains des blancs-seings dérobés durant le hack de leurs serveurs, furent utilisés tant par les barbouzes de la CIA et du Mossad (Stuxnet) que par les cybertruands Russes, Chinois et Brésiliens. De nos jours, un bon virus est un virus capable d’arborer un certificat valide. Demain, un bon outil de cassage de code vendus sur le darknet pourrait être, sans le moindre doute,« certifié compatible backdoor NKM ».

Car l’idée d’une porte dérobée qui ne serait jamais découverte, qui ne ferait jamais l’objet d’une fuite, d’une indiscrétion, il faut la reléguer au rang des contes pour enfants. Et encore, mineurs de 10 ans. Savoureux paradoxe que les exigences de certains députés qui, invoquant la sécurité de l’Etat, étayent l’idée d’une porte dérobée dans un système de chiffrement, en prenant pour exemple les « fichiers Snowden ». Donc précisément par une fuite ayant affecté un organisme d’Etat prétendument inviolable, du moins un peu plus sécurisé qu’un simple tiers de confiance.

Rassurons tout de suite nos Ministres : même sans porte dérobée dans un système d’exploitation, même sans compromission de l’aléa d’un outil de chiffrement, il se trouve assez d’octets dans ces logiciels pour abriter un nombre souvent impressionnant de failles et de bugs. Certains d’entre eux sont d’ailleurs parfaitement connus des services de police.

Cryptage, cybercrime, fichier des gens innocents, le Forum International de la cybersécurité 2016 a renoué avec un vocabulaire des années « 11 septembre » que l’on croyait oublié. C’est Xavier Bertrand, actuel Président du Conseil Régional du Nord Pas de Calais, qui ouvrait le bal avec un discours d’ouverture musclé.
« La cybersécurité est un enjeu régalien » affirme-t-il. « De défense, de sécurité intérieure, marquée par la persistance du terrorisme ainsi que de multiples formes possibles d’attaques, entre les Etats et contre les Etats ». « Il faut », explique-t-il en substance, « adapter notre arsenal juridique à de nouvelles formes de criminalité, recourir aux moyens NTIC pour moderniser nos moyens d’investigation et de sécurité publique ». Et de plaider en faveur d’un regroupement des services d’investigation et de l’ensemble des acteurs techniques et scientifiques, au sein d’une même direction au niveau national. Vidéosurveillance, systèmes de traitement du Big Data pour détecter les signaux faibles, drones urbains, mettre en commun les différents fichiers informatiques « pour garantir plus d’efficacité aux services de police et de gendarmerie »… et d’ajouter être partisan de l’adoption d’un PNR Européen (enregistrement des données personnelles des passagers des lignes aériennes), voire même de son extension aux lignes ferroviaires.
Le « tout numérique » au détriment du travail de terrain, le « tout fichiers » au grand dam des défenseurs des libertés individuelles et des groupes de travail Européens tels que le 29A et des différentes CNIL participantes, le « tout filmé » et le « tous en rangs » si prisé Outre Manche.

Neogend, 60000 smartphones spécifiques pour policiers et gendarmes

Le général Denis Favier, Directeur général de la Gendarmerie nationale, a, quant à lui, centré le débat sur les hommes et sur les moyens. Et d’expliquer comment, progressivement, région après région, le programme Neogend pourra se déployer. « Chaque gendarme, équipé d’un smartphone ou d’une tablette, pourra, sur le terrain, disposer des mêmes niveaux d’information que ceux disponibles en brigade ». Projet initié en région Nord-Picardie, et qui devrait s’étendre à la totalité du territoire d’ici à 2017. La « mobilité » et les réseaux numériques au secours des missions territoriales en quelques sortes. Smartphone ou tablette ? Il semblerait que dès le début, les forces de police et de gendarmerie aient en grande majorité préféré le téléphone, pour d’évidentes raisons d’encombrement et de facilité d’utilisation. Neogend offre l’accès aux principaux fichiers des personnes recherchées, la possibilité d’envoyer ou de récupérer des documents de taille importante (principalement des photos), sans oublier bien sûr la messagerie tactique. Neogend apporte donc aux forces de l’ordre ce bureau mobile, un lieu de travail virtuel déjà pratiqué par des centaines de milliers de cadres itinérants dans le civil, avec les avantages et les inconvénients sociaux que cela implique. C’est également, faut-il noter, une première dans le domaine de la police et de la gendarmerie qui, de tous temps, a tenu à conserver une infrastructure de communication (par courrier de surface, moyens radio HF ou UHF etc.) interne et spécifique. Neogend s’appuie essentiellement sur un opérateur civil. Une externalisation qui peut soulever certaines questions en matière de fiabilité en cas notamment de catastrophe naturelle ou d’attentat. A ces remarques, les gendarmes impliqués dans cette expérimentation précisent que le terminal mobile peut tout de même continuer à échanger via les outils de transmission embarqués, au détriment certes de la bande passante, mais avec assez de fiabilité pour assurer au moins le fonctionnement de la messagerie tactique.