Semaine de la sécurité 20: cyberattaques non triviales

Imaginez que le brillant avenir des technologies de l'information soit arrivé. Technologies développées et mises en œuvre universellement pour développer du code sécurisé. Le logiciel le plus courant est extrêmement difficile à déchiffrer, et cela n'a aucun sens: les données les plus intéressantes sont généralement stockées dans un logiciel et un matériel séparé, complètement isolé et «sûr». Pirater le courrier de quelqu'un en récupérant un mot de passe simple ne fonctionne pas avec un accès administrateur câblé au routeur: les pratiques de développement et l'audit de haute qualité réduisent à presque zéro la probabilité de telles vulnérabilités «simples».

Ce scénario (peu probable) mettra-t-il fin aux cyberattaques? Il est peu probable qu'ils deviennent tout simplement plus chers. Des méthodes de piratage non triviales qui ne sont actuellement tout simplement pas nécessaires (il existe des moyens d'obtenir plus facilement les informations dont vous avez besoin) seront demandées. Le même Spectre est un ensemble de vulnérabilités extrêmement difficiles à utiliser pour quelque chose de vraiment utile et nuisible. Mais s'il n'y a pas d'autre choix, de telles méthodes feront l'affaire. Aujourd'hui, il existe deux exemples récents d'attaques non triviales: le DoS acoustique des disques durs et le vol d'images de Facebook via CSS.

Les attaques sonores et par ultrasons peuvent désactiver les disques durs et «suspendre» les logiciels

Les nouvelles . Recherche .

Des chercheurs de l'Université du Zhejiang en Chine et de l'Université américaine du Michigan ont montré comment les ordinateurs peuvent être désactivés à l'aide de signaux sonores et ultrasoniques. La raison en est les disques durs ordinaires qui tolèrent mal non seulement les chocs, mais également toutes sortes de vibrations, y compris les signaux acoustiques. L'image de l'étude explique clairement tout:

Ci-dessus est le fonctionnement normal du disque dur, au centre, nous commençons à «irradier» avec un son de volume moyen, la vitesse de transfert de données diminue. Ci-dessous: une panne majeure du disque dur. Tout irait bien, mais l'attaque DoS "de manière fiable" (dans le graphique inférieur) est implémentée à un volume de 117 dB SPL, tandis qu'une onde sinusoïdale de 5 kilohertz est transmise. Il s'agit d'une attaque très forte. Mais cela peut être résolu: nous avons réussi à obtenir des résultats similaires, mais déjà sur un disque dur d'ordinateur portable de 2,5 pouces, transmettant un signal ultrasonique à une fréquence de 31,5 kilohertz.


Discours des auteurs de l'étude au 39e IEEE on Security and Privacy Symposium

L'étude fournit un exemple d'attaque sur un ordinateur portable, et la dynamique de l'appareil attaqué devient la source de l'attaque: 45 secondes de hurlement d'un signal acoustique spécialement formé, et un écran bleu est obtenu. Je ne sais pas si c'est un scénario réaliste: plus vous allez loin, plus il est difficile de trouver des appareils avec un disque dur traditionnel au lieu d'un disque SSD. Mais le scénario de l'attaque du système de vidéosurveillance est assez réaliste: on utilisera des disques durs de gros volume pendant longtemps. Les chercheurs ont réalisé une courte pause dans l'enregistrement après 12 secondes d'attaque sur un véritable système de surveillance. Une attaque de 105 secondes désactive complètement le système jusqu'au prochain redémarrage. Pour ainsi dire, j'imagine un arsenal de voleurs cyber-avertis du futur: des ventouses pour se déplacer le long des murs d'immeubles de bureaux coûteux, un peu d'explosifs et une colonne pour crier sur les caméras jusqu'à ce qu'elles soient complètement inopérantes.

Vol de données personnelles de l'utilisateur par une erreur dans la mise en œuvre de CSS

Les nouvelles . Recherche .

Le chercheur Ruslan Khabalov, spécialiste de la sécurité chez Google, avec le spécialiste indépendant Dario Weisser, a découvert un bogue intéressant dans la mise en œuvre de CSS dans les navigateurs Chrome (corrigé depuis la version 63) et Firefox (corrigé dans la version 60). L'attention des chercheurs a été attirée par la méthode du mode mix-blend, qui permet de «cadrer» plus naturellement un élément au-dessus d'un autre - par exemple, un widget Facebook au-dessus d'un arrière-plan sur un site Web. La vulnérabilité est que le temps requis pour rendre un nouvel élément dépend de la couleur de la source. En d'autres termes, un attaquant potentiel a la possibilité d'obtenir des données dont l'accès devrait en théorie être interdit. La preuve de concept montre comment, selon ces données indirectes, il est possible de «voler» le nom et la photo d'un utilisateur qui est simultanément connecté à Facebook et visite la «page préparée»:


Cela fonctionne, disons-le ainsi, très lentement (nous devons tenir compte du fait qu'il s'agit de PoC, et l'auteur n'était pas intéressé par l'optimisation de l'algorithme). Voler un nom d'utilisateur du widget FB en 20 secondes. Le rendu d'une userpic plutôt savonneuse a pris 5 minutes complètes. Eh bien, d'accord, le fait d'utiliser un canal de données non trivial par lequel des informations sont divulguées est intéressant ici. Dans le cas de cette vulnérabilité, tout semble aller pour le mieux: trouvé, rapidement fermé, et il est peu probable que quelqu'un pense à l'utiliser dans la pratique. La question est, combien de "trous" y a-t-il à travers lesquels des informations importantes peuvent fuir et que nous ignorons encore? Il ne s’agit même pas du fait qu’un jour à l’avenir, il s’agira de l’application pratique d’attaques aussi complexes - du désespoir. Le fait est qu'ils peuvent désormais être mis en œuvre de manière à contourner complètement toutes les méthodes de protection, car personne ne s'attend à une grève de l'arrière. C'est pourquoi ces méthodes d'attaque non triviales à un seul endroit , à la fois sur le matériel et les logiciels, présentent un intérêt particulier.

Avis de non-responsabilité: les opinions exprimées dans ce recueil ne coïncident pas toujours avec la position officielle de Kaspersky Lab. Chers rédacteurs recommandent généralement de traiter toute opinion avec un scepticisme sain.