DES FAILLES DÉTECTÉES DANS LES HSM AFFECTENT LES GRANDES INSTITUTIONS, LES BANQUES ET MÊME LES GOUVERNEMENTS

Posté le juin 10, 2019 à 10:55

DES FAILLES DÉTECTÉES DANS LES HSM AFFECTENT LES GRANDES INSTITUTIONS, LES BANQUES ET MÊME LES GOUVERNEMENTS

La sécurité des données sensibles est l’une des principales priorités de notre époque. Elle est d’autant plus cruciale que le matériel et les logiciels sont correctement sécurisés et gérés. Toutefois, selon deux chercheurs en sécurité, un composant informatique spécial appelé HSM (Hardware Security Module) recèle une faille majeure. La faille peut être exploitée à distance et si quelqu’un le fait, il peut accéder à toutes les données sensibles qu’il contient.

Un HSM est un périphérique indépendant qui sert à stocker les informations sensibles de manière sécurisée. L’appareil utilise une cryptographie avancée, ce qui lui permet de manipuler tout type de données sensibles, telles que les mots de passe, les codes PIN, les clés numériques, etc. On pensait que c’était l’un des moyens les plus sûrs de gérer des informations sensibles.

Physiquement, le périphérique peut ressembler à une carte d’ordinateur, à un routeur ou même à un gadget similaire à une clé USB. La plupart du temps, ils sont utilisés par des centres de données, des institutions financières, des gouvernements, des agences gouvernementales et d’autres institutions exigeant un niveau élevé de confidentialité et de discrétion lorsqu’il s’agit de stocker et de partager des données. De nos jours, beaucoup de ces appareils se présentent sous la forme de portefeuilles matériels utilisés pour stocker des cryptomonnaies.

La marque HSM est victime d’attaques à distance

Alors que la plupart pensaient que les périphériques HSM étaient le moyen ultime de stocker des données en toute sécurité, mais la récente conférence sur la sécurité en France a apporté des nouvelles inquiétantes. Deux chercheurs en sécurité ont profité de cette opportunité pour révéler plusieurs failles trouvées dans des périphériques publiés par un grand producteur de HSM.

Les chercheurs, Jean-Baptiste Bedrune et Gabriel Campana – employés par un fabricant de portefeuille, Ledger – ont publié leur document de recherche en français.

Cependant, ils présenteront également leur découverte en août, lors de la conférence sur la sécurité Black Hat aux États-Unis. Le résumé de leurs recherches et de leur présentation indique que les vulnérabilités découvertes pourraient permettre aux hackers de lancer une attaque à distance et d’obtenir un accès, ainsi que le contrôle du HSM d’un fournisseur spécifique.

Les chercheurs soulignent que l’attaque pourrait entraîner l’accès à des secrets, des informations d’identification et même des clés cryptographiques. De plus, le bug peut également être exploité pour télécharger des éléments tels que des micrologiciels modifiés. Les deux ont mentionné que le micrologiciel téléchargé pourrait installer une porte dérobée pouvant subsister même après une mise à jour du micrologiciel.

Les chercheurs doivent encore nommer le fournisseur

Naturellement, une faille qui peut permettre un niveau d’accès aussi important et compromettre non seulement le périphérique mais également son contenu, constitue un problème majeur pour les utilisateurs et les producteurs de matériel HSM. Jusqu’à présent, les deux chercheurs ont refusé d’annoncer publiquement quel fournisseur proposait des produits défectueux.

Cependant, ils ont révélé avoir contacté le fabricant de HSM et notifié la faille à la marque, ainsi que des conséquences potentielles de la non réparation immédiate. Le fournisseur aurait alors réagi en publiant rapidement des mises à jour du microprogramme corrigeant les failles de sécurité signalées.

Même dans ce cas, il y a déjà des spéculations en ligne sur l’identité possible du fournisseur, et beaucoup pensent qu’il pourrait s’agir de Gemalto. L’hypothèse est basée sur le fait que Gemalto a soudainement publié une mise à jour de sécurité pour sa Sentinel LDK. La mise à jour a été mise en ligne il y a seulement un mois et a amélioré l’API de gestion des clés matérielles sur les composants HSM.

Le résumé du rapport des chercheurs

Le résumé de la recherche publiée par le chercheur de Ledger décrit comment le processus utilisé pour déterminer les limites de ce que permet la vulnérabilité. Ils ont téléchargé un module de microprogramme en utilisant un accès SDK légitime au HSM testé. Le téléchargement du module leur a fourni un shell à l’intérieur du HSM. En règle générale, l’accès SKD est utilisé pour détecter les vulnérabilités, mais il n’est pas nécessaire pour les exploiter.

Après cela, ils ont utilisé le shell créé pour exécuter un fuzzer sur l’implémentation interne des commandes PKCS#11. Cela leur a permis de localiser les débordements de mémoire tampon qui peuvent être exploités. Ensuite, ils devaient vérifier si les dépassements de mémoire tampon pouvaient être exploités de l’extérieur du HSM.

L’étape suivante consistait à écrire une charge utile qui leur permettait de contourner le contrôle d’accès. Cependant, un autre problème découvert dans le HSM leur permettait également de télécharger des micrologiciels non signés – un problème qui ne peut pas être annulé en téléchargeant un correctif. Enfin, ils ont écrit un module capable de récupérer tous les fichiers et le contenu stockés sur le HSM, puis ils l’ont téléchargé sur le HSM pour vérifier s’il fonctionnerait ou non.

La méthode d’attaque utilisée par les chercheurs n’est pas vraiment révolutionnaire, ce qui signifie que d’autres auraient également pu découvrir ces failles. En d’autres termes, il est possible que beaucoup pourrait déjà en disposer un, en particulier lorsqu’il s’agit d’organismes gouvernementaux bien financés. L’utilisation de telles attaques pourrait perturber les systèmes financiers et entraîner une guerre informatique générale.  Cependant, le détail le plus troublant concernant l’attaque est que la porte dérobée de la mise à jour du microprogramme ne peut pas être effacée, ce qui signifie que si les HSM étaient déjà affectés au moment de la publication du correctif, la mise à jour ne les protégeait pas.

Summary
DES FAILLES DÉTECTÉES DANS LES HSM AFFECTENT LES GRANDES INSTITUTIONS, LES BANQUES ET MÊME LES GOUVERNEMENTS
Article Name
DES FAILLES DÉTECTÉES DANS LES HSM AFFECTENT LES GRANDES INSTITUTIONS, LES BANQUES ET MÊME LES GOUVERNEMENTS
Description
La sécurité des données sensibles est l’une des principales priorités de notre époque. Elle est d’autant plus cruciale que le matériel et les logiciels sont correctement sécurisés et gérés.
Author
Publisher Name
Koddos
Publisher Logo

Partagez :

Actualités connexes :

Newsletter

Recevez les dernières nouvelles
dans votre boîte aux lettres!

YOUTUBE

En savoir plus sur Blog KoDDoS

Abonnez-vous pour poursuivre la lecture et avoir accès à l’ensemble des archives.

Continue reading