« Government compelled certificate creation » et interception de VPN SSL

Magazine
Marque
MISC
Numéro
69
Mois de parution
septembre 2013
Domaines


Résumé

Le directeur général est allé négocier un important contrat dans un pays étranger [1]. Son officier de sécurité l’avait averti sur les risques d’interception par le gouvernement local et de ne jamais mentionner le montant de l’offre française par téléphone. Il a également fait attention à ne jamais mentionner d’informations sensibles ni dans sa chambre d’hôtel ni dans les locaux avant la réunion finale. Le seul moment où il a mentionné le montant avant la soumission officielle, était par e-mail à son directeur financier pour avoir son avis suite à un changement de dernière minute. Cet e-mail était transmis sur un canal chiffré, le VPN SSL de l’entreprise. Il avait pris soin de s’authentifier avec son token et de vérifier l’absence d’erreurs de certificats. Pourtant… pourtant le champion local avait, semble-t-il, eu vent du montant et, au dernier moment, baissé son offre… à peine cent mille euros en dessous de la sienne. Le contrat était perdu, des mois d’efforts qui se soldent par un échec.Comment ce concurrent a-t-il fait ? Une nouvelle vulnérabilité dans SSL ? Un Zero-Day sur le concentrateur VPN ? Ou avait-il déjà compromis le SI de l’entreprise [2] ? Rien de tout cela : dans ce cas le gouvernement locala simplement utilisé une vulnérabilité inhérente à la conception du modèle de confiance de distribution des certificats SSL, afin d'aider l'entreprise concurrente.Cette attaque est connue depuis des années et documentée de façon spécifique en 2010 par Christopher Soghoian et Sid Stamm [Gov Cert] et rend accessible ce type d'interception de communications chiffrées à de nombreux gouvernements.Dans un premier temps, nous exposerons le fonctionnement de l’attaque avec un exemple de mise en œuvre technique puis nous aborderons différentes contre-mesures.


1. Government compelled certificate attack

Ce risque est connu depuis plusieurs années, mais s'il est parfois pris en compte pour l'accès à des sites internet, il l'est beaucoup plus rarement dans le cas de VPN SSL, bien souvent présupposés être fiables par nature. Ainsi, cet article vise à attirer l'attention sur cette menace, afin que les entreprises concernées puissent vérifier si leur système est vulnérable et le cas échéant appliquer les contre-mesures adéquates.

Sans dire que « SSL est un échec », il est cependant possible d’avancer que le modèle de sécurité de gestion des clefs, basé sur la confiance en un grand nombre d'autorités de certification présente un certain nombre de faiblesses. À ce sujet, la lecture du billet [Nicolas Ruff - SSL est cassé] qui aborde de nombreux problèmes liés à cette technologie est particulièrement instructive. Si celui-ci a plus de deux ans maintenant, les arguments exposés sont toujours valides et ont...

Cet article est réservé aux abonnés. Il vous reste 96% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

La sécurité des communications 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Les réseaux 5G commencent à être déployés dans le monde entier, présentés comme le Graal de la technologie cellulaire. Les évolutions proposées par la 5G concernant la sécurité des communications des abonnés sont réelles ; cependant, la technologie actuellement déployée par les opérateurs ne propose bien souvent aucune de ces améliorations. Regardons de plus près ce qui rendra les communications 5G plus sûres à l’avenir.

Introduction au dossier : Tour d’horizon de la sécurité de la 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Le présent dossier est consacré à un tour d’horizon de la sécurité de la cinquième génération de téléphonie mobile, la fameuse 5G. Au-delà des promesses usuelles avec l’arrivée d’un nouveau réseau, plus de débit, moins de latence, plus de service, on notera également l’avalanche de buzzwords et de polémiques qui a entouré sa promotion. On pourrait aussi se pencher sur les questions politiques et économiques sous-jacentes au déploiement de cette technologie, mais MISC n’a pas encore de corner géopolitique (il faut, pour cela, savoir lire entre les lignes).

Sécurité des infrastructures 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Les réseaux 5G allient encore plus de technologies différentes que les réseaux 4G, ce qui entraîne une complexité de réseau rarement égalée, et donc une sécurité bien difficile à assurer pour les opérateurs comme pour les clients. Malgré les améliorations de sécurité sur le service mobile 5G, il reste de nombreuses manières d’attaquer (et de défendre) les infrastructures 5G de l’opérateur.

Retours d’un hackathon 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

Encore insouciant de la crise qui allait frapper le monde fin 2019, un hackathon de 24h a eu lieu à l’université d’Oulu [1] en Finlande afin d’anticiper les attaques sur les futures installations 5G de manière pratique. Nous verrons dans cet article comment il a été possible d’avoir la main sur la quasi-totalité d’un réseau 5G privé comme celui du campus d’Oulu à partir d’une carte USIM et d’un téléphone 5G. Puis, nous verrons d’autres perspectives en termes de tests d’intrusion avec les outils publics actuels.