25ème édition du Chaos Communication Congress

Le "Chaos Communication Congress" est une conférence organisée chaque année par le "Chaos Computer Club" à Berlin autour de la sécurité et du piratage. La 25^ème édition de cette conférence a eu lieu du 27 au 30 décembre 2008, sous le slogan "Nothing to hide".

Les 80 présentations de cette conférence étaient très variées, avec certains sujets relativement anecdotiques (faiblesses des machines à voter, piratage de portes de garage, etc...), mais également l’annonce de nouvelles vulnérabilités (MD5, DECT, etc...). Le présent article vous présente les interventions les plus marquantes de cet évènement.

Les restrictions mises en place par Apple au niveau de l’iPhone visent à empêcher les utilisateurs d’exécuter les programmes de leur choix sur cet équipement. La première génération de l’iPhone, sortie en juin 2007, était plus facile à cracker et le groupe de recherche formé à cette occasion n’avait mis que quelque mois à le faire. L’iPhone 3G en revanche est plus solide et une solution à long terme n’a pas encore été proposée. Cette présentation analyse l’architecture interne de l’iPhone, ses mécanismes de sécurité, ainsi que les moyens découverts pour les contourner.

http://events.ccc.de/congress/2008/Fahrplan/events/2976.en.html

http://www.heise-online.co.uk/news/25C3-Cracks-in-the-iPhone-security-architecture--/112321

Dan Kaminsky revient dans cette présentation sur les à-côtés de la faille DNS qu’il a découvert l’an dernier, et plus particulièrement sur le travail effectué avec les différents acteurs avant d’en publier les détails.

Pour rappel, l’évolution de cette faille avait été suivie dans le hub de gestion de crise "Faille DNS" : https://wws.cert-ist.com/fra/hub/failledns.

http://events.ccc.de/congress/2008/Fahrplan/events/2906.en.html

Plusieurs rapports signalant de possibles vulnérabilités dans le protocole TCP ont été publiés dès l’automne dernier. Lors du CCC, des chercheurs de Recurity Labs ont présenté des scénarios d’attaques sur TCP, ainsi que quelques pistes permettant de les contrer. Selon eux, la majorité des problèmes résident dans les implémentations du protocole, mais sont néanmoins facilités par des défauts de conception au niveau du protocole lui-même.

Pour rappel, l’évolution de cette faille avait été suivie dans le hub de gestion de crise "TCP DOS" : https://wws.cert-ist.com/fra/hub/tcpdos/.

http://events.ccc.de/congress/2008/Fahrplan/events/2909.en.html

http://www.heise-online.co.uk/news/25C3-More-light-shed-on-denial-of-service-vulnerabilities-in-TCP--/112324

Cette présentation analyse les faiblesses et le niveau de sécurité des tags et des cartes RFID, ces outils étant de plus en plus utilisés pour le contrôle d’accès (bâtiments, pièces, voitures ou appareils électroniques). Karsten Nohl de l'université de Virginie, s’appuie sur l’exemple des cartes Mifare Classic pour exposer la complexité des systèmes RFID et expliquer quelles sont les attaques possibles. Il met également à disposition un outil open-source permettant de tester la sécurité de ces systèmes, ainsi qu’un lecteur de cartes RFID.

http://events.ccc.de/congress/2008/Fahrplan/events/3032.en.html

http://www.heise-online.co.uk/news/25C3-Many-RFID-cards-poorly-encrypted--/112336

Le standard DECT (Digital Enhanced Cordless Telecommunication) est un des protocoles les plus utilisés dans le domaine de la téléphonie sans fil. Ce protocole utilise les mécanismes de cryptographie standard pour authentifier les bases et les terminaux et pour chiffrer les transferts de données. Les chercheurs à l’origine de cette présentation ont démontré qu’il était possible de mettre en défaut l’utilisation de ces mécanismes de cryptographie sur ces équipements afin d’intercepter les communications téléphoniques, en utilisant simplement une carte VoIP (à 23 euros) et un ordinateur Linux.

http://events.ccc.de/congress/2008/Fahrplan/events/2937.en.html

http://www.heise-online.co.uk/news/25C3-Serious-security-vulnerabilities-in-DECT-wireless-telephony--/112326

Cette présentation, assurée par un chercheur de Phenoelit, se veut un état de l’art complet sur la sécurité du système d’exploitation Cisco IOS : attaques passées, présentes et futures, bugs les plus courants, types de vulnérabilités et leur exploitation et dernières techniques et méthodes. Le chercheur présente en outre une méthode permettant d’exploiter le code du logiciel utilisé lors du démarrage du système d’exploitation (méthode qui fonctionnerait sur la majorité des équipements Cisco IOS).

http://events.ccc.de/congress/2008/Fahrplan/events/2816.en.html

http://www.heise-online.co.uk/news/25C3-Reliable-exploits-for-Cisco-routers--/112323

Cette présentation revient sur la faille découverte dans la génération des nombres aléatoires utilisée par SSL sur les systèmes Linux Debian et dérivés de Debian (Ubuntu, Knoppix…). L’intervenant, qui est à l’origine de la découverte, en détaille les conséquences ainsi que ses possibilités d’exploitation.

Cette vulnérabilité est décrite dans l’avis CERT-IST/AV-2008.222.

Cette présentation concernant une vulnérabilité dans l’algorithme de hachage MD5 était très attendue, du fait de l’ampleur médiatique et de ses conséquences possibles. Elle permet en effet à un attaquant distant de créer un faux certificat X509 qui sera reconnu par un grand nombre d’autorités de certification et d’usurper ainsi le contenu de sites Internet. La démonstration qui a eu lieu met en œuvre un ensemble de 200 consoles Playstation 3 de Sony, dont la puissance de calcul est utilisée pour calculer un certificat ayant le même hash qu'un certificat légitime (collision MD5).

Cette vulnérabilité a fait l’objet d’un message dans la liste de diffusion "Vuln-Coord" : VulnCoord-2008.040.

http://events.ccc.de/congress/2008/Fahrplan/events/3023.en.html

http://www.heise-online.co.uk/news/25C3-MD5-collisions-crack-CA-certificate--/112327

Nokia Curse of Silence

En parallèle de cette conférence, un chercheur (Tobias Engel) a fait la démonstration d’une attaque visant les téléphones mobiles équipés du système d’exploitation Symbian S60. L’attaque, surnommée « Curse of Silence », permet à une personne malveillante à l'aide d'un message SMS spécifiquement construit, de bloquer le service de réception des SMS sur un téléphone victime, empêchant ainsi la réception future de messages SMS ou MMS.

Cette vulnérabilité a fait l’objet d’un message dans la liste de diffusion "Vuln-Coord" : VulnCoord-2009.001.

http://berlin.ccc.de/~tobias/cos/s60-curse-of-silence-advisory.txt

http://www.heise-online.co.uk/news/25C3-MD5-collisions-crack-CA-certificate--/112327

Cette conférence est venue clore une année 2008 déjà riche en évènements, et vu le large éventail de sujets et technologies abordés, il y a fort à parier que l’année à venir sera également dense en matière de sécurité. Et si toutes les technologies abordées ne font pas forcément l’objet d’un suivi de la part du Cert-IST, on en retiendra justement que les recherches en sécurité touchent quasiment tous les domaines.

Chaos Communication Congress : http://events.ccc.de/