décembre 2009

26C3 – Conférence du CCC à Berlin (3)

Troisième jour de cette conférence et la sélection que je vous en propose.

Mardi

Using OpenBSC for fuzzing of GSM handsets

26C3 – Conférence du CCC à Berlin (2)

… suite du suivi des présentations intéressantes du 26C3 (vues en vidéo par Internet, les commentaires de personnes qui sont effectivement à Berlin sont les bienvenus) :

Lundi

A noter que les vidéos officielles sont maintenant disponibles.

26C3 – Conférence du CCC à Berlin (1)

La 26ème conférence du Chaos Computer Club se tient cette semaine à Berlin, du 27 au 30 décembre 2009. En effet, cette association allemande organise depuis 1984 une conférence annuelle qui réunit plus de 2000 participants. Le caractère assez ouvert de cette événement permet à tout un chacun de voir en direct sur Internet les présentations qui ont lieu dans les différentes salles. Je vous propose un résumé de quelques présentations intéressantes auxquelles j’ai pu assister ainsi grâce à la magie d’Internet.

Le programme est accessible sur le Wiki de la conférence.

27 décembre 2009

Vous pouvez aussi visualiser les présentations sous forme de fichiers vidéo en téléchargement (lien temporaire pendant la conférence). La suite de mes impressions demain.

Est-il illégal de publier des failles de sécurité ?

GNU/FDL - ēɾaṣøft24 sur Commons

Le buzz continue de s’amplifier autour de la décision de la cour de cassation du 27 octobre 2009 dernier. Et les titres d’affirmer: “La cour de cassation confirme que la publication de failles de sécurité exploitables est un délit” (Numerama, 22/12/2009), “La révélation publique de failles de sécurité est un délit” (01Net, 18/12/2009), etc.

J’avais déjà discuté d’un sujet approchant (mais différent sur le fond) en évoquant l’affaire Zataz récente (sur ce blog, le 05/10/2009). Est-on libre d’échanger sur les failles de sécurité ?

La décision de la cour d’appel de Montpellier

Commençons par le commencement, la cour de cassation se prononçait en effet sur une décision de la cour d’appel de Montpellier datant du 12 mars 2009. La chronologie y est rappelée:

  • il est créé en 2004 une société “spécialisée dans le conseil en sécurité informatique” ;
  • le 26 octobre 2005, l’OCLCTIC “avisait le Parquet de Montpellier que la société XYZ diffusait sur son portail internet www…..com des scripts permettant d’exploiter des failles de sécurité informatique, directement visibles sur le site et accessibles à tous“;
  • (non expliqué dans l’arrêt) le bulletin de sécurité Microsoft MS05-053 du 08 novembre 2005 publiait un avis avec une correction proposée, qui ne se révélera pas suffisante ;
  • l’enquête était ensuite confiée à la DST, cette enquête confirmait que le dit site Web diffusait “un code d’exploitation d’une faille dans le moteur graphique WINDOWS qui avait donné lieu à une alerte du CERTA (Centre d’Expertise gouvernemental de Réponse et traitement des Attaques informatiques) publiée le 28 décembre 2005 et avant que MICROSOFT y remédie le 5 janvier 2006″;
  • il est entendu le 14 mars 2006 par les enquêteurs et on apprend que les revenus de cette société sont issus de la publicité que voient ses visiteurs et d’abonnements que prennent différentes sociétés aux alertes de sécurité ;
  • le 28 août 2006, il est entendu et mis en examen par le juge d’instruction et lui confirme qu’il ne diffusera plus d’exploits sur son site Web, il aurait notamment expliqué que la publication de failles et d’exploits lui permettait d’asseoir ses compétences ;
  • le prévenu était renvoyé devant le tribunal pour avoir, courant 2005 et 2006 mis à disposition sans motif légitime des programmes ou données conçus ou adaptés pour une atteinte au fonctionnement d’un système de traitement automatisé des données (infraction prévue par l’article 323-3-1 du code pénal);
  • il est relaxé par le tribunal correctionnel,

au motif qu’il est établi que le site www…..com n’incitait en aucune façon à l’utilisation de ces codes à des fins malveillantes ou de piratage informatique, que la seule intention qui ait animé X… Y…. est un souci d’information des menaces existantes non corrigées à destination des utilisateurs de programmes informatiques, qu’il justifie d’ailleurs en avoir été remercié par MICROSOFT, aucune intention délictueuse n’est établie

  • la cour d’appel argumente en soulignant que l’article 323-3-1 du code pénal ne prévoit pas “que soit caractérisée une incitation à l’utilisation d’un tel système”, mais réprime “le fait sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre des atteintes aux systèmes de traitement automatisé des données”;
  • eu égard à sa personnalité, le prévenu n’était condamné qu’à 1000 euros d’amende correctionnelle.

Première conclusion: la personne en cause n’a pas été condamnée pour la publication de failles de sécurité, mais pour la diffusion d’exploits, c’est-à-dire de programmes permettant d’exploiter ces failles de sécurité. On notera au passage que ni Microsoft, ni le CERTA n’ont été poursuivis pour avoir diffusé les informations sur les dites failles, c’est une reconnaissance implicite de la légitimité de l’information sur les failles de sécurité.

La décision de la cour de cassation

Dans un premier temps, il faut comprendre sur quoi ce basait le pourvoi en cassation de l’avocat de la personne condamnée en appel: les défauts de motif et de base légale. L’argumentation se base sur le texte de la convention du Conseil de l’Europe sur la cybercriminalité, que son client n’incitait pas à commettre d’infraction avec les dits outils de piratage, que la cour ne s’appuyait que sur la motivation économique du prévenu et faisait référence à des antécédents judiciaires de façon générale.

L’argumentation de la cour de cassation se présente de la façon suivante:

  • le site Web diffusait de façon visible et accessible des moyens permettant d’exploiter des failles de sécurité ;
  • la compétence en sécurité informatique du prévenu ne pouvait lui faire ignorer le risque lié à l’utilisation éventuelle des codes d’exploitation qu’il diffusait et il ne peut donc arguer ainsi de son intention d’informer ;
  • elle écarte le débat sur les antécédents judiciaires et conclut que la cour d’appel a parfaitement justifié la condamnation.

Le pourvoi en cassation est donc rejeté. Le prévenu définitivement condamné.

Conclusion

L’article 323-3-1 du code pénal:

Le fait, sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée.

La cour de cassation a donc bien confirmé qu’il n’est pas légitime, sous des motifs d’information du public, de diffuser sur un site Web accessible à tout un chacun des programmes informatiques ou des codes source de programmes informatiques permettant d’exploiter des failles de sécurité.

En revanche, il est parfaitement légitime d’informer sur les failles de sécurité.

Les débats présentés ici nous permettent de comprendre aussi que le juge est parfaitement ouvert à considérer que l’information de professionnels (en particulier la société qui commercialise un logiciel défaillant, les CERT, etc…) sur les moyens concrets d’exploiter des failles de sécurité, dans un contexte de bonnes pratiques est légitime, mais ce n’est pas ce qui était reproché dans cette affaire.

Cyberformation contre cybercriminalité (Bulletin de l’ILEC)

Le numéro 404 du bulletin de l’ILEC (Institut de liaison et d’étude des industries de la consommation, site Web de l’association par ici…) publie un numéro spécial sur la cybercriminalité. Il se présente sous la forme d’entretiens sur les sujets suivants:

  • Une mutation du crime organisé, entretien avec Myriam Quéméner, page 1
  • L’entreprise dans la ligne de mire, entretien avec Joël Ferry, page 4
  • Information bien gardée, entreprise avisée, par Rémy Février, page 5
  • Un mal inéluctable, entretien avec René Henri Legret, page 7
  • Cyberformation contre cybercriminalité, entretien avec Eric Freyssinet, page 9
  • ANSSI, nouvelle arme de l’État, entretien avec Michel Benedittini, page 11
  • Vers une cyber-ONU, entretien avec Christian Aghroum, page 12
  • Une vigie de la cybercriminalité mondiale, entretien avec Régis Fohrer, Dominique Schoenher et Rémy Février, page 14
  • Maîtres-toile contre cyberbrigands, entretien avec Jean-Paul Pinte (son blog), page 15

Merci à Jean-Watin Augouard d’avoir retranscrit ainsi nos échanges.

Avec ou sans caféine ?

Je ne peux m’empêcher de commenter aujourd’hui les développements autour de COFEE et DECAF.

COFEE est un outil logiciel développé par Microsoft permettant de construire sur une clé USB une compilation d’outils de collecte de données lors d’une intervention par un enquêteur sur un ordinateur allumé. Il est diffusé exclusivement auprès des services policiers dans le monde entier, notamment au travers d’Interpol.

Il a fait l’actualité lors de sa diffusion (finalement assez inévitable) sur Internet et plus récemment suite à la diffusion d’un outil sensé contrer son usage “DECAF”.

Fonctionnalités de COFEE

J’ai personnellement assuré des formations qui évoquaient ce logiciel (entre autres solutions), lors d’une formation sur les live forensics à Vienne au mois de Juin et lors d’une récente rencontre des enquêteurs spécialisés français à Montluçon qu’organisait la gendarmerie. Que fait donc réellement ce logiciel ?

  • COFEE génère grâce à une interface conviviale une clé USB de collecte de données ;
  • Le script ainsi fabriqué est adapté par l’enquêteur à chaque situation ;
  • Le script vérifie les outils utilisés, pour s’assurer qu’il s’agit bien de ceux qui ont été configurés par l’enquêteur (il est en effet particulièrement important d’utiliser des outils contrôlés, par exemple il serait incorrect d’utiliser les outils présents sur l’ordinateur examiné qui peuvent être contaminés par un virus) ;
  • Il est possible d’interrompre un processus qui serait trop long (il arrive que des outils prennent trop de temps par rapport aux contraintes de la perquisition par exemple) ;
  • Enfin, les résultats sont rassemblés dans un rapport qui sera transformé en pages Web une fois revenu sur l’ordinateur de l’enquêteur pour les exploiter plus facilement.

Pourquoi COFEE a-t-il une diffusion limitée ?

Microsoft a décidé de limiter la diffusion de son outil COFEE. La raison première est tout simplement qu’il s’agit pour une fois d’un développement gratuit au profit des services de police, et pas au profit d’autres: Microsoft n’a pas choisi de le commercialiser au profit des professionnels de la sécurité, c’est parfaitement son droit. Ce n’est pas le seul outil criminalistique réservé aux services d’investigation officiels.

Mais, l’image de Microsoft a conduit certains à critiquer cette démarche, voire à suspecter l’exploitation de fonctions non documentées de Windows. Dès que COFEE a été diffusé sur Internet, il a été décortiqué et critiqué. C’est d’ailleurs intéressant de voir combien certaines critiques sont injustes ou de mauvaise foi. Peut-être la communication de Microsoft a-t-elle été maladroite (oui, il s’agit aussi pour une entreprise commerciale telle que celle-là de se faire de la publicité), mais il reste que c’est une contribution parfaitement valable au travail de la justice dans le monde, tout comme le sont tous les outils reconnus par la communauté (article sur Praetorian, ou sur ForensicsWiki).

La courte (?) saga DECAF

Mi-décembre, deux “hackers” américains ont diffusé sur Internet un outil permettant de contrer l’utilisation de COFEE. DECAF (originalement sur http://www.decafme.org/) permet, une fois installé sur un ordinateur, détecterait le lancement de COFEE sur cet ordinateur et lancerait un certain nombre de contre-mesures, comme l’éjection des périphériques USB.

Depuis, ses développeurs ont désactivé l’outil… En effet, il avait besoin d’une connexion Internet à son lancement et vérifiait la présence d’informations sur le site des développeurs. Il est évidemment possible de faire croire au logiciel qu’il est encore autorisé à fonctionner. Ces derniers avaient donc très certainement une idée derrière la tête depuis le départ: se faire de la publicité ? créer du buzz autour de COFEE ? faire passer un message ? Ce qu’ils affichent sur leur page web n’est pas très clair:

Peut-être comprendrez-vous un peu de leurs motivations initiales en écoutant cette interview donnée sur CyberSpeak ou cette vidéo diffusée sur le net:

[youtube=http://www.youtube.com/watch?v=lF-g1Pb1tGM]

Qu’est-ce que j’en pense au bout du compte ?

Au bout du compte, pour nos enquêteurs c’est un exemple concret d’un outil anti-criminalistique (ou anti-forensic). On en rencontre finalement assez peu.

Deuxièmement, il ne faut pas qu’une telle mésaventure détourne les sociétés informatiques, petites ou grandes, de l’intérêt de participer au développement de solutions pour les services d’enquête.

Enfin, je ne connais pas de services spécialisés dans le monde qui envisagent ou envisageaient de n’utiliser qu’un seul outil comme COFEE. Lorsqu’on enseigne l’analyse des systèmes vivants (live forensics), on apprend justement aux enquêteurs à utiliser une multitude de solutions complémentaires, à faire les bons choix, à maîtriser leurs outils. Et il est important que puissent subsister et se concurrencer (au sens le plus positif de ce terme) des outils libres, des outils commerciaux, des outils ouverts, payants ou gratuits: on a besoin de cette variété et du foisonnement des idées.

A suivre donc…