- Quelques minutes d’accès physique à un ordinateur portable ou à un téléphone suffisent pour installer un keylogger, cloner un support de stockage ou altérer le firmware et les logiciels ; il faut donc une couche de défense permettant de vérifier a posteriori les traces laissées
- Le scellement au vernis à ongles pailleté consiste à photographier le motif aléatoire unique créé sur une vis afin de vérifier si le boîtier a été ouvert ; l’appliquer directement sur la vis est plus sûr que sur un autocollant
- Pour les appareils électroniques sensibles, on peut créer un stockage en mosaïque avec une boîte transparente et des matériaux de couleurs mélangées, puis comparer une photo antérieure à l’état actuel avec Blink Comparison
- Auditor de GrapheneOS et Heads dans les environnements Tails ou Qubes OS complètent la détection d’altérations du firmware et des logiciels, mais tout appareil sur lequel une altération est détectée doit être immédiatement exclu du périmètre de confiance
- En y ajoutant une appli Android comme Haven et de la vidéosurveillance, on multiplie les couches que l’attaquant doit contourner ; en pratique, le plus sûr est d’appliquer toutes les couches de manière cohérente dès le départ
Pourquoi l’accès physique est dangereux
- Quand la police ou un attaquant obtient un accès physique à un appareil électronique, celui-ci peut être compromis en très peu de temps au niveau matériel, firmware ou logiciel
- Une attaque de type « evil maid » consiste pour l’attaquant à mettre brièvement la main sur un ordinateur portable ou un téléphone chiffré, puis à modifier l’appareil et le remettre en place même sans pouvoir déchiffrer les données
- L’attaque peut réussir lorsque l’utilisateur revient et saisit ses identifiants
- Les altérations possibles incluent la modification des données du disque dur, le remplacement du firmware et l’installation d’un keylogger matériel
- La défense en profondeur désigne une architecture dans laquelle l’attaquant doit contourner plusieurs couches de sécurité pour réussir
Sceller les vis avec du vernis à ongles pailleté
- Un scellement efficace doit laisser des traces en cas de retrait ou de remplacement, et présenter un motif unique difficile à reproduire pour un attaquant
- Le vernis à ongles pailleté permet de créer des motifs aléatoires difficiles à copier ; en les photographiant, on peut ensuite vérifier si le vernis a été retiré puis réappliqué
- Cette technique a été présentée dans Thwarting Evil Maid Attacks, publié en 2013
- La méthode consistant à poser un autocollant sur la vis puis à appliquer du vernis par-dessus, comme chez Mullvad VPN, a été jugée seulement partiellement adaptée lors de tests indépendants
- Même un attaquant peu expérimenté pouvait soulever le dessous de l’autocollant avec une aiguille ou un scalpel pour accéder à la vis
- Les parties cassées du sceau pouvaient être réparées avec du vernis transparent, et dans la plupart des tests cela n’était même pas nécessaire
- Le nombre d’éléments sur le bord de l’autocollant est important, et des autocollants de scellement spéciaux qui se brisent au retrait peuvent être plus appropriés
- Une meilleure méthode consiste à appliquer le vernis pailleté directement sur la vis, et non sur un autocollant
- Cette application directe est utilisée sur les ordinateurs portables NitroKey et Purism
- Si le trou de vis est trop profond, il devient difficile de prendre une photo exploitable du scellement dans des conditions normales
- Si le trou est peu profond ou si l’on met trop de vernis, il existe un risque qu’on découpe la partie supérieure, qu’on manipule ensuite la vis, puis qu’on recolle le tout avec du vernis transparent
- S’il y a trop peu de paillettes, elles peuvent être replacées manuellement à leur position d’origine après manipulation
- Lors du Tamper Evident Challenge 2018, il y a eu un cas de contournement d’un scellement au vernis pailleté
- Le vernis utilisé contenait alors des paillettes relativement grosses de seulement deux couleurs
- En l’appliquant dans un trou de vis étroit, avec une forte densité d’éléments mais sans couche trop épaisse, on augmente la difficulté du contournement
- L’ajout d’adhésif réduit encore davantage les possibilités de contournement
Comparaison de photos et procédure d’application
- Pour vérifier des motifs aléatoires, on peut utiliser la méthode de blink comparison employée en astronomie pour repérer de petites différences
- Le fait d’alterner rapidement entre la photo d’origine et la photo actuelle rend les petits changements plus visibles
- Sur Android, on peut utiliser l’application Blink Comparison
- L’application chiffre son espace de stockage pour empêcher un attaquant de remplacer facilement les photos
- Elle aide à reprendre une photo de comparaison avec le même angle et la même distance que l’originale, puis alterne entre les deux images lorsqu’on touche l’écran
- Elle peut être installée comme une application ne nécessitant pas Google Services, mais pas via F-Droid
- Si l’on prévoit d’installer le firmware Heads sur un ordinateur portable, il faut le faire avant d’appliquer le vernis sur les vis
- Sinon, il faudra retirer puis réappliquer le vernis
- En pratique, l’application suit le déroulé suivant
- Prendre une photo de la face inférieure du portable et numéroter les vis avec un logiciel comme GIMP
- Par exemple, un ThinkPad X230 comporte 13 vis à numéroter
- Appliquer directement sur chaque vis un vernis de couleurs et tailles de paillettes variées, en veillant à en mettre suffisamment sans former une couche trop épaisse
- Une fois sec, prendre une photo rapprochée de chaque vis avec Blink Comparison ou un appareil photo classique
- Pour un éclairage reproductible, mieux vaut fermer les stores et s’appuyer sur l’éclairage intérieur ainsi que sur le flash de l’appareil
- Ajouter les numéros aux noms de fichiers photo et faire une sauvegarde dans un second emplacement
- Si l’on doit ensuite retirer le vernis pour accéder à l’intérieur, il faut appliquer le dissolvant avec une seringue afin d’éviter qu’une quantité excessive n’endommage les composants électroniques internes
Stockage à détection de falsification pour les appareils sensibles
- Lorsqu’on s’absente de chez soi, les appareils électroniques sensibles comme les ordinateurs portables, disques externes, clés USB, téléphones, claviers et souris externes nécessitent un stockage à détection de falsification
- Les coffres-forts sont souvent utilisés pour protéger des objets de valeur, mais ils peuvent être contournés de nombreuses façons, dont certaines sont difficiles à détecter
- Même s’il est possible de rendre un coffre-fort sensible à la falsification, ce n’est ni simple ni économique
- Une méthode moins coûteuse consiste à placer les appareils dans une boîte à face transparente et à les recouvrir d’un mélange coloré pour créer une mosaïque
- On peut poser la boîte sur une serviette ou des vêtements afin qu’un choc ou une vibration ne modifie pas la mosaïque
- Avant le stockage, il est possible de photographier toutes les faces visibles et de conserver ces photos sur un appareil sûr, ou de les envoyer à une personne de confiance via un canal chiffré et vérifié
- On peut envelopper les appareils dans du film plastique, un sachet, etc., pour éviter qu’ils se salissent ou que le matériau n’entre dans les ports
- Exemples de mélanges : lentilles corail et lentilles beluga, pois jaunes et haricots blancs
- Pour un ordinateur portable, un petit aquarium convient bien comme boîte transparente sur toutes les faces
- Pour un stockage de longue durée, on peut utiliser une mise sous vide
- L’appareil servant à photographier le stockage nécessite lui aussi des mesures de sécurité spécifiques
- Si l’on utilise un téléphone Haven dédié, comme il reste de toute façon hors de la boîte de stockage, on peut aussi s’en servir pour photographier les images de référence
- Si l’on possède un appareil sous GrapheneOS, on peut prendre les photos puis le cacher quelque part dans la maison
- Un appareil photo est plus facile à falsifier pour un attaquant faute de chiffrement, et il ne permet pas non plus d’utiliser Blink Comparison
Détection des altérations du firmware et des logiciels
- Ce ne sont pas seulement le matériel, mais aussi les logiciels et le firmware qui doivent être surveillés pour détecter toute falsification
- Pour faire confiance à un appareil électronique, il faut faire confiance au matériel, au firmware et aux logiciels
- Une compromission logicielle ou firmware peut résulter non seulement d’un accès physique, mais aussi d’une attaque distante via Internet
- Sur GrapheneOS, Auditor peut alerter en cas d’altération du firmware ou du système d’exploitation
- Si Auditor effectue une attestation à distance, on peut recevoir un e-mail
- Sur Tails ou Qubes OS, Heads peut jouer un rôle similaire avant la saisie du mot de passe de démarrage
- Il n’est utilisable que sur les appareils pris en charge
- Son installation est une opération avancée, mais son utilisation au quotidien n’est pas difficile
- On peut emporter le dongle de sécurité USB Heads lors des déplacements et cacher un dongle de secours chez un ami de confiance
- Si Auditor ou Heads détecte une altération, l’appareil concerné doit immédiatement être considéré comme non fiable
- Une analyse forensique peut aider à comprendre la méthode de compromission
- Il est possible de contacter des services comme Access Now’s Digital Security Helpline, mais il n’est pas recommandé d’y transmettre des données personnelles
Détection d’intrusion physique
- La détection d’intrusion physique consiste à repérer le fait qu’un attaquant est entré dans un espace ou a tenté d’y entrer
- Un système de vidéosurveillance peut avoir les caractéristiques suivantes
- La caméra réagit au mouvement et peut envoyer des alertes en cas de détection ou de falsification
- La caméra peut être placée de façon à voir les points d’entrée, ou au contraire dans un endroit discret
- Pour éviter d’être soi-même surveillé lorsqu’on est dans la pièce, on peut l’activer juste avant de partir et la désactiver immédiatement au retour
- Un stockage à détection de falsification seul peut ne pas révéler certains objectifs d’intrusion, comme l’installation de dispositifs de surveillance cachés ; il est donc plus sûr de l’utiliser avec une détection d’intrusion physique
- Haven est une application Android développée par Freedom of Press Foundation ; elle utilise le microphone, le détecteur de mouvement, le capteur de luminosité et la caméra pour surveiller les changements dans une pièce et enregistrer des journaux
- Elle n’est plus maintenue actuellement
- Les notifications à distance sont cassées
- Sa fiabilité est faible sur de nombreux appareils
- Tant que Haven ne fonctionne pas complètement, il est préférable d’utiliser aussi un système de vidéosurveillance capable d’envoyer des alertes à distance
- C’est important pour se prémunir contre un intrus qui modifierait les journaux locaux
- Il faut choisir un modèle intégrant des fonctions de confidentialité, par exemple sans fonctionnement via le cloud
- motionEye OS prend en charge les alertes à distance sur détection de mouvement, mais sa configuration demande des connaissances Linux
Mode opératoire de Haven
- Il est préférable d’utiliser Haven sur un appareil Android dédié et peu coûteux
- Les anciens Pixel sont bon marché et disposent de bons appareils photo, ce qui les rend adaptés à Haven comme à Blink Comparison
- Certains modèles peuvent encore être pris en charge par GrapheneOS
- Il faut activer le chiffrement complet du disque
- Si l’on a un smartphone séparé, il faut le conserver éteint dans le conteneur à détection de falsification, contrairement au téléphone Haven dédié
- Si Haven tourne sur le smartphone principal et qu’un intrus le découvre, cela lui donne un accès physique à un appareil allumé
- La procédure d’utilisation concrète est la suivante
- Placer le smartphone Haven à un endroit d’où il voit le couloir par lequel un intrus devra passer, ou le chemin d’accès au conteneur
- Le laisser branché pour éviter l’extinction de la batterie
- Activer Haven avant de partir, avec un compte à rebours
- Les notifications à distance ne fonctionnant pas actuellement, les journaux sont stockés localement sur l’appareil Android
- Vérifier les journaux Haven au retour
Utiliser plusieurs couches ensemble
- Si l’on combine les mesures ci-dessus, l’attaquant doit contourner à la fois la détection d’intrusion physique et le stockage à détection de falsification
- Même à l’intérieur du stockage à détection de falsification, les points à vérifier diffèrent selon le type d’attaque
- Pour une attaque nécessitant l’ouverture d’un ordinateur portable, le scellement au vernis pailleté apporte une réponse
- Pour une attaque logicielle ou firmware, c’est Heads ou Auditor qui prend le relais
- Chaque couche peut sembler redondante, mais elle est importante : plus il y a de couches, plus le niveau d’expertise et le coût nécessaires pour réussir l’attaque augmentent fortement
- La meilleure approche consiste à acquérir un nouvel appareil par un moyen difficile à intercepter, puis à appliquer toutes les couches de manière cohérente dès le départ
- En cas d’absence prolongée avec logement vide, l’ordre suivant est approprié
- Placer les appareils éteints dans le conteneur à détection de falsification
- Prendre les photos nécessaires
- Activer Haven
- Au retour, il faut d’abord vérifier les traces d’intrusion
- D’abord consulter les journaux Haven
- Ensuite vérifier l’état du stockage à détection de falsification avec Blink Comparison
- Les vis du portable n’ont besoin d’être vérifiées qu’en cas de suspicion
- Une fois configurés, Heads et Auditor ne demandent pas beaucoup d’efforts pour être utilisés correctement
- Auditor fonctionne sans interaction
- Heads s’intègre au processus de démarrage
Pourquoi un coffre-fort ne suffit pas
- Certains coffres-forts peuvent être ouverts sans détection à l’aide d’un aimant en terres rares agissant sur le verrou à solénoïde
- Le safe bouncing consiste à frapper ou faire rebondir un coffre-fort afin de déplacer le mécanisme de verrouillage et l’ouvrir sans détection
- Les coffres utilisant un mécanisme à engrenages sont moins vulnérables aux attaques mécaniques
- De nombreux modèles de coffres disposent d’un code de réinitialisation administrateur ou d’une try-out combination
- Si la valeur par défaut n’a pas été changée, le coffre peut être ouvert sans détection
- Le spiking consiste à exposer les fils reliés au bouton de réinitialisation, au solénoïde ou au moteur, puis à les stimuler avec une batterie
- Comme cela nécessite un accès aux fils, il est peut-être possible de rendre l’ensemble sensible à la falsification
- Les attaques par force brute sont possibles si l’attaquant a du temps
- Les serrures à cadran peuvent être attaquées par force brute avec un composeur automatisé informatisé fonctionnant sans supervision
- Les claviers électroniques sont moins vulnérables à la force brute s’ils disposent d’un bon mécanisme de verrouillage progressif
- Des outils comme Little Black Box et Phoenix peuvent extraire ou réinitialiser automatiquement la combinaison de serrures électroniques
- Ces outils se connectent souvent à des fils internes accessibles sans endommager la serrure ou le conteneur
- Comme l’accès aux fils est nécessaire, il est peut-être possible d’y ajouter une détection de falsification
- Il existe aussi diverses attaques visant les claviers, dont certaines peuvent être atténuées par une bonne hygiène opérationnelle
1 commentaires
Avis sur Hacker News
Il y a quelques années, j’ai travaillé sur la prévention des médicaments contrefaits en utilisant une partie de ces principes : https://www.nature.com/articles/s41598-022-11234-4
Au passage, je pense qu’il existe encore une demande non satisfaite pour des algorithmes capables de transformer les photos de ces motifs aléatoires en texte, ou en une forme similaire, afin de les stocker dans une base de données et de les rechercher rapidement
Nous avons aussi essayé des algorithmes de similarité d’images comme ceux utilisés par Google Reverse Image Search, mais ils ne convenaient pas bien à cette tâche ; dans l’article, nous avons créé un algorithme maison assez rudimentaire qui convertit les motifs en ensembles de chaînes. Il fonctionne à peu près, mais il existe sûrement une meilleure approche
J’ai travaillé autrefois chez MusicIP, qui, si je me souviens bien, a développé le système d’empreintes utilisé par MusicBrainz
Le fabricant ne pourrait probablement pas savoir s’il s’agit d’une collision ou si l’utilisateur essaie de vérifier deux fois le même comprimé
Les caméras deviennent sans cesse plus petites et moins chères. On peut détecter et localiser des caméras cachées par TEMPEST / Van Eck phreaking : https://www.usenix.org/system/files/sec24fall-prepub-357-zha...
L’encodage et la compression vidéo bruts des caméras espion se font dans la mémoire intégrée en lecture/écriture, et cette activité provoquerait des émissions électromagnétiques. ESauron crée volontairement des changements dans la scène et détecte l’augmentation des émissions électromagnétiques pour repérer les caméras espion
Lors d’essais sur 50 modèles de caméras, il les aurait détectés avec 100 % de précision en seulement 4 stimulations ; même avec des obstacles, la distance de détection peut dépasser 20 m et la localisation serait précise
L’article reconnaît aussi, dans ses limites, que les smartphones récents réduisent les fuites d’émissions électromagnétiques grâce à des techniques DDR basse consommation et à une cage de Faraday interne ; cette combinaison rend beaucoup plus difficile, avec le prototype actuel d’ESauron, la détection des émissions électromagnétiques de la mémoire de la caméra d’un smartphone
J’utilise Brave sur la dernière version d’iOS, avec le mode Lockdown activé depuis 6 mois. Il y a quelque chose de bizarre dans ce PDF
Il existe des normes du DoD liées à cela. Elles visent surtout le niveau SECRET : les conteneurs de documents SECRET doivent laisser des traces de manipulation, mais n’ont pas besoin d’offrir une résistance extrême aux attaques
Les classeurs doivent avoir des joints soudés et peints, ainsi qu’une bonne serrure. On peut ouvrir un classeur sécurisé au pied-de-biche, mais les dégâts seront visibles. Voir la section 5.3.1 de [1]
L’U.S. Navy autorise les scellés de type étiquette, mais évalue leur sécurité comme « minimal ». Voir la section 6.3 de [2]. La Defense Counterintelligence Agency a aussi des consignes sur les scellés de sécurité, mais il s’agit probablement de documents anciens
Il existe aussi des « scellés inviolables laissant des résidus ». Si on les retire, cela laisse une saleté bien visible, et ils ont aussi un numéro de série sous forme de code-barres. Un attaquant disposant de ressources suffisantes, de beaucoup de temps d’accès et capable d’inspecter à l’avance le scellé pour en fabriquer une copie pourrait sans doute le retirer et le remplacer ; mais avec ce modèle de menace, il ne faudrait de toute façon rien laisser d’intéressant sur un ordinateur portable sans surveillance
[1] https://www.nispom.org/NISPOMwithISLsMay2014.pdf
[2] https://exwc.navfac.navy.mil/Portals/88/Documents/EXWC/DoD_L...
[3] https://www.dcsa.mil/Portals/91/Documents/CTP/NAO/security_s...
[4] https://seals.com/security-tape-labels/?_bc_fsnf=1&Classific...
Le moteur avait été retiré, mais les supports de fixation ainsi que les réservoirs de carburant et de comburant étaient toujours là ; pour voir l’intérieur, il fallait retirer une prise électrique à 4 broches située derrière un scellé en plastique portant un cachet soviétique
Il fallait remettre l’engin spatial exactement dans l’état où il avait été trouvé, et si les Soviétiques remarquaient l’absence du scellé, c’était fini. Quand le véhicule de la CIA est revenu, il contenait un faux scellé soviétique parfait, ce qui a permis de refermer le panneau et de dissimuler le vol
https://www.technologyreview.com/2021/01/28/1016867/lunik-ci...
Au sein du gouvernement américain, la principale compétence pour neutraliser des scellés se trouve à la CIA
Le mécanisme des « traces de falsification », je l’ai découvert pour la première fois dans l’anime Death Note
https://youtube.com/watch?v=zZBR9iQ7DRA3D
Le protagoniste utilise plusieurs dispositifs : la hauteur du loquet de la porte, un morceau de papier entre la porte et le mur, une mine de critérium dans la charnière de la porte. Si un seul sceau est déplacé, on peut l’ignorer, mais si les trois sont rompus, c’est que quelqu’un est entré dans la pièce
Quand j’étais enfant et que je vivais avec mes parents et mes frères et sœurs, j’ai moi-même utilisé le truc du papier pour savoir facilement si quelqu’un était entré fouiller dans mes affaires, et j’ai aussi utilisé le truc de la mine de critérium dans un tiroir « secret » auquel j’avais ajouté un faux fond
Si les trois étaient rompus, cela voulait dire que c’était un intrus peu expérimenté, comme un membre de la famille ; si l’un avait été remis en place mais que les deux autres étaient rompus, cela indiquait un intrus expérimenté, comme la police
L’une consistait à placer un verre d’eau derrière la porte, de sorte que si la porte s’ouvrait, l’eau se renverse sur un mouchoir où il avait dessiné un motif difficile à reproduire. Il avait mentionné d’autres méthodes, mais je les ai oubliées ; comme le truc de la mine de critérium me semble familier, c’était peut-être aussi celui-là
Snowden est aussi connu pour aimer les animes, donc il est possible qu’il ait vu cette scène
Je préférais les livres documentaires à la littérature, donc j’en ai lu énormément. Il y avait toutes sortes de trucs : écrire avec du lait et révéler le texte avec du citron, des astuces avec des lacets, des techniques pour filer quelqu’un, etc., et c’était au début des années 90, quand la guerre froide touchait à sa fin
Aujourd’hui encore, j’aime les podcasts sur les détectives privés, les espions, le renseignement militaire et les enquêtes policières. Le dernier que j’ai écouté portait sur l’assassinat du politicien néerlandais Pim Fortuyn : le rapport de police omettait le fait que le coupable, arrêté quasiment en flagrant délit, habitait à côté d’un ancien grand criminel, lequel s’est retrouvé quelques années plus tard à vivre près d’un terroriste islamiste
Cela soulevait donc la question de savoir s’il avait fourni l’arme au coupable, ou s’il était un informateur de l’AIVD (à l’époque le BVD), avec en prime le retournement de situation classique : l’ancien criminel est mort pendant la production du podcast. Il n’y a pas eu de conclusion, mais c’était une histoire intéressante
J’ai dû démonter un aspirateur Roborock relativement récent pour le nettoyer complètement. Il avait trouvé un morceau d’excrément de chien et en avait fait un magnifique carnage
J’avais retiré toutes les vis visibles, mais le cache inférieur ne voulait toujours pas se détacher ; ce n’est que plus tard que j’ai compris que ce qui ressemblait à un remplissage en plastique dans un trou était en fait un sceau de cire recouvrant la dernière vis. Cela ressemble à une méthode simple de détection de falsification à des fins de garantie
Je chauffais l’autocollant anti-falsification au décapeur thermique pour le décoller. J’avais économisé longtemps pour acheter cette Xbox, donc je ne pouvais pas me permettre de perdre la garantie ; heureusement, la bonne vieille astuce du décapeur thermique m’a permis d’éviter de détruire l’autocollant
Microsoft avait payé pour fabriquer des autocollants de sécurité afin d’empêcher la falsification, et l’appareil faisait même tourner un hyperviseur, ce qui était inhabituel à l’époque, pour empêcher les modifications
Mais quelqu’un sur Internet avait découvert qu’il suffisait de chauffer l’autocollant au décapeur thermique et de le retirer délicatement avec une pince, puis de modifier le firmware du lecteur DVD pour qu’il signale à l’OS verrouillé et « totalement sécurisé » : « oui, ceci est un disque Xbox 360 officiel »
L’entreprise ne peut refuser la garantie que pour l’élément précis que l’utilisateur a effectivement endommagé. Si vous avez ouvert un appareil électronique sans rien casser, demandez-leur par écrit pourquoi ils annulent la garantie. Ils répondront probablement quelque chose comme « on va vous aider cette fois-ci seulement »
La FTC a enfin commencé à sévir contre les entreprises qui utilisent ce genre d’avertissements. Grâce au Magnuson-Moss Warranty Act, faire travailler soi-même ou par un tiers sur son véhicule n’annule pas non plus la garantie constructeur
J’aimerais en savoir plus sur ce que font les personnes qui ont besoin d’un tel niveau de sécurité
Je me demande si la NSA recouvre les vis de ses ordinateurs portables avec du vernis à paillettes, ou si ce sont des agents clandestins de la CIA ou des SOF qui font ça
Je ne vois pas bien qui aurait besoin d’un tel niveau de confidentialité sans disposer, au départ, d’une sécurité physique pour protéger ses appareils
Elle couvrait la cybersécurité et la manière dont certains gouvernements détournaient des spywares pour surveiller des citoyens
Les personnes visées par ce type de sécurité seraient sans doute des journalistes et des chercheurs en cybersécurité susceptibles de devenir des cibles gouvernementales. D’autres professions pourraient aussi utiliser ces informations pour mieux se protéger
Les grandes agences gouvernementales ont les moyens de concevoir des systèmes qui n’ont pas ce type d’exigence, et il est aussi probable qu’elles ne laissent pas d’informations sensibles sur des appareils sans surveillance
J’ai fait une présentation avec Eric Michaud sur le vernis à paillettes en 2013, et ça me donne l’impression de vieillir
Anna Merlan, Tim Marchman et les gens de 404 Media aussi, sans doute. Quand on enquête sur des organisations criminelles, on peut finir par devenir paranoïaque et très prudent
Si un garde-frontière voit des vis couvertes de paillettes sur l’ordinateur portable de quelqu’un d’ordinaire, cela peut devenir un signal pour le surveiller de près pendant tout son séjour
Nous utilisons aussi toutes les fonctions constructeur où des interrupteurs de détection d’intrusion sont reliés au TPM, mais nous ajoutons d’autres protections anti-altération
Je ne vais pas détailler tout ce que font ces serveurs, mais apposer de l’époxy pailletée et d’autres scellés pénibles sur les zones donnant accès aux serveurs fait partie de leur protection physique
Ça me rappelle un vieux James Bond avec Sean Connery. Il arrachait un cheveu, mouillait son doigt avec de la salive et le collait sur la porte de sa chambre d’hôtel pour la sceller, ce qui lui permettait ensuite de savoir si quelqu’un était entré
J’ai souvent pensé à ce problème à propos du Framework Laptop. À quel point il serait facile de remplacer l’un des ports latéraux par une version malveillante, comme un keylogger, sans que l’utilisateur ne s’en rende compte
La différence, c’est que l’attaquant devrait copier l’intégralité du motif de paillettes sur un nouveau boîtier. Sinon, il devrait ouvrir le boîtier existant, et il faudrait alors faire en sorte que cela laisse aussi des traces. Je ne sais pas vraiment à quel point ces modules sont faciles à ouvrir en pratique
Je suis content de voir cet article, parce qu’aujourd’hui les forces de l’ordre et les services de renseignement procèdent réellement de cette manière
L’ancienne DCRI française, aujourd’hui DGSI, a illégalement implanté un keylogger matériel dans mon ordinateur portable. Je pense qu’il a été installé avant la livraison, lorsque je l’ai acheté en ligne chez materiel.net
Dans ma tête, j’en suis sûr à 100 %. Si vous pensez que ce type d’exposition est possible, n’achetez jamais un ordinateur portable ou du matériel en ligne ; achetez-le en magasin
Pour le fun et comme preuve de concept, j’avais aussi envisagé de fabriquer un keylogger matériel pour ordinateur portable afin de montrer à quel point c’est facile
Cette méthode me paraît bien plus plausible que d’invoquer Secure Boot pour des scénarios improbables de type « evil maid »
Je ne connais personne qui, lorsque Windows fait des siennes et demande une clé BitLocker sans raison, réagirait en se disant : « mon ordinateur portable a été altéré ! »
Avec assez d’employés, les faux positifs sont si fréquents que l’IT doit distribuer des clés BitLocker presque tous les jours. En revanche, je pense que les gens prêteraient attention à de vraies traces d’altération
Par exemple, les Chromebook sont conçus pour revenir, après redémarrage, à un état cohérent et non compromis, même en présence d’une vulnérabilité système complète permettant de prendre le contrôle jusqu’au noyau
On retrouve quelque chose de similaire dans les écosystèmes mobiles. Face à des cibles de grande valeur, les untethered jailbreaks, c’est-à-dire les jailbreaks persistants, sont quasiment inexistants
Même lorsque des outils comme Cellebrite attaquent des appareils haut de gamme comme les Pixel ou les iPhone, ils classent généralement leur vulnérabilité selon qu’elle s’applique avant ou après le premier déverrouillage, c’est-à-dire au moment où la sécurité de la chaîne de démarrage est la plus forte ; les prises de contrôle persistantes et les attaques par downgrade ou rejeu sont rares