L'histoire commence en novembre 2014, lorsqu'un article du Washington Post a publié une photo en haute définition montrant sept des huit clés maîtresses utilisées par l'Administration de la sécurité des transports, mieux connue sous le nom de TSA, pour ouvrir et inspecter les bagages des passagers. Ces clés ont rapidement été converties dans un format compatible avec les imprimantes 3D, mais la «huitième clé» est restée un mystère... jusqu'à maintenant. Trois hackers, connus sous les pseudonymes DarkSim905, Johnny Xmas et Nite 0wl ont réussi à recréer cette dernière clé en prenant le chemin le plus long. En d'autres termes : en analysant de multiples serrures.
Le fonctionnement des clés maîtresses
La TSA américaine dispose de différentes méthodes, automatiques et manuelles, pour inspecter plus en détail les bagages qui, pour une raison ou une autre, ont été déclarés «suspects» lors des étapes précédentes. Si un sac ou une valise atteint le dernier maillon de la chaîne et doit être ouvert, le personnel de la TSA possède un groupe de huit clés maîtresses qui ouvrent chacune des serrures «approuvées» par l'administration. D'un point de vue informatique, c'est l'une des meilleures définitions d'un «backdoor» : l'utilisateur (ou plutôt son bagage) se sent «en sécurité», tandis que les autorités le fouillent de fond en comble. Logiquement, le backdoor nécessite la coopération d'un tiers, en l'occurrence deux entreprises : Travel Sentry, dont le standard a été appliqué à sept des clés maîtresses, et Safe Skies, qui couvre la clé restante.
La huitième clé enfin retrouvée
En novembre 2014, un génie intergalactique de la TSA a décidé qu'il était brillant de permettre au Washington Post de prendre une photographie en haute définition des sept clés maîtresses sous le standard de Travel Sentry. En quelques mois, trois experts, DarkSim905, Johnny Xmas et Nite 0wl, ont transformé ces clés en modèles compatibles avec les imprimantes 3D, bien qu'une des clés soit incomplète (le motif de ses trous reste caché de l'autre côté). Plusieurs passionnés ont testé avec un franc succès les copies en plastique, mais il restait la huitième clé de Safe Skies. Il n'existe ni images ni spécifications, alors ce trio de hackers a décidé de finir le travail par la force brute. Ils ont acheté légalement plusieurs serrures d'un même modèle commercialisé par Safe Skies, qui avait un défaut de conception fatal : la serrure ne vient pas avec des clés pour l'utilisateur, et ne peut accepter qu'un seul type de clé... ce qui signifie par extension c'est la clé maîtresse de la TSA.
Conclusion : une sécurité illusoire
En résumé : la revendication d'un «backdoor» par une autorité supérieure, ajoutée au concept de «escrow» impliquant un tiers, et le manque désastreux de soin de la part de ce tiers, ont détruit toute idée de sécurité dans les bagages sur le territoire américain. Comme si cela ne suffisait pas, la TSA a déclaré que le clonage des clés ne représente pas une menace pour la sécurité aérienne, ni ne cause une diminution de la sécurité physique des bagages sous le contrôle de la TSA. En fin de compte... les huit clés sont en liberté. Si vous avez une imprimante 3D et une serrure compatible, vous pouvez dès maintenant faire le test.
