L’an dernier je vous avais proposé de partager mon suivi de la conférence 26C3 en direct ou en différé, au long de quatre billets de ce blog (1, 2, 3 et 4).

Keynote, Rop Gonggrijp, We come in peace

L’ouverture était confiée cette année à Rop Gonggrijp (@rop_g, et sur Wikipédia) avec un retour sur les évènements des années précédentes, son travail notamment sur les faiblesses des systèmes de vote électronique, son point de vue sur les développements de Wikileaks et les errements des Anonymous. Enfin il a conclu sur le souhait de voir le Chaos Communication Congress continuer d’être un succès et ses organisateurs d’être à l’écoute de la communauté.

Voir son billet sur le blog du conférencier.

(MAJ 14:26 27/12/2010)

• Jérémie Zimmermann, Quadrature du Net, sur l’ACTA
• Nathan Fain & Vadik, sur les outils d’analyse JTAG (plus d’infos ici)
• Ilja van Sprundel, Hacking smartphones
• Bruce Dang & Peter Ferrie, Adventures in analyzing Stuxnet
• …

(MAJ 30/12/2010)

Lexi Pimenidis (idev), Dominik Herrmann (University of Regensburg), Contemporary profiling of Web users, ou comment les techniques d’anonymisation peuvent être contournées

Dans cette présentation, les auteurs montrent

• l’utilisation de Javascript pour obtenir des informations personnelles comme l’adresse IP réelle de connexion, malgré l’utilisation de proxies d’anonymisation;
• la collecte d’informations sur les profils des utilisateurs par les proxies d’anonymisation, les serveurs DNS alternatifs (Google, OpenDns) et les points de sortie Tor; l’idée est ici d’analyser statistiquement les sites visités et d’autres caractéristiques au cours d’une session de navigation pour l’associer à un utilisateur donné et ainsi le suivre sur plusieurs sessions, plusieurs jours…;
• la détection de bots par leur comportement ou leur signature (notamment des exemples intéressants de différences de présentation des champs d’en-tête par différents types de vrais navigateurs en comparaison à des bots qui simulent des navigateurs Web);
• un type d’attaque locale (donc sur le réseau local de l’ordinateur surveillé) sur Tor qui permet de mesurer quels sont les sites visités à partir de l’analyse du trafic, alors même que ce protocole d’anonymisation est utilisé;

Marc “van Hauser” Heuse, Recent advances in IPv6 insecurities

Présentation particulièrement intéressante et fouillée des erreurs de conception inhérentes à IPv6, qui vient compléter celle qu’il avait déjà faite voilà cinq ans (on peut la télécharger sur son site). Ce protocole qui a été conçu voilà une quinzaine d’années a tout d’abord hérité de certaines faiblesses d’IPv4 et évidemment permet de nouvelles formes d’attaques. L’auteur a développé un ensemble d’outils (THC-IPv6) qui permettent de faire différentes expérimentations sur IPv6 et notamment d’exploiter certaines de ces failles. On citera notamment des possibilités d’attaques en déni de service sur des réseaux locaux par le lancement d’annonces de routage et plusieurs façons de rediriger le trafic. Enfin, van Hauser montre de façon particulièrement pertinente que contrairement à l’idée qu’on pourrait en avoir, le nombre réel d’hôtes à scanner sur un sous-réseau est nettement inférieur à son nombre théorique (quelques milliers par rapport à 2^⁶⁴), notamment parce que dans de nombreux cas, les numéros alloués aux hôtes ne sont pas donnés au hasard (adresse MAC, type de serveur par son numéro de port typique comme 80 pour le Web, numérotations proposées dans les documentations…).

Collin Mulliner (@collinrm) & Nico Golde, Berlin Institute of Technology, SMS-o-death

L’idée de cette présentation est de regarder les vulnérabilités liées aux SMS sur les “feature phones”, c’est-à-dire les téléphones mobiles les plus communs encore aujourd’hui, malgré l’essor des smartphones. Moins coûteux, ils ont quand même un grand nombre de fonctionnalités intégrées. Tous ces téléphones étant souvent basés sur une architecture commune, par économie de développement pour les fabricants, un défaut sera reproductible sur de nombreux modèles différents. Ils ont ainsi étudié des téléphones de chez Nokia, Samsung, Sony Ericsson, LG, Motorola et Micromax (populaire en Inde).

Les SMS sont un vecteur évidemment intéressant pour les attaques, puisqu’il peut être émis depuis n’importe quel endroit. L’année dernière, Collin Mulliner avait présenté des insertions de SMS pour attaquer des smartphones. Pour leurs expérimentations, ils ont utilisé OpenBSC (présenté au SSTIC par H. Welte), une implémentation libre de contrôleur de station de base GSM et les ont menées dans une cage de Faraday.

Les failles découvertes montrent qu’il est possible de faire planter tous les modèles de téléphones testés à différents degrés, avec un ou plusieurs SMS, parfois sans nécessiter que l’utilisateur ouvre le message (messages Flash). Dans certains cas le téléphone n’accusant pas réception du SMS, le réseau renvoie le message rendant le téléphone inutilisable tant que le SMS n’est pas accepté en insérant la carte SIM dans un terminal d’un autre fabricant.

Ils ont ensuite conclu sur des scénarios d’attaques massives qui pourraient utiliser ce mécanisme pour s’en prendre à un opérateur ou à une foule d’utilisateurs.

A suivre… (je mettrai à jour ce billet au fur et à mesure du visionnage des conférences ce qui pourrait prendre une bonne semaine !)

On peut lire dans l’article du Parisien du 8 mars 2010, qui est inclus dans un dossier sur les outils d’espionnage des téléphones portables:

Interdit à l’usage, pas à la vente
Un an de prison et jusqu’à 45 000 € d’amende : c’est ce que l’on risque en jouant les apprentis espions. La loi française, en vertu des articles 226-1 et suivants du Code pénal, est très claire en matière d’atteinte à la vie privée.
Il est ainsi répréhensible de « capter, enregistrer ou transmettre, sans le consentement de leurs auteurs, des paroles prononcées à titre privé ou confidentiel ».

Eh bien non ! L’article 226-3 du code pénal interdit “[...] la fabrication, l’importation, la détention, l’exposition, l’offre, la location ou la vente, en l’absence d’autorisation ministérielle dont les conditions d’octroi sont fixées par décret en Conseil d’Etat, d’appareils conçus pour réaliser les opérations pouvant constituer l’infraction prévue par le deuxième alinéa de l’article 226-15 ou qui, conçus pour la détection à distance des conversations, permettent de réaliser l’infraction prévue par l’article 226-1 et figurant sur une liste dressée dans des conditions fixées par ce même décret. [...]“

Ce n’est d’ailleurs pas pour rien que les deux sociétés citées dans l’article du Parisien sont basées pour l’une au Royaume-Uni et pour l’autre en Suisse. Vous noterez au passage, que non seulement la vente sans autorisation, mais aussi la simple détention (notamment par un particulier) d’outils d’espionnage de cette nature sont illégales sans l’autorisation appropriée (on risque un an de prison et 45000 euros d’amende) !

Et le journaliste d’affirmer: “Seule l’utilisation de ces logiciels est illégale, mais leur vente est parfaitement légale”.

FAUX !

En effet, l’article 226-3 du code pénal dispose que:

Est punie des mêmes peines la fabrication, l’importation, la détention, l’exposition, l’offre, la location ou la vente, en l’absence d’autorisation ministérielle dont les conditions d’octroi sont fixées par décret en Conseil d’Etat, d’appareils conçus pour réaliser les opérations pouvant constituer l’infraction prévue par le deuxième alinéa de l’article 226-15 ou qui, conçus pour la détection à distance des conversations, permettent de réaliser l’infraction prévue par l’article 226-1 et figurant sur une liste dressée dans des conditions fixées par ce même décret.

Est également puni des mêmes peines le fait de réaliser une publicité en faveur d’un appareil susceptible de permettre la réalisation des infractions prévues par l’article 226-1 et le second alinéa de l’article 226-15 lorsque cette publicité constitue une incitation à commettre cette infraction.”

La peine prévue par l’article 226-1 et l’article 226-15 du code pénal est d’un an d’emprisonnement et de 45000 euros d’amende. Il est parfaitement illégal de commercialiser ces outils d’espionnage!

Le CLUSIF présentait mercredi 13 janvier 2010 son panorama 2010 sur la cybercriminalité. Je n’étais pas sur la scène cette année, en effet nous avions invité Isabelle Ouellet de la Sûreté du Québec pour représenter les services d’enquête. A noter enfin les travaux présentés par François Paget sur une société Ukrainienne.

La présentation est disponible en téléchargement sur le site du Clusif et la vidéo le sera d’ici quelques jours.

Comme chaque année, il s’agit d’offrir un regard sur les événements de l’année passée en matière de cybercriminalité et de sécurité des systèmes d’information et d’envisager leur impact sur la France en particulier pour l’année ou les années à venir. L’ensemble des membres du groupe de travail ont alternativement pointé des faits d’actuailité de 2009 qui leur semblaient importants, en ont discuté, et ensuite un certain nombre d’entre nous ont été choisis pour les présenter. Le travail s’est donc enrichi cette année par l’apport de personnalités étrangères (notamment canadienne et roumaine) et par un rallongement de la présentation pour intégrer les risques numériques.

En italique mes commentaires personnels éventuels.

• Sécurité du GSM: Alain THIVILLON (Consultant chez HSC) a présenté les risques autour de la confidentialité des communications GSM qui ont été dévoilés cette année. Une raison de plus de s’intéresser en 2010 aux risques inhérents aux terminaux mobiles (systèmes d’exploitation plus ouverts, logiciels malveillants, connexion permanente…).
• Services généraux sur IP: sécurité périmétrique ou incendie, réseaux de commande industrielle, gestion de l’alimentation électrique, etc., l’ensemble des services généraux basculent dans le monde IP et il devient de plus en plus criant que la sécurité de ces services contre les atteintes classiquement rencontrées dans les réseaux IP n’est pas prise en compte. La présentation reprend des cas concrets d’atteintes à des systèmes de vidéo surveillance notamment.
• Câbles et ruptures de service: Pascal LOINTIER (Président CLUSIF) reprend alors la parole pour rappeler les différents incidents survenus en 2009 sur des infrastructures de réseau ou d’énergie transcontinentales ou locales. Il conclut sur la nécessité de toujours prévoir une double adduction sur les sites critiques.
• Cloud computing: Les offres d’hébergement mutualisé “dans le nuage” ont de plus en plus de succès, qu’il s’agisse de gestion complète de son courrier électronique, de son back office ou de sa présence commerciale. Le but de cette évocation est de rappeler qu’il s’agira toujours d’hébergement physique avec les risques inhérents et qu’il faudra toujours y regarder de près quant au lieu de stockage des données (risques juridiques et sécuritaires) ou aux garanties de reprise d’activité: la délégation de la sécurité ne veut pas dire sécurité absolue.
• ANSSI – retour d’expérience sur une attaque en déni de service: après avoir présenté la nouvelle agence créée en juillet 2009, qu’il a rejointe à ce moment-là pour diriger le CERTA, Franck VEYSSET est revenu sur les enseignements de la gestion d’une attaque en déni de service contre un serveur Web de l’administration. L’impact sur l’ensemble des services de messagerie ou même d’accès Internet a été immédiat et la réponse a été tant technique que judiciaire. Ainsi, des règles de routage (blackholing) ont permis au bout de quelques heures de diminuer l’impact et l’enquête judiciaire a conduit dans les jours suivants à la saisie d’ordinateurs qui servaient en France – à leur insu – à relayer cette attaque. Virut semblerait être le logiciel malveillant exploité pour exercer cette attaque.
• Réseaux sociaux, menaces opportunités et convergence: Yann LE BEL (SNCF). On ne peut plus en douter aujourd’hui, au-delà de leur usage classique, les réseaux sociaux sont le lieu de tous les phénomènes sécuritaires des années à venir (gestion des conflits sociaux, communication des groupes criminels, rencontre avec les victimes, atteinte à l’image ou à la vie privée, diffusion de logiciels malveillants et autres méthodes d’escroquerie, etc.). 2010 devrait confirmer cette tendance et on peut parier sur une explosion de l’actualité sécuritaire autour des réseaux sociaux.
• Carte bancaire: Fabien DAVID (Telindus), la carte bancaire est l’objet de toutes les attentions en 2009. La carte à puce EMV n’est toujours pas universelle, le modèle de sécurité PCI est discuté, les malwares apparaissent sur les guichets automatiques de banque et certains schémas ne résistent pas au passage à l’an 2010… Beaucoup de travail en vue pour les spécialistes.
• Web 2.0, le 5ème pouvoir: Isabelle OUELLET (Sûreté du Québec) questionne l’impact du WEB 2.0 sur la société et l’émergence d’un cinquième pouvoir qui vient remettre en cause le pouvoir des médias, des gouvernements, et notamment des services de police. Sont cités notamment des cas de justice populaire numérique.

Une entreprise criminelle au microscope

Petite particularité pour cette année avec la présentation de François PAGET (McAFEE Labs) des résultats de ses recherches (avec un autre expert Dirk KOLLBERG) sur une entreprise ukrainienne aux activités manifestement douteuses et parfois illégales.

I[...] – et les sociétés qui lui sont directement liées (I[...], V[...], W[...], K[...], …) – produit notamment des faux antivirus et autres spywares ou scarewares (voir par exemple cet article sur Wikipédia). Pendant plusieurs mois ces experts ont amassé des dizaines de gigaoctets de documents sur les activités de cette société et exploré sa présence sur les réseaux sociaux.

Les enseignements: cette société a pignon sur rue, est organisée comme n’importe quelle SSII, recrute dans les grandes universités ukrainiennes (et certains de ses anciens employés sont maintenant dans de grands groupes internationaux) et elle réalise un chiffre d’affaires ahurissant (180 millions de dollars en un an). Elle dispose même d’un support technique pour ses clients malheureux, destiné à les arnaquer dans la durée !

Affaire à suivre donc !

Enquête sinistralité

Dans l’actualité du CLUSIF, le lancement de son enquête 2010 sur la sinistralité. L’enquête se déroulera au cours des six semaines à venir auprès des grandes entreprises et des administrations. A partir de mars, un groupe de travail étudiera les résultats de cette enquête.

• Il semblerait qu’il faille un grand nombre (plusieurs millions) de messages “à clair connu” pour réaliser en pratique cette nouvelle attaque, ce qui correspondrait en réalité à une très très très longue conversation ;
• En conclusion de leur article, les auteurs rappellent que leur démonstration ne conduit pas à dire qu’on peut facilement attaquer Kasumi/A5/3 tel qu’implémenté dans les réseaux GSM, mais que la conception même de Kasumi (dérivé de Misty1) a introduit des défauts qui le fragilisent grandement (défauts dont ne souffrirait pas Misty1).

Donc: non, A5/3 ou Kasumi n’est pas encore craqué, en revanche ses fondements sont fragilisés.

Lundi

• Michael Brennan a exposé ses travaux à l’université de Drexel sur la “Stylométrie”. Il s’agit de l’attribution d’un texte à un auteur à partir de son étude linguistique. La présentation portait aussi sur les impacts de ces méthodes en matière de vie privée: peut-on se faire passer pour un auteur, peut-on détecter un pastiche, peut-on cacher son style ?
• Un français, Sébastien Bourdeauducq (alias lekernel), a présenté son travail sur la plateforme Milkymist de synthèse d’effets spéciaux visuels. Il s’agit de développements réalisés sur un circuit logique programmable FPGA, en licence opensource.
• Collin Mulliner, “Fuzzing the phone in your phone” (déjà présenté au Black Hat USA 2009), travail conjoint avec Charlie Miller. Il s’agit d’insérer des SMS dans le téléphone mobile comme s’il les recevait du réseau (via la connexion modem du terminal) pour tester différentes hypothèses et concevoir des attaques par SMS (attaque en déni de service contre l’IPhone, Android ou Windows Mobile) et surtout permet de détecter des bugs dans les téléphones.
• FX de l’équipe Phenoelit présente des travaux sur la protection contre les attaques basées sur du contenu riche sur Internet (il a étudié les animations Flash malveillantes). Il s’agit de tester les applications Flash avant leur exécution. On peut trouver de l’information sur ce projet sur son site et ici un lien vers un article qui rend compte de cette présentation.
• Henryk Plötz et Karsten Nohl, ont renouvelé l’attaque qui avait défrayé la chronique sur la classe de produits Mifare Classic il y a deux ans, mais cette fois sur Legic Prime, un produit de contrôle d’accès sans contact d’origine Suisse. Ils avertissent que cela ne concerne pas pour l’instant les nouveaux produits de cette société (Legic Advant). Un autre article qui rend compte de cette présentation ici.
• Sous le pseudo nibbler, une présentation intitulée “Haste ma’n netblock“, au sujet de la récupération légale (ou non) des blocs d’adresses IPv4 alloués mais non utilisés…
• Philippe Langlois et Vanessa Brunet, dans “SCCP hacking, attacking the SS7 & SIGTRAN applications one step further and mapping the phone system“, sujet déjà présenté ce mois-ci à Sao Paulo. Y sont présentés différentes vulnérabilités, possibilités d’attaques et solutions de sécurisation des réseaux de téléponie modernes.

A noter que les vidéos officielles sont maintenant disponibles.