Les Mac et les PC vulnérables à une attaque physique rapide et low-cost
Il ne faut pas plus de 20 secondes et un appareil à 50 $ pour subtiliser l'identifiant et le mot de passe de connexion d'un Mac ou d'un PC, a trouvé un chercheur en sécurité de R5 Industries. Le piratage nécessite un accès physique à la machine, mais son temps d'exécution est assez court pour qu'il passe facilement inaperçu.
Quand l'ordinateur est verrouillé et que l'utilisateur s'est identifié au préalable (typiquement, une machine laissée en veille pendant la pause déjeuner), un micro-ordinateur qui est branché sur un port USB se fait passer pour un adaptateur Ethernet en démarrant un serveur DHCP et récupère ainsi les données de connexion. Ces données sont bien entendues protégées, mais l'attaquant peut procéder à une attaque « pass the hash » qui consiste à s'authentifier avec l'empreinte (hash) du mot de passe, plutôt qu'avec le mot de passe lui-même.
« C'est extrêmement simple et ça ne devrait pas fonctionner, et pourtant ça marche », explique Rob Fuller sur son blog. Et de préciser que cela fonctionne aussi bien sur Windows 10 que sur El Capitan, selon ses tests.
Pour se prémunir de cette technique en attendant un éventuel correctif de Microsoft et d'Apple, le plus simple est d'éteindre son ordinateur quand on s'en éloigne.
« Les Mac et les PC vulnérables à une attaque physique rapide et low-cost »
Ben, comme leurs utilisateurs, vulnérables à des attaques low-cost ET low-tech, non ?
Le volume de données qu'on peut se faire piquer avec son matos sur un simple coup de massue dans la tronche est gigantesque.
Et de Barcelone à Brest-Litovsk, ça arrive tous les jours.
(Mes excuses pour ce #trolling, une fois n'est pas coutume, c'était irrésistible.)
@occam :
Tu ne crois pas si bien dire. Il y a deux ans, à Manchester, dans le bus j'ai eu la mauvaise surprise de me faire volée à l'arracher mon mac poser sur mes genoux, la personne ayant attendu l'arrêt. La violence de l'acte et sa soudaineté ma clouer sur place. Depuis je suis super attentive, et je pense que c'est bien la meilleure dès sécurité.
@NymphadoraTonks
Rien de tel qu'un sac à dos... plutôt qu'un sac à main :) ou en bandoulière.
Et de mesurer 1m90 aussi, ça aide ? avec des grandes jambes pour se barrer en courant quand ils sont plus de 2 ?
@NymphadoraTonks :
Si, Nymphadora, je crois si bien dire, pour m'être aussi fait braquer. Je mesure près de 1m90, comme xDave, et je portais un sac à dos arrimé sur le torse et le bassin. Et ma compagne portait son sac — armé de fil d'acier censé être « pick-pocket-proof » — en bandoulière. Rien n'y fit. Heureusement, les précautions d'usage ont empêché les braqueurs d'utiliser les MBP et les iPhones. Ils se sont contentés de les détruire. Sinon, ils auraient découvert tous les secrets de l'analyse statistique compositionnelle en chimie analytique et de la diffractométrie roentgen sur les verres anciens… :)
Le tout étant open source, grand bien leur fasse.
Face a une arme tu peux bien faire la taille que tu veux et avoir les sacs antivol les plus efficace au monde, si tu tiens un tant soi peu a ta vie, tu donnes le sac et son contenu.
Ici il n'est pas question de violence, mais de techniques qui passent inapercues pour voler de l'information, corrompre de l'information ou introduire un malware. C'est de la base de la base en espionnage industriel, politique, commercial, financier, militaire,...
Le fait est qu'il s'agit d'une nouvelle exploitation du port USB pour pirater une machine sans que personne s'en appercoive. T'imagines bien qu'il est encore plus simple de subtiliser le chargeur USB pour le remplacer par un verolé, et le tour est joué.
Moralité, on revient a la situation des machines a disquettes ou a CD: dans les entreprises "sensibles" fallait condamner le lecteur ou carrement l'enlever. Sauf que c'est pire: tu peux pas elever le port USB d'une machine et tu ne peux pas le condamner s'il n'y a rien d'autre pour charger...
Avec un Hackintosh aucun soucis, il ne sort pas de veille.
Meilleur commentaire de la journée, et il n'est pas encore midi ^^
Nan puisqu'il ne démarre pas :p
@bonnepoire : vu ton niveau ça ne m'etonne pas que tu ne sois pas capable de monter un hackintosh qui fonctionne :,)
Vlà le rageux...
Ben pour monter un hackintosh qui fonctionne faut encore vouloir un hackintosh. Y en a que arrivent a se persuader que meme avec moins le peu qu'ils avaient avant ils peuvent faire autant, voire plus. Ils se disent, finalement, j'ai pas besoin de cette fonction, ou alors pendant le temps que ça prend maintenant, je peux en profiter pour aller prendre un café, sortir fumer, aller manger, me regarder une serie, surveiller que personne ne vole l'horloge...
On ne dira jamais assez le mal que l'informatique a fait au marchands de café et de cigarette: heureusement Apple est la pour redonner du temps libre aux utilisateurs de Macbook...
@bonnepoire
Le mieux reste le MacBook N'aqu'unport... ou le prochain MacBook N'enapasDuTout.
Peinard quoi.
Ne peut-on pas empêcher la connexion ou le reveil en LAN ?
Le Wake On Lan n'a rien à voir je pense.
Vive Linux !
:-))
Rigole bien mais des outils existent aussi mon grand pour Linux.
Mimikatz, Lazagne te le démonte aussi xD
:-) = premier degré
:-)) = second degré
Restons zen…
Le Dalai Lama rage sur ma zenitude t'en fait pas ;)
Où l'attaquant récupère-t-il le hash ?
Sur le FS. Là c'est automatisé mais des tonnes d'outils existent déjà. Seulement moi je me demande plutôt comment il peut s'authentifier avec le hash parce que ça c'est top !
J'espère un correctif rapide et sur Mavericks, Yosemite, El Capitan et bien-sûr Sierra.
Sur Windows ça intéresse le FBI donc ils vont nier.
Je ne vois pas comment se protéger de ça.
Dans le fond je prend un mini pc avec 2 interfaces réseau en pont et je sniffe ce qui passe, j'aurai la même info.
Si j'ai un accès physique à la machine, et que ses données m'intéressent, je la redémarre en mode target, je la connecte à un autre Mac, et je peux récupérer ce que je veux. Je peux même partir avec facilement s'il s'agit d'un portable.
Il s'agit d'une attaque physique qui ne demande aucun savoir ni aucune techno particuliers. Il suffit d'un câble de connexion et d'un autre Mac.
Bon, maintenant j'espère qu'il y aura un nouvel article et qu'on y citera "marc_os, expert en sécurité" ! ;-)
@marc_os :
Ça marche pas si le disque est protégé avec FileVault, enfin je crois
Ca limite on va dire, mais il faut encore proteger le bootloader.
Apres la solution de marc_os a un defaut: ça prend du temps et ça laisse des traces. Car pour demarrer une machine en veille, faut lui faire un redemarage "sauvage", la demarrer en mode cible, faire un backup du disque complet (ok 128go ça prend pas une heure, mais 1 To, si) faut ensuite eteindre la machine, puis la rallumer, et ouvrir la session et la restaurer... L'utilisateur va donc se douter que quelque chose s'il n'est pas revenu entre temps.
Par contre la technique decrite, c'est brancher une cle USB et ça prend 20 secondes. Sur un Macbook, ça prend 2 secondes: remplacer le chargeur USB par un verolé !
@marc_os :
Ben si, ça demande quand même un minimum de savoir, si je ne me trompe. Car bien que les données soient copiées, elles sont toujours protégées par les permissions initiales, qu'il faudra changer, le plus vraisemblablement via le Terminal.
Et comme dit ailleurs, s'il y a Filevault, c'est cuit.
@ Shralldam
1. La solution proposée par l'article passe par une clef USB qui contient un exécutable spécialement conçu pour l'attaque. De mon côté, rien que du standard que tout possesseur d'un Mac et ayant déjà utilisé un disque externe possède déjà.
2. Comme pour tout disque externe, il suffit de désactiver la gestion des permissions.
@ marc_os : « Si j'ai un accès physique à la machine, et que ses données m'intéressent, je la redémarre en mode target, je la connecte à un autre Mac, et je peux récupérer ce que je veux. »
Bon, bien sûr, il ne faut pas tomber sur un Mac dont le firmware a été protégé par un mot de passe. :-)
Ni, comme ça a déjà été dit, sur un Mac dont les données sont chiffrées.
Mais vu que ces deux mesures de précaution pourtant élémentaires, ne sont que bien peu souvent appliquées, il y a de fortes chances que ça fonctionne, il faut bien l’admettre.
Reste que c’est bien moins rapide et discret que l’attaque indiquée dans l’article (mais plus efficace si ça réussit, puisqu’on a directement les données).
D'après la source on obtient des logins et des mots de passe des certains services, mais il faut plein de conditions, cf. mon commentaire plus bas, pas les données du disque.
@ bunam : « D'après la source on obtient des logins et des mots de passe des certains services, mais il faut plein de conditions, cf. mon commentaire plus bas, pas les données du disque. »
Oui, on ne récupère que des hash de mots de passe, d’où ma remarque entre parenthèses à la fin de mon commentaire, sur le fait que l’efficacité n’est pas la même que si on arrive à accéder à un Mac en mode target.
ah je pensais que l'attaque physique et rapide c'est un coup de marteau moi
Je crois que windows n'accepte pas les DHCP tiers hors domaine.
@rikki finefleur :
Qu'est-ce que tu veux dire "hors domaine" ?
Parce que les connexions DHCP sur les box ne nécessitent aucun domaine ?
Je parle pour les entreprises. Il faut que le serveur dhcp soit validé, sinon il est rejeté.
Pas de problème avec les MacBook ils n'ont pas de port usb-a. Les autres en ont tellement peu qu'ils sont normalement tous occupés...
Et les OS X précédent. Je suis sur su'on risque rien sur Panther et Tiger !!! :D
Un cuter sous la gorge c'est physique et low-cost. C'est même une ADM (Arme de Destruction Massive) comme les terroristes du 11 Septembre 2001 l'ont démontré.
D'après ce que j'ai compris l'ordre d'attaque c'est :
- créer un port réseau avec DHCP
- ce réseau passe en 1er dans la liste des réseaux
- "branché" à ce réseau une app qui se fait passer pour plein de truc (https://github.com/Spiderlabs/Responder)
"Responder is a LLMNR, NBT-NS and MDNS poisoner, with built-in HTTP/SMB/MSSQL/FTP/LDAP rogue authentication server supporting NTLMv1/NTLMv2/LMv2, Extended Security NTLMSSP and Basic HTTP authentication."
Donc sur un PC Windows d'entreprise (en domaine) on doit pouvoir choper le hash du mot de passe du compte sur lequel la session est ouverte.
Sur le reste et donc sur un Mac on va nous aspirer des comptes web (avec authentification Basic ce qui n'est vraiment pas courant), connexions aux serveurs SMB, FTP, à condition que les applis relancent des connexions.
Sur Mac, il n'y aura pas de compromission du login / mot de passe du compte local.
Un spécialiste dans la sale ?
@ bunam : « Sur le reste et donc sur un Mac on va nous aspirer des comptes web (avec authentification Basic ce qui n'est vraiment pas courant), connexions aux serveurs SMB, FTP, à condition que les applis relancent des connexions.
Sur Mac, il n'y aura pas de compromission du login / mot de passe du compte local.
Un spécialiste dans la sale ? »
C’est la question que je me pose aussi (ainsi que quelques commentateurs sur le site du gars) : qu’est-ce qu’il récupère quand il essaye ça sur un Mac ?
J’avoue ne pas comprendre ce que Responder peut bien demander à Mac OS d’envoyer (mais manifestement, il lui fait bien envoyer un couple login/hash, d’après ce qu’en dit le gusse). J’espère qu’il donnera plus de détails plus tard.
@bunam
Je suis Spécialiste dans le Sale et je te dis que c'est des conneries. Bien qu'on puisse pénétrer n'importe qui, n'importe quoi et n'importe comment pourvu qu'on s'en donne la peine.
alors si en plus l'utilisateur ouvre ses .... ports. Ben on est pas dans la merde.
ok ok je sors...
;) kel con ! (moi hein)
:)
trop tentant
Je ne sais pas si je suis le seul à l'avoir remarqué mais sur la vidéo la "clé USB" que le mec branche au PC ne semble rien faire ni meme déverrouiller la machine ... en effet si on regarde bien sûr le haut à droite de la vidéo , on peut voir la petite icône qui demande si on aime (ou pas) ce fond d'écran ce qui veut dire que le pc ne ce déverrouille pas mais retourne à "l'image d'accueil " car aucune action n'as été effectué dans les 30 secondes :) on dirait bien que c'est du bullshit ( pour la vidéo en tout cas lol )
@exi83
Holà j'ai du lire de travers sa sert juste à récupérer le mot de passe pas à déverrouillé la machine en question je n'est rien dit :)
" le plus simple est d'éteindre son ordinateur quand on s'en éloigne. "
Sérieux ? C'est d'une simplicité immense, quoi...
Et après on se demande pourquoi Apple ne veut pas nous donner un accès au FS d'un iPhone via USB comme sur Androïd... ?
Cela dit, les Macs sont a priori protégés vis à vis des attaques électriques via USB :
http://www.zdnet.com/article/now-you-can-buy-a-usb-stick-that-destroys-laptops/?ftag=TRE17cfd61&bhid=23302077464836072966181851899325