Concept Taplogger sous Android : une récupération de données frauduleuse mais originale

Android étant devenu le système d'exploitation ouvert pour smartphone le plus utilisé au monde, nombreux sont aussi les exploits ou les "preuves de concept" (PoC - Proof of Concept) accompagnant sa marche vers le succès.

Cette fois-ci, le concept d'attaque sort un peu des sentiers battus puisqu'il repose sur la capacité d'utiliser les données enregistrées des capteurs qui permettent d'interpréter les mouvements de changement de position de l'appareil dans l'espace ! Pour cela sont utilisées les faibles variations liées à la pression du doigt sur le clavier tactile. Un troyen permet de récupérer les informations des différents capteurs que sont les gyroscopes, l'accéléromètre ou les détecteurs d'orientation. Des algorithmes sont ensuite utilisés pour la corrélation des données utiles et permettent de reconstituer, en fonction du modèle de téléphone, le symbole ou le code PIN de déverrouillage du clavier, un numéro de téléphone composé, un numéro de carte bancaire saisi, etc.

C'est le travail d'une petite équipe de chercheurs qui a permis de valider ce concept appelé TapLogger et, pour plus de détails, on s'en référera à l'article de PCInpact. Ce qui a été moins commenté, c'est que l'équipe de chercheurs propose également des solutions pour empêcher (ou du moins limiter) la réussite de ce type d'attaque si elle venait à être utilisée. Au chapitre 7.3 intitulé "contre-mesures" se trouvent les préconisations.

En premier lieu, les chercheurs recommandent de s'intéresser aux systèmes de gestion de senseurs qui ne semblent pas exister. Un guide de bonnes pratiques (et plus tard pourquoi pas normatif) serait donc une première réponse intéressante. Il faudrait ensuite considérer les données des capteurs comme étant des données sensibles de même niveau que les données privées de l'utilisateur et les protéger en conséquence. Mais puisque malgré des permissions restrictives sur ces données rien n'empêchera un attaquant d'y accéder au bout d'un certain temps, l'amélioration de la gestion des UID est une piste sérieuse pour lui compliquer la tâche (reposant sur des travaux antérieurs). Enfin, des mesures "d'hygiène" standards comme un changement régulier du (ou des) mot de passe (de préférence robuste) ou l'augmentation du nombre de chiffres du code PIN sont aussi rappelés.

Les leçons de la bataille de l’Atlantique sont-elles applicables au cyberespace ?

Un certain nombre de spécialistes, la plupart marins d’eau douce, abordent pertinemment le cyberespace au travers d’analogies et de caractéristiques similaires avec le domaine maritime. D’une partie du collectif de l’Alliance Géostratégique aux Global Commons en passant par Daniel Ventre dans son dernier ouvrage, cette métaphore apparait moins surprenante lorsqu’elle émane d’un responsable de l’armée américaine.

L’originalité ici, cependant, réside dans le fait d’étudier la bataille de l’Atlantique pour la projeter comme stratégie d’entreprise afin de modeler une défense efficace face aux dangers permanents venus du cyberespace. C’est en tout cas la thèse que défend le Contre-Amiral David Simpson, vice-directeur de la DISA (l’agence du Pentagone qui s’occupe des Systèmes d’Information militaires).

La suite de cet article est à lire sur le site de l'Alliance Géostratégique.

Cybersécurité pour Systèmes Cyber-Physiques : atelier et concept

(Power System Topology)

La Computer Security Division du NIST accueillera les 23 et 24 avril un atelier autour de la cybersécurité à destination des systèmes cyber-physiques (Cyber-Physical Systems - CPSs).

Mon étonnement et ma curiosité sont grands puisque c'est la première fois que j'apprends l'existence de ces CPSs ! En étudiant le programme et les abstract associés, on comprend un peu mieux de quoi il s'agit.

Tout d'abord, les domaines concernés sont assez larges mêmes si classiques puisque cela va du médical (implants) à l'embarqué (traité en février lors du congrès ERTS² 2012 dont je m'étais fait l'écho) jusqu'aux réseaux intelligents de distribution d'électricité (Smart Grid). 

Les équipements et/ou systèmes visés traitent, sont opérés ou nécessitent des données pour fonctionner. Certains mêmes peuvent embarquer des fonctions de sécurité ce qui nécessite un niveau de protection associé. Seulement, le physique et le virtuel ne peuvent être entièrement dissociés puisque peuvent exister des interactions voire des effets de bord indésirables ou, plus simplement, insoupçonnés (cas de vulnérabilités non-détectées).

Cela revient à se demander si ces effets indésirables, et donc potentiellement exploitables (malveillance), peuvent être couverts par l'adjonction d'exigences et de mesures de sécurité supplémentaires. C'est tout l'objet de cet atelier que de s'appuyer sur les recherches des 2 ou 3 dernières années dans les domaines précédemment cités. Et de chercher à rapprocher les deux mondes, jusqu'ici complémentaires : la sécurité physique et la sécurité de l'information (ou cybersécurité). 

Une initiative à saluer mais aussi à surveiller afin d'en mesurer l'intérêt et la pertinence pour, le cas échéant, s'assurer que l'Europe et la France sont également sur la brèche. En particulier en ce qui concerne le Smart Grid qui semble donner des sueurs froides, pour le moment de l'autre côté de l'Atlantique, aux acteurs chargés de cette problématique et de ses aspects cybersécurité.