Faille d’une fonctionnalité de PGP

La société PGP Corporation propose une solution de chiffrement intégral du disque dur d'un PC (appelé "Whole Disk Encryption"). Le principe de fonctionnement est qu’au démarrage du PC, l’utilisateur doit fournir un mot de passe avant de pouvoir accéder au contenu du disque chiffré.

Début octobre, un problème a été discuté sur le blog de "Securology" concernant l’implémentation de cette fonction de PGP. En effet, pour répondre à un besoin des administrateurs lors du déploiement automatique de correctifs sur un parc informatique, PGP a mis en place une fonctionnalité permettant de court-circuiter la protection par mot de passe ("passphrase") utilisée pour déchiffrer le disque lors du démarrage. Cette dernière permet à un utilisateur connaissant la "passphrase" du "boot" de fournir cette "passphrase" immédiatement au logiciel PGP pour qu’elle ne soit pas demandée au prochain "reboot". Si cette option est utilisée, le processus de démarrage n’interroge pas l’utilisateur et lance directement le système d’exploitation.

Cette fonctionnalité peut être mise en place via la commande suivante :

    "%programfiles%PGP CorporationPGP DesktopPGPwde.exe" --add-bypass --passphrase [entrer la "passphrase"]

Cette fonctionnalité pourrait introduire deux dangers :

• Un cheval de Troie peut faire croire à l’utilisateur qu’un "reboot" est nécessaire et lui demander sa "passphrase" (au prétexte que PGP en a besoin pour le prochain démarrage).
• Un ordinateur arrêté en mode "bypass" est volé. Dans ce cas, aucun mot de passe ne sera nécessaire pour le redémarrer.

PGP ne répond pas point à point sur ces scenarios d’attaques, mais précise que la fenêtre pendant laquelle il serait possible d’exploiter cette faille potentielle est réduite, car dès que le système est redémarré, l’option est désactivée. C’est une fonctionnalité reconnue comme dangereuse, mais utilisée par de nombreux constructeurs pour permettre aux administrateurs de redémarrer à distance les systèmes gérés.

 

Pour plus d’information : 

Article de CSO du 5 octobre 2007 :
http://securite.reseaux-telecoms.net/actualites/lire-backdoor-chez-pgp-17234.html

Blog de "Securology" du 1^er octobre 2007 :
http://securology.blogspot.com/2007/10/pgp-whole-disk-encryption-barely.html

Page officielle de PGP concernant le produit "Whole Disk Encryption" :
http://www.pgp.com/products/wholediskencryption/