lundi 30 juillet 2012

Sécurité sous Mountain Lion

Je viens d'installer OSX Mountain Lion et j'ai déjà noté quelques différences au niveau sécurité:
  • Autoriser l'Apple ID à réinitialiser mon mot de passe: Cette petite case à cocher discrète lors de la création de compte n'était pas présente lors des versions précédentes il me semble. Il s'agit probablement d'une forme de synchronisation avec iCloud qui permet au serveur Apple de sauvegarder un identifiant permettant d'accéder au compte local. On tend vers ce que propose déjà Windows 8 en unifiant le compte utilisateur du PC et le compte Microsoft Live. L'unification de ces deux comptes présente beaucoup d'avantages utilisateur et avait d'ailleurs déjà été tenté par Microsoft à l'époque de Passport. Cela nécessite en revanche d'avoir une totale confiance dans la confidentialité et la sécurité des serveurs d'Apple ou de Microsoft, ce qui n'est pas mon cas. J'ai donc choisi de désactiver l'option.
  • iCloud: pour le moment, et probablement pendant encore de longues années, je fuis ces fonctionnalités comme la peste. Pas question d'autoriser la synchronisation de mes données personnelles sur des serveurs distants. Le seul cas qui me permettrait d'envisager utiliser une telle fonction serait si iCloud proposait un chiffrement pré internet (PIE ou Pre Internet Encryption).
  • Gatekeeper: Qui permet de n'autoriser l'installation que des applications qui ont été signées. Une bonne chose est que l'on peut désactiver l'option à la volée pour pouvoir forcer l'installation d'une application non signée sans avoir à désactiver cette protection dans son ensemble. J'au déjà du utiliser cette exception pour installer Truecrypt ou Eclipse. Avec Gatekeeper on se rapproche du fonctionnement des téléphones Android (ou Symbian à l'époque) qui restreignent par défaut l'installation d'application non signées mais permet aux utilisateurs avancées de la désactiver. Pas d'équivalent à ce système sur iPhone puisque l'installation d'une application non signées n'est pas possible sans jailbreaker.
  • Bac à sable (sandbox): le recours à l'AppStore est de plus en plus poussé sous Mountain Lion et la publication dans l'AppStore nécessite de développer ses applications en mode sandbox.
  • Filevault2: ou l'encryption de la partition système. Cette fonction a déjà connue quelques fiascos niveau faille de sécurité et je n'ai donc aucune confiance dans cette technique de crypto pour le moment. Malheureusement l'excellent Truecrypt ne permet pas le chiffrement de la partition système sur Mac.
  • Une amélioration de l'ASLR (Address Space Layout Randomization) qui permet de lutter contre les failles de type buffer overflow et autre.
D'autres détails très techniques sur cette excellent article d'Ars Technica.

    mardi 24 juillet 2012

    Cartographie et audit du réseau GSM avec des outils Open Source

    Il y présente le projet open source OsmocomBB qui a pour but de démocratiser la norme GSM et d'expérimenter en installant son propre réseau. En fait OsmocomBB modifie le firmware d'un téléphone GSM (coute liste de téléphones compatibles) et l'utilise ensuite comme une interface d'entrée. Impressionnant de pouvoir faire tout cela avec une PC et un bête téléphone.

    Il expose ensuite une technique de géolocalisation et de cartographie des cellules de manière purement passive et sans déplacement (pas de triangulation). Bon en fait c'est un peu de la triche car il récupère les cell ID et les géolocalise en requêtant une base de données des cellules fournit par une API Google.

    Il enchaine avec les attaques connues sur le GSM:

    • Brouillage (dénis de service) directement avec OsmocomBB en saturant le réseau (et ceci sans carte SIM !)
    • Géolocalisation
    • Dénis de service du client en le floodant d'appels et de SMS
    • Ecoutes des communications, SMS, voix, data depuis que le protocole est A5/1 est cassable
    • Usurpation d'identité

    Le son de la vidéo est malheureusement très faible.

    Hack Android : Cartographie et audit du réseau GSM avec des outils Open Source from Alexandre Girard on Vimeo.

    lundi 23 juillet 2012

    Abscence de sécurité sur les cartes de paiement sans contact

    Présentation très intéressante de Renaud Lifchitzt lors de l'évènement Pas sage en Seine 2012 organisé par La Cantine de Silicon Sentier. On peut y découvrir comment le réseau bancaire ne s'est absolument pas préoccupé de la sécurisation des cartes de paiement en considérant que les sommes modiques autorisée et la nécéssité de proximité du moyen de paiement les dédouanaient de tout travail sur le sujet. L'auteur démontre par exemple que la carte de transport Navigo est plus sécurisée que la carte de paiement ?!!

    vendredi 6 juillet 2012

    Filevault 2 vs Truecrypt

    Truecrypt a fait ses preuves. Je l'ai utilisé depuis les toutes premières versions sur tous mes PC, Mac, disques dur portables et clefs USB. Je n'ai jamais eu aucun problème avec, quelque soit la version de Windows ou de Mac OSX.

    Jusqu'ici Filevault (1) ne chiffrait que le répertoire utilisateur et pas tout le disque ce qui le rendait inférieur à Truecrypt ne serait ce que de ce point de vu. De plus il avait très mauvaise réputation et j'en ai moi même fait l'expérience quand Filevault a refusé du jour au lendemain de me connecter à mon compte utilisateur.

    En revanche OSX Lion a introduit FileVault 2 qui permet enfin de chiffrer l’entièreté du disque. Le problème c'est qu'en matière de sécurité nouveau code et code propriétaire sont rarement bon signe. Un point donc pour Truecrypt qui est open source et déployé depuis des années. FileVault 2 a d'ailleurs déjà eu son lot de failles de sécurité grossières. En revanche FileVault apporte de la simplicité en étant directement intégré à l'OS. Encore une fois il faut choisir entre simplicité et sécurité.

    J'étais donc bien tenté d'utiliser FileVault mais ne lui faisais pas confiance pour mes données perso et pro. Après avoir vérifié que FileVault réalise une chiffrement par volume (et non pas sur tout le disque) j'ai donc opté pour la configuration suivante:

    Une partition système sous FileVault
    Une partition de données sous TrueCrypt

    A noter qu'un gros avantage de TrueCrypt est qu'il est multi plateforme. Ainsi en cas de crash du PC je peux toujours lire mon disque sous une autre machine et un autre OSX (aux problème de driver HFS+ prêts).

    A noter qu'un conséquence du chiffrement par volume de FileFault est que si vous avez partitioné votre disque dur seule la partition système sera chiffrée. Il vous faudra activer manuellement la partition sur les autres volumes. Pour plus de détails cet excellent article d'Ars Technica.

    mardi 3 juillet 2012

    Intégration Mac et iOS en entreprise

    Video intéressante de Guillaume Gete de Gete Consulting lors des Apple Days 2012 organisés par l'association Epimac de l'EPITA. L'intervenant y aborde des sujets de sécurité et de fonctionnalité dédiées à l'entreprise sur iOS et OSX.

    Parmi les sujets abordés on peut citer:

    Kerberos (Serveur d'authentification)

    Samba (SMB)

    Recovery HD et l'importance de mettre un mot de passe au firmware.

    File Vault 2 et la fonctionnalité permettant (enfin) de chiffrer l'entièreté du disque dur.

    Fonctions destinées à l'entreprise (ex SCEP, Exchange Polls, Mobile Device Management ou MDM, ...)

    Gestion de profil et de certificats

    Utilitaire de configuration iPhone, Configurator, etc

    2012-06-01 EPIMAC Intégration Mac et iOS en... par epita