Catégorie : Hacking

[En bref] Windows 7 et sa mise à jour « foireuse »

Dans une récente actualité dont j’a pu prendre connaissance chez les copains de Next INpact, j’ai appris qu’une mise à jour étrange était proposée, hier, dans Windows Update, pour Windows 7 exclusivement.

Cette mise à jour n’est restée qu’un temps très court mais suffisant pour provoquer un petit vent de panique : les services de Microsoft ont publié une mise à jour qui n’aurait jamais du être envoyée, c’était une « mise à jour de test », à déclaré la société.

Dans le laps de temps entre l’apparition de la mise à jour et le communiqué de Microsoft, beaucoup de suppositions ont, semble-t-il, vu le jour. Bug, test, piratage de Windows Update …

Cela m’a fait penser à ce billet que j’ai rédigé il y a quelques temps, où je parlais d’un scénario catastrophe dans lequel je me demandais « imaginons qu’une mise à jour foireuse soit forcée, qu’est-ce qui se passera ?« 

Nous sommes partiellement dans ce cas, la mise à jour n’est pas restée longtemps et ne portait que sur Windows 7, mais c’est arrivé et certains utilisateurs semblent s’inquiéter et galérer.

J’espère que Microsoft va réfléchir quant au fait de ne pas avoir un réel contrôle des mises à jour sous Windows 10 (exception faite des éditions pro où il est possible de reporter ces mises à jour).

MyFord App, une application pour déverrouiller votre voiture.

L’application MyFord App permet aux propriétaires des voitures du même constructeur d’interagir avec leur véhicule, dans une certaine mesure.

La dernière mise à jour de l’application, disponible sous iOS et Android, va un peu plus loin encore que ce qu’elle proposait avant : il est possible de verrouiller et déverrouiller sa voiture via l’application.

Continuer la lecture de MyFord App, une application pour déverrouiller votre voiture.

Vie privée et infidélité : mariage consumé.

Le site AshleyMadison.com s’est fait pirater ses bases de données, plus de 37 millions de clients risquent de voir leur vie intime exposée. Le compteur « plus de 37.565.000 membres » prend un tout autre sens maintenant.

Qu’on se le dise, votre serviteur n’est pas pour les pratiques du site AshleyMadison.com, qui offre une solution aux hommes et femmes mariés en recherche d’une liaison adultère. Pour autant, comme toute fuite de données privées, nous allons en parler.

Que s’est-il passé exactement ?

Il semblerait que les bases de données du site se baladent dans la nature et que certaines menaces apparaissent avec, notamment celle de publier toutes les données « in the wild ».

The Impact Team – qui n’a rien à voir avec Next Inpact, espérons-le – revendique le piratage et exige la fermeture de l’ensemble des sites gérés par Avid Life Media, le groupe qui gère AshleyMadison.com ainsi que deux autres sites du même acabit.

La société déclare avoir déjà identifié le ou les membres de The Impact Team, déclarant qu’il pourrait s’agir d’un ancien employé de la société.

Les raisons de la colère?

Selon un message de The Impact Team, l’action fait suite à un « faux droit à l’oubli », payant de surcroit. Le site propose en effet de supprimer toutes vos données personnelles (résultats de recherche, contenus, photos, messages…) pour 19 dollars, mais ne le fait pas, ce que la team est en capacité de démontrer.

En résumé, l’éditeur du site masque simplement les données pour qu’elles n’apparaissent plus. Si on ne les voit plus sur le site, elles n’en restent pas moins présentes sur les serveurs dudit éditeur.

Pour le reste des explications, allez lire l’article de Guillaume Champeau, dont je me suis fortement inspiré.

Une action collective ?

La question mérite d’être posée : si les données sont publiées, est-ce que les clients du site peuvent se retourner contre l’éditeur ?

Si ce dernier n’est pas l’auteur du piratage, il n’en reste pas moins qu’il a vendu une prestation – la suppression des données personnelles – sans l’honorer, puisque les données fuitent maintenant dans la nature. Les clients de ce site sont peut-être dispersés aux quatre coins du globe, envisagent-t-ils d’attaquer Avid Life Media pour manquement à ses obligations ?

Une question de confiance. (Encore.)

L’éternelle question de la confiance revient sur la table : « Doit-on accorder notre confiance à un site lorsqu’on sait qu’un jour il sera peut-être piraté ? » .C’est un problème complexe où la réponse ne peut se résumer à un simple « oui » ou « non », le oui revenant à ne pas prendre en compte ces dangers, le non revenant à ne plus rien faire sur Internet.

La question est d’autant plus importante que les données de ce site sont très particulières, on ne parle pas de bisounours mais d’adultères, de désirs et souhaits sexuels, d’orientation sexuelle aussi, de choses qui touchent globalement à la sphère très intime de ce qui définit la vie privée.

La divulgation de ces données pourrait porter préjudice à l’ensemble des clients, dans de nombreux domaines de ces derniers. On pourra me répondre « ils n’avaient qu’à pas tromper » mais c’est une réponse à une action sans doute composée d’énormément de paramètres dont nous n’avons pas forcément connaissance, c’est trop simple, c’est un ressenti que tout le monde ne partage pas. La simple existence de ce genre de sites en est la preuve.

Bref, la confiance, revenons-y. Comme j’en parlais très récemment au sujet de Google, lorsque je demande la suppression des données, qu’est-ce qui me garantit que la demande est prise en compte et effective ?

Google n’est pas en reste, puisque ce problème existait déjà avec Facebook, quand vous supprimiez une donnée, elle restait stockée sur les serveurs de Facebook, la société désactivait simplement son affichage, comme Google, comme AshleyMadison…

Cliquer sur le bouton supprimer revient donc à croire un simple « faites-moi confiance », sans garanties supplémentaires.

edit : je me permets un petit ajout suite à divers tweets que j’ai pu voir passer, qui se « réjouissent » de cette nouvelle, en condamnant les clients et surtout les clientes dudit site…

Premièrement, il n’y a aucune différence entre un homme qui trompe son ou sa partenaire et une femme qui trompe son ou sa partenaire. Non. A ce titre, un « homme à femmes » n’est pas un Don Juan et une « femme à homme » n’est pas une….

Pour terminer : saviez-vous que certaines personnes (très très très largement des hommes) frappent, battent et parfois tuent leur femme lorsqu’ils apprennent qu’elle a commis l’adultère ?

Alors, que vous soyez d’accord ou non avec la pratique, de grâce, réfléchissez.

GoLeaks : les leaks de l’Ouest.

J’ai décidé de vous parler de GoLeaks, une plateforme de leaks comme son nom l’indique, suite à une conférence très intéressante lors du festival « Pas Sage en Seine 2015 », où j’ai rencontré @Datapulte, hacker en charge de la partie technique du projet.

Le projet semble bien parti, solide et pas décidé sur un coup de tête. Les personnes qui vont s’occuper du projet sont fiables et de confiance.

La première plateforme régionale de récolte et de diffusion d’information, de « leaks », par des sources anonymes, va donc prochainement voir le jour.

Petit tour d’horizon de GOLeaks.

Le GO, c’est pour Grand Ouest, les leaks porteront sur l’ensemble de la Bretagne et on peut déjà imaginer des leaks en lien avec Notre-Dame-des-Landes par exemple, mais pas que. De la fuite très locale, du village à la ville, de l’élu local à beaucoup plus, il y a là, à mon avis, beaucoup de choses à récupérer.

Ce sont ces raisons qui ont entrainé la création de GOLeaks.

Le projet

Le besoin est le suivant : partager une information sensible ou compromettante, une information qui mérite d’être connue du grand public. Cette information, en raison de son caractère sensible, ne peut pas être partagée via des outils « classiques », par mail, SMS, au téléphone …

Il faut être capable de protéger et d’anonymiser au maximum la source de l’information, clef de la réussite des sites de leaks. Nous reviendrons sur ce point un peu plus loin dans le billet.

Protection des sources, travail avec les journalistes et les maisons de presse, gestion des échanges entre source et journaliste pour sécuriser au maximum la source, telles sont les ambitions du projet.

Techniquement

La plateforme est découpée en deux parties, l’une servant de vitrine, l’autre étant la réelle plateforme d’échange.

« Les deux sites sont séparés et hébergés à des endroits différents, chez un opérateur de confiance, afin de sécuriser au maximum les plateformes. S’il y a une faille de sécurité sur un site, elle ne permettra pas de remonter jusqu’à l’autre », m’explique @Datapulte, hacker en charge du projet.

Sur le site web « classique », on découvre les raisons du projet ainsi que ses ambitions. D’ici à son lancement, la vitrine de Goleaks changera, pour indiquer aux utilisateurs qu’il faut un protocole de connexion et de contact spécifique pour déposer une information sur la plateforme.

La plateforme centrale sera un service caché dans le réseau TOR (avec une adresse qui se termine en .onion pour faire plus clair). De facto, il faudra obligatoirement utiliser TOR afin de pouvoir envoyer une information au site, @Datapulte m’explique…

« on ne veut pas mettre en danger une source, nous allons donc forcer l’utilisation de TOR pour sécuriser un peu plus les échanges. Notre but est de servir de plateforme de leaks mais pas n’importe comment et surtout pas en compromettant des sources désireuses d’échanger des informations sensibles ».

Qu’on se le dise, @Datapulte sait où il veut mener le projet, ce qui est très rassurant aux vues du projet.

Une fois un leaks déposé sur le site, il sera mis à disposition de journalistes afin qu’ils puissent traiter l’information, nous y reviendrons. Les échanges avec les journalistes exigeront le même protocole de connexion que celui des sources : TOR.

GOleaks permettra aussi l’envoi de mails chiffrés, à la source et au journaliste, en servant d’intermédiaire. « Nous avons choisi d’être l’intermédiaire entre une source et un journaliste pour sécuriser au maximum les échanges. Une source souhaite contacter un journaliste, un mail chiffré est envoyé par Goleaks au journaliste, qui doit passer par la plateforme d’échange afin de pouvoir répondre à la source. ».

Pourquoi servir de plateforme centrale et incontournable ?

A cette question, @Datapulte me répond « nous pensons qu’il est préférable qu’un journaliste et une source ne soient pas directement en contact. En procédant ainsi, s’il y a un problème, la source ne met pas en danger le journaliste et vice-versa. Dans le pire des cas, si une source est grillée ça ne pourra remonter que jusqu’à Goleaks, idem si c’est un journaliste, la piste ne pourra remonter que jusqu’à Goleaks. Nous sommes conscients de notre rôle de fusible ».

Je trouve ce point très positif, dans les explications fournies, je sens réellement la volonté de minimiser les risques et dangers, « le risque zéro n’existe pas, mais on cherche à s’en approcher le plus possible ».

Rajoutons que Goleaks tourne sous Globaleaks, une plateforme open-source dédiée aux leaks. Globaleaks est développé par “Hermes Center for Transparency and Digital Human Rights”, Globaleaks est, par exemple, utilisé par « Le Monde » via https://secure.sourcesure.eu.

C’est un projet très suivi, régulièrement mis à jour et assez sécurisé, considéré comme une excellente initiative par de nombreux journalistes et hackers, comme ceux du CCC ou Jacob Applebaum par exemple.

Serveurs séparés, hébergés chez un acteur de confiance, passage par TOR requis, mails chiffrés, plateforme qui s’impose un niveau de sécurité élevé… les outils ne manquent pas pour faire de Goleaks une réussite.

Reste le problème des sources et de l’utilisation des outils, parfois compliquée pour des utilisateurs néophites.

A nouveau, @Datapulte a les idées claires sur le sujet : « concernant les leaks, nous pensons qu’il peut y avoir beaucoup d’informations, si nous arrivons à faire connaître le projet, clef de notre réussite. Côté formation, nous avons déjà des contacts avec des journaux locaux pour les former à utiliser TOR et nous allons mettre, sur la vitrine publique du site, des informations et explications claires pour pouvoir déposer un leak ».

Le traitement de l’information sera assuré par les journalistes, « nous travaillons déjà avec des journalistes afin d’établir des partenariats. Lors du dépôt d’un leak, le lanceur d’alerte pourra choisir à qui envoyer l’information. Goleak enverra une alerte aux journalistes choisis, qui devront passer par TOR et un lien à usage unique afin de récupérer l’information transmise. »

On s’y met ?

« Pour l’instant, tout n’est pas encore prêt et nous avons besoin de soutiens et de visibilité avant de nous lancer. »

Je ne sais pas de quoi l’avenir est fait, mais Goleaks possède les clefs pour qu’il soit bon.

En revanche, je sais qu’ils auront prochainement besoin d’un financement pour faire tourner la plateforme, @Datapulte m’informe « qu’une campagne de financement verra prochainement le jour, d’ici septembre. »

Souhaitons-leur bon courage.

Vous pouvez retrouver toutes les informations de Goleaks à cette adresse https://goleaks.org/, @Datapulte sur Twitter et @R0aming_, un rédacteur en chef Web, lui aussi impliqué dans le projet Goleaks.

Vous pouvez également retrouver GOLeaks sur Twitter : http://twitter.com/goleaks_

C’est quoi « SS7 » ?

La semaine dernière, lors du 31C3 (le Chaos Communication Congress), deux chercheurs en sécurité ont présenté leurs travaux sur SS7, ou plutôt les failles qui permettent d’exploiter SS7.

Alors, SS7, c’est quoi exactement ?

Derrière l’acronyme se cache une panoplie de protocoles de signalisation téléphonique, utilisée sur la quasi-totalité du globe par des opérateurs de téléphonie.

« SS » c’est pour Signaling System ou Système de Signalisation et 7, c’est parce qu’avant, il y avait SS6, puis SS5 …

SS7, c’est un ensemble de protocoles de signalisation téléphonique, en français : c’est un moyen que les éléments du réseau téléphonique utilisent pour échanger des informations, ni plus, ni moins.

Si c’est un peu nébuleux, voici quelques exemples plus explicites :

  • Vous tentez d’appeler quelqu’un qui est déjà en appel. SS7 le voit, demande à ce que l’appel soit libéré et à ce qu’on vous renvoie une tonalité d’occupation.
  • Vous tentez d’appeler quelqu’un d’autre. C’est SS7 qui annonce qu’un appel est tenté vers tel numéro. Pour vulgariser, il demande « où je dois envoyer l’appel s’il vous plait ? »

Dans les grandes lignes, le rôle de SS7 c’est : la signalisation d’appel, l’interconnexion des appels, des réseaux, l’échange d’informations entre les utilisateurs et plein d’autres choses, dont les messages.

Ah, j’oubliais un détail très important : SS7 a aussi pour rôle de faire passer un appel téléphonique à travers les réseaux.

Pour ce faire, il doit impérativement disposer d’un certain nombre d’informations :

  • D’où vient l’appel ?
  • Par quels équipements l’appel passe ?
  • Par quelles lignes téléphoniques l’appel passe ?
  • Vers où doit aller l’appel ?
  • Est-ce que le réseau est disponible ou non ? Et si ce n’est pas le cas, comment doit passer l’appel ?

SS7 est donc une importante source d’informations puisqu’il doit savoir qui fait quoi, quand, où, avec qui …

Voilà. Vous avez le réseau SS7 dans les (très) grandes lignes mais elles me semblent suffisantes pour la suite.

Reprenons donc… Au 31c3, deux chercheurs venaient présenter leurs travaux sur SS7. Le 29 décembre, le journal Le Monde, via sa chronique Pixels, publiait un article intitulé « Le SS7, le réseau des opérateurs qui permet de surveiller vos téléphones portables ».

Première « erreur » : SS7 ce n’est pas un réseau. C’est un ensemble de protocoles, comme nous avons pu le voir. Bon c’est tout bête comme erreur, mais c’est dommage. J’ai d’abord pensé que c’était compliqué d’expliquer, mais puisque je viens de le faire je pense que c’est accessible.

Que dit cet article ?

Un petit peu trop anxiogène à mon gout, l’article dit qu’il est possible de se faire localiser d’une façon très précise, de se faire intercepter ses SMS et ses appels… Bref, de se servir de ce que fait SS7 à la base.

Les chercheurs ont souligné un point bien plus dérangeant en revanche : l’accès « open bar » à SS7, c’est là qu’il faut s’alarmer, sans pour autant basculer dans la paranoïa, il faut simplement comprendre :

  • les fonctions de SS7 n’ont rien de dérangeant en soi : pour fonctionner, SS7 doit localiser d’une façon très précise un terminal, il doit faire transiter des messages et des appels, il est donc possible de les intercepter, puisque les messages transitent grâce à ce SS7
  • le fait qu’un utilisateur lambda ou qu’autre chose qu’un opérateur puisse se servir de SS7, là, c’est une autre histoire, bien plus dérangeante.

Cet open bar, c’est volontaire ?

Oui et non.

Non car techniquement parlant, SS7 est très ancien, il date de 1975. Depuis, de nombreuses (r)évolutions ont vu le jour et le protocole ne s’est pas spécialement adapté. C’est techniquement faux mais on pourrait dire que SS7 est un protocole de 1975 avec plein de rajouts.

Oui car à l’époque, il y avait une sécurité suffisante avec SS7. Oui également car cette ouverture permet de faciliter bien des choses sur le plan technique.  Pour les opérateurs, qui ont moins de contraintes. Pour faciliter la rapidité des échanges également. Puis c’est pratique pour ceux qui ont besoin d’aller mettre leur nez dedans.

Et ça se corrige ?

A nouveau, oui et non.

Non, ça ne se corrige pas car il faudrait presque repenser un nouveau protocole et que c’est très compliqué, puisque la quasi-totalité des opérateurs téléphoniques passent à un moment ou à un autre avec SS7.

Oui, ça se corrige, mais l’actuel blocage est plus politique et financier que technique. Pourquoi investir des milliards pour refaire quelque chose qui fonctionne actuellement ? Les états, opérateurs et j’en passe n’iront pas investir tant qu’ils n’y seront pas obligés et les pouvoirs politiques n’ont aucune raison de forcer les opérateurs à le faire.

On pourrait également dire qu’à terme, avec l’arrivée de la 4G, SS7 serait de moins en moins utilisé. Les réseaux 4G ne se servent pas de SS7 pour la signalisation téléphonique, mais de SIP, un autre protocole. C’est techniquement faux, puisqu’il y aura toujours SS7 derrière… mais sur le papier, ça serait une jolie solution.

Rajoutons à cela que pour voir cette solution arriver, il faudrait que tout passe par le réseau 4G, tout le temps, sans jamais basculer en 3G ou 2G ou GSM. Autant dire que c’est impossible.

Et je dois être parano ?

Très sincèrement ? Non. Ces accès « open bar » ne datent pas d’hier, un article du Washington Post en parlait déjà au mois d’aout (EN) et, à mon humble avis, ils existaient bien avant.

Ce n’est pas SS7 qui pose problème, c’est sa facilité d’accès, certainement utilisée par des particuliers curieux, par des agences de renseignement, CIA, NSA et j’en passe, qui me dérange. A nouveau, il convient de ne pas sombrer dans la paranoïa, ce n’est pas parce qu’ils peuvent le faire qu’ils espionnent l’ensemble de la planète.

Résumons donc : SS7 est un ensemble de protocoles qui fait ce qu’on lui demande : faire de la signalisation d’appel. Ces protocoles fonctionnent mais l’accès à SS7, lui, est un peu trop ouvert parce que c’est vieux et que ça n’a pas bougé depuis et ça, ce n’est pas génial.

Problème assez sérieux qui ne sera hélas pas corrigé demain, ni dans un an, peut-être même pas dans 10…