Shadow Brokers : la NSA a pu espionner le trafic chiffré de nombreux clients Cisco pendant une décennie
D'après l'analyse d'un exploit

Le , par Stéphane le calme, Chroniqueur Actualités
Un groupe de pirates, qui se font appeler « The Shadow Brokers », a annoncé avoir pu mettre la main sur des exploits appartenant au groupe « Equation Group », que Kaspersky avait identifié comme étant le « dieu » du cyberespionnage. Par la suite, des documents de l’ancien contractuel de la NSA Edward Snowden, ont permis à Intercept de trouver des traces de la signature numérique de la NSA dans l’échantillon des exploits publié par The Shadow Brokers, lui permettant d’apporter des éléments de preuve à une hypothèse qui avait déjà été formulée depuis des années : la NSA est derrière Equation Group.

Lorsque les exploits ont été publiés, Cisco et Fortinet, qui ont eux jeter un coup d’œil au même titre que de nombreux chercheurs dans la communauté de la sécurité informatique, ont publié des annonces dans lesquelles ils ont confirmé l’authenticité de ces exploits et ont invité leurs clients à effectuer des mises à jour de sécurité.

Si les révélations d’Edward Snowden sur les exactions de la NSA avec ses programmes d’espionnage semblaient très théoriques, The Shadow Brokers vient apporter des preuves plus tangibles sur l’étendue de la surveillance de la NSA, notamment sur le fait que l’agence a pu espionner systématiquement de nombreux clients de Cisco Systems pendant une décennie. Parmi les exploits publiés, des chercheurs en sécurité ont découvert par exemple une attaque qui extrait à distance les clés RSA de déchiffrement sur les lignes du pare-feu PIX de l’entreprise qui sont désormais abandonnées. Pour rappel, Cisco PIX (Private Internet EXchange) est un boîtier pare-feu vendu par Cisco Systems.

La découverte est relativement importante dans la mesure où le code d’attaque, qui a été baptisé BENIGNCERTAIN a été lancé sur les versions Cisco PIx datant de 2002 jusqu’à la version datant de 2009. Et, bien que Cisco ait fourni un correctif de sécurité en juillet 2009, l’entreprise a continué à offrir un service et un support limité pour le produit durant quatre années supplémentaires. À moins que les clients PIX n’aient pris des précautions particulières, théoriquement la quasi-totalité d’entre eux ont été vulnérables à des attaques conduisant à l’espionnage sur leur trafic VPN. En plus de permettre l’espionnage du trafic VPN chiffré, l’extraction de clés permet également d’avoir un accès complet à un réseau vulnérable en se faisant passer pour un utilisateur distant.

Un chercheur s’est lancé dans l’explication du code et trois autres chercheurs ont confirmé que l’exploit fonctionnait effectivement sur des installations PIX. Comme l’explique le chercheur Mustafa Al-Bassam, l’exploit consiste en trois binaires, chacun représentant une étape individuelle dans le processus d’exploitation. Il a donné un peu plus de détails sur le fonctionnement de l’exploit. Après son analyse, il a avancé que « cela montre que la NSA avait la capacité d’extraire à distance des clés confidentielles des VPN de Cisco pendant plus d’une décennie ». Et, faisant référence aux documents publiés par Edward Snowden, il a continué en disant que « cela explique la raison pour laquelle ils ont été en mesure de déchiffrer des milliers de connexions VPN par minute comme cela est indiqué dans les documents précédemment publiés par Der Spiegel ».

BENIGNCERTAIN exploite une vulnérabilité dans l'implémentation de Cisco de l'Internet Key Exchange (IKE), un protocole qui utilise des certificats numériques pour établir une connexion sécurisée entre deux parties. L'attaque envoie des paquets malveillants à un dispositif PIX vulnérable. Les paquets obligent le dispositif vulnérable à retourner une partie de la mémoire. Un outil d'analyse syntaxique inclus dans l'exploit est alors en mesure d'extraire des données de clés et d'autres configurations prépartagées du VPN sur la réponse. Selon l’un des chercheurs qui ont aidé à confirmer l’authenticité de l'exploit, il travaille à distance, sur l'interface extérieure de PIX. Cela signifie que toute personne sur internet peut l'utiliser. Aucun prérequis n’est nécessaire pour faire fonctionner l’exploit. Fait encore plus intéressant, le Cisco ASA (Adaptive Security Appliance), le pare-feu qui est venu remplacer le PIX, présentait la même vulnérabilité IKE qui a été colmatée il y a seulement quelques mois et était considérée par l’équipementier comme étant critique. Voici une capture envoyée par le chercheur pour montrer le résultat final de l’attaque.


Il faut noter que le moteur de recherche Shodan indique que plus de 15 000 réseaux de par le monde continuent de se servir de PIX, la Russie, les États-Unis et l’Australie étant en tête des pays qui les utilisent le plus.

Cisco, qui était resté silencieux suite à cette révélation et se contentait d’évoquer une politique de fin de vie, a été obligé de modifier un billet de blog qu’il avait précédemment rédigé. Dans la mise à jour, Cisco indique « le 19 août, des articles de presse concernant l'exploit BENIGNCERTAIN qui aurait potentiellement été utilisé pour exploiter les pare-feu existants Cisco PIX ont été publiés. Notre enquête à ce jour n'a pas identifié de nouvelles vulnérabilités dans les produits actuels liés à l'exploit. Même si le Cisco PIX n’est pas pris en charge et n'a pas été pris en charge depuis 2009 (voir avis EOL / EOS), par souci pour les clients qui utilisent encore PIX, nous avons étudié cette question et avons trouvé que les versions PIX 6.x ainsi que les versions précédentes sont affectées. les versions PIX 7.0 et les versions ultérieures ne sont pas affectées par BENIGNCERTAIN. Le Cisco ASA n’est pas vulnérable ».

Source : blog Cisco, blog Cisco (avertissement de sécurité sur IKE), blog Mustafa Al-Bassam, Shodan, Kevin Beaumont, XORcat (capture d'écran), Brian


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de BufferBob BufferBob - Expert éminent https://www.developpez.com
le 21/08/2016 à 12:53
Citation Envoyé par Stéphane le calme Voir le message
(...) plus de 15 000 réseaux de par le monde continuent de se servir de PIX, la Russie, les États-Unis et l’Australie étant en tête (...)
et la France aussi.
Avatar de redcurve redcurve - Membre averti https://www.developpez.com
le 21/08/2016 à 13:04
Citation Envoyé par Aeson Voir le message
Tous dépend des moyens mis a disposition... et on ne peut pas dire que le libre a les même budget...

Quand est-ce que vous allez comprendre que le libre n'est pas plus secure que le reste... En plus il est beaucoup plus cher a maintenir et les compétences sont beaucoup plus difficile a trouver....

Faut arreter de rever et redescendre sur terre de temp en temp....

Pendant 15 ans vous vous etes dit mon Linux est secure.. alors qu'il y avait OpenSSL qui pouvait tous laisser passer en clair...

Et je ne parle que d'OpenSSL...

Et combien s'en sont mordu les doigts a cause des cout de maintenance et de compatiblité ??

Regardez les parts de marche. Meme en entreprise Windows Server a 90% du marche.... Il n'y a même pas d'alternative valable a Active Directory... et ne parlons meme pas d'ADFS et d'integration Cloud
Alors pour avoir bosser sur un projet d'info militaire ils ont essayés d'utiliser OpenLDAP et différentes solutions libre alors c'est gratuit, ça plante très souvent (OpenLDAP surtout est une vaste blague) bref il n'y a rien de fiable. Conclusion, retour sous Windows avec AD et tout le toutim, simple et fiable et quelques millions économisé au passage rien qu'en récupération de temps de maintenance à la con.
Avatar de marsupial marsupial - Membre émérite https://www.developpez.com
le 21/08/2016 à 14:28
Bercy, 100% MS. Personne pour se rendre compte que la Chine à pompé très discrètement toutes les informations financières et comptables de 100% des entreprises opérant en France. Mais il s'agit certainement de la faute de linux.
Et non, ils ne sont pas en Cloud.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 21/08/2016 à 14:50
Car tu pense vraiment que si ils avaient eu Linux ca ne serait pas arrive ?? Mdrrrr arrete de rever....
Avatar de RyzenOC RyzenOC - Inactif https://www.developpez.com
le 21/08/2016 à 15:27
Pour maximiser la sécurité il faut surtout pas utiliser de programme non open source (mais peuvent ne pas être libre sa c'est autre chose), mais derrière faut aussi financer toutes les infrastructures qui vont avec ainsi que de grosses équipes compétente afin d'inspecter le code, déployer les programmes et assurer la sécurité.

Et aujourd'hui faut aussi développer ces propres processeurs et routeur. Un partenariat avec AMD qui donne au gouv le micro code et l'ouverture d'une foundry sur le territoire national.
Pour les routeurs, il existe déjà des firmware libre et open source, pareil pour les bios de CM, suffit de se servire et la aussi d'effectuer une inspection minutieuse.

Mais c'est pas la france seul qui arrivera à concurrencer les USA ou la Chine, faut que se soit une initiative de l'UE comme on la fait avec le succès Airbus.
Je pense qu'il faudrait faire pareil avec Ariane Space si on veut pas se faire bouffer par les russes, chinnois et spaceX, il s'agit de projets colossaux avec des budgets astronomique. Quand on voit la futur Ariane 6 on voit la faible ambition de la France, pendant ce temps spaceX fait atterrir ces navettes sur des plateforme au milieu de l'océan...

Il fut un temps ou Alstom et la SNCF avait conçue le meilleur train du monde (tgv), le plus fiable et le plus rapide, nos "amis" coréen on tous volé.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 21/08/2016 à 15:42
pas utiliser de programme non open source
Ceci est un details de la chaine. Si on a les moyen de faire des BON code review c'est une etape... Mais laisser la communauté le faire est extrêmement dangereux. Et le faire sois même est un coût non négligeable.

De plus il faut que l'OpenSource soit fiable... Prennont déjà le simple exemple de l'AD... Windows Active Directory est le seul AD concurrentiel...

mais derrière faut aussi financer toutes les infrastructures qui vont avec ainsi que de grosses équipes compétente afin d'inspecter le code, déployer les programmes et assurer la sécurité.
C'est a mon avis ce point le plus important et le plus sensible. L'OS est en fin de chaîne. Il ne doit pas être exposé ou accessible. peut import le type l'OS.

Et aujourd'hui faut aussi développer ces propres processeurs et routeur.
Tout a fait d'accord. Seulement le contexte social et la mentalité européenne est un freins trop important pour mettre cela en place. Une décision qui ne plait pas a un syndicat et le pays entier est bloquer. Comment évoluer et concurrencer les USA comme ca ???

faut que se soit une initiative de l'UE
Vu comme les populistes tapent sur l’Europe et que le peuple gobe tous ca c'est mal partis... Pourtant c'est vrai que c'est le seul organisme capable de mettre cela au point... Dommage que le 'peuple' ne comprend pas cela et pense uniquement a ses RTT et a consommer toujours plus....

Mais c'est pas la france seul qui arrivera à concurrencer les USA ou la Chine
Ca c'est clair.... vu le repli sur soi présent actuellement en France le peuple est plus occupé a s'acharner sur ceux qui ont la peaux un peu plus foncer...
Avatar de RyzenOC RyzenOC - Inactif https://www.developpez.com
le 21/08/2016 à 16:12
C'est a mon avis ce point le plus important et le plus sensible. L'OS est en fin de chaîne. Il ne doit pas être exposé ou accessible. peut import le type l'OS.
Je parlais pas que de l'os, mais de tous le parc applicatif.
Une entreprise peut très bien vendre des produits open-source, Red-hat (que j'utilise) pour ne citer qu'eux.

Ca c'est clair.... vu le repli sur soi présent actuellement en France le peuple est plus occupé a s'acharner sur ceux qui ont la peaux un peu plus foncer...
J'avais plus en tète l'aspect budgétaire , la France ne peut pas débloquer autant de pognon que ces pays. La france ne peut pas concevoir et maintenir un "Sunway TaihuLight", sa serait pas rationnel.

Pour les cpu, je parlais d'un partenariat avec un contrcuteur, car une architecture processeur (et même un noyau d'os) sa se fait pas en 1 jours.
Pour les cpu on peut aller voir chez ARM même si je trouve que c'est pas encore viable pour des serveurs avec des calcules lourds et monocœur. L'avantage c'est qu'on as juste à acheter un license et apres le gouvernement peut fabriquer le cpu qu'il souhaite, sans dépenser des milliards en R&D dans la conception d'une architecture CPU.
Personnellement sa me dérangerais pas que l'armée Française utilise Windows, mais faudrait au préalable que MS passe le code source au gouvernement et que se soit le gouvernement qui fasse la compilation et le déploiement, avec l'autorisation de modifier des bouts de code. En l’occurrence pour Windows10 y'a en pas mal de modif à faire

Je ne pense pas que le noyaux Linux ai de backdoor de la NSA, le noyaux Linux contrairement à ce que l'on croit est un projet très fermé ou dieu torvald choisit qui aura le privilège de le servir
Mais tous ce qui gravite autour du noyaux par contre oui je pense qu'il doit y'en avoir des backdoor
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 21/08/2016 à 16:45
la France ne peut pas débloquer autant de pognon que ces pays.
La France pas mais l'Europe bien... Mais elle se ferait directement taper dessus par les populistes qui montraient la tete du peuple qui goberait tous....

mais faudrait au préalable que MS passe le code source au gouvernement
Les gouvernements on accès au code source...

https://www.microsoft.com/en-us/shar...y-program.aspx

Mais ils ne peuvent pas recompiler eux même ni même faire de modifications. Si ils le faisait il perdraient de toute façon les correctifs et devraient les développer eux même. Ca équivaut a devoir maintenir Windows eux même....

Mais tous ce qui gravite autour du noyaux par contre oui je pense qu'il doit y'en avoir des backdoor
Et comme le noyaux seul ne sert pas a grand choses....

Encore un foi tous ça c'est beaux mais dans la réalité c'est impossible a mettre en place actuellement.... Windows est la seul possibilité viable.
Avatar de Firwen Firwen - Membre expérimenté https://www.developpez.com
le 21/08/2016 à 19:04
Alors pour avoir bosser sur un projet d'info militaire ils ont essayés d'utiliser OpenLDAP et différentes solutions libre alors c'est gratuit, ça plante très souvent (OpenLDAP surtout est une vaste blague) bref il n'y a rien de fiable. Conclusion, retour sous Windows avec AD et tout le toutim, simple et fiable et quelques millions économisé au passage rien qu'en récupération de temps de maintenance à la con.
Je connais une bonne dizaine d'institution de plusieurs milliers de collaborateurs qui tournent avec OpenLDAP tous les jours sans le moindre problème, ton problème numéro 1 m'a surtout l'air d’être un problème de compétence.

Et il est parfois mieux de se taire quand on ne sait pas de quoi on parle.
Avatar de Firwen Firwen - Membre expérimenté https://www.developpez.com
le 21/08/2016 à 19:09
Et comme le noyaux seul ne sert pas a grand choses....

Encore un foi tous ça c'est beaux mais dans la réalité c'est impossible a mettre en place actuellement.... Windows est la seul possibilité viable.
Si tu connaissais comment marche le système de packaging des distributions Linux, tu saurais que pour la plupart des distributions sont entiérement recompilable depuis les sources, et le tout assez facilement.

Et par conséquent, tu éviterais de dire des anneries.

Je te conseille également de suggérer à des boites comme Google, Facebook ou Amazon que "Windows est la possibilité", juste pour rigoler un petit peu.
Contacter le responsable de la rubrique Accueil