La sécurité des liens USB concerne les périphériques USB (Universal Serial Bus) qui occupent une place importante dans l’univers informatique.
Ils peuvent être de plusieurs types comme supports de stockage de données amovibles, lecteur de musique, clavier, webcam, souris, etc. De plus, les liens USB sont de plus en plus utilisés comme source d’énergie et pour assurer le fonctionnement des équipements connectés.
De par leur facilité d’installation et d’utilisation ces périphériques s’échangent d’une machine à une autre. Les clés USB font partie du quotidien, discrètes, pratiques et mobiles elles sont utilisées pour le stockage de fichiers familiaux et professionnels mais elles peuvent être une cible et un vecteur d'attaque si elles contiennent un malware ou si leurs propriétés matérielles ont été modifiées. Les réseaux devenant plus résistants aux attaques informatiques, les médias amovibles, et en particulier les clés USB, sont devenus la méthode de prédilection pour contourner les défenses et infecter les systèmes.
Il existe diverses menaces pouvant porter atteinte à la confidentialité, intégrité et disponibilité des informations stockées et véhiculées dans les systèmes informatiques.
Pour pallier les vulnérabilités USB, les entreprises se doivent de mettre en œuvre des politiques de sécurité informatique sans cesse renouvelées définies par des solutions logicielles, matérielles ou organisationnelles. Avec l’essor technologique notamment sur les capacités de stockage et l’augmentation considérable des débits sur le protocole USB, la sécurité des liens USB est devenue un enjeu primordial pour les organisations et les individus.
Problématique de sécurité Dans les environs de l’université de l'Illinois, 297 clés USB y ont été dispersées, 45 % d'entre elles ont non seulement été branchées sur des ordinateurs, mais, comme le déclare , les victimes ont ensuite cliqué sur des liens qui les redirigeaient vers des logiciels malveillants. La curiosité des victimes s’est portée à 53 % sur les clés non étiquetées (adresse, téléphone). Prévenir les attaques par clé USB n'est pas facile, les meilleures méthodes sont d'éduquer les utilisateurs à ne pas les brancher, bloquer complètement leur utilisation ou tout au moins la limiter.
Un étudiant de l'école ESTACA de Laval a utilisé volontairement une fausse clé USB type USB Killer. (capable de griller la carte mère par électrocution) pour détruire 88 ordinateurs, le montant du préjudice est estimé à .
Lors de l'une des Conférences Black Hat, en 2009, Peter Kleissner a présenté un programme nommé Stoned Bootkit qui se lance au démarrage de l'ordinateur (Bootkit) et distribué sous forme d'un live CD et qui modifie le système d'exploitation via la partition de boot MBR (Master Boot Record) pour ensuite fournir un accès complet sur la machine. Ce code source localisé au sein du secteur boot est à même de contourner le chiffrement du disque dur.
John Clark, Sylvain Leblanc et Scott Knight ont mené une étude basée sur un cheval de Troie capable de créer des canaux USB non désirés afin d'exfiltrer des données à partir d'un réseau informatique. Ils ont prouvé que le protocole USB ne proposait, en 2011, aucun moyen d'authentification des périphériques connectés et qu'il n'y a pas de niveau de sécurité.
Selon des chercheurs présents à la conférence Black Hat 2011 c'est l'ensemble des périphériques USB qui doit être considéré comme un vecteur d'attaques potentiel.
Ils ont utilisé de la rétro-ingénierie, sur les firmwares commandant les fonctions de communications intégrées dans les contrôleurs de périphériques USB, ce qui leur a permis de réaliser des attaques capables d'activer un clavier et de s'en servir pour passer des commandes sur la machine ciblée. D'après le professeur , la démonstration prouve que la menace «périphériques USB et ordinateur» existe dans les deux sens. Il met en avant la méthode Cottonmouth, trouvée dans les documents d'Edward Snowden, qui permettrait à la NSA d'accéder aux données des machines par l'usage de malwares placés dans des périphériques USB.
Au travers des exemples cités ci-dessus il apparaît qu’il existe de nombreuses menaces logicielles et matérielles sur les liens USB. Ces vulnérabilités constituent un risque non négligeable pour la sécurité de l'information.
Les menaces
Logicielles
Confidentialité
vignette|gauche|Raspberry Pi zero. Samy Kamkar – chercheur américain en sécurité – a mis au point un outil PoisonTap installé sur un Raspberry Pi zero afin d'exploiter la confiance qu'ont les ordinateurs envers les périphériques réseau. PoisonTap profite de cette confiance, et une fois connecté à un port USB de l'ordinateur, se fait passer pour une nouvelle connexion Ethernet avec une priorité haute afin d'intercepter le trafic. Que l'ordinateur soit verrouillé ou non, en moins d'une minute une porte dérobée (backdoor) sera installée à l'insu de l'utilisateur légitime. PoisonTap installe des portes dérobées permanentes dans le cache HTTP et récupère les cookies d’identification afin de s'approprier les différents comptes et mots de passe de la victime. Pour cela, un navigateur doit être déjà ouvert, le dispositif attend que la page web ajoute un nouveau contenu (pub, mise à jour, nouvelle page, etc.). Quand cela se produit, PoisonTap répond en délivrant sa charge utile, c'est-à-dire son code malveillant, sous forme de IFrame en introduisant des versions modifiées des sites les plus populaires. Les cookies sont ainsi stockés dans la carte microSD du Raspberry Pi Zero, ces informations sont envoyées sur un serveur contrôlé par le hacker. Ces portes dérobées continueront à fonctionner lorsque l’appareil PoisonTap sera débranché, permettant de prendre le contrôle à distance sur le réseau local.
Wirelurker est un malware conçu pour infecter les terminaux Apple et notamment les périphériques iOS branchés sur un port USB. Ainsi, toutes les données de l'iPhone deviennent potentiellement accessibles : Du carnet d’adresses à iMessage. D’après les chercheurs en sécurité de chez Palo Alto Networks, le malware a infecté pas moins de 467 applications pour Mac OS X. Elles sont délivrées par un store d’applications alternatif chinois nommé «Maiyadi App Store». Wirelurker détecte les appareils iOS connectés sur les ports USB puis installe des applications tierces en utilisant une faille sur les certificats d'entreprise. En 2014, Apple annonçait que la faille concernait principalement la Chine et qu'elle serait rapidement corrigée.
Les infrastructures critiques, contenant des données sensibles font face à des menaces de malwares et de fuites d’informations, y compris lorsqu’elles sont isolées d’Internet. Les attaques récentes ciblant les systèmes industriels utilisent l’USB pour contourner cette isolation et atteindre leur cible. En Israël, des chercheurs du BGU Cyber Security Research Center (CSRC), Mordechai Guri, Matan Monitz et Yuval Elovici, ont démontré qu'une connexion USB non modifiée connectée à un ordinateur avec un code malveillant peut être utilisée pour voler des données provenant d'ordinateurs infectés et même isolés «Air gap». Ces ordinateurs sont isolés – séparés logiquement et physiquement des réseaux publics – de manière évidente pour empêcher leur piratage sur Internet ou au sein des réseaux de l'entreprise. Ces chercheurs ont développé un logiciel nommé USBee qui se sert du bus de données d'un connecteur USB pour transmettre secrètement des données et contourner une sécurité «Air gap». Il faut d’abord parvenir à connecter une clé USB sur la machine cible afin de l’infecter. Lorsque le logiciel malveillant s'exécute avec succès sur l'ordinateur cible et détecte qu'il y a un périphérique USB qui peut être utilisé pour transmettre les informations que l'attaquant veut voler, il génère intentionnellement des émissions électromagnétiques contrôlées à partir du bus de données USB, et transmet des données binaires à un récepteur proche équipé d’un démodulateur radio GNU. Ce dernier doit se situer à une distance maximale de . La vitesse de transmission est de l’ordre de par seconde, ce qui est suffisant pour subtiliser un mot de passe ou une clé de chiffrement en quelques secondes,.
Un smartphone fonctionnant avec le système d'exploitation Android, branché sur une borne de rechargement publique (via l'interface USB) - Par exemple dans le hall d'un aéroport ou d'une gare - afin d'en recharger sa batterie, peut faire l'objet d'une attaque logicielle. Le logiciel espion s'installe – à l'insu de la victime – en flashant la partition de boot et en utilisant les commandes AT véhiculées sur le lien USB. Il est ainsi possible d'accéder aux données de la carte SD, d'obtenir des contacts stockés dans la carte SIM, de modifier le code PIN, d'envoyer des SMS. Les trois chercheurs André Pereira, Manuel Correia, et Pedro Brandão se sont intéressés au système Android de Samsung tout particulièrement et décrivent un scénario d’attaque avec 3 objectifs : Obtenir un accès en tant que super-utilisateur, activer «ADB» (Android Debug Bridge) et enfin installer une application de surveillance. Pour atteindre ces objectifs, la victime n'a besoin que de faire une seule chose : Brancher son smartphone sur la prise USB d’une borne de rechargement. À l’autre extrémité du câble, l’ordinateur doit être en mesure - à l’aide d’un script - de récupérer suffisamment d’informations (version de l'OS, du firmware, du type d’appareil et de sa marque) sur le terminal connecté afin de cibler son attaque. Une des vulnérabilités est l’utilisation des commandes AT par le protocole GSM afin de communiquer avec le modem. Il sera ainsi possible d’établir des communications téléphoniques, d’envoyer des SMS, de récupérer les contacts de la carte SIM, de modifier le code PIN. Ce type d'attaque peut être destiné à assurer au pirate un gain monétaire ou bien simplement à voler les données de ses victimes. Les téléphones de la marque Samsung sont une cible privilégiée car le fabricant a étendu la liste des commandes AT afin d’augmenter le champ d’actions de son logiciel de synchronisation Samsung Kies. Ainsi « AT+DEVCONINFO » est l’une des premières commandes envoyées et permet la récupération instantanée de la version du firmware, du modèle du smartphone et du code IMEI. La commande « AT+FUS? » peut ainsi permettre de récupérer les fichiers contenus sur la carte SD, mettre à jour le firmware du smartphone sans intervention de l’utilisateur. Une attaque peut se servir de cette faille pour injecter un malware. Un autre vecteur d’attaque se situe au niveau de l’activation de «ADB» (Android Debug Bridge), permettant de bénéficier de droits super-utilisateur, installer des applications non certifiées par Google Play, désinstaller des applications, monter une carte SD, lire le logcat, démarrer une application. L’application de surveillance AndroRat est installée - à chaque fois que le téléphone démarre - avec des droits super-utilisateur compliquant ainsi la désinstallation par un simple utilisateur. L’icône n’apparaît pas afin de ne pas éveiller ses soupçons.
Intégrité Le ver informatique Stuxnet utilisant une vulnérabilité Zero day a infecté les réseaux d'usines d'enrichissement d'uranium iraniens via clé USB. Ce ver cible certains automates Siemens, et provoque de violents changements de vitesse du rotor des centrifugeuse de type SCADA. Ceci occasionne des vibrations sur les moteurs de centrifugeuses, pouvant aller jusqu'à la rupture.
Une vulnérabilité dans la technologie USB, connue sous le nom de BadUSB, utilise le firmware des périphériques USB comme vecteur d’attaque : un malware y est implanté et déjoue la plupart des antivirus. À tout moment, le logiciel malveillant peut s'exécuter et rester indétectable. Ce type de malware semble plus difficile à éliminer puisqu’un reformatage du périphérique en question ne supprime pas le firmware, qui reste donc toujours dangereux.