21 octobre 2011

La Ficome s’inquiète des intrusions dans les réseaux VoIP professionnels

Dans un communiqué, la Ficome (Fédération Interprofessionnelle de la Communication d’Entreprise) s’inquiète d’attaques récurrentes sur les réseaux de téléphonie de certains de ses membres. 
La Ficome, que l’on retrouve actuellement sur le salon IP Convergence, s’inquiète d’un phénomène pas vraiment surprenant : la montée et la multiplication des tentatives d’intrusions dans les réseaux téléphoniques des entreprises adhérentes. Effectivement, les infrastructures VoIP deviennent des cibles pour les attaquants, qui tentent de détourner le trafic téléphonique. 
« Depuis plusieurs mois, la FICOME enregistre auprès de son réseau d’adhérents, sociétés de services en Télécoms et Réseaux, une augmentation importante et alarmante des intrusions malveillantes dans les systèmes télécoms des entreprises », écrit la Ficome dans son communiqué. « Ces intrusions ont majoritairement pour objectif d’établir des communications à l’international aux frais de l’entreprise victime, à destination de pays d’Afrique, d’Asie  mais aussi des Balkans ». 
Elle rappelle également que ces attaques peuvent coûter cher à une entreprise, jusqu’à plusieurs dizaines de milliers d’euros, et cite un cas recensé à 600 000 euros ! En plus d’alerter ses adhérents sur ces risques, Silvano Trotta, président de la Ficome a été reçu à sa demande par la BEFTI de la Préfecture de Police (Brigade d’Enquête sur les Fraudes aux Technologies de l’Information), « pour évoquer un partenariat en échangeant sur cette situation préoccupante afin de résoudre cette problématique ».
Au-delà de cette démarche, la Fédération déplore également le manque de politique de sécurité dans les entreprises, leur réticence à renoncer à des fonctionnalités accessibles depuis l’extérieur, mais aussi l’absence de sensibilisation des utilisateurs et les défauts d’assurance pour couvrir les risques liés aux équipements télécoms. 

Navigateurs : IE9, premier sur la sécurité ?

Microsoft explique à qui veut bien l’entendre qu’IE9 est le navigateur le plus sécurisé, et de loin. Voyez plutôt…


Votre navigateur est-il bien sécurisé ? C’est un thème sur lequel Microsoft essaye de sensibiliser les utilisateurs, en pointant du doigt ses concurrents Chrome et Firefox. Car selon le site yourbrowsermatters.org, Internet Explorer 9 arrive en premier dans le classement des navigateurs les plus sécurisés.

Le site accorde une note sur 4, où IE9 obtient 4, contre 2,5 pour Chrome et 2 pour Firefox. Rappelons également que Microsoft a récemment envoyé une vague de correctifs pour combler des vulnérabilités critiques.

En regardant de plus près, on s’aperçoit tout de même de quelques incohérences. A la question « Est-ce que votre navigateur vous protège contre les sites qui ont la réputation de distribuer des malwares ? », seul IE9 obtient le score adéquat, ce qui parait étrange pour les utilisateurs de Chrome ou Firefox, qui sont eux aussi prévenus avant de visiter un site suspect…
Le site souligne toutefois la résistance de Chrome en cas d’attaques sur le navigateur, et salue la sandbox utilisée. Soulignons aussi que Firefox notamment intègre des options de sécurité comme Do Not Track, qui ne sont pas comptabilisées dans les résultats. Bref, ce site (signé Microsoft bien entendu) ne doit pas être considéré comme tout à fait impartial...

La surveillance de BitTorrent par les FAI français mesurée

L'initiative Measurement Lab vise à détecter la présence de filtres ou de techniques de bridages des connexions à Internet, en particulier les tentatives de surveillance et de filtrage du protocole BitTorrent par les FAI. Une première série de données est disponible, couvrant la période d'avril 2008 à mai 2010.

Depuis de nombreuses années, la technologie BitTorrent a été la bête noire des fournisseurs d'accès à Internet. Les opérateurs accusaient le réseau P2P de générer une trop grande consommation de bande passante à certaines heures et d'entraîner des situations de congestion du réseau pouvant affecter d'autres abonnés qui eux n'utilisaient aucun client BitTorrent pour échanger des fichiers.

Bridage de BitTorrent par les FAI

C'est pour cette raison que plusieurs fournisseurs d'accès à Internet ont à un moment ou à un autre mis en place des dispositifs destinés à brider le trafic généré par la technologie BitTorrent ou, plus radical, à bloquer complètement les échanges. Plusieurs exemples existent, à commencer par l'opérateur américain Comcast, le canadien Bell, le britannique Virgin Media ou encore le belge Telenet.

Sur ce sujet, les opérateurs se montrent toutefois assez discrets. Ce n'est en effet pas vraiment un argument commercial que de mettre en avant un bridage de BitTorrent, dans la mesure où il s'agit d'une technologie neutre. Elle peut en effet servir à échanger des contenus illicites, comme des oeuvres protégées par le droit d'auteur, ou fournir un moyen simple, efficace et économique de distribuer facilement des fichiers.

Sur ce sujet, Measurement Lab (MLab) a mis en ligne une série de données interactives couvrant deux ans d'activité de FAI, d'avril 2008 à mai 2010. Comme l'explique Torrentfreak, MLab s'est appuyé sur des outils pour détecter la présence de filtres ou de techniques de bridages des connexions à Internet, en particulier Glasnot qui permet de vérifier si les FAI brident l'utilisation du protocole BitTorrent.

Les données sont regroupées dans un tableau présentant en particulier le pourcentage de tests montrant des techniques d'inspection de paquets de données (DPI : Deep Packet Inspection). Les mesures sont effectuées par tranche de trois mois avec le pourcentage de tests valides. En ce qui concerne la France, cinq FAI ont été observés : Orange, Free, SFR, Bouygues Télécom et Numericable-Completel.

Le cas des FAI français

Que retenir de ces données ? Il y a eu deux grandes périodes sur la période couverte par MLab. Jusqu'au troisième trimestre 2009, les cinq opérateurs français ont, selon les mesures relevées, réalisé des techniques d'inspection de paquets de données. Les scores oscillent en effet entre 7 % et 15 % selon les opérateurs. On remarque toutefois deux pics au cours de cette période.

Le premier concerne Free (Iliad) au quatrième trimestre 2008. MLab a relevé que 30 % de ses tests, pratiquement un tiers des résultats, ont montré des techniques d'inspection. C'est un score assez important. L'autre score remarquable concerne Bouygues Télécom au premier trimestre 2009. La mesure atteint 29 %. En revanche, le même FAI atteint 0 % un an auparavant, au deuxième trimestre.

Après le troisième trimestre 2009, la tendance est à la baisse et l'intérêt des FAI à ce moment-là semble s'être calmé. Selon MLab, les tests montrant du DPI vont de 2 à 9 %. Seuls deux FAI ont eu une activité plus importante à ce niveau-là pendant une brève période. Il s'agit de France Télécom lors du troisième trimestre 2009 (13 %) et de Numericable-Completel le quatrième trimestre 2009 (16 %).

L'initiative de Measurement Lab est soutenue par Google et la New America Foundation. Comme nous l'expliquions il y a deux ans, le géant de Mountain View cherche à démontrer son attachement au principe selon lequel les opérateurs de télécoms ne doivent pas traiter différemment les données envoyées selon leur contenu, leur destination ou leur expéditeur, pas plus que selon l'outil utilisé (protocole BitTorrent).

Respecte mon net

Les travaux de MLab sont l'occasion de rappeler le projet initié par la Quadrature du net. Baptisé Respecte mon net, le site recense toutes les restrictions de l'accès à Internet que les internautes constatent. L'objectif de cette initiative est de disposer de cas concrets à présenter aux autorités européennes afin que ces dernières prennent la mesure de l'urgence de légiférer en faveur de la neutralité du net.

"Le législateur européen fait la sourde oreille sur ce problème depuis plus de deux ans. Le rapport de la commissaire européenne Neelie Kroes sur le sujet prétend qu'il n'y a pas de preuves quant à la nécessité de protéger dans la loi la neutralité du Net" s'était agacé Jérémie Zimmermann, porte-parole et cofondateur de la Quadrature du Net.

"Une telle approche attentiste est choquante quand on voit la réalité des pratiques de gestion du trafic des opérateurs, et leur impact sur la liberté de communication en ligne, la concurrence et l'ensemble de l'économie numérique" avait-il ajouté.

20 octobre 2011

Espionnage informatique en Libye : deux associations attaquent une filiale de Bull


La FIDH et la LDH, deux associations de défense des droits de l'Homme ont saisi la justice. Dans une plainte contre X, elles se constituent partie civile auprès du TGI de Paris et mettent en cause directement la société Amesys, filiale de Bull pour « complicité d'actes de torture en Libye ».

La Fédération Internationale des Droits de l'Homme et la Ligue des Droits de l'Homme indiquent avoir saisi le tribunal de grande instance de Paris. Elles accusent Amesys, une filiale du groupe Bull d'avoir fourni au régime de Mouammar Khadafi, « à partir de 2007, un système de surveillance des communications destiné à surveiller la population libyenne ».

Dans un communiqué publié sur le site de la FIDH, l'organisation précise que cette plainte, « vise une entreprise pour complicité de graves violations des droits de l'Homme sur le fondement de la compétence extraterritoriale ». Pour rappel, en septembre dernier, le Wall Street Journal révélait que la société française Amesys équipait depuis 2009 un centre de surveillance informatique du régime de Kadhafi. Selon le quotidien, cette filiale de Bull aurait donc mis à la disposition ses services basés sur la technologie « Eagle Core », un système qui permet de traquer des conversations sur messagerie instantanée mais également de détecter certains e-mails privés.

Cette fois, l'information publiée par Les Echos est le signe que certaines associations tentent de connaître les conditions exactes de la signature d'un tel contrat entre la société et l'ancien régime du pays. Côté politique, les réactions ont été moins franches. Le député PS Christian Paul avait déposé début septembre une question au gouvernement portant sur les modalités de cet accord. Sur son compte Twitter, l'élu expliquait « toujours attendre la réponse de François Fillon » sur le sujet.

Oracle déploie un ensemble de correctifs pour Java


L'éditeur Oracle annonce le déploiement de correctifs pour sa plateforme Java et notamment pour combler la faille BEAST.

En début de mois nous rapportions que les développeurs de Mozilla envisageaient de bloquer le plugin Java, ce dernier s'avérant trop dangereux car souvent la cible d'attaques. Il a notamment été découvert qu'une faille au sein du plugin permettait à un hacker malintentionné de répliquer l'attaque BEAST, laquelle consiste à s'immiscer sur une connexion sécurisée par le protocole TLS.

Oracle invite alors les utilisateurs à télécharger un ensemble de 20 correctifs, 19 d'entre eux comblant des failles via lesquelles il est possible de procéder à une prise de contrôle de la machine à distance. Par la même occasion, Oracle répond aux inquiétudes de Mozilla en corrigeant la vulnérabilité du protocole SSL/TLS.

Retrouvez davantage d'informations sur cette page.

Google propose le chiffrement des recherches pour les utilisateurs inscrits

Google vient d'annoncer la mise en place d'un chiffrement SSL par défaut pour les utilisateurs inscrits chez le géant de Moutain View. Les recherches réalisées via son moteur seront ainsi très prochainement sécurisées.

C'est par l'intermédiaire de son blog que Google annonce la nouvelle : après avoir intégré le chiffrement SSL par défaut dans Gmail en janvier 2010 et proposé un service de recherche sécurisée par le biais de l'adresse encrypted.google.com, l'entreprise généralise cette démarche à la recherche par défaut.
La condition sine qua non pour être aiguillé directement sur l'adresse https de Google sera d'être connecté via un compte utilisateur. Dans le cas contraire, les internautes auront toujours accès à l'adresse http, et donc non sécurisée.

Google insiste sur le fait que cette nouveauté offrira plus de sécurité aux utilisateurs de réseaux publics, et en particulier de réseaux WiFi. La firme de Moutain View rejoint ainsi d'autres services qui proposent une connexion chiffrée, comme Facebook ou Twitter.

Rendre la recherche plus sûre
18/10/2011 11:07:00
Nous avons travaillé fort au cours des dernières années pour accroître l'utilisation de nos services par un protocole de cryptage appelé SSL, ainsi que d'encourager l'industrie à adopter des normes de sécurité plus forte. Par exemple, nous avons fait de SSL le réglage par défaut dans Gmail en Janvier 2010 et avons introduit un service de recherches cryptées situé à https://encrypted.google.com quatre mois plus tard. D'autres sociétés Internet de premier plan ont également ajouté le support SSL dans les derniers mois. Comme la recherche devient une expérience plus personnalisée, nous reconnaissons l'importance croissante de la protection des résultats de recherche personnalisés que nous offrons. En conséquence, nous améliorons notre expérience de recherche par défaut pour les utilisateurs signés. Au cours des prochaines semaines, beaucoup d'entre vous se retrouveront redirigés vers https://www.google.com (notez l'extra "s") lorsque vous êtes connectés à votre compte Google...

19 octobre 2011

La Cnil se préoccupe enfin du cloud computing


La Commission prépare une boîte à outils juridico-technique pour se préparer à ausculter aussi l'informatique en nuage.

C’est un fait, le cloud computing génère encore trop d’inquiétudes liées à la sécurité. La mise en ligne de son informatique expose en effet l’entreprise à des risques bien particuliers. L’hébergement des données, notamment, questionne fortement. Malgré tout, ceux qui s’y engagent prennent-ils pour autant toutes les dispositions nécessaires ? Sont-ils conscients des risques encourus ? Un an après l’Anssi (Agence nationale de la sécurité des systèmes d'information) et Syntec numérique, la Commission nationale de l'informatique et des libertés s’engage enfin sur le sujet.
Du 17 octobre au 17 novembre, la Cnil va entreprendre une série de consultations des entreprises (clients, prestataires et consultants) pour envisager toutes les solutions, tant d'un point de vue juridique que technique afin que « soit garanti un haut niveau de protection aux données personnelles tout en tenant compte des enjeux économiques liés au cloud computing ». La Commission rappelle également que le cloud représente un enjeu majeur du secteur informatique, avec un marché atteignant près de 6 milliards d’euros en Europe et une croissance annuelle de 20 %.

18 octobre 2011

Les terminaux IT personnels forcent la porte de l'entreprise. Les DSI dépassées ?

Analyse- En 2011, 40% des salariés sondés par IDC déclarent avoir utilisé pour leur travail des terminaux personnels. C’est 10 points de plus en un an. Or la DSI sous-estimerait la consumérisation et tarderait donc à l’accompagner.

La tendance n’est pas nouvelle. A défaut d’outils professionnels, les salariés tendent à se tourner vers des solutions conçues pour le grand-public, obligeant parfois la DSI à courir après l’utilisateur pour encadrer enfin les usages.

Dans un monde de plus en plus connecté, la consumérisation de l’IT englobe les terminaux eux-mêmes, dont par exemple les téléphones mobiles. C’est ce développement que souligne une étude d’IDC, commandée par Unisys.

La DSI sous-estime-t-elle les usages ?

Réalisée auprès de 1.334 utilisateurs et 264 décideurs informatiques, l’étude conclut d’ailleurs à un écart de perception entre ces deux populations. La DSI tendrait ainsi à sous-estimer l’usage réel des outils personnels à des fins professionnelles, tout en reconnaissant parallèlement que la consumérisation est bénéfique à différents niveaux (satisfaction des employés, productivité…).

D’après IDC/Unisys, ils sont pourtant 40,7% de ces iworkers ou travailleurs numériques à déclarer utiliser des terminaux personnels (PC, smartphone, tablette…) pour accéder à des applications business. Un an plus tôt, cette part était de 30,7%.
Entre 2010 et 2011, le développement est donc tangible. La rupture est en revanche moins nette au niveau des terminaux eux-mêmes. Pour 47% des utilisateurs (51% en 2010), c’est la station PC (le bon vieux desktop) qui est considérée comme le terminal critique pour leur travail.

L’importance de l’ordinateur portable progresse, suivant en cela la tendance à une plus grande mobilité des salariés - et à effritement de la frontière entre vie personnelle et vie professionnelle. 45% (36%) considèrent le PC portable comme leur terminal critique.

L'outil critique est très majoritairement un PC

Et les nouveaux terminaux, c’est-à-dire les smartphones et tablettes ? Ils sont, et le resteront certainement encore des années, des terminaux de complément. Seuls 5% jugent leur smartphone comme critique pour leur travail (4% en 2010, et 6% attendus pour 2012).

Pour la tablette, c’est 1%. Mais d’après l’étude, cette part devrait grimper à 9% l’année prochaine. Possible. Les entreprises devraient après tout s’équiper en 2011 et durant les prochaines années.

Toutefois, ce terminal, en raison des usages qu’ils proposent, semble se destiner d’abord à des populations de salariés bien définies comme les commerciaux, ou ceux issus du marketing ou de la vente en magasins. Les premiers retours et témoignages d’entreprises ciblent d’ailleurs ces segments de professionnels (en plus des cadres dirigeants).

Pour autant, les entreprises peuvent-elles multiplier les terminaux ? Non, principalement pour des questions de coûts. Danone a arrêté une politique sur cette problématique : « Danone ne fournit qu’un seul device. Si le salarié veut quelque chose en plus, charge à lui de l’acheter et d’en faire le support. L’entreprise lui connectera au réseau, avec les règles de sécurité qui vont bien » répond son DSI Jean-Marc Lagoutte.

La consumérisation est inévitable selon les DSI

Les décideurs informatiques estiment par ailleurs que la consumérisation, ou BYOD ("bring your own device"), si elle est transparente pour l’utilisateur, ou en tout cas peu contraignante, elle a des effets en revanche bien concrets pour l’IT.

Ils sont ainsi 80% à considérer que le fait pour les salariés de rapporter leurs terminaux personnels se traduit par une augmentation de leur charge de travail. Mais ces professionnels de l’informatique ne s’y trompent pas. Cette tendance est inévitable (74%), notamment parce que la pression s’exerce par le haut.
Pour 79% des responsables IT, leurs cadres dirigeants attendent effectivement d’eux qu’ils supportent leur utilisation d’outils personnels. Le top management n’est cependant pas le seul à pousser. Et les DSI, à 72%, considèrent que les salariés apportant leurs propres terminaux sont plus productifs.

Une évolution donc inévitable, mais à quelle échéance ? Pas nécessairement à court terme pour les tablettes et smartphones. Ils ne sont en effet que 34% des décideurs IT à reconnaître un usage par le salarié du smartphone pour son travail, et 6% pour leur tablette.

Piratage : des vidéos pour enfants remplacées par du porno sur Youtube

Dans la journée de dimanche, la chaîne officielle Youtube du programme pour enfants Rue Sésame s'est vue inondée de vidéos à caractère pornographique. Il a fallu 22 minutes à l'équipe de Youtube pour réagir.

Les internautes qui se sont rendus sur la page Youtube de Sesam Street au mauvais moment dimanche ont eu une surprise des plus déplaisantes, d'autant qu'on imagine que ce genre de vidéo est surtout visionné par des enfants et leurs parents. Un grand nombre de vidéos pornos sont venue parasiter le contenu initial, composé de scénettes mettant en scène les marionnettes du célèbre programme à destination des plus jeunes.

Au bout de 22 minutes, les vidéos incriminées ont été bloquées par Youtube qui indiquait qu'il s'agissait de « violations répétées et graves de la communauté ». « Comme toujours, nous retirons le contenu inapproprié dès que nous en avons connaissance » a déclaré le site.

Outre l'ajout de vidéos, le profil du compte a également été modifié pour mettre en avant le pseudonyme d'un autre utilisateur, nommé MrEdxwx. La description du compte le ciblait également comme l'instigateur de ce piratage : « Qui n'aime pas le porno, les enfants ? Bien ! Tout le monde aime ça ! Je suis MrEdxwx et avec mon partenaire MrSuicider91 nous sommes là pour vous apporter du super contenu ! S'il vous plait les enfants, ne laissez pas Rue Sésame reprendre ce compte :( ».

Quelques heures plus tard, l'utilisateur connu sous le nom de MrEdxwx postait une vidéo dans laquelle il se défend d'être à l'origine de ce piratage. De toute évidence, il s'agit d'un règlement de compte. Youtube a depuis rétabli entièrement la page de Rue Sésame, sans indiquer quelle méthode avait été utilisée pour accéder au compte de l'émission, même si le piratage du mot de passe semble être une méthode plausible.
Sesame street profile 

17 octobre 2011

Hachers célèbres Ep2 : GARY McKINNON


Gary McKinnon
Situation : Grey hat
Spécialités : Hacker les réseaux militaires

Pratiquement catapulté au rang d'ennemi public numéro un aux Etats-Unis, Gary McKinnon, aka Solo, est un ressortissant britannique menacé d'extradition pour le piratage de sites militaires. Il est ainsi accusé d'avoir pénétré dans pas moins de 97 ordinateurs américains, dont certains appartenaient à la NASA, la Navy, l'armée de l'air, le ministère de la défense et le Pentagone.

McKinnon pourrait figurer dans la catégorie des grey hat, c'est-à-dire des hackers pouvant être amenés à commettre des délits sans toutefois chercher intentionnellement à nuire. Ce qui est bien le cas du britannique qui a expliqué aux juges chercher uniquement à établir des preuves de l'existence des OVNIS. Il a également affirmé être convaincu que les américains détenaient une technologie anti gravité.

Sa passion risque toutefois de lui coûter cher puisque s'il venait à être extradé et reconnu coupable par une cour de justice américaine, il encourrait jusqu'à 70 ans de détention, voire même un séjour à Guantanamo. Gary McKinnon aurait selon les autorités causé plus de 700 000 dollars de dommages et rendu inopérable le système informatique d'une base navale armée pendant une période critique, après le 11 Septembre 2001.

Un malware Android reçoit ses instructions d'un blog crypté


Des chercheurs de Trend Micro ont repéré un logiciel malveillant pour Android, qui reçoit ses instructions depuis un blog crypté.
Selon l'éditeur spécialisé dans la sécurité Trend Micro, c'est la première fois que ce mode de communication est utilisé par des malware visant les terminaux tournant sous la plateforme mobile de Google. Le logiciel malveillant, nommé « ANDROIDOS_ANSERVER.A » par les chercheurs, prétend être une application e-book. En fait, il peut voler des informations sur un téléphone sous Android et les envoyer ensuite à un serveur distant, une boutique en ligne diffusant des applications Android et localisée en Chine.

Une fois installée, l'application demande différentes autorisations, qui, si elles sont accordées, lui permet de passer des appels, lire les journaux en ligne, rédiger et recevoir des SMS et, entre autres choses, lui ouvre aussi accès aux paramètres réseau et Internet. Le malware utilise le blog pour savoir à quels serveurs de commande et de contrôle il doit obéir. Le serveur de commande et de contrôle alimente ensuite le malware avec un fichier XML qui contient l'URL où le malware peut se mettre à jour. Celui-ci peut également se connecter au blog pour vérifier si de nouvelles mises à jour sont disponibles. Trend Micro a pu constater que 18 variantes du malware s'étaient succédées sur le blog entre le 23 juillet et le 26 septembre. « Ce blog héberge un contenu crypté. D'après nos recherches, c'est la première fois qu'un malware Android utilise ce type de technique pour communiquer, » a écrit sur le blog de l'entreprise Karl Dominguez, un ingénieur spécialisé dans les réponses aux attaques chez Trend Micro.

Des fausses notifications de mise à jour

On sait depuis un certain temps que les auteurs de logiciels malveillants se servent de blogs comme plateformes pour leurs malware. Le chercheur a remarqué qu'un botnet, découvert plus tôt cette année, recevait ses instructions via des messages postés sur Twitter. Parmi les toutes dernières versions du logiciel malveillant hébergé sur le blog, certains avaient « la capacité d'afficher de fausses notifications pour inciter les utilisateurs à approuver le téléchargement d'une mise à jour, » a encore expliqué le chercheur.

Généralement, les experts en sécurité recommandent aux utilisateurs d'être prudents quand ils téléchargent des programmes pour Android sur des plateformes d'applications tierces, en raison du nombre de logiciels malveillants qui y sont hébergés. Les utilisateurs doivent également rester vigilants avant d'accorder des permissions à une application, et accorder le moins d'autorisations possibles, dans le cas où l'application s'avèrerait être un malware.

Des chercheurs français cassent le réseau d'anonymisation Tor

 Une équipe de l’école d'ingénieurs Esiea a mis en œuvre une cyberattaque complexe permettant de déchiffrer toutes les communications traversant ce célèbre réseau chiffré. Explications en détails.
Mauvaise nouvelle pour les cyberdissidents du monde entier. Le réseau Tor  – qui permet à nombre d’entre eux de chiffrer et d’anonymiser leurs communications – n’est pas si sécurisé qu’on l'imaginait. Un groupe de chercheurs français, mené par Eric Filiol, directeur du laboratoire de cryptologie et virologie opérationnelles à l’Esiea, vient de démontrer qu’il est possible de prendre le contrôle de ce réseau et de lire la totalité des messages qui y circulent. Cette attaque, brillante, s’effectue en plusieurs phases. Avant de rentrer dans les détails, voici quelques rappels.

Tor, comment ça marche?

Le chiffrement en couches de Tor
Tor signifie The Onion Router. Créé à l’origine par un laboratoire militaire américain (US Naval Research Laboratory), il s’agit d’un réseau décentralisé de routeurs qui permet d’accéder à internet ou d'envoyer des messages. La communication passe par trois nœuds choisis au hasard. Avant l'émission, elle est chiffrée autant de fois qu’il y a de nœuds, puis déchiffrée à chaque passage de routeurs (d’où l’idée des pelures d’oignons). Seul le destinataire voit le message en clair. Aucun routeur ne voit l’ensemble du circuit, ce qui empêche d’identifier la source émettrice.

Phase 1 de l'attaque : inventaire du réseau Tor

Les chercheurs ont fait un inventaire complet des nœuds Tor. Ils ont trouvé 9 039 adresses IP correspondant à 5 827 machines. Pour la plupart de ces nœuds, les adresses IP sont accessibles publiquement et directement avec le code source du système.
Mais il existe également des nœuds cachés, les Tor Bridges, qui ne sont communiqués par le système que dans certains cas précis. Les chercheurs ont développé un script qui permet, là aussi, de les identifier. Ils en ont trouvé 181. « Nous avons maintenant une vision complète de la topographie de Tor », explique Eric Filiol.

Phase 2 de l'attaque : infection des nœuds

Tor, un réseau vulnérable
Un audit de sécurité réalisé par les chercheurs révèle qu’un tiers des nœuds sont vulnérables, « suffisamment en tous les cas pour qu'on puisse les infecter et obtenir facilement des privilèges système », souligne le directeur. Les chercheurs clonent alors une partie du réseau afin de ne pas toucher le réseau réel et ils fabriquent un virus avec lequel ils vont pouvoir prendre le contrôle de la machine.
« Cela nous permet de fixer les clés de chiffrement et les lecteurs d’initialisation des algorithmes de cryptographie et, ainsi, d’annuler deux couches de chiffrement sur les trois », poursuit Eric Filiol. Les flux restants peuvent ensuite être totalement déchiffrés via une méthode d’attaque dite « à clair inconnu », basée sur une analyse statistique. Restait une question : comment faire passer la communication par les nœuds infectés ?

Phase 3 de l'attaque : détournement de trafic

Pour guider les communications vers les nœuds infectés, les chercheurs rendent indisponibles tous les autres nœuds. Pour cela, ils appliquent une double attaque : la congestion localisée, qui consiste à envoyer un grand nombre de requêtes Tor sur les machines non infectées ; et le packet spinning, qui va enfermer des serveurs Tor dans un circuit en boucle pour les occuper. Le protocole Tor va alors, tout naturellement, router les communications vers les machines infectées, et le tour est joué…