zataz

S'il ne devait rester qu'un seul journaliste spécialiste de tout ce qui a trait au "hacking" et à "l'underground" ("l'andergrand" comme il le dit si bien, à la télé), moi je voudrais que ça soit zataz.

Pour Dan Kaminsky (auteur des antivirus du même nom, NDR) s'en prend pour son grade. Accès aux courriels [adresses des correspondants, ...], 0dayz [<> LS -AL 0DAYZ/]; login et mot de passe base SQL, ...

Je ne me souvenais pas que Dan Kaminsky était l'auteur d'un antivirus. Par contre, Eugene Kaspersky, oui. Bon puis c'est blindé de fautes. Sacré Zataz. Espérons pour lui qu'il ne fasse pas partie des prochains à voir leur correspondance privée étalée dans le prochain numéro de ZF0.
Edit: bon par contre, ça a été corrigé, quel dommage :(

bigbrother phail

Un opérateur de téléphonie mobile des Emirats Arabes Unis a mis à disposition de ses abonnés un programme, en le présentant comme une mise à jour logicielle pour leurs blackberries. Jusque là, rien de bien anormal, du moins en apparence. Possédant un tel téléphone, mon opérateur de téléphonie met à disposition, dans la section support de son site, des mises à jour pour l'OS du téléphone par exemple (et même pour l'application permettant la synchronisation du téléphone sur le PC!)

Là où ils ont décidé d'adopter la stratégie de l'échec, c'est quant à leurs fichiers distribués. Je n'ai pas encore eu l'occasion de développer sur BlackBerry (mais j'envisage bien de m'y mettre un jour), donc je ne suis pas un gros spécialiste, mais pour faire simple, les applications sont distribuées sous forme d'un fichier .cod, qui est un truc chiffré/signé par RIM pour pouvoir s'exécuter sur tous les téléphones, et ainsi être distribué. Puis il y a les .jar que tout le monde connait en Java, facile à analyser et étudier. Le premier big phail (enfin, en réalité c'est le second) a été de distribuer les deux fichiers (seul le .cod suffisait). Ce qui a fait que des gens un peu curieux, après analyse, aient réalisé de quoi il s'agissait: une belle backdoor pouvant récupérer leurs e-mails.

Maintenant, qu'est-ce qui a pu en motiver certains à analyser ce fichier ? Ok, la curiosité. Mais pas seulement. Des gens se sont plaint que la batterie de leur téléphone s'usait super rapidement (j'ai lu quelque part que des batteries se déchargeaient en 30-60 minutes!), ça a donc du en motiver certains à regarder ce que faisait cette mise à jour, et comprendre, outre le fait que ça soit une backdoor, pourquoi elle bouffait la batterie à cette vitesse: quand la backdoor essayait de "téléphoner maison", et qu'elle échouait (en raison d'un serveur saturé par ce grand nombre de connexions), elle ré-essayait en boucle en permanence.

Voici en vrac quelques liens qui parlent de ce léger incident (puis encore ici et surtout une analyse là), qui, cela ne m'étonnerait pas, pourrait tout à fait se produire dans notre beau pays dans pas si longtemps que ça (bon, ensuite, tant que les commerciaux utiliseront les mots "crypté" ou "aes 256 bits" pour vanter les mérites des BlackBerries, les gens penseront que cela n'est pas possible que leurs mails soient interceptés).

Notons également que lors de l'achat d'un téléphone (typiquement dans une boutique orange/sfr/bouygues hein), un certain nombre d'applications sont pré-installées, alors pourquoi pas une telle backdoor un jour ?

En attendant, chiffrons nos mails (jusqu'à ce qu'on en vienne à la backdoor qui récupère les clés pgp et qui fasse keylogger). Par contre, je n'ai toujours pas trouvé d'application libre et gratuite me permettant d'utiliser GPG sur mon blackberry. Juste une application payante et closed source (mais le développeur est sympathique et réactif, d'après mes quelques échanges de mails avec lui).

phail / SElinux / etc

Le nouveau sujet à trolls du moment, courtesy of Spender. La lecture des commentaires dans le code de l'exploit est amusante, avec des trolls sur la gestion de la sécurité en général par les mecs qui maintiennent les sources de Linux (le noyau quoi). On peut trouver quelques pensées à ce sujet sur quelques bons blogs francophones.

Bon alors ensuite, cet exploit de spender est sympa dans la mesure où il exploite une vulnérabilité qui n'est pas exploitable juste en lisant le code. En réalité c'est gcc qui, via ses optimisations, supprime un test (un if (!tun)). J'avais balancé un lien vers un article parlant de ce genre de risques il y a un peu plus d'un an déjà (m ai 2008). Je ne pensais pas en voir une application réelle aussi magistrale :-)

Pour mémoire:

On April 4, CERT put out a scary advisory about the GNU Compiler Collection (GCC). This advisory raises some interesting issues on when such advisories are appropriate, what programmers must do to write secure code, and whether compilers should perform optimizations which could open up security holes in poorly-written code.

Pour notre plus grand plaisir.

Le buzz OpenSSH du moment

Bon c'était le buzz de ces deux derniers jours, "y-a-t'il un 0day dans OpenSSH massivement utilisé ?". Alors on a des forums géniaux (merci à la personne qui a balancé le lien sur twitter et qui se reconnaitra, j'ai bien ri :)).
Au final, ce soir on a pu lire ce qu'un dev OpenSSH a lancé, à savoir:

I don't have any non-public information. I have exchanged some emails with

one of the victims of the alleged sshd 0day, but he was not able to provide any

evidence that the attack was sshd-related. In particular, I spent some time

analysing a packet trace that he provided, but it seems to consist of simple

brute-force attacks.à croire que c'est un bête bruteforce. Pas trop de quoi s'affoler si on a pas de mot de passe débile (bon, d'accord...quand je vois mes logs ssh avec la quantité de tentatives de bruteforce, je me dis qu'il y a un paquet de machines qui se sont faites pwner par des wormn'exclut pas, bien sûr, la possibilité qu'il y ait une faille réellement exploitée, mais cela semble peu probable.

Ah, booon...me voilà rassuré

Le Livre blanc sur la défense et la sécurité nationale a retenu le risque d'une attaque informatique contre les infrastructures nationales comme l'une des menaces majeures des 15 prochaines années. Il identifie un certain nombre de mesures à prendre afin de contrer ce risque.

La création d'une agence de la sécurité des systèmes d'information permet à la France de se doter d'une capacité de défense de ses systèmes d'information. Elle sera l'instrument de la mise en œuvre d'une véritable politique de défense contre les attaques informatiques.

Espérons que les prochaines attaques ne soient pas extrèmement sophistiquées, et ne franchissent pas toutes les défenses (dit comme ça, on dirait qu'on parle d'un footballeur ou d'un rugbyman qui a réussi à passer la défense adverse quand même). Allez, ne soyons pas mauvaises langues, et attendons de voir.

Soirée crypto

En faisant mon tour du soir de mes feed RSS, je suis tombé sur ces deux articles de Bruce Schneier (le seul, l'unique). Le premier parle de l'algorithme MD6 qui a été retiré du concours SHA-3 du NIST, par son concepteur (Ron Rivest) pour des raisons de fiabilité dans les conditions requises (à savoir, avec le nombre de "tours" demandé, l'algorithme n'est plus aussi fiable qu'avec le nombre de tours conseillés par le concepteur). Une anecdote raconte également que dans la majorité des cas, quand un algorithme se retire de la compétition, c'est fait de manière silencieuse après découverte de faiblesses; dans ce cas là, Ron Rivest l'a fait "avec classe".

Le second post quant à lui balance le lien vers un PDF qui avait échappé à tout le monde (sauf Bruce !) exposant une "nouvelle" attaque sur AES (192 et 256 seulement, la variante 128 bits est épargnée) ayant une complexité de 2^119 (donc meilleure que le brute force). Reste que même avec cette complexité, on en est pas encore à pouvoir trouver une clé AES en 5 secondes avec un pc de bureau, vu les contraintes mémoire (2^77, on en rêve :))