Re: Cle USB

On 05/10/2014 08:32, Yves Martin wrote:
> Je comprends bien qu'ils se sont concentrés sur le firmware d'un
> fabricant de puce implémentant le usb-mass-storage... mais de là à
> considérer que tous les périphériques sont vulnérables, ce ne serait
> envisageable que si ce fabricant était en situation de monopole.

Plusieurs choses:
- Le problème de sécurité présenté dans l'article est la somme de
plusieurs problèmes plus petits:

- le fait qu'on puisse trafiquer un périphèrique USB à l'insu de son
propriétaire (ça c'est la faute des fabricants, pour économiser 0,00001€
par pièce)

- le fait que les OS actuels (tous) font une confiance totale à tout
ce qui se présente sur un port USB (tu plugges, ça négocie et ça charge
les drivers, ça lance des actions systèmes automatiquement (comme un
client dhcp à la connexion d'une carte réseau usb), bref le paradis). ça
c'est un problème d'architecture global, mais c'est à la limite le plus
façile à résoudre).

- Comme dit plus bas par Frederic, le fait que la norme USB soit
hyper complexe, et autorise tout et n'importe quoi. C'est à la fois une
force et une faiblesse. Par exemple avoir un périphèrique unique qui se
déclare à la fois comme stockage, network, et clavier est tout à fait
possible

La "vulnerabilité" décrite n'est qu'un assemblage subtil des points
ci-dessus. Mais notez qu'on a jamais parlé de "bug", ce ne sont que des
"features".

Ensuite pour la mise en pratique décrite, la preuve de concept présentée
n'est pas universelle, mais ce n'est qu'une question de temps et/ou de
motivation. (et le code source du PoC original est disponible
publiquement sans trop chercher)

Et enfin, il y a tellement de cas d'emploi de cette "faille" qu'on a pas
fini d'en entendre parler.
--
Olivier Guerrier
+33 6 83 93 08 46