Geekism: Parrot A.R Drone

La plupart des lecteurs de ce blog auront probablement vu la pub dans le métro, et ceux qui passent à la FNAC sont certainement passés devant le stand dédié à ce gadget: l'AR Drone de Parrot.

Forcément, j'adore tous ces gadgets, encore plus quand c'est du style jouet, donc je m'en suis acheté un for teh lulz (ok, je ne suis pas encore certain de le garder longtemps, je n'ai pas le temps de m'en servir le week-end, et mon appart est vraiment trop petit pour m'en servir en intérieur).
Alors la bestiole fait 300 euros à la FNAC. Ca peut en dissuader un certain nombre, mais dedans c'est du pur bijou de technologie: 2 caméras, une à l'avant pour la navigation, et éventuellement des jeux en réalité augmentée (d'où le A.R dans le nom du truc), une caméra en dessous qui sert éventuellement lors des phases d'atterrissage de précision, savoir au dessus de quoi on est, mais il semblerait aussi que le drone s'en serve également pour aider à sa stabilisation (en faisant des diffs entre deux images en gros): d'ailleurs il ne fonctionne pas très bien de nuit pour cette raison là :-)
Pour le reste des specs, je vous renvoie à la datasheet, mais il faut retenir que c'est du Linux, qu'il y a un port telnet non protégé par mot de passe qui donne accès à un shell root, et que jusqu'à une version plutôt récente du firmware, il était possible de faire crasher (au sens logiciel et matériel du terme) un AR Drone juste en se connectant dessus et en faisant un killall sur certains processus (depuis, seule 1 adresse MAC est autorisée à s'associer au périphérique, donc un coup de ifconfig/macchange devrait contourner la chose mais je n'ai pas testé)
J'ai réussi à voiler une hélice en le transportant, mais par chance, tous les composants sont achetables séparément sur le site de parrot, pour pas trop cher (enfin, compter environ 300 euros pour tous les composants :)).
Je n'ai pas encore trouvé de sac de transport. La FNAC en offrait un sur présentation du ticket de caisse, mais il s'avère qu'en fait ce sac est réservé aux adhérents FNAC One. Par curiosité, vu que je voulais absolument un sac de transport avant mon déplacement, j'ai demandé les conditions/prix pour être adhérent FNAC One, mais il faut avoir dépensé quelque chose comme 8000 euros sur les 3 dernières années à la FNAC. Vu que tout ce que je voulais, c'était un sac de transport, même à 20 ou 30 euros à la limite, j'ai demandé s'il était possible de l'acheter tout seul, mais on m'a répondu "non" et manque de chance, pas moyen de trouver un sac achetable en ligne sur le site de Parrot ou de la FNAC. Mon bricolage dans un truc genre de sport a juste réussi à voiler une hélice, donc de ce côté, mauvaise note à la fois à Parrot et à la FNAC qui ne propose rien d'abordable pour le transport: un comble pour un gadget d'extérieur.
Oui en extérieur, parce qu'en intérieur, si l'on ne dispose pas d'un espace suffisant, déjà on risque d'avoir quelques instabilités (un tapis, et hop, l'engin part sur un côté par exemple), et on risque aussi d'être frustré de ne pas pouvoir l'utiliser à pleine vitesse sur une longue distance (dans les 18km/h avec une portée d'une cinquantaine de mètres, modulo la qualité du signal wifi bien évidemment). Puis le truc fait un bruit monumental, comme vous pourrez l'entendre sur la vidéo:

(Si la vidéo ne fonctionne pas, je l'hébergerai ailleurs)

Concernant les caméras dont je parlais au début de l'article, je vais me contenter de mettre ici des captures de l'écran de mon iPhone, qui valent ce qu'elles valent...
On notera que l'objet a toute l'attention du chat qui trainait par là (c'est déconseillé de faire voler ce truc à proximité d'animaux, mais un chat se barre bien vite dès qu'il entend le bruit des moteurs)









Niveau autonomie, faut compter environ un quart d'heure d'utilisation avec la batterie standard livrée avec l'engin, et 1h30 de charge. J'ai par conséquent acheté une seconde batterie, à 30 euros. Des batteries avec un peu plus d'autonomie existent, mais je ne les ai pas testées.
En parlant de voilage d'hélice, j'en ai donc acheté 2 packs de rechange à 7 euros le pack, puis le petit kit d'outils à 13 euros, qui font partie à mon avis des trucs qu'il faut acheter en cas de casse.
Ce n'est probablement pas le gadget à offrir à Noel, mieux vaudra plutôt attendre la "v2" comme on dit, dont Wikipedia dit (sans citer de sources à priori) qu'elle disposera d'un temps de vol plus long.

Book Review: Chaines d'exploits

Ne sachant pas trop quoi lire ces derniers temps, et ne voulant pas prendre un n-ième bouquin parlant de "technique" tout en restant dans de la lecture "informatique", j'ai acheté "l'art de la supercherie" de Kevin Mitnick (je n'avais lu jusque là que "l'art de l'intrusion" du même auteur), ainsi que "chaines d'exploits", d'Andrew Whitaker, Keatron Evans et Jack Voth. C'est de ce dernier dont je vais parler.

Le principe du bouquin est simple: une dizaine de chapitres racontant chacun une histoire, n'ayant aucun lien entre elles autre qu'un individu, un "pirate informatique", qui doit compromettre une personne ou une entreprise (une banque, une entreprise pharmaceutique, un candidat à une élection, ...) pour une raison X ou Y (problèmes d'argent, menaces de la part d'une mafia s'il n'obéit pas (un peu comme dans "opération espadon" quoi), vengeance, etc ..)
Alors bien-sûr, il ne faut pas s'attendre là à un "Hacking Kit" à la sauce web 2.0. Seules les grandes lignes sont données, avec des indications sur le but d'une des attaques effectuées, ses conséquences, un tout petit peu de background technique et quelques schémas: le but ici est que quelqu'un ne s'y connaissant pas nécessairement en sécurité, mais qui comprend néanmoins l'informatique puisse s'y retrouver. Et bien évidémment, comme le titre du livre le laisse suggérer, notre ami Phénix utilise plusieurs techniques différentes pour parvenir à ses fins :-)
Chaque scénario est assez réaliste. Bien évidemment, dans certains cas, il m'est arrivé de me dire que j'aurais probablement agi différemment si j'avais été le personnage du bouquin, mais ensuite chaque cas est unique.
A la fin de chaque chapitre, notre attaquant réussit, bien-sûr, et les conséquences sont exposées (le candidat à une élection se retire, une attaque terroriste réussit, une entreprise coule, etc) et quelques tips sont donnés pour se prémunir de ces attaques, ou du moins les rendre moins dévastatrices.

Ce qui m'a pas mal marqué dans ce bouquin, c'est que le social engineering est quasi nécessaire pour le bon déroulement de chaque attaque. La sécurité physique suit de très près. Finalement, l'utilisation d'exploits n'est pas si vitale que ça: juste une ou deux références à des outils comme metasploit et core inpact).
En somme, un très bon bouquin pour montrer à des gens pas forcément sensibilisés à la sécurité informatique, comment une personne mal-intentionnée agirait pour pirater son entreprise, ou faire une quelconque mauvaise action.

PlayStation 3 - le Hack

Bon je vais pas donner de détails croustillants ici; mis à part donner quelques liens vers des explications bien plus poussées que celles que je pourrais donner moi-même. Juste un petit compte rendu de mon test du "hack PS3" à l'aide d'un micro-controlleur (il ne s'agit ni plus ni moins du produit du reverse engineering d'un dongle USB exploitant un heap overflow dans la gestion des devices USB de la PS3)

J'ai effectué le test de cet outil jeudi dernier; je n'ai pas eu l'occasion de re-tester depuis, donc certains détails ont probablement changé. J'ai utilisé une carte AVR-USB-162; vous pouvez en trouver chez Farnell par exemple (même s'il ne s'agit pas des prix les plus bas). Hasard ou pas, beaucoup de sites vendant des cartes d'eval avec des micro-controlleurs sont en cours de réapprovisionnement pour ces cartes là :-)

Certaines infos du README de PSGroove n'étaient à priori pas correctes, du moins pour mon type de carte. Dans mon cas de figure, avec un AT90USB162, je devais fixer la fréquence à 8000000 au lieu des 16000000 indiqués (cf. les specs)

Pour le reste, ça fonctionne plutôt bien, même s'il faut à priori respecter un certain nombre d'étapes:
- la console doit être hors tension (aucune diode allumée) pour commencer;
- rien ne doit être branché dessus en USB, pas même le microcontrolleur;
- mettre sous tension la console (la diode rouge de veille doit s'allumer)
- brancher la carte micro-controlleur sur un port USB
- démarrer la console, et appuyer sur le bouton "eject" dans la seconde qui suit (Même si les developpeurs de psgroove parlent de 200ms: "The exploit takes place while the PS3 is looking for the Jig (triggered by pressing eject within 200ms of pressing power).")
- ????
- PROFIT !

Voici un menu qui devrait apparaître après manipulation:

Ce menu permet l'installation de packages présents sur clé usb, comme par exemple le fameux "Backup Manager", qui lui, permet ensuite le lancement de dumps de jeux présents sur un disque dur USB (en fat32 pour le moment !). Alors bien sûr, si on se demande comment cela est possible ça peut se résumer en pas grand chose: ça active juste des fonctions désactivées dans le firmware grand public de la console: les features de debug. C'est grossièrement résumé, mais en gros c'est ça.
Je n'ai pas encore fait de vidéo pour montrer le fonctionnement du bouzin. De toutes façons, la LED de ma carte ne s'allume-éteint pas comme prévu à la base lorsque ça fonctionne.
Un truc à creuser maintenant: la réactivation du OtherOS sur la console, permettant l'installation d'un Linux.

Edit: Je mettrai probablement à disposition prochainement le fichier .hex utilisé (même si j'imagine que si des gens ont de quoi flasher un micro-controlleur, ils auront probablement de quoi compiler des sources)

Fail by design

J'ai craqué, j'ai fini par prendre un iPhone (tout en conservant mon autre téléphone). Passée la phase de découverte de l'appareil, ainsi que son jailbreak, je me suis rendu compte qu'une fonctionnalité assez utile présente sur mon blackberry, est mal implémentée sur iPhone: il s'agit du (non) chargement des images distantes dans les e-mails, avec les risques que ces images engendrent (Sid parlait de ce genre de choses dans un billet, il y a longtemps)
En effet, alors que sur blackberry, il est possible de désactiver le téléchargement automatique de ces images, et les télécharger ensuite à la demande (en un bref appui sur la touche de menu, puis un petit "load images") pour un mail donné, sur iPhone, cela n'a pas l'air possible; soit le téléchargement des images est désactivé pour tous les mails, soit il est activé, mais il n'est pas possible de télécharger les images d'un unique mail.
Une fonctionnalité que j'aimerais bien voir implémentée, même si les mails HTML c'est le mal (puis c'est pas très pgp compliant selon le client mail utilisé)

Souvenirs d'il y a 10 ans

Voilà ce que j'ai pu retrouver, 10 ans après l'avoir acheté. A l'époque je découvrais Linux (RedHat 6.0 fourni dans un bouquin de chez Micro Application, avec un kernel en 2.2.5 !), et la plupart des principes exposés dans ce "dossier spécial sécurité" en feraient rire plus d'un de nos jours (portsentry, etc ...)

SSTIC 2010

Plus que quelques jours avant le SSTIC 2010 où je ne serai malheureusement pas pour diverses raisons. Mais j'ai pu constater que cette année, le projet de "compte rendu collaboratif" a été relancé (bon, je n'ai toujours pas trouvé le "compte rendu collaboratif" de l'édition 2009 :p), cette fois sous la forme d'une "wave" sur Google Wave.
Comment suivre le SSTIC sans y être, et sans non plus refresh toutes les 2 minutes sur le blog de Sid quoi :)
J'en profite d'ailleurs pour rappeler que je dispose encore d'un certain nombre d'invitations google wave (même si je me doute que les geeks que vous êtes en avez déjà un depuis plusieurs mois), suffit de me mailer.

iPhone fail

According to Apple, all data on the iPhone 3GS is hardware-encrypted using 256-bit AES, which cannot be disabled by the user. Access to data on the iPhone is normally restricted to computers with which the iPhone has previously been connected and to which the requisite credentials have previously been transferred. This exchange of credentials is blocked when the iPhone is locked, so that connecting a locked iPhone to an unfamiliar computer will not allow the latter access to data on the iPhone.

Sauf que c'est vraiment "according to apple", dans la réalité c'est un poil différent:

Bernd Marienfeldt, security officer at UK internet node LINX, found that he was able to gain unfettered access to his iPhone 3GS from Ubuntu 10.04. If he connected the device whilst it was turned off and then turned it on, Ubuntu auto-mounted the file system and was able to access several folders despite never having previously been connected to the iPhone.

Lien vers l'article d'origine ici.
Je n'ai pas d'iphone sous la main pour tester, mais si quelqu'un veut bien me confirmer la chose... :-)

La crypto dans la vie de tous les jours

C'est parfois effrayant:

[...] it was very interesting to examine the Outlook 2003 PST files. This file format has three levels of encryption. “None“, “Compressible Encryption” and “Best Encryption” with “Compressible Encryption” being the default.

“None” is not encrypting the data at all - just like the Netscape Mail example.

“Compressible Encryption” is simply a substitution cipher. It is exactly what the “secret decoder ring” does; it is also called a Caesar cipher. For data, a particular byte always gets substituted by a fixed other one. That is why the PST file still compresses well. It just obscures the data and would have stopped my naïve Notepad attack. But this would not stop any forensic software from undoing this substitution on the fly.

“Best Encryption” is similar but the substitution table changes depending on the data’s position. This also can be automatically undone without the password.

Swordfish

A une époque, je m'étais mis en tête de rassembler toutes les quotes de films vaguement liées à la "sécurité informatique". Ce soir, je viens de tomber sur ce joyau, tiré de Swordfish ("Opération Espadon"):

- So, what we need from you is a worm.A hydra, actually.A multiheaded worm to sniff out digital footprints across an encrypted network.
- What kind of cipher?
- A Vernam encryption.
- The key code is destroyed upon implementation. And it's a true 128-bit encryption.

Et voici à quoi ressemble la réalisation de cette fameuse "hydre" (hahaha):

Un assemblage de cubes en 3D ...

Playing in a Satellite Environment 1.2

En parcourant les conferences de BlackHat DC 2010, je suis tombé sur celle-ci, qui parle de quelques attaques possibles dans un environnement IP par Satellite (généralement DVB-S). Bien que ne travaillant plus dans ce domaine depuis quelques semaines, je me tiens quand même au courant de ce qui se fait.
Je savais que le spoofing TCP sur satellite était possible, dans la mesure où nous n'avons même pas besoin de prédire les numéros de séquence TCP dans le cadre de l'établissement d'une connexion (nous sommes en mesure d'intercepter le trafic à destination de l'IP que nous souhaitons usurper, à condition d'être dans la zone de couverture satellite de cette même IP, et bien évidemment, qu'elle reçoive son flux IP par satellite ;)), donc en ce sens, ce document n'apporte rien de nouveau.
Mais parfois ça ne sera pas aussi simple. Certaines porteuses ne transmettront pas un flux TCP/IP utilisable tel quel. Un exemple que j'ai pu voir à l'époque où j'ai utilisé des équipements de réception DVB/IP c'est le cas où l'opérateur utilise des mécanismes dits "d'accélération TCP". Une explication pas mauvaise sur ce qu'est l'accélération TCP est donnée dans un PDF trouvable sur le site de SkyVision, mais en deux mots, dans ces cas là, on se retrouve avec un flux TCP encapsulé dans de l'UDP, et parfois même, chiffré avant d'être encapsulé, ce qui implique quand même un peu de recherche, avant d'aboutir à quelque chose d'utilisable (comprendre: à moins de disposer de moyens conséquents pour casser le chiffrement, ça ne sera pas forcément envisageable), et donc la mise en pratique de certaines de ces techniques ne sera pas possible.
Je n'ai pas de chiffres à donner sur la proportion de porteuses utilisant ce type, mais cela ne dépend pas du satellite utilisé:
Sur le satellite W3, nous voyons un certain nombre de porteuses fournissant de l'IP (Horizon Satellite Services, et SkyDSL par exemple). Au cours de mes tests, j'ai pu constater que SkyDSL utilisait de l'accélération TCP avec du TCP encapsulé dans de l'UDP, mais pas Horizon.

Plus d'infos sur l'IP over satellite un jour prochain, peut-être ! (faudrait qu'un jour je release mon code de conditionnal access IP/DVB développé à mes heures perdues, utilisant IPsec, mais le code étant vraiment moche, j'hésite :))

La fin d'une époque

J'ai découvert ce week-end que securite.org était maintenant "down" (du moins, la partie "annuaire" de liens vers des ressources intéressantes touchant à la sécurité).
L'info date déjà d'il y a presque 3 semaines, mais il m'arrive de ne pas lire twitter pendant longtemps, et je passe à côté de certaines infos, comme celle de Nico qui en faisait l'annonce le 4 Avril.
Ce site a été un des premiers sur lesquels je suis tombé lorsque j'ai commencé à un petit peu m'intéresser à la sécurité informatique (et il m'a permis de coller des visages sur des auteurs d'articles que je lisais sur le site de OUAH également ! :)), et bien que non mis à jour depuis quelques années maintenant, une grande partie des liens présents étaient encore d'actualité.
Je ne crois pas qu'il existe de site reprenant plus ou moins le flambeau; il faut dire que la manière de diffuser de l'information de nos jours a quelque peu changé, une grande partie de l'information intéressante en sécurité informatique va se chercher sur les blogs des différents acteurs du microcosme de la sécurité informatique maintenant, qui en sachant qu'ils sont lus, y publient leurs trouvailles; d'autres citant abondamment ces mêmes articles de blogs, permettant ainsi d'élargir le nombre de gens lisant ces blogs (c'est un peu le peer to peer de l'information :))

J'ai sûrement zappé un truc

Un article du New York Times qui parle du quotidien des journalistes étrangers en Chine, et de la surveillance dont ils font l'objet.
Mais lorsque l'auteur explique comment il a compris qu'il était mis sous surveillance, un truc me chiffonne:

"For weeks, friends and colleagues complained I had not answered their e-mail messages. I swore I had not received them.

My e-mail program began crashing almost daily. But only when all my contacts disappeared for the second time did suspicion push me to act.

I dug deep inside my Yahoo settings, and I shuddered. Incoming messages had been forwarding to an unfamiliar e-mail address, one presumably typed in by intruders who had gained access to my account."

Je ne vois pas très bien, avec juste ces explications, comment un client mail (outlook/thunderbird ?) peut crasher à cause d'un forwarding e-mail mis en place chez un prestataire de services e-mail. J'ai forwardé une de mes adresses e-mail vers mon adresse GMail pendant une période (pour profiter de l'antispam relativement efficace) sans que cela fasse crasher Thunderbird. On va mettre ça sur le compte du fait que l'auteur de l'article ne soit pas spécialement un informaticien (en regardant ses derniers articles, on constate qu'il rédige plutôt des articles de faits divers en Chine) et que ses explications techniques ne sont peut-être pas très claires. Il y avait peut-être une backdoor en plus sur son PC, qui faisait crasher son programme mail, mais dans ce cas, quel intérêt de forwarder en plus les e-mails ? (une réponse peut-être que la backdoor surveille autre chose que ses mails)

Mais je ne comprends pas l'intérêt pour ces Chinois du FBI de supprimer les mails/contacts du journaliste, s'ils veulent rester undercover. Comment dire, c'est tout sauf discret :-)

Un NAS que je déconseille: Freecom Network Media Center

Je me suis enfin décidé à acheter un NAS, pour diverses raisons pratiques. Dès le début je m'étais donné le ton: je ne conserverai pas ce NAS très longtemps (maximum 1 an, pour un peu évaluer mon activité dessus), donc je n'envisageais pas d'y mettre un prix trop élevé.

Direction Grosbill, pour prendre le moins cher: un Freecom.

Les specs ont l'air raisonnables, pour un appareil de ce prix là (150 euros). Mais je pense que la majorité de mes lecteurs savent tout à fait que des specs restent des specs...

L'interface de configuration, via des CGI en Perl, est relativement lente pour une raison encore inexpliquée (ça sent le truc codé par un goret derrière).

On nous vante un système de refroidissement ultra silencieux, mais qui en réalité fait plus de bruit que mon (vieux) PC de bureau: il devrait pouvoir finir aux côtés de mon Cobalt Qube en terme de nuisance sonore (donc dans le couloir ! :))

Au niveau "media center", je n'ai pas encore eu le temps de trop expérimenter: j'ai juste pu constater que ma console de salon (PS3) parvient à jouer les fichiers, mais je n'ai pas poussé le test plus loin.

Devenons un peu vulgaires: le client bit-torrent est complètement fini à la pisse. Lorsqu'un fichier est téléchargé par le client bittorrent du NAS, il est déposé dans /public/torrents/. Jusque là tout va bien. Le problème, c'est qu'il est alors tout simplement impossible de supprimer le fichier. Aussi bien via FTP (en tant qu'utilisateur "normal", ou "admin"), que via le partage samba (de toutes façons, je n'ai même pas réussi à me connecter en tant qu'admin sur le partage samba, ça n'a pas du être activé). Ca sent bien le client bittorrent qui s'exécute avec des permissions un peu spéciales (root ?) et qui n'a pas été testé.

Un tour sur les forums de Freecom a répondu à ma question (en néerlandais, merci Google Translation), en gros c'est juste impossible de supprimer ces fichiers. On ne peut y accéder qu'en lecture seule. Le seul moyen de s'en débarasser, c'est soit de renvoyer le disque au SAV de Freecom (ben voyons), ou alors de formater (trop pratique).

En espérant que d'autres ne feront pas la même erreur que moi :-)

lecture de logs

Voilà le genre de trucs que je trouve quand je me décide à faire des stats sur mes logs apache:

222.211.136.XX - - [13/Dec/2009:23:43:55 +0100] "GET /sstic.pdf HTTP/1.1" 206 13391 "http://www.google.com/search?hl=en&lr=&num=100&newwindow=1&q=gros+entreprise+++hotmail.com+OR+gmail.com+OR+yahoo.com+filetype:pdf&start=600&sa=N" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727)"

J'imagine que ça aide à trouver des adresses mail :-) J'ai en partie caché l'IP, mais ceux qui auront fait un whois sur la range d'adresses IP verront que ça correspond à une IP située en Chine (encore eux !)

gmail security (suite)

Gmail a récemment ajouté une nouvelle feature permettant de savoir s'il y a une activité suspecte sur un compte mail, en balançant une alerte si ce dernier a des accès en provenance de pays différents en un temps assez court (accès de France à 15h, et accès d'Australie une demi heure plus tard).
Certains articles tentent de faire un parallèle entre cette (nouvelle) mesure de sécurité, et les attaques ciblées dont google a fait l'objet l'an dernier, en provenance (à priori) de Chine, ayant permis aux autorités chinoises d'accéder aux comptes mail d'opposants au régime local:

"L'affaire du piratage des comptes Gmail d'opposants chinois dénoncé par Google il y a quelques semaines a-t-elle poussé la firme américaine à renforcer la sécurité de son service de messagerie ?"

Cela dit, un truc me chiffonne un peu dans tout ça:

"une connexion effectuée dans un pays et une autre quelques heures après depuis un autre pays déclenchera une alerte"

Le gouvernement chinois en Chine accède au compte mail d'un opposant Chinois en Chine. Aucune alerte ne sera donc générée dans la mesure où il ne s'agira pas d'un pays différent. Sauf si un proxy à l'étranger est utilisé, mais dans ce cas là, pour plus de furtivité, un proxy situé en Chine leur suffira.
Mais dans mes souvenirs, les vilains haxorz qui ont rooté google/gmail n'accédaient pas aux comptes directement via un browser: ils avaient plutôt un accès aux répertoires sur le disque dans lesquels les mails sont stockés.

loppsi

Votée par les députés, ouh yeah. Reste encore la validation par les sénateurs (qui aura lieu, c'est plus que certain). Let the lul'z begin.

Dans ce cadre défini, les policiers, commis sur commission rogatoire, peuvent « mettre en place un dispositif technique ayant pour objet, sans le consentement des intéressés, d'accéder, en tous lieux, à des données informatiques, de les enregistrer, les conserver et les transmettre, telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données ou telles qu'il les y introduit par saisie de caractères »

L'installation de ce dispositif technique pourra se faire aussi bien physiquement (grâce à l'introduction de la police dans un véhicule ou dans un lieu privé) que via la transmission par un réseau de communications électroniques (comme par exemple grâce à un courriel piégé avec un spyware).

Cela dit, rien que sur ce point là (l'envoi d'un mail piégé avec un trojan dedans), on se doute fortement que ça sera un bon vieux trick de social engineering invitant la "victime" à cliquer sur une pièce jointe piégée attachée au mail, mais...disons que ça a de fortes chances d'atteindre un taux d'échec assez élevé ce truc là (puis pour peu que le serveur de mails soit doté d'un antispam/antivirus un tant soit peu efficace)

hacking PSP et chinois du FBI

Ces hackers chinois [1] du vatican sont décidément partout. Après Google, et nos administrations, vla-t'y pas qu'ils se mettent à essayer de h4xer les gens qui essaient de "hacker" leur console PSP, comme ce week-end, ainsi que vous pourrez le lire sur le site PSPGEN.

[...] Ce nouvel essai, le 6.20MAD-003, se présente sous une nouvelle forme avec un exécutable Windows (start.exe) et un fichier pour la PSP. [...]
Comme vous le savez sans doute, lancer un programme sur son PC sans avoir la certitude de la qualité morale de son créateur est toujours une expérience à éviter. Ici, il faut reconnaître que cet exécutable est loin d'être clean et si vous le lancez sur votre PC plusieurs choses louches semblent se passer. Il semblerait que ce soit un virus ou quelque chose d'approchant. [...]
Ensuite, ce truc essaye de modifier des Dll de Windows (le logiciel de surveillance a réagi lors du lancement de celui-ci sur notre PC de test) : SXS.DLL, xpsp2res.dll CLBCATQ.dll et shell32.dll. A priori, cela ne peut affecter que les utilisateurs de XP car au dessus les dll sont normalement protégés par Windows.

Dans l'archive en question, un lien est donné vers un site "étrange", qui affiche les IP et infos navigateur des potentielles "victimes". Je n'ai pas jeté de coup d'oeil au fichier exe incriminé, et ne sait encore moins ce qu'il fait précisément, mais ça ne m'étonnerait pas que ça soit une bonne vieille backdoor, et que les IP de ce site soient majoritairement des gens ayant cliqué sur cet executable, et donc potentiellement infectés.

[1] source pour cet article: http://www.pspgen.com/custom-firmware-6-20-auteur-disparu-actualite-192448.html

le hacker qui participait au tour de france

No comment :-)

moar gmail security

Voilà une excellente nouvelle, gmail qui utilise du https par défaut pour l'ensemble de la session (et pas seulement pour l'authentification). Pour rappel, c'était en phase de test ces quelques derniers mois (afin d'évaluer la charge que cela pourrait engendrer).

Factorisation d'une clé RSA de 768 bits

Voilà ça a été fait, même si ça leur a pris pas mal de temps (en travail préparatoire, lire l'article pour des détails plus précis, je serais capable d'en altérer le sens)

The following effort was involved. We spent half a year on 80 processors on polynomial selection. This was about 3% of the main task, the sieving, which was done on many hundreds of machines and took almost two years.

Quand ils parlent de "many hundreds of machines", c'est un immense cluster réparti sur plusieurs pays. Mais là encore, la lecture du pdf est probablement plus intéressante. A noter également cette petite info:

On a single core 2.2 GHz AMD Opteron processor with 2 GB RAM per core, sieving would have taken about fifteen hundred years.

Ainsi que:

Preparing the sieving data for the matrix step took a couple of weeks on a fewprocessors, the final step after the matrix step took less than half a day of computing, but took about four days of intensive labor because a few bugs had to be fixed.

Je ne vais pas parler des détails mathématiques concernant cette belle performance, je ne suis pas très orienté maths :) Par contre, on peut toujours s'intéresser à l'impact que cela peut avoir sur la sécurité-informatique-de-l'internet-mondial (ah non, c'est vrai que l'idée de nationaliser "l'Internet" a été émise [1]).

Premier exemple qui me vient à l'esprit, le fait que nos cartes bancaires utilisent une taille de clé RSA de 768 bits (elles étaient à 320 bits avant l'affaire Humpich). Même si factoriser un nombre de cette taille a pris un peu de temps avec quelques milliers de machines, on pourrait se demander si ça ne sera pas faisable avec un botnet un de ces jours, par des gens pas spécialement bien intentionnés (bon en meme temps, y'a d'autres moyens d'abuser des cartes bancaires, comme les cloneurs de cartes qu'on trouve parfois sur des ATM).

Ensuite, bien sûr, l'utilisation de RSA en cryptographie dans la vie de presque-tous-les-jours (comme PGP [hein ? vous ne chiffrez pas vos mails ?!]). Un document trouvé sur le site de l'ANSSI nous conseille ces tailles de clé:

RègleFact-1. La taille minimale du module est de 1536 bits, pour une utilisation
ne devant pas dépasser l’année 2010.
RègleFact-2. La taille minimale du module est de 2048 bits, pour une utilisation
ne devant pas dépasser l’année 2020.
RègleFact-3. Pour une utilisation au-delà de 2020, la taille minimale du module
est de 4096 bits.
RègleFact-4. Les exposants secrets doivent être de même taille que le module.
RègleFact-5. Pour les applications de chiffrement, les exposants publics doivent
être strictement supérieurs à 216=65536.
RecomFact-1. Il est recommandé d’employer des modules d’au moins 2048 bits,
même pour une utilisation ne devant pas dépasser 2010.
RecomFact-2. Il est recommandé, pour toute application, d’employer des exposants publics strictement supérieurs à 216=65536.
RecomFact-3. Il est recommandé que les deux nombres premiers p et q constitutifs du module soient de même taille et générés aléatoirement.

En gros, 1536 bits est le minimum à utiliser actuellement, mais 2048 bits sont recommandés. Ensuite, l'utilisation de la crypto ne doit pas être vue comme un moyen ultime d'empêcher quelqu'un de consulter des documents qu'il ne devrait pas consulter de manière perpétuelle, mais plutôt de le ralentir dans cette démarche. Tout dépend donc de la période pendant laquelle on souhaite rendre le document inaccessible.

On note au dessous une explication quant à la raison du non-choix d'une taille de clé RSA de 1024 bits, qui, bien que non encore factorisé, reste sujet à controverse et est donc un mauvais choix si l'on souhaite maintenir un niveau de sécurité conséquent. D'ailleurs, il va être temps que je passe ma clé PGP perso à une taille de clé supérieure, au détriment des performances de mon téléphone (openpgp sur mon téléphone prend de longues secondes pour déchiffrer un mail chiffré avec une clé de 1024 bits: j'imagine à peine le résultat avec 2048. Le pire restant 4096, car là, l'OS du téléphone tue le thread de déchiffrement)

Une alternative intéressante: les courbes elliptiques, qui demandent une taille de clé moindre, pour une sécurité équivalente.

Il ne me reste plus qu'à vous souhaiter, en retard, une bonne année.

[1] Idée évoquée par un député Français, pour faire comme en Chine afin de se protéger d'une hypothétique menace étrangère qui n'existe probablement pas. Quand on commence à prendre en exemple la Chine, je pense que là y'a du danger et personne ne peut nous sauver)