IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

Une faille de sécurité menace des millions de smartphones Android


Sujet :

Sécurité

  1. #1
    Expert éminent sénior
    Avatar de Coriolan
    Homme Profil pro
    Développeur informatique
    Inscrit en
    mai 2016
    Messages
    701
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Sarthe (Pays de la Loire)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : mai 2016
    Messages : 701
    Points : 51 792
    Points
    51 792
    Par défaut Une faille de sécurité menace des millions de smartphones Android
    Une faille de sécurité menace des millions de smartphones Android
    elle concerne les puces de Qualcomm et affecte les anciennes versions de l'OS de Google

    Android, le système d’exploitation mobile développé par Google n’en finit pas avec les menaces de sécurité. Tout au long de son évolution, l’OS mobile a été marqué par l’existence et la découverte de failles plus ou moins graves, capables de mettre à mal la sécurité de millions d’utilisateurs. Cette fois, c’est le fondeur américain Qualcomm qui est dans le collimateur. En effet, il a été victime d’une faille de sécurité qui réside au niveau de ses puces ARM. Dotés d'une architecture relativement plus simple que d'autres familles de processeurs, et bénéficiant d'une faible consommation, les processeurs ARM sont devenus dominants dans le domaine de l'informatique embarquée, en particulier la téléphonie mobile et les tablettes. Ces processeurs sont fabriqués sous licence par un grand nombre de constructeurs, dont Qualcomm.

    L’introduction de la version 6 de l’architecture ARM a été l’occasion de la mise en place de certaines extensions de sécurité. Elle a permis de doter le terminal d’un espace protégé appelé TrustZone où peuvent se stocker des données sensibles, notamment des clés (KeyMaster) permettant de déchiffrer les données chiffrées des smartphones Android. Afin de renforcer la sécurité, ni le système d’exploitation ni le constructeur ne peuvent accéder à ces clés, seule la puce peut les manipuler.

    Nom : screen-shot-2016-07-01-at-11-31-10.jpg
Affichages : 4134
Taille : 20,0 Ko
    La KeyMaster est enregistrée à part dans une zone sécurisée appelée TrustZone



    Seulement il y a plus d’un an en avril 2015, un utilisateur a réussi à contourner ce mécanisme de chiffrement. Le chercheur en sécurité portant le pseudonyme « laginimaineb » a réussi à accéder à la zone protégée en recourant à la rétro-ingénierie. La rétro-ingénierie, ou ingénierie inverse ou inversée, est l'activité qui consiste à étudier un objet pour en déterminer le fonctionnement interne ou la méthode de fabrication. Le terme équivalent en anglais est reverse engineering.

    Sur son blog « Bits, please », le chercheur indique avoir utilisé un téléphone Nexus 5. Il a pu ainsi observer le fonctionnement très bas niveau des puces Snapdragon et a pu découvrir une « chaine de vulnérabilités » permettant de se procurer des privilèges. À noter que les SnapDragon sont une famille de système sur puce (system-on-a-chip ou SoC) de la société Qualcomm utilisant le jeu d'instruction ARM. Ils sont destinés au marché des smartphones et tablettes tactiles et sont disponibles pour un large éventail de systèmes d’exploitation.

    Grâce à cet exploit, le chercheur a pu mettre la main directement sur la clé KeyMaster enregistrée dans la TrustZone. Cette faille peut être bénéfique pour les bidouilleurs dans la mesure où elle rend beaucoup plus facile le déverrouillage du bootloader des terminaux équipés de ces puces. Mais elle permet aussi de récupérer des données sensibles et contourner leur chiffrement.

    Android 5.0 a été doté de plusieurs fonctionnalités afin de renforcer la sécurité, parmi lesquelles figure le chiffrement intégral de disque dur (FDE). Il permet de générer une KeyMaster et un salage de 128 bits. Lorsqu’il est activé par l’utilisateur, la KeyMaster est enregistrée dans la TrustZone, elle-même chiffrée par la méthode de verrouillage du téléphone choisie par l’utilisateur. Si le hacker arrive à mettre la main sur cette clé, il pourra tenter de mener une attaque par force brute pour trouver le mot de passe, le code pin ou la combinaison de déverrouillage et ainsi accéder au contenu du smartphone.

    Cette faille grave montre que les terminaux Android ne sont pas encore à l’abri des attaques. Le chiffrement actuel ne permet pas de barricader les données. Néanmoins, le chercheur estime que les efforts conjoints de toutes les parties concernées pourraient rendre les prochaines générations d’Android plus robustes. Pour le moment, seuls les appareils munis des dernières versions d’Android, à savoir 5.1.1 et 6.0 peuvent installer un correctif pour se prémunir de cette vulnérabilité. À savoir que seulement 27 % des utilisateurs utilisent ces deux versions dans tout le parc Android.



    Source : Bits, please - source.android

    Et vous ?

    Qu'en pensez-vous ?

    Voir aussi :

    Ce malware peut secrètement rooter votre smartphone Android et installer des applications malicieuses, il exploite des vulnérabilités peu connues
    Forum Sécurité
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Expert éminent Avatar de BufferBob
    Profil pro
    responsable R&D vidage de truites
    Inscrit en
    novembre 2010
    Messages
    2 994
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : responsable R&D vidage de truites

    Informations forums :
    Inscription : novembre 2010
    Messages : 2 994
    Points : 8 291
    Points
    8 291
    Par défaut
    hmpf bon je lis toujours en diagonale pour être honnête, pas que ça m'interesse moyen mais... bref.

    en clair c'est un exploit local ? donc faut déjà atterrir sur le smartphone en question avant de pouvoir s'en servir, sachant qu'une bonne proportion des android sont rootés volontairement par l'utilisateur

  3. #3
    Membre confirmé
    Homme Profil pro
    Ingénieur sécurité
    Inscrit en
    mars 2014
    Messages
    158
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 26
    Localisation : France

    Informations professionnelles :
    Activité : Ingénieur sécurité

    Informations forums :
    Inscription : mars 2014
    Messages : 158
    Points : 461
    Points
    461
    Par défaut
    @BufferBob j'ai un peu suivi l'affaire.
    En gros il s'agit d'arriver a faire fuiter des clés de chifrement grace a un programme concu EXPRES pour ca.
    Ce qui comme tu le dis limite énormément l'exploitation.
    La réel utilité de l'ataque serait de contrer le FDE lorsqu'on a le portable en sa possesion ...
    Ensuite il me semble qu'il faut installer l'application donc beaucoup de contraintes pour une utilité faible.
    Les seules personnes qui l'utiliseront seront surement FBI & Co

  4. #4
    En attente de confirmation mail
    Femme Profil pro
    pape n'aimant pas les censeurs
    Inscrit en
    janvier 2010
    Messages
    803
    Détails du profil
    Informations personnelles :
    Sexe : Femme
    Localisation : Vatican

    Informations professionnelles :
    Activité : pape n'aimant pas les censeurs

    Informations forums :
    Inscription : janvier 2010
    Messages : 803
    Points : 1 384
    Points
    1 384
    Par défaut
    Bon pour résumer, on a maintenant tout les jours un nouvel exemple d'exploit mettant à mal la sécurité d'un système ou d'un autre.

    Je ne vois pas vraiment où est l'intérêt de ce genre de news:

    1. Les utilisateurs ne peuvent rien faire pour se protéger

    2. Savoir que des failles existent, tous les acteurs du métier le savent.

    Posez la question aux fabricants de coffre-fort ou de porte blindée, ils vous diront tous la même chose: Quelle que soit la protection, on pourra l'ouvrir en passant un temps plus ou moins long en fonction de la qualité du dispositif!!!

    Il en va de même pour les systèmes numériques: La sécurité à 100% n'existe pas!

  5. #5
    Membre régulier
    Homme Profil pro
    Inscrit en
    septembre 2007
    Messages
    36
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 52
    Localisation : France

    Informations forums :
    Inscription : septembre 2007
    Messages : 36
    Points : 93
    Points
    93
    Par défaut
    Cela relève finalement de tests poussés permettant d'améliorer les systèmes
    De là à y voir une menace réelle pour tous les propriétaires d'un téléphone Android...

  6. #6
    Membre extrêmement actif
    Avatar de benjani13
    Homme Profil pro
    Consultant en sécurité
    Inscrit en
    février 2010
    Messages
    615
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Ain (Rhône Alpes)

    Informations professionnelles :
    Activité : Consultant en sécurité

    Informations forums :
    Inscription : février 2010
    Messages : 615
    Points : 2 822
    Points
    2 822
    Par défaut
    Citation Envoyé par NSKis Voir le message
    Bon pour résumer, on a maintenant tout les jours un nouvel exemple d'exploit mettant à mal la sécurité d'un système ou d'un autre.

    Je ne vois pas vraiment où est l'intérêt de ce genre de news:

    1. Les utilisateurs ne peuvent rien faire pour se protéger
    Au moins les utilisateurs sont un (tout petit) peu plus au courant, tu peux éviter d'utiliser le produit en question, changer ton password si on t'annonce qu'un site a été piraté, etc.

    Citation Envoyé par NSKis Voir le message
    2. Savoir que des failles existent, tous les acteurs du métier le savent.
    A moins de bosser sur la techno en question non les pro de la sécurité ne sont pas au courant de tous, c'est pas pour rien que la veille est une part indispensable du métier.

Discussions similaires

  1. Réponses: 1
    Dernier message: 26/07/2014, 17h43
  2. Des chercheurs découvrent une faille de sécurité critique dans SSL
    Par Hinault Romaric dans le forum Sécurité
    Réponses: 26
    Dernier message: 04/10/2011, 11h04
  3. Réponses: 15
    Dernier message: 17/07/2009, 22h18
  4. Réponses: 0
    Dernier message: 15/07/2009, 11h16

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo