Le Darpa souhaite la mort du « logon/password »

Le prochain buzzword du landerneau sécuritaire risque d’être « cognitive fingerprint », que l’on pourrait traduire par « empreinte biométrique intelligente ». Le but visé est de remplacer toutes les lettres de crédit numériques actuelles (identification et mot de passe) par une caractéristique physique propre à chaque individu. Rien de nouveau sous le soleil, sinon que l’initiative est signée Darpa… le « machin » à l’origine d’Internet. Ce n’est pas rien, en matière de lobbying.

Mais qui dit biométrie pense capteur… et méthode pour le tromper. Empreintes digitales récupérées à grand renfort de colle cyanoacrylate, analyse rétinienne ou faciale entourloupée par une simple photographie noir et blanc, ce genre de hack fait la joie des chercheurs en mal de sujet de conférence, le bonheur des journalistes de la presse grand-public et les programmes des xxCon du monde entier.

Et c’est là que le Darpa marque un point : le meilleur des capteurs biométriques est un capteur qui n’a pas été prévu pour être biométrique. Et de citer en exemple les multiples travaux universitaires ayant fait l’objet de publications Outre Atlantique. Le JPL, par exemple, envisage d’utiliser les émetteurs des appareils mobiles (wifi/gsm …) et mesurer les variations de champ provoquées par les battements du cœur de l’usager. Le récepteur est déjà en place, manque seulement le logiciel d’analyse. D’autres organismes proposent des moyens bien plus classiques mais pourtant rarement utilisés, telle l’analyse temps/fréquence (spectre sur la durée) de la voix humaine. Même une « replay attack » à l’aide d’un magnétophone de qualité ne peut présenter les mêmes caractéristiques de signal. Et les outils d’analyse existent déjà depuis belle lurette. Passons également sur les réflexes personnels d’usage (frappe clavier, mouvement de souris, attitude du visage et du tronc de l’utilisateur face à l’écran, réaction face à un message d’erreur, tics d’utilisation…) autant de signes comportementaux quasiment impossibles à imiter… du moins au stade de l’outil faisant office de capteur.

L’initiative du Darpa ne peut pourtant être couronnée de succès que sous une condition. Celle qui consisterait à inciter les équipementiers à diffuser très largement et très rapidement ces nouveaux systèmes biométriques. Plusieurs raisons à cela.

En premier lieu, la multiplication des mécanismes d’authentification rend plus complexe l’automatisation des vols massifs de sésames électroniques. Elle nécessite une réponse adaptée à chaque protection. Ce qui pourrait « sauver la planète numérique » n’est pas l’aspect purement biométrique de l’authentification, mais le polymorphisme qu’il entraînerait.

Ensuite, l’absence de capteur dédié limite les chances de développement d’une contremesure spécifique. Plus un système de protection est spécifique, plus il s’expose à une contre-attaque spécifique à l’aide de doigts en plastique et photos noir et blanc. Une analyse spectrale de la voix sur un ordinateur a de fortes chances de fournir une signature biométrique qui sera totalement différente sur un autre ordinateur et avec la même voix, simplement en raison des disparités dans les réponses en fréquence des microphones, des amplificateurs, du bruit de phase des étages de conversion A/N… pour n’en citer que quelques-uns.

Enfin, l’aspect dynamique de l’analyse biométrique (que l’on devrait d’ailleurs appeler comportementale plutôt que biométrique) complexifie la génération d’un « même » numérique. Certes, il sera toujours possible de synthétiser une voix, une attitude, une frappe clavier si l’on possède une bibliothèque conséquente d’échantillons. Mais l’attaque ne peut être étendue à grande échelle. Le « superbiométrique cognitif » du Darpa pourrait être vulnérable aux attaques ciblées.
Mais la capture de la signature n’est pas tout. Les systèmes d’identification-authentification utilisés ont des chances d’aboutir à la génération d’un hachage qui, lui, est également vulnérable à un grand nombre d’attaques, à commencer par l’antique pass the hash, toujours aussi efficace. Cette menace est envisagée dans le cadre d’une seconde phase du programme Darpa, qui vise à voir se développer des jeux d’API les plus universelles possibles.