Compromettre la sécurité d'un ordinateur n'a jamais été aussi économique. Si écrire du code demande du temps et des efforts, ce que tout passionné de sécurité recherche toujours est une plateforme efficace pour le déployer, et c'est là qu'intervient le Raspberry Pi Zero. Les risques de laisser un ordinateur sans surveillance prennent de nouvelles dimensions avec PoisonTap, une attaque capable d'intercepter le trafic web même sur un système protégé par mot de passe, et d'installer une backdoor, ce qui permet son accès à distance.
Je suis le seul à toucher aux ordinateurs de la maison, et toute demande liée à Internet passe entre mes mains, ce qui me fait agir comme une sorte de proxy. Il ne s'agit pas d'une règle ni de rien de semblable : ils savent que les ordinateurs sont des ressources de travail et que j'en ai besoin en parfait état. Certains s'éteignent ou se mettent en veille au bout de quelques minutes, et tous sont protégés par mot de passe. On suppose que cela devrait suffire, mais maintenant, transposons ces paramètres à des ordinateurs publics, des terminaux de bureau et tout autre système qui reste sans surveillance pendant un moment. Les possibilités de compromettre ce système sont déjà gigantesques lorsqu'on obtient un accès physique, mais si on n'a pas beaucoup de temps, l'idée est d'automatiser l'attaque à l'extrême.
Cela nous amène à PoisonTap, un nouveau projet de Samy Kamkar, connu pour ses vulnérabilités en géolocalisation, le SkyJack qui attaque les drones en vol, et son accessoire RollJam qui intercepte les signaux des télécommandes afin d'ouvrir des portes. La base de PoisonTap est un Raspberry Pi Zero qui, malgré sa faible disponibilité, coûte encore cinq dollars, et un peu de logiciel, Node.js pour être précis. En termes généraux, une fois PoisonTap connecté à un port USB, il trompe l'ordinateur de telle manière qu'il ne se présente pas comme un périphérique USB, mais comme une connexion Ethernet qui simule Internet (autrement dit, il devient une passerelle). Dès que l'ordinateur envoie une requête HTTP depuis un navigateur (qu'il s'agisse de télémétrie, de publicité d'un site web, etc.), PoisonTap répond par un bombardement d'iframes malveillants pour un million de sites, les plus importants selon Alexa. À cela, il faut ajouter l'ouverture d'une backdoor et la collecte de cookies et de sessions entières, que l'attaquant peut gérer depuis un serveur distant.
Les administrateurs système peuvent neutraliser PoisonTap à la racine en forçant HTTPS sur tout le trafic généré, mais l'histoire est un peu plus compliquée du côté des terminaux. L'efficacité de PoisonTap dépend de nombreux facteurs (un ordinateur chiffré avec une hibernation profonde pourrait ignorer complètement la connexion physique), mais son premier mouvement met en évidence un détail que des entreprises comme Apple et Microsoft devraient régler une bonne fois pour toutes. Il est inacceptable qu'un système d'exploitation réponde immédiatement et sans considérations de sécurité à tout ce qui est connecté via USB. L'une des premières choses que les logiciels malveillants ont su exploiter a été la fameuse lecture automatique (vous vous souvenez de tous ces autorun.inf qui exécutaient des trucs ?). Combien de temps devrons-nous attendre avant de mettre en place une sorte de « vote de défiance automatique » sur les périphériques inconnus dès qu'ils sont connectés ? À l'époque, nous nous moquions beaucoup du paranoïaque Contrôle de compte d'utilisateur, mais avec quelque chose comme PoisonTap en liberté, personne ne rit plus...
