Égérie des milieux geek, la brillante Joanna Rutkowska (présidente-fondatrice de Invisible Things Lab, laboratoire spécialisé dans la sécurité informatique software et hardware), détaille dans son blog une astuce que j'avais brièvement et ironiquement imagé quelques semaines plus tôt dans mon article Marchand d'armes et espions, évitez l'e-mail !. Vous refermez et abandonnez ce satané PC portable pour quelques heures, et quittez votre chambre d'hôtel pour le restaurant le plus proche. Rien à craindre pour vos données confidentielles cryptées - avec le logiciel PGP Whole Disk Encryption, TrueCrypt ou tout autre vivement recommandé par votre directeur informatique - et donc inexploitables par la moindre tierce personne.
Peu après, une femme de ménage s'introduit dans votre chambre, insère une clé USB dans votre joujou favori, redémarre celui-ci durant deux ou trois minutes et l'abandonne éteint/en veille, exactement comme vous l'aviez laissé. Vous rentrez dans votre chambre, rallumez votre ordinateur, recomposez sereinement vos mots/phrases de passe... Ignorant complètement que votre machine a été infectée par le logiciel USB Evil Maid qui décrypte et enregistre tous vos mots de passe dans un coin de votre disque dur (ou les retransmet par wi-fi à qui saura en profiter).
Lors de son prochain passage dans votre chambre, la même femme de ménage fera de nouveau appel à sa diabolique clé USB, récupérera tous vos mots/phrases de passe, décryptera puis « aspirera » vos informations confidentielles à votre nez et à votre barbe. Game over.
L'une des règles élémentaires de la cybersécurité consiste à ne pas exposer ses données sensibles en première ligne. Pourquoi ne pas archiver celles-ci dans une mémoire externe USB trouvant très souvent refuge dans votre poche ? Ainsi, vous obligerez tout esprit malveillant à user de la force ou de la ruse pour la dérober. L'autre règle élémentaire consiste à recourir systématiquement au cryptage des données sensibles sur ordinateur. Mais comment les protéger d'une arme quasi absolue comme Evil Maid ?
Après avoir signalé qu'elle n'a guère été payée par la firme de Redmond, Rutkowska recommande le logiciel de cryptage Bitlocker pour disque dur, une fabrication Microsoft que j'avais également conseillée à plusieurs reprises dans ces pages.
Contrairement à la majorité des produits de cryptage, Bitlocker repose sur un composant cryptographique matériel appelé TPM (Trusted Platform Module ou puce Fritz), disponible dans quelques modèles de PC portables et de cartes-mères (Compaq, HP, IBM, Intel, Microsoft, AMD, six firmes membres du Trust Computing Group). Selon Wikipédia, ce chipset passif « ne peut pas donner d'ordre à l'ordinateur tel que bloquer le système ou surveiller l'exécution d'une application. Toutefois, il permet de facilement stocker des secrets (tels que des clés de chiffrement), de manière très sécurisée. »
Enfin, gardez à l'esprit que la protection absolue des données n'existe pas.
En savoir plus :
The Invisible Things, Joanna Rutkowska: Evil Maid goes after TrueCrypt !
The Invisible Things, Joanna Rutkowska: Why do I miss Microsoft Bitlocker ?
Hotline-PC.org: Comment chiffrer un disque en utilisant BitLocker ?
1 commentaire:
Cette attaque ne fonctionne qu'avec truecrypt (ou autre), installé sur un système windows... Un système crypté avec cryptsetup par exemple ne sera pas sensible à cette attaque normalement.
Enregistrer un commentaire