Vous reprendrez bien un peu de bullrun?

Chaque révélation de Snowden fait ressortir les vieilles antiennes comme quoi internet est cassé, que la NSA sait tout, lit tout, contrôle tout et déchiffre tout, et que plus rien ne sera jamais comme avant (ou pas).

On retrouve toujours plus ou moins les mêmes informations, qui semblent toutes tirées des articles cités par Schenier sur son blog. Il y eu beaucoup de spéculations par la suite autour des capacités hypothétiques des mathématiciens de la NSA et de leur puissance de calcul.

Ce qui apparaît comme hautement probable, c'est leur monstrueuses capacités d'écoutes et de stockage. A titre d'exemple, je me souviens d'avoir lu sur un blog la retransmission d'un appel d'offre de la NSA qui souhaitait disposer d'une infrastructure égale à celle d'internet pour rejouer et tracer des attaques 'at scale' .

Mais ceci dit, il n'y a pas grand chose de neuf. La NSA écoute, stocke, déchiffre ce qu'elle peut, ce que tout informaticien un peu versé dans la sécurité connaît (et on peut ajouter que la NSA n'est sûrement pas la seule organisation à écouter, stocker et déchiffrer).

Le gros point négatif à noter concerne les capacités de la NSA à influer sur les choix cryptos des logiciels, comme le dit Schneier: "The math is good, but math has no agency. Code has agency, and the code has been subverted." Il y a trois ans, on avait lu cette histoire (qui avait souvent été qualifiée d'impensable à l'époque): http://marc.info/?l=openbsd-tech&m=129236621626462&w=2 concernant la pile IPsec
d'OpenBSD qui avait été affaiblie. On en lit beaucoup d'autres depuis la sortie de Snowden, comme le G+ de Theodore Ts'o

Je trouve malgré tout deux points intéressants à tirer de cette annonce:
-Certains procédés cryptos ne sont finalement pas si faibles que ça puisque la NSA cherche à mettre des backdoors malgré leur armée de mathématiciens doublée d'une débauche indécente de force de calcul brute. Ce qui signifie qu'une implémentation solide de ces algos sera réellement solide: moralité, si votre algo a fait l'objet d'un amendement de la NSA pour modifier un paramètre ou ajuster une constante, alors c'est qu'il est sans doute fiable :-) (une fois le paramètre ou la constante NSA-compliant retiré bien entendu)
-Je lis beaucoup de réflexions des cryptologues autour des algos de chiffrement: qu'est ce qu'un IV fort, faible, comment s'assurer que le RNG est fiable, comment sont choisis les paramètres des courbes elliptiques, etc.. ce qui ne pourra que profiter à la sécurité générale des communications. Le message sur openBSD avait été l'occasion à l'époque de refaire une passe complète sur la stack IPsec ce qui n'est jamais mauvais.

Pour la suite, on attend les prochaines révélations. Ca continuera peut-être sur les écoutes, ça partira peut-être sur les APT menés par la NSA.

---
A lire, en lien avec le sujet: http://www.bortzmeyer.org/crypto-protection.htmlhttp://www.bortzmeyer.org/crypto-protection.html

Hard: la dernière frontière

Wikipedia indique qu'un ordinateur est une machine électronique qui fonctionne par la lecture séquentielle d'un ensemble d'instructions qui lui font exécuter des opérations logiques et arithmétiques sur des chiffres binaires.
Mais un ordinateur est également un ensemble de composants électroniques reliés entre eux. Parmi les plus courants, nous retrouvons la carte mère, le CPU, la mémoire, le disque dur, la carte réseau, (éventuellement une carte graphique, clavier, souris) etc...

La sécurité informatique s'intéresse beaucoup aux informations traitées par l'ordinateur afin de garantir un certain niveau de confiance dans celles-ci. Le système d'exploitation et les applications tournant sur une machine sont donc une cible de sécurité importante. Mais l'OS est loin d'être le seul composant qui exécute des instructions. Chaque composant peut être pris comme un sous-système électronique qui traite des informations. Et on constate que tous ces composants sont faillibles.
Imaginez une carte réseau qui ne remonte que certains paquets, mais pas tous au système? Ou bien un disque dur qui cache des données à un filesystem, ou une carte mère qui hooke avant le boot des fonctions? Cela obérerait lourdement le fonctionnement des outils de sécurité.

Si je reprends la liste de composants donnée plus haut, on peut trouver très facilement pour chacun d'eux des failles (la liste des failles n'est pas exhaustive):

• carte mère: rakshasa qui indique "hardware backdoring is practical" ou avec l'UEFI
• carte réseau: nicssh, ou une conférence SSTIC 2010
• disque dur: hddhack
• carte graphique (pas de lien dans mes favoris pour celui-là, mais cet équipement est toujours présenté comme étant plus puissant que l'UC centrale )
• clavie: un keylogger dans le firmware d'un clavier apple
• USB: une souris malveillante ;) et encore une conférence au SSTIC
• CPU: Joanna Rutkowska indiquait il y a peu de temps encore qu'elle ne croyait pas aux backdoors dans les CPU. Faut il la croire?
• etc..

Lorsqu'en plus, ces composants sont assemblés et pré-installé, quelle
confiance avoir dans le software de sécurité que l'on installe tout au
dessus? Est-ce que le prochain vecteur des APT ou des infections de masse sera t'il celui-ci?

Lectures d'été - Malwares & Cyber War

J'ai lu deux bons livres[1] qui méritent une revue.

Le premier s'appelle "Malwares - Identification, analyse et éradication" et est écrit par Paul Rascagnères. Il est présenté comme le premier livre en français traitant de reverse et d'analyse de malwares. Ce livre m'a beaucoup plu. Il est très didactique et contient de très nombreux exemples réels basés sur des malwares récents. Ce livre ne se focalise pas sur un produit ou un langage en particulier et l'auteur n'hésites pas à utiliser et donner des exemples concrets d'outil comme gdb, IDA, malwasm, python, ruby, scapy, etc..
Pour tirer toute la substantifique moëlle de cet ouvrage il est utile d'être à proximité d'une machine et de rejouer les exemples.
Bref, que du bon, du miel à toute les pages, et j'en regrette qu'il soit si court, finalement.

Dans un autre registre, le second est un ouvrage en anglais: "Cyber War - the next threat to national security and what to do about it" de Richard A. Clarke et Robert K. Knake. Ce livre n'est pas du tout technique, fait la part belle au story telling à l'américaine[2] et explique en des mots simples les risques posés par cette fameuse cyberguerre. On attend la page 77 pour trouver le premier terme technique (DNS), et l’Amérique est présentée comme dépendante au cybermonde et mal protégée contre des attaques. Au second degré, la lecture est un peu plus amusante lorsque l'on connaît l'historique de ce monsieur Clarke: Armée, défense, conseil au président, etc..
Donc sans nuire à la qualité de ce livre, cela biaise certains points de vue: les exemples de risques donnés par la cyberguerre sont chinois ou russes (on ne parle pas de Stuxnet sauf en appendice tout à la fin). Les 5 risques intrinsèques d'internet sont: le DNS, BGP, le fait que la majorité soit transmise en clair, la fait qu'il soit possible d'envoyer du malware sur internet sans restrictions, mais aussi qu'internet soit à la base une invention des hippies des annés 70 :D (et ça, je pense que dans l'esprit d'un militaire américain, c'est grave: pas de contrôle central, équivalence des informations etc..).
C'est donc un bon livre non technique qui fourmille d'anecdotes et de cas concrets, qui pose des concepts intéressants d'une manière très accessible (ce qui permet de réviser son anglais).

[1] Pour éviter d'être écouté par PRISM ou XKEYSCORE, il est toujours possible de lire des livres en bon vieux papier!
[2] Cela démarre par "Il était une nuit d'hiver dans la ville de Washington, etc.." et les tournures de phrases ressemblent souvent à de la littérature d'espionnage de roman.