Welcome to TechNet Blogs Sign in | Join | Help

BitLocker cassé ? Désolé, non, pas cette fois.

Les commentaires fusent sur l’attaque de BitLocker présentée par le Fraunhofer Institute for Secure Information Technology (SIT) ici :

2009-12-03 Attacking the BitLocker Boot Process (document PDF)

Quelle est cette attaque ? Il s’agit d’une attaque dite Evil Maid Attack, ou femme de ménage malveillante (ne cherchons pas une traduction littérale pour cette fois). Il faut reconnaître à Joanna Rutkowska l’antériorité sur l’expression Evil Maid Attack, puisqu’elle introduisit cette notion dans un article de janvier 2009 :

2009-01-21 Why do I miss Microsoft BitLocker?

Remarque : dans cet article Joanna Rutkowska écrivait que BitLocker n’était pas vulnérable à cette attaque, ce qui vient d’être infirmé par le papier du Fraunhofer SIT.

En octobre dernier, elle implémente cette attaque contre TrueCrypt :

2009-10-16 Evil Maid goes after TrueCrypt!

Ce qui est commenté par Bruce Schneier une semaine plus tard :

2009-10-23 "Evil Maid" Attacks on Encrypted Hard Drives

Et nous voici aujourd’hui avec cette attaque réussie sur BitLocker. De quoi s’agit-il donc ?

Le principe est assez simple, mais la mise en œuvre l’est moins : lorsque vous utilisez un système de chiffrement de disque, vous devez entrer au démarrage un mot de passe ou un code PIN pour débloquer la clé de chiffrement. L’attaquant, que nous appellerons EMily (EM comme Evil Maid…) doit avoir accès physique à votre PC deux fois.

(1) EMily accède au PC et injecte l’attaque sur la partition active (partition en clair). Le code de l’attaque consiste en un MBR et un fichier sur la partition en clair. Notez déjà que pour ce faire, le PC doit pouvoir démarrer sur la clé USB ou le CD d’EMily, ou EMily doit extraire le disque.

EMily replace le PC à sa place, éteint.

(2) le propriétaire, vous, démarrez le PC normalement. Lorsque BitLocker vous demande votre PIN, vous le saisissez normalement. Le PC redémarre sans prévenir, (tiens, c’est étrange mais bon…), vous entrez à nouveau votre PIN et le PC démarre normalement.

C’est le code d’EMily qui vous a demandé le PIN, en imitant l’écran de saisie de BitLocker (bootmgr). Il l’a ensuite enregistré quelque part sur la partition en clair, puis a rétabli le MBR d’origine, supprimé toute trace de code étranger, et a redémarré le PC. Au redémarrage, BitLocker fonctionne correctement et le code PIN permet de débloquer la clé, puisque rien n’a changé dans le code de boot. Seulement entre temps, le code PIN a été stocké en clair sur le disque.

(3) Enfin, EMily doit à nouveau mettre la main sur votre PC et récupérer le PIN sur le disque.

Que peut faire EMily une fois qu’elle a votre code PIN ? Elle peut démarrer le PC. Mais, comme BitLocker lie la clé de chiffrement au TPM du PC, elle aura besoin d’une autre attaque pour accéder au disque : attaque de la mémoire (cold boot, DMA) pour y trouver la clé FVEK de BitLocker, attaque réseau… L’attaque n’est pas terminée : la proteciton est simplement revenue au niveau de ce qu’elle est en mode “TPM seul”.

Au final, nous avons là une méthode caractéristique d’une attaque très ciblée : il y a nécessité de deux accès à la machine cible, donc d’une sérieuse préparation. BitLocker est conçu pour protéger les données lors du vol d’un ordinateur portable. Point. Le scénario Evil Maid est efficace quel que soit le système de chiffrement utilisé : il serait certes intéressant et pertinent de le prendre en compte dans Windows, pour couvrir les… 0,001% des cas non couverts par BitLocker (environ :)).

En attendant, je vous conseille vivement la lecture du Data Encryption Toolkit for Mobile PCs –et dormez tranquilles, vos données chiffrées avec BitLocker ne seront pas accessibles en cas de vol.

Posted by pascals | 0 Comments
Filed under: ,

Bulletins de sécurité du 8 décembre 2009

Six nouveaux bulletins de sécurité ont été publiés aujourd’hui, dont 3 critiques et 3 importants.

Synthèse :

Détail des bulletins de ce mois :

Patchez-vous bien !

Posted by pascals | 0 Comments

Décembre : le mois de tous les dangers

Une lecture a retenu mon attention ce soir, à quelques jours du prochain Patch Tuesday de Microsoft, dernier de la décennie de l’année(1) :

Hackers view the holiday season as the ideal time for hacking business computer systems

Cet article soulève un point intéressant : la période des fêtes de fin d’année est une période d’activité privilégiée des “hackers” à la recherche de proies faciles sur Internet : vos réseaux, vos sites web, vos postes de travail. Malgré une étrange insistance à réduire la sécurité au paramétrage de firewalls, l’article a le mérite de rappeler que cette période est particulièrement critique pour plusieurs raisons.

Les sites de commerce font ce mois-ci une part plus qu’importante de leur chiffre d’affaires annuel. Le trafic et le revenu est tel que tous les efforts de supervision doivent être concentrés sur les quelques systèmes vitaux, au détriment peut-être d’autres points d’entrée plus discrets.

Deuxième point : pour les mêmes raisons, le cybercriminel maître-chanteur au DDOS aura sans aucun doute très peu de mal à convaincre sa victime de payer rapidement... et discrètement.

Enfin, et c’est le plus inquiétant car la solution existe mais n’est pas mise en œuvre : tous les réseaux d’entreprise sont en “freeze” en fin d’année. Que ce soit en raison du pic d’activité commerciale ou des opérations annuelles comme les clôtures de comptes, les serveurs applicatifs ne sont pas patchés pendant au moins un mois. Mardi 8/12, dans 3 jours, Microsoft publiera 6 bulletins de sécurité dont 3 critiques. Que feront les entreprises les plus exposées ? Rien. Comme d’habitude en décembre. Et c’est bien dommage.

(1) Trop pressé d’en finir avec cette décennie, j’oubliais que les périodes comme les décennies, siècles et autres millénaires commencent les années en 1 et se terminent les années en 0. Merci Stéphane pour le rappel.

Posted by pascals | 0 Comments

Bulletins de sécurité du 10 novembre 2009

Six nouveaux bulletins de sécurité ont été publiés aujourd’hui, dont 3 critiques et 3 importants.

Synthèse :

Détail des bulletins de ce mois :

Par ailleurs les bulletins MS09-045 et MS09-051 ont été mis à jour.

Patchez-vous bien !

Posted by pascals | 0 Comments

Rapport Microsoft sur les données de sécurité, volume 7

Le 7ème rapport Microsoft sur les données de sécurité a été publié il y a quelques jours :

Parmi les recommandations énoncées (page 166) nous retrouvons notre vieille amie la gestion des mises à jour de sécurité. C’est l’occasion d’indiquer le guide : The Microsoft Security Update Guide, qui sera publié en français d’ici peu. Ce qui me rappelle… Prêts pour demain ?

Posted by pascals | 0 Comments
Filed under:

La perle du week-end

Depuis que nos politiques s’intéressent à l’informatique et à l’internet, le spectacle est plutôt amusant. Mais lorsque la politique rejoint l’éducation, là, on rigole franchement. Voici donc ce que j’ai découvert aujourd’hui... Je n’en reviens toujours pas.

Dans ma lointaine banlieue, des élèves de Seconde ont reçu dans leur lycée un cadeau de la région Île de France, sous la forme d’une magnifique boîte métallique à leur logo abritant une clé USB de 2 Go et un porte-clés, accompagnés de cette carte :

Carte accompagnant la clé USB de la région

Cette clé, éditée par la société Mostick, est un “bureau mobile” : elle contient des applications en versions “portables”, exécutables sur place sans installation et sans laisser de trace sur le PC. Principe intéressant : l’utilisateur a ses applications et ses données dans sa poche, et peut y accéder sur tout PC.

Mais la dernière phrase de la carte laisse songeur : “Si vous utilisez VISTA, AUTORISEZ l’exécution des programmes”. On peut craindre le pire, et en effet, un rapide test le démontre :

Le programme start.exe dans la racine de la clé nécessite les privilèges d’administrateur :

Fichier start.exe avec bouclier indiquant qu'il nécessite une élévation de privilèges.

Ce programme n’est pas signé : on doit autoriser un programme d’origine inconnue à s’exécuter avec tous les droits sur le système.

Tous les programmes qui seront à leur tour exécutés par start.exe hériteront du même contexte, donc des mêmes privilèges.

Mais ils ne s’arrêtent pas là, puisqu’ils incluent une version vulnérable de Firefox, la version 3.5.1.

Firefox avec privilèges d'administrateur

Au final, nous avons affaire à un système qui nécessite que les adolescents aillent sur Internet avec tous les privilèges d’administrateur et des applications vulnérables... Bravo ! Je suppose que les auteurs exécutent Firefox 3.5.1 en tant que root sous Linux.

La société Mostick écrit dans son petit texte de présentation, qui ne manque pas d’humour : “un contenu socialement responsable issu de l’informatique éthique”. Puis “des logiciels stables, compatibles, ergonomiques et sécures”. J’en reste coi.

Posted by pascals | 0 Comments
Filed under: ,

Format VHD et l’héritage des Mac

J’étais en train de travailler sur le format des fichiers VHD à partir de la documentation publique, lorsque je suis tombé sur un détail amusant : les nombres dans ce format sont stockés en big-endian. C’est à dire en commençant par le poids fort… C’est à dire qu’un nombre de 4 octets valant 0x12345678 est stocké de cette manière : 12 34 56 78. Alors que sur les plateformes Intel on a plutôt l’habitude de la notation little-endian, c’est à dire 78 56 34 12.

Cette singularité m’est apparue lorsque j’ai décodé la daté de création d’un VHD quelque part en 2011… Une inversion des octets m’a vite donné le bon résultat en 2009.

image

Ci-dessus, la date de création du VHD est à l’offset 0x0018, en nombre de secondes depuis le 1/1/2000 0:00 GMT. Je vous laisse faire le calcul (merci Excel) :-).

Après vérification, il s’avère que c’est précisé dans la documentation :

All values in the file format, unless otherwise specified, are stored in network byte order (big endian).

Je suppose que la raison de cela est que Connectix, à qui Microsoft a acheté la technologie Virtual PC et Virtual Server en 2003, a commencé par des produits sur Mac, sans doute sur processeur PowerPC.

Etonnant non ?

Posted by pascals | 0 Comments
Filed under:

Sortie officielle de Windows 7

Aujourd’hui 22 octobre 2009 marque la sortie officielle de Windows 7. Pour la première fois, une version de Windows nécessite moins de capacité matérielle que son prédécesseur pour fonctionner : c’est là son aspect le plus “visible”, outre une interface utilisateur plus aboutie. Mais deux points m’importent le plus :

La sécurité de Windows 7 est bâtie sur les fondamentaux de Windows Vista, qui marquait une évolution majeure dans ce domaine. Par exemple : UAC, BitLocker, etc. ont été développés et améliorés.

La virtualisation devient un composant incontournable, en la présence de Windows Virtual PC et Windows XP Mode, qui résolvent élégamment les problèmes de compatibilité en entreprise.

Informations sur Windows 7 :

http://www.microsoft.com/france/windows/

Téléchargement de Windows Virtual PC et Windows XP Mode :

http://www.microsoft.com/windows/virtual-pc/download.aspx

Posted by pascals | 0 Comments

Préavis des bulletins de sécurité du 13 octobre

Grosse livraison pour ce mois d’octobre, puisque nous avons droit mardi prochain à 13 bulletins de sécurité, dont 8 critiques :

http://www.microsoft.com/technet/security/bulletin/ms09-oct.mspx

Les postes de travail et les serveurs, y compris les serveurs applicatifs, sont concernés, puisque les bulletins concernent Windows, IE, Office, Silverlight, SQL Server, les outils de développement et Forefront Client Security.

Posted by pascals | 0 Comments

Sysinternals: Disk2vhd 1.0

Le dernier-né des outils de Sysinternals, Disk2vhd, vient d’être mis à disposition ici :

http://technet.microsoft.com/en-us/sysinternals/ee656415.aspx

Disk2vhd crée un fichier VHD à partir d’un disque physique. La particularité de Disk2vhd est qu’il peut créer une image VHD à partir d’un système en train de tourner. Pour ce faire, il utilise la fonctionnalité de Volume Snapshot, introduite avec Windows XP. Parmi les usages intéressants, on peut utiliser Disk2vhd pour créer une machine virtuelle à partir d’un système physique (P2V).

Disk2vhd fonctionne sur Windows XP SP2, Windows Server 2003 SP1, et supérieurs, en 32 et 64 bits.

Plus de détails à l’adresse ci-dessus.

Posted by pascals | 0 Comments
Filed under: ,

Migration d’Hyper-V vers 2008 R2, et problèmes de carte réseau sur les VM Linux

J’ai finalement migré mon serveur Hyper-V, de Windows Server 2008 à Windows Server 2008 R2, pour tomber sur un problème délicat avec des machines virtuelles Linux et la disparition de leur carte réseau.

Je n’ai pas forcément pris le chemin habituel. Certains auraient simplement mis à jour le système après avoir pris soin d’arrêter les machines virtuelles. D’autres auraient exporté les VM, réinstallé le système, puis réimporté les VM. Personnellement aucune de ces deux solutions ne me convenait : je suis réticent aux upgrades de systèmes, préférant repartir à chaque fois sur une installation “propre”. Et le mécanisme d’export/import de VM change la structure de stockage des fichiers sur le disque, ce qui ne me convient pas non plus. A tord !

Bien évidemment, les problèmes que j’ai rencontrés ne me seraient pas arrivés si j’avais suivi l’une ou l’autre des solutions “normales”. J’ai donc procédé comme ceci (ce que je ne recommande donc pas si vous êtes pressé) :

  • Vérifier qu’aucune VM n’a de snapshot.
  • Eteindre toutes les VM.
  • Note : dans ma configuration, le système est sur un disque, les VHD sur un autre, et les sauvegardes sur un troisième.
  • Sauvegarder les VHD –à noter que ce sont les seuls fichiers que je conserve dans la manipulation, car j’ai l’intention de définir les nouvelles machines virtuelles avec ces mêmes VHD.
  • Noter la définition des VM et des réseaux virtuels.
  • Installer Windows Server 2008 R2 comme une nouvelle installation (en supprimant la partition existante sur le disque réservé au système). Installer les mises à jour, les comptes utilisateurs, l’adresse IP, etc.
  • Activer le rôle Hyper-V et utiliser le script HVremote pour mettre en place l’administration à distance.

A ce stade, j’ai donc un système 2008 R2 propre sur le disque système, Hyper-V opérationnel, et mes fichiers VHD d’origine sur le disque d’origine qui leur était dédié.

  • Réinitialiser les ACL sur tous les fichiers VHD (icacls *.vhd /reset), ceci principalement par souci de détail. Voir ici pour une explication des ACL qu’Hyper-V ajoute sur les VHD. Nettoyer les ACL des permissions laissées par un ancien Hyper-V n’est pas obligatoire, mais c’est une bonne idée, lorsque l’on réutilise un disque sur un nouveau système, de faire le ménage sur les ACL.
  • Créer les réseaux virtuels tels qu’ils existaient auparavant.
  • Créer chaque VM avec la même configuration qu’auparavant : mémoire, carte réseau (normale ou legacy selon les cas), VHD... Au passage, Hyper-V 2008 R2 inclut par défaut un contrôleur SCSI dans chaque nouvelle VM : on peut le supprimer si la VM n’en avait pas auparavant.

Jusqu’ici tout va bien, il ne reste plus qu’à démarrer les VM.

Premier déboire : un Windows XP nécessite une réactivation, à cause du changement de matériel. Puis, après mise à jour des composants d’intégration, la carte réseau est vue comme une nouvelle carte, paramétrée par défaut en DHCP. Si une adresse fixe est nécessaire, il faut la redéfinir, ce qui produit un avertissement classique :

Avertissement TCP/IP

Ce qui aurait dû me mettre la puce à l’oreille pour le problème des machines Linux...

Venons-en donc à une machine virtuelle Linux, plus exactement un Debian 4.0 (etch). L’erreur est immédiatement visible au boot :

image

et à la commande ifconfig :

image

Plus de carte réseau... alors que la commande dmesg montre que le driver Tulip (la carte Legacy network adapter n’a pas changé entre les versions d’Hyper-V) est bien chargé et reconnait bien la carte et sa nouvelle adresse MAC :

image

Après quelques recherches et essais divers, il s’avère que la nouvelle carte est bien présente, mais le noyau l’a nommé eth1 au lieu de eth0 :

image

Pour remettre les choses en place, trois solutions sont possibles :

Première possibilité, dans le fichier /etc/network/interfaces, remplacer eth0 par eth1. C’est le plus simple, le plus rapide.

Deuxième possibilité, si l’on souhaite appeler eth0 la nouvelle carte, il faut savoir que Linux maintient une correspondance entre les adresses MAC et les noms d’interfaces. Ce fichier se trouve dans /etc/udev/rules.d. Sur un de mes systèmes il s’appelle 70-persistent-net.rules, sur un autre : z25-persistent-net.rules. La règle semble être que le fichier s’appelle <préfixe>-persistent-net.rules :

image

On voit bien dans ce fichier l’historique des adresses MAC rencontrées par le système, et comment la nouvelle a été numérotée eth1.

Il suffit alors d’éditer ce fichier pour attribuer le nom eth0 à la nouvelle adresse MAC :

image

Troisième possibilité : dans Hyper-V, configurer la machine virtuelle pour donner à la carte réseau la même adresse MAC que l’ancienne machine virtuelle... Ce qui explique pourquoi il aurait été judicieux de faire un export et un import de la VM, et conserver l’adresse MAC d’origine.

J’espère que cela évitera des déboires à certains, et dépannera ceux qui perdent leur carte réseau.

Et je remercie mon collègue Youssef, et Bing pour avoir trouvé le fichier 70-persistent-net.rules à la vitesse de l’éclair !

Posted by pascals | 0 Comments

Windows Virtual PC pour les abonnés Technet et MSDN

Ben Armstrong l’annonçait hier : Windows Virtual PC et Windows XP Mode sont désormais disponibles en téléchargement pour les abonnés Technet et MSDN :

image

Comme annoncé la semaine dernière, il sera disponible pour tout le monde le 22 octobre, en même temps que Windows 7.

Pour rappel, Windows Virtual PC est la nouvelle version de Virtual PC pour Windows 7, et Windows XP Mode est une machine virtuelle Windows XP prête à l’emploi pour Windows Virtual PC. Windows Virtual PC fonctionne sur toutes les versions de Windows 7, Windows XP Mode est réservé à Windows 7 Professionnel, Entreprise et Ultimate. L’objectif de Windows XP Mode est de résoudre les derniers problèmes de compatibilité avec des applications métier anciennes.

Bing!

Pour ceux qui lisent ce blog –ou les autres sur Technet et MSDN- directement à la source : vous avez peut-être remarqué une nouvelle boîte de recherche avec un bouton orange, à droite de la page. Dorénavant, vous ne cherchez plus, vous binguez dans ce blog ! Essayez, cela fonctionne. Sérieusement.

Posted by pascals | 0 Comments

Microsoft Security Essentials

Microsoft Security Essentials (ex-Morro), logiciel anti-malware grand public gratuit, est désormais disponible à partir d’aujourd’hui à l’adresse :

http://www.microsoft.com/security_essentials/

Il supporte Windows XP SP2 et SP3, Windows Vista Gold, SP1 et SP2 (x86 et x64), ainsi que Windows 7 (x86 et x64).

Posted by pascals | 0 Comments

Logiciels non désirés d’Apple, toujours et encore

Ce n’est pas nouveau : Apple se fait une spécialité d’installer ce qui les chantent sur tous les PC équipés d’iTunes. N’oublions pas que l’immense majorité des possesseurs d’iPods et d’iPhones sont en fait des utilisateurs de Windows, et sont condamnés à iTunes. Ce matin cet article m’a fait bondir : les PC équipés d’iTunes, même installé de façon minimale, se voient proposer par défaut l’installation d’un utilitaire de configuration d’iPhone. Outil d’entreprise qui inclut le serveur Apache !

Il s’agit de l’outil permettant de configurer un iPhone pour l’utilisation du protocole Exchange ActiveSync. Outil nécessaire (bien que d’une conception étrange, embarquant un serveur web), mais uniquement pour les possesseurs d’iPhones et ayant besoin d’une connexion sécurisée à Exchange. Ce qui ne court pas les rues parmi les utilisateurs d’iTunes sous Windows.

Décidemment, les choses ne changent pas.

Posted by pascals | 0 Comments
Filed under:
More Posts Next page »
 
Page view tracker