La recherche en matière de sécurité aide-t-elle réellement les pirates?

Lorsque l'histoire a éclaté en 2011 que les chercheurs avaient modifié le virus létal H5N1 pour être plus transmissible et voulaient publier leurs résultats, la plupart d'entre nous étaient à juste titre alarmés. Bien que le virus ait été modifié dans le cadre d'une recherche conçue pour aider à déterminer ce qui pourrait aider à réduire la transmission humaine du virus, les critiques n'ont pu s'empêcher de demander: que se passerait-il si quelqu'un utilisait ces informations pour produire et diffuser ce virus mortel?

Bien qu'elle ne soit pas potentiellement mortelle, une dynamique similaire existe dans le domaine de la sécurité informatique. Des chercheurs en sécurité, certains universitaires et certains amateurs, recherchent des failles dans les systèmes de sécurité, les systèmes d'exploitation et les applications. Lorsqu'ils découvrent un tel défaut, ils rendent généralement leurs conclusions publiques, souvent accompagnées d'informations sur la façon dont le défaut peut être exploité. Dans certains cas, ces informations peuvent en fait aider les pirates malveillants à planifier et à organiser leurs attaques.

Chapeaux blancs et chapeaux noirs

Les hackers sont normalement regroupés en deux catégories de base: les chapeaux noirs et les chapeaux blancs. Les pirates informatiques sont les "méchants", tentant d'identifier les failles de sécurité afin de pouvoir voler des informations ou lancer des attaques sur des sites Web. Les pirates de White Hat recherchent également des vulnérabilités de sécurité, mais ils informent le fournisseur de logiciels ou rendent leurs conclusions publiques pour forcer le fournisseur à corriger la vulnérabilité. Les pirates informatiques peuvent aller des académiciens universitaires menant des recherches sur la sécurité aux adolescents amateurs motivés par la curiosité et le désir de confronter leurs compétences à celles des professionnels.

Lorsqu'une faille de sécurité est rendue publique par un pirate à chapeau blanc, elle est souvent accompagnée d'un code de preuve de concept qui montre comment la faille peut être exploitée. Étant donné que les pirates de chapeau noir et les pirates de chapeau blanc fréquentent les mêmes sites Web et lisent la même documentation, les pirates de chapeau noir ont souvent accès à ces informations avant que le fournisseur de logiciels ne puisse fermer le trou de sécurité. Des études ont montré que les exploits de piratage sont souvent disponibles dans les 24 heures suivant la divulgation d'une faille de sécurité.

Besoin d'aide pour déchiffrer un code PIN?

Une autre source d'information est les documents de recherche sur la sécurité informatique publiés par des académiciens de chapeau blanc. Bien que les revues universitaires et les articles de recherche ne soient probablement pas au goût du hacker moyen, certains pirates (y compris ceux potentiellement dangereux en Russie et en Chine) peuvent digérer et utiliser des documents de recherche abusifs.

En 2003, deux chercheurs de l'Université de Cambridge ont publié un document décrivant une méthode pour deviner les numéros d'identification personnels (PIN) qui améliorerait considérablement la technique de la force brute utilisée par de nombreux pirates. Ce document contenait également des informations sur les modules de sécurité matériels (HSM) utilisés pour générer des codes PIN cryptés.

En 2006, des chercheurs israéliens ont publié un document décrivant une méthode d'attaque différente qui nécessitait l'aide d'un initié. Peu de temps après, Graham Steel, chercheur en sécurité à l'Université d'Édimbourg qui a publié une analyse des attaques par bloc PIN la même année, a commencé à recevoir des courriels russes lui demandant s'il pouvait fournir des informations sur le piratage des codes PIN.

En 2008, un groupe de pirates informatiques a été inculpé pour avoir volé et déchiffré des blocs de codes PIN. L'affidavit déposé au tribunal indiquait que les pirates informatiques avaient reçu "une assistance technique d'associés criminels pour décrypter les codes PIN cryptés".

Ces «associés criminels» auraient-ils pu utiliser la recherche universitaire existante pour aider à concevoir des méthodes pour voler et décrypter des codes PIN cryptés? Auraient-ils pu obtenir les informations dont ils avaient besoin sans l'aide de documents de recherche sur la sécurité? (Pour plus de trucs de pirates, consultez 7 façons dont les pirates peuvent obtenir votre mot de passe Facebook.)

Comment transformer une pomme en brique

La batterie d'un ordinateur portable Apple possède une puce intégrée qui lui permet de fonctionner avec d'autres composants et le système d'exploitation. En 2011, Charlie Miller, un chercheur en sécurité spécialisé dans les produits Apple, s'est demandé quels ravages il pourrait causer s'il pouvait accéder à la puce de la batterie.

L'accès s'est avéré assez simple, car Miller a pu trouver le mot de passe par défaut qui mettait la puce en mode d'accès complet. Cela lui a permis de désactiver la batterie (parfois appelée «brique», probablement parce qu'une batterie en briques est à peu près aussi utile à un ordinateur qu'une brique). Miller a émis l'hypothèse qu'un pirate pourrait également utiliser le mode d'accès complet pour placer des logiciels malveillants sur la puce de la batterie.

Les pirates auraient-ils finalement trouvé cette faiblesse obscure dans les ordinateurs portables Apple sans le travail de Miller? Cela semble peu probable, mais il y a toujours la possibilité qu'un pirate malveillant ait également trébuché dessus.

Plus tard dans l'année, Miller a découvert un bogue dans le système d'exploitation iOS d'Apple pour iPads et iPhones qui pouvait permettre à un pirate informatique d'exécuter du code malveillant. Il a ensuite créé une application de preuve de concept inoffensive pour démontrer le bogue et l'a fait approuver pour l'Apple Store en le déguisant en une application boursière.

Apple n'a pas été amusé, affirmant que Miller avait violé les termes de l'accord de développement Apple. Apple a expulsé Miller de ses programmes de développement.

Les pirates informatiques fournissent-ils un service précieux?

Bien qu'ils puissent fournir des informations pouvant être utiles à des pirates informatiques malveillants, les pirates informatiques sont également inestimables pour les éditeurs de logiciels. Charlie Miller, par exemple, avait alerté Apple sur des dizaines de bugs avant la fin de sa licence de développeur. Même si la publication d'informations sur une vulnérabilité de sécurité peut temporairement exposer un système à des attaques, la divulgation publique est probablement préférable à un pirate malveillant qui découvre la vulnérabilité et l'exploite à l'insu du fournisseur.

Les professionnels de la sécurité ont même reconnu à contrecœur l'importance des pirates informatiques. Lors de conventions de chapeau noir telles que DEFCON, des chercheurs en sécurité, des universitaires et des responsables de l'application des lois se mêlent aux pirates et aux crackers pour écouter des présentations sur le piratage. Les universitaires en informatique ont acquis des connaissances précieuses du point de vue des pirates informatiques et les ont utilisés pour améliorer leurs programmes. De nombreuses entreprises ont également embauché (vraisemblablement) des pirates informatiques réformés en tant que consultants en sécurité pour tester leurs réseaux et systèmes. (Pour en savoir plus sur les pirates, consultez 5 raisons pour lesquelles vous devriez être reconnaissant envers les pirates.)

Le duel permanent entre les chercheurs en sécurité et les pirates

La recherche en matière de sécurité fournit-elle souvent involontairement des informations utiles aux pirates? Oui. Cependant, les recherches effectuées par des pirates informatiques fournissent également des informations utiles aux universitaires et aux concepteurs de systèmes de sécurité. Alimentés par la liberté d'Internet, les esprits créatifs des pirates informatiques et des chercheurs en sécurité sont susceptibles de rester enfermés à la fois dans un duel en cours et dans une interdépendance croissante.