Dans quelle mesure devrais-je craindre de me faire pirater avec PoisonTap?
Je viens d'entendre parler de PoisonTap aujourd'hui. Voici une courte description d'un article TechCrunch :
PoisonTap se connecte au port USB et s'annonce non pas comme un périphérique USB, mais comme une interface Ethernet. L'ordinateur, ravi de passer du Wi-Fi à batterie, envoie une requête DHCP, demandant une IP. PoisonTap répond, mais ce faisant, il semble qu'une vaste gamme d'adresses IP ne se trouvent pas sur les serveurs mais connectées localement sur le LAN, via cette fausse connexion filaire.
Et
vous n'avez même pas besoin d'être là: les éléments préchargés comme les analyses et les publicités seront actifs, et dès que l'un d'eux enverra une demande HTTP - BAM, PoisonTap répond avec un barrage d'iframes malveillants de mise en cache des données pour le sommet millions de sites Alexa. Et ces iframes, équipés de portes arrière, restent jusqu'à ce que quelqu'un les efface.
Cela semble assez inquiétant, mais je n'en ai pas encore trop entendu parler. Donc ma principale question est:
Dans quelle mesure les gens sont-ils vulnérables au piratage PoisonTap?
Il semble que les points suivants seraient pertinents:
- La population générale est-elle à risque, ou seulement un sous-ensemble très spécifique (OS, navigateur?)
- Quels sont exactement les risques, vos données, votre compte Gmail ...?
- Est-ce quelque chose que la plupart des gens peuvent réaliser, ou cela dépend-il d'un matériel spécifique et d'un haut niveau de compétence?
- Y a-t-il quelque chose que l'on peut faire facilement, sans fermer tous les navigateurs ou éteindre le PC à chaque fois que vous vous rendez dans une pièce différente pour poser une courte question. (Le verrouillage est-il suffisant?)
Et bien sûr, si c'est aussi mauvais qu'il y paraît: peut-on s'attendre à des mises à jour bientôt qui rendraient plus sûr d'aller aux toilettes à nouveau?
L'attaquant doit d'abord avoir un accès physique à la machine afin de brancher l'appareil sur le port USB. Cela signifie que tout type d'exploitation à distance complète n'est pas possible. Cela fonctionne cependant si l'écran de l'ordinateur est verrouillé avec un mot de passe ou similaire. Notez que l'accès physique n'a pas besoin d'être direct, c'est-à-dire qu'il peut également s'agir d'un utilisateur crédule branchant une clé USB donnée dans le système.
Ensuite, l'appareil s'annonce comme un périphérique Ethernet USB. Cela signifie que l'ordinateur va essayer d'ajouter PoisonTap en tant que périphérique réseau au système et en obtenir une adresse IP à l'aide de DHCP. La réponse DHCP renvoie une adresse IP avec un sous-réseau/1 afin que la plupart du trafic IPv4 soit envoyé au périphérique. À partir de là, l'attaquant a le même accès à l'appareil comme un routeur: en fait, l'appareil fonctionne comme un routeur pour l'ordinateur attaqué. Cela signifie que tout trafic peut être facilement reniflé et modifié, mais que les connexions chiffrées sont toujours protégées contre le déchiffrement et que les modifications sont détectées. Cela signifie par exemple que l'accès à gmail via https (de la manière habituelle) ne sera pas compromis.
À la fin, c'est juste une autre façon pour un attaquant local. L'impact de l'attaque est comparable à la redirection du trafic d'une personne via une usurpation ARP ou DHCP, le détournement du routeur local ou d'un point d'accès non autorisé. On ne peut pas faire plus comme avec ces attaques, mais rien de moins. Il semble que le logiciel soit livré avec quelques attaques Nice qui modifient les connexions HTTP non chiffrées pour accéder à différents sites afin d'empoisonner le cache des navigateurs avec des scripts très utilisés (comme une analyse Google empoisonnée, etc.). Étant donné que de nombreux sites incluent un tel code tiers et que ce code a accès à la page complète, un code empoisonné peut extraire de nombreuses informations utiles. Mais encore une fois, cela ne fonctionne que pour HTTP et non HTTPS.
La population générale est-elle à risque, ou seulement un sous-ensemble très spécifique (os, navigateur?)
La plupart des systèmes actuels sont menacés mais l'attaquant a besoin d'un accès physique.
Quels sont exactement les risques, vos données, votre compte Gmail ...?
Renifler et modifier les connexions non cryptées. Gmail est généralement chiffré et n'est donc pas affecté.
Est-ce quelque chose que la plupart des gens peuvent réaliser, ou cela dépend-il d'un matériel spécifique et d'un haut niveau de compétence?
Il a besoin de matériel et de logiciels spéciaux, mais le matériel est bon marché et le logiciel publié. Il nécessite à peu près le même niveau d'expérience que les attaques comme l'ARP ou l'usurpation DHCP, c'est-à-dire que les script kiddies pourraient le faire.
Y a-t-il quelque chose que l'on peut faire facilement, sans fermer tous les navigateurs ou éteindre le PC à chaque fois que vous marchez dans une pièce différente pour poser une courte question. (Le verrouillage est-il suffisant?)
Les protections habituelles contre d'autres attaques basées sur USB fonctionnent toujours, c'est-à-dire désactiver USB ou restreindre le type d'appareils. Mais notez que si l'appareil dispose d'un port Ethernet, vous pouvez monter une attaque similaire grâce à cela, car tout type de connexions câblées est préféré au sans fil par la plupart des systèmes.
L'étendue de ce que "PoisonTap" peut faire est équivalente à ce qui peut déjà être fait avec un réseau local malveillant ou un point d'accès wifi auquel vous vous connectez/vous connectez. Dans les deux cas, il existe toutes sortes de dangers graves si vous utilisez des connexions non chiffrées (par exemple, plain-http) pour tout ce qui compte (fournir des informations de connexion, parcourir du contenu sensible, télécharger du code exécutable ou des fichiers de données qui pourraient contenir des données malformées destinées à exploiter un bogue dans l'application qui les utilise, etc.) mais le risque pour les connexions cryptées est négligeable. Et la mise en place d'un faux point d'accès est un risque beaucoup plus faible pour l'attaquant que de brancher quelque chose sur l'ordinateur portable de la victime, donc je ne vois pas pourquoi un attaquant compétent choisirait l'approche PoisonTap.
L'attaque n'est possible qu'avec un accès local et uniquement sur les systèmes qui activent automatiquement le matériel réseau connecté de manière aléatoire par DHCP. Malheureusement, les trois principaux systèmes d'exploitation le font, mais certains autres plus préoccupés par la sécurité (tels que OpenBSD et amis) ne le font pas. On peut prévoir qu'à la suite de cette attaque, Windows, MacOS et Linux changeront peut-être leur comportement pour privilégier la sécurité à la commodité. Mais seulement dans ce domaine, jusqu'à ce que quelqu'un trouve un autre moyen d'exploiter sa position dans le compromis commodité sur sécurité dans un autre domaine.
Y a-t-il quelque chose que l'on peut faire facilement, sans fermer tous les navigateurs ou éteindre le PC à chaque fois que vous vous rendez dans une pièce différente pour poser une courte question. (Le verrouillage est-il suffisant?)
Ma solution en ce moment est de désactiver le (s) port (s) USB avant le verrouillage de l'écran par un script batch artisanal qui peut ressembler à ceci:
@echo off
:: Disable USB port(s)
REG ADD HKLM\SYSTEM\CurrentControlSet\services\USBSTOR /v Start /t REG_DWORD /d 0x4 /F
:: Lock screen
tsdiscon