-
Derniers commentaires
-
Tag Archives: informatique
Un classique de l’escroquerie via Internet
On ne dénombre plus aujourd’hui le nombre de fraudes tentées ou perpétrées via Internet.
Pas plus tard que ce matin, l’une de mes collègues m’a adressé un courriel qu’elle a reçu dernièrement de la part de la Banque de Montréal (BMO). Elle s’interrogeait sur la nature du courriel, n’ayant jamais été cliente de cet établissement.
Il s’agit là d’un classique en la matière : l’escroquerie par site web contrefait.
Cette fraude s’opère en trois temps :
- La victime reçoit un courriel qui reproduit parfaitement un courriel officiel d’institution bancaire. Le message l’informe d’un problème de sécurité quant à son accès via Internet à son compte bancaire. Le courriel l’invite à aider la banque à corriger le bogue en confirmant son identité.Pour ce faire, elle doit fournir au site Internet de la banque son identifiant et son mot de passe. Le courriel propose un lien hypertexte permettant au client de se rendre directement sur la page de vérification, sur le site de la banque.
- Si la personne clique sur ce lien, elle se retrouve sur un site Internet contrefait, c’est à dire qui ressemble à s’y méprendre au site officiel de la banque, mais qui est une création du fraudeur, hébergée sur ses propres serveurs. La victime n’a plus qu’à entrer ses informations de connexion, qui tombent directement sur l’ordinateur de l’escroc.
- L’escroc n’a plus qu’à se connecter au vrai site Internet de la banque et à entrer les informations de connexion de sa victime. Il peut alors dispose comme il l’entend des sommes disponibles sur le compte.
Framakey : la liberté logicielle en toute régularité sur votre ordinateur professionnel
Vous êtes au travail et vous vous rendez soudain compte que vous avez besoin sur-le-champ d’un logiciel spécifique. Ledit logiciel n’est malheureusement pas installé sur votre machine. Même si vous disposez vous-même d’une version de ce programme prête à installer, la politique générale des technologies de l’information de votre compagnie vous interdit de l’installer sur votre poste de travail. Quant à votre DTI, il n’est pas certain qu’elle dispose d’un logiciel ad hoc, ni même qu’elle soit en mesure de vous l’installer sur l’heure.
Ou encore vous êtes susceptible d’utiliser plusieurs ordinateurs différents au cours de la semaine, voire de la journée. Vous êtes tanné de toujours devoir transférer vos fichiers de l’un à l’autre, sans jamais savoir si les logiciels que vous avez utilisés sur un ordinateur seront bien installés sur les autres.
Voilà deux hypothèses tout ce qu’il y a de plus concret dans votre pratique professionnelle, à une époque où le nomadisme informatique a tendance à devenir un mode de gestion des personnels.
Clé USB, cryptage et déni plausible
Il ne s'agit pas là d'une énumération à la Prévert mais d'un syllogisme informatique d'intérêt, à une époque où les aéroports sont le point de passage transfrontalier d'un volume considérable d'informations numérisées.
À l'origine de cette note, on trouve un problème technique que j'ai rencontré il y a quelques jours : la clé USB que j'utilisais à des fins professionnelles a rendu l'âme, après une agonie de deux semaines. Et seulement quelques mois de bons et loyaux services… Un de mes collègues de section avait une clé du même modèle qui a cessé de fonctionner dans des circonstances similaires.
Quel intérêt de vous raconter tout ça ? Eh bien, il s'agissait de clés USB de la marque L**** – donc relativement bien cotée -, qui disposaient d'un outil propriétaire de cryptage des données. Privé de cet outil indispensable qu'est une clé USB sécurisée, j'ai opté pour une solution de rechange des plus efficaces. Je me suis procuré une clé USB vierge, sur laquelle j'ai installé le logiciel libre TrueCrypt. Il m'est dès lors possible de chiffrer et déchiffrer librement des données (sous forme de disque virtuel) sur la clé USB, sans qu'il soit nécessaire d'installer TrueCrypt sur l'ordinateur utilisé. Si l'on dispose de droits administrateur sur son ordinateur, cela marche à la perfection. Et c'est alors un véritable Fort Knox numérique que l'on tient dans le creux de la main. TrueCrypt est en effet l'un des logiciels de chiffrement les plus puissants et versatiles qui soient. Par ailleurs, il est entièrement gratuit. Mieux encore : il est de source ouverte (open source).
Pour les non spécialistes, on précisera qu'un logiciel open source est un programme dont le code source est librement disponible pour toute personne intéressée. Si elle est férue d'informatique, elle peut alors y relever d'éventuels bogues ou failles et, le cas échéant, participer à la communauté des développeurs du logiciel pour le corriger et l'améliorer. Elle peut également redistribuer elle-même le logiciel avec les modifications qu'elle y a apportées.
De fait, utiliser un logiciel de source ouverte pour chiffrer ses documents présente deux avantages :
- le logiciel offre potentiellement une plus grande sécurité car un plus grand nombre de programmeurs peuvent s'être penchés dessus en vue de l'améliorer ;
- de fait, un logiciel open source de chiffrement ne peut pas contenir de backdoor, à savoir une partie secrète du programme qui permet de contourner le chiffrement en cas de nécessité. C'est là l'une des grandes faiblesses des logiciels propriétaires (c'est à dire développés par des compagnies qui conservent jalousement leur code source). En effet, rien ne peut garantir à l'utilisateur de tels produits commerciaux que l'algorithme de chiffrement n'a pas été revendu à un service de police ou de renseignement qui pourrait alors à loisir décrypter les documents protégés.
TrueCrypt utilise les meilleurs algorithmes de cryptage connus à ce jour. Il permet même de les utiliser "en cascade" pour une plus grande sécurité. Bref, les fonctionnalités de ce programme sont impressionnantes. Peut-être un peu trop… En effet, TrueCrypt permet à son utilisateur de se prévaloir du déni plausible. Kesskecé ? Akwassassertu ?
Petit retour en arrière.
Le 16 juillet 2008, le Department of Homeland Security (DHS) américain rend public un règlement – déjà en vigueur depuis des mois – qui permet aux autorités de saisir et conserver pour une durée indéterminée tout support de données numériques, même en l'absence de soupçons quant à la commission d'une infraction. Le support ainsi confisqué peut ensuite être adressé à l'US Customs and Border Protection et à l'US Customs and Immigration Enforcement à des fins de traduction, analyse ou décryptage.
La démarche du DHS présente évidemment une faille colossale : si un terroriste ou un membre du crime organisé a besoin de passer des données que les autorités américaines ne doivent pas obtenir, il ne va pas prendre le risque de passer la douane avec un laptop sécurisé ou une clé USB chiffrée. Bien évidemment, avant son départ, il va faire crypter ses données sensibles et les faire héberger sur un serveur accessible via Internet ; puis il y accèdera en ligne après avoir passé la frontière. C'est l'enfance de l'art.
Toutefois, pour différentes raisons, il est possible qu'un tel criminel choisisse tout de même de passer la douane avec ses données sur lui. Plusieurs raisons à cela. Par exemple, les données peuvent représenter un volume trop important pour être aisément accessibles via Internet. Ou encore le porteur a une telle confiance en ses habiletés informatiques qu'il ne craint pas un éventuel contrôle douanier. Dans ce dernier cas, l'assurance qu'il affiche repose sur :
- une dissimulation matérielle de son support numérique (exemple 1 – exemple 2)
- et/ou une technique de cryptographie ou de stéganographie.
Comme disait Luke Skywalker à Palpatine dans Star Wars VI : « Votre trop grande confiance en vous est votre faiblesse ». La réplique du jedi s'adresse-t-elle aussi à notre criminel transfrontalier ? C'est là toute la question.
Il faut en effet savoir que, amême avant la publication de ce radical édit douanier américain, des groupes de défense des libertés civiques ont publié des guides à l'attention des usagers de l'informatique pour parer cette tentative des autorités de contrôler les flux physiques de données numériques (!). Parmi les plus connus, les manuels de CNET et de l'Electronic Freedom Foundation recommandent notamment de recourir au cryptage et à la dissimulation virtuelle des données. L'outil qu'ils préconisent est… TrueCrypt. Ce logiciel permet en effet la création de volumes chiffrés et, éventuellement, de volumes cachés dans un
volume chiffré. Explications.
Un volume chiffré est ostensible : il porte un nom, comme tout fichier informatique. Mais les données qu'il contient sont inintelligibles pour qui ne dispose pas de la clé de chiffrement
Un volume caché en revanche est chiffré et invisible ; en fait, TrueCrypt lui donne l'aspect de données aléatoires, qui vont donc se confondre avec les vraies données aléatoires générées à l'intérieur d'un volume chiffré ostensible.
Soit. Mais à quoi cela peut-il bien servir.
Imaginons Robert Tremblay, comptable d'un club-école de motards criminalisés basé à Rouyn-Noranda, placé sous la férule de l'organisation criminelle nord-américaine des Fallen Angels. Il doit impérativement transmettre l'intégralité de sa comptabilité des dix dernières années au chapitre des Fallen Angels de San Francisco. Pour une raison indéterminée, il décide de prendre ces données très sensibles sur lui à bord du vol Montréal-Oakland. Avec TrueCrypt, il crée un volume chiffré sur le disque dur de son ordinateur portable. Puis, dans ce volume crypté, il crée un volume caché dans lequel il place les documents comptables attestant des activités illégales de son club de moto.
Avertis par le QG montréalais d'un service de renseignement criminel, les douaniers de l'aéroport d'Oakland arrêtent Robert Tremblay. Ils saisissent son laptop et entreprennent de faire parler le disque dur. Ils découvrent rapidement la présence d'un volume crypté et somment le comptable de révéler son mot de passe pour permettre d'accéder au contenu chiffré. S'il refuse, Robert risque de se retrouver à vitesse grand V dans les geôles américaines pour entrave à la justice.
Tremblay décide alors de révéler le mot de passe de son volume chiffré ostensible. Les douaniers n'y trouvent alors que des factures personnelles, des photos de famille et des courriels professionnels. Rien d'illégal. Mais Robert peut arguer que s'il a crypté ces données, c'est parce qu'il ne veut pas que n'importe qui (un voleur de laptops, par exemple) y ait accès. L'argument est légitime et l'affaire pourrait s'arrêter là.
Mais les douaniers estiment que les données aléatoires qui traînent dans le volume déchiffré pourraient dissimuler un volume caché. Ils demandent à Robert Tremblay si c'est le cas. Celui-ci répond par la négative. Les douaniers ne le croient pas. Seulement voilà : ils ne sont pas capables de prouver que le comptable ment.
Robert Tremblay peut donc nier de façon acceptable l'existence de ces données occultées. C'est ce que l'on appelle le déni plausible.
On pourrait donc croire que TrueCrypt est l'outil ultime pour contrecarrer irrémédiablement les enquêtes en cybercriminalité. En fait, ce n'est pas aussi simple. Six chercheurs (dont le gourou de la sécurité informatique, Bruce Schneier) ont en effet mené une étude sur la véritable puissance du système de déni plausible de TrueCrypt. L'article vaut le détour car il explique de façon claire et précise les failles du logiciel. Pour faire simple, ces spécialistes estiment que le programme peut faire grandement illusion pour des membres des forces de l'ordre qui n'auraient accès au disque dur considéré qu'une seule fois et en un temps limité. C'est le cas des douaniers qui interceptent Robert Tremblay. En revanche, pour des enquêteurs spécialisés qui ont la possibilité d'accéder au disque à plusieurs reprises ou pour une plus longue durée, il est possible de démontrer de façon suffisamment probable qu'il existe bel et bien des données cachées.
Bref, si les douaniers qui interceptent Robert Tremblay adressent le disque dur à une équipe de cybercriminalité, celle-ci ne pourra pas accéder aux données cachées (qui sont bigrement bien cryptées) mais elle pourra prouver que le comptable a menti à des membres des forces de l'ordre, ce qui, aux États-Unis, constitue une infraction. Et Robert Tremblay pourrait finaleme
nt se retrouver en prison.
Mais là encore, rien n'est jamais aussi simple qu'il n'y paraît. Car l'équipe de Bruce Schneier a transmis le fruit de son travail à la communauté de développeurs de TrueCrypt. Et depuis, ceux-ci ont retravaillé le code en tenant compte des faiblesses établies. Cela veut-il dire que le système de déni plausible de TrueCrypt (v.6) est cette fois parfaitement au point ? Non, mais certains utilisateurs malintentionnés pourraient le penser. Et pécher par excès de confiance.
TrueCrypt est un programme absolument remarquable. Peut être un peu trop puissant. Surtout pour des agences d'application de la loi qui n'ont pas les moyens juridiques et techniques du DHS américain. Mais pour peu qu'ils se tiennent informés via des sources ouvertes, les services non spécialisés disposent encore d'une certaine latitude pour participer à la lutte contre la cybercriminalité.
Le grand méchant Web 2.0
Je viens de tomber sur un article publié sur le site Internet de la société Bit9, spécialisée en sécurité informatique. Il y est fait mention de la liste des 12 applications informatiques les moins sûres pour les entreprises. Le document ne vaudrait normalement pas que nous nous arrêtions dessus le temps d’une note sur ce blogue. Sauf que cette liste noire est reprise par de nombreuses publications spécialisées sur le Web, sans plus d’explications.
Ce mutisme analytique des spécialistes, outre qu’il s’avère étonnant, conduit le lecteur à épouser servilement la cause de la compagnie Bit9.Et là, problème : en fait, derrière ces logiciels et autres applications en ligne réputés dangereux, la société Bit9 remet en cause rien moins que le Web 2.0 et la virtualisation des serveurs. Excusez du peu. Voici donc le fameux index de l’Inquisition Bit9enne :
