Les câbles électriques peuvent être utilisés pour exfiltrer des données d'un ordinateur
Une démonstration menée par des chercheurs israéliens
Le 2018-04-13 13:18:37, par Blondelle Mélina, Chroniqueuse Actualités
Une équipe de chercheurs israéliens de l'université Ben-Gurion du Negev a fourni dans un article une implémentation et une évaluation d'une nouvelle forme d'attaque basée sur la compromission des lignes électriques pour exfiltrer les données d'un ordinateur protégé par un air gap : il s'agit du PowerHammer. Un air gap est une technique, qui consiste à protéger des machines critiques dans un réseau en les déconnectant complètement d’autres réseaux moins sécurisés.
Le code malveillant (PowerHammer) exécuté sur un ordinateur compromis peut contrôler la consommation énergétique du système en régulant intentionnellement l'utilisation du processeur afin de provoquer des pics de consommation électrique. Les données sont modulées, codées au format binaire puis conduites et propagées à travers les lignes électriques. La technique est connue sous le nom de modulation de fréquence (frequency shift keying en anglais) et permet de transmettre les données à quiconque écoute les variations de fréquence sur l’alimentation.
Selon les chercheurs, il existe deux versions de PowerHammer. Line level power-hammering : ici, l'attaquant cible les lignes électriques à domicile qui sont directement attachées à la prise électrique. Et Phase level power-hammering : ici, l'attaquant cible les lignes électriques en phase dans le panneau de service électrique principal. Dans les deux versions, l'attaquant mesure l'émission conduite puis décode les données exfiltrées.
Pour l'expérience, Mordechai, Boris, Dima, et Yuval ont implémenté un code malveillant fonctionnant tel que décrit précédemment. Les résultats montrent que les données binaires peuvent être secrètement exfiltrées à partir d'ordinateurs isolés à travers les lignes électriques. Avec un débit binaire de 1000 bit/s pour Line level power-hammering et 10 bit/s pour Phase level power-hammering.
Pour contrecarrer ce type d'attaque, les chercheurs proposent plusieurs approches. Surveillance de la ligne d'alimentation : surveiller le canal afin de détecter la présence d'une communication secrète. Filtrage des signaux : les filtres des lignes électriques visent à limiter les fuites de conduction et le bruit de rayonnement sur les lignes électriques. Brouillage de signal et la détection basée sur l'hôte : dans cette approche, les systèmes de détection d'intrusion basés sur l'hôte (HIDSs) et les systèmes de prévention des intrusions basés sur l'hôte (HIPS) suivent en permanence les activités des processus en cours afin de détecter les comportements suspects.
Source : PowerHammer
Et vous ?
Le code malveillant (PowerHammer) exécuté sur un ordinateur compromis peut contrôler la consommation énergétique du système en régulant intentionnellement l'utilisation du processeur afin de provoquer des pics de consommation électrique. Les données sont modulées, codées au format binaire puis conduites et propagées à travers les lignes électriques. La technique est connue sous le nom de modulation de fréquence (frequency shift keying en anglais) et permet de transmettre les données à quiconque écoute les variations de fréquence sur l’alimentation.
Selon les chercheurs, il existe deux versions de PowerHammer. Line level power-hammering : ici, l'attaquant cible les lignes électriques à domicile qui sont directement attachées à la prise électrique. Et Phase level power-hammering : ici, l'attaquant cible les lignes électriques en phase dans le panneau de service électrique principal. Dans les deux versions, l'attaquant mesure l'émission conduite puis décode les données exfiltrées.
Pour l'expérience, Mordechai, Boris, Dima, et Yuval ont implémenté un code malveillant fonctionnant tel que décrit précédemment. Les résultats montrent que les données binaires peuvent être secrètement exfiltrées à partir d'ordinateurs isolés à travers les lignes électriques. Avec un débit binaire de 1000 bit/s pour Line level power-hammering et 10 bit/s pour Phase level power-hammering.
Pour contrecarrer ce type d'attaque, les chercheurs proposent plusieurs approches. Surveillance de la ligne d'alimentation : surveiller le canal afin de détecter la présence d'une communication secrète. Filtrage des signaux : les filtres des lignes électriques visent à limiter les fuites de conduction et le bruit de rayonnement sur les lignes électriques. Brouillage de signal et la détection basée sur l'hôte : dans cette approche, les systèmes de détection d'intrusion basés sur l'hôte (HIDSs) et les systèmes de prévention des intrusions basés sur l'hôte (HIPS) suivent en permanence les activités des processus en cours afin de détecter les comportements suspects.
Source : PowerHammer
Et vous ?
-
Matthieu VergneExpert éminentC'est moi ou la solution la plus évidente manque à l'appel ?
Si on vise à isoler la machine, on n'isole pas uniquement le réseau informatique. On isole aussi le réseau électrique.le 14/04/2018 à 23:45 -
MingolitoMembre extrêmement actifVoila la solution pour être tranquille :le 15/04/2018 à 0:40
-
edrobalMembre avertiCe genre de machine est toujours sur alimentation protégée. Donc cette information c'est juste pour faire mousser des gens qui n'ont rien d'autre à foutre.le 23/04/2018 à 11:52
-
UtherExpert éminent séniorÇa ne suffit en effet pas en soi pour briser un air gap, mais c'est quand même bien utile.
Ça veut dire qu'il suffit de réussir a s'infiltrer un seule fois dans les locaux, juste assez longtemps pour installer discrètement un tel dispositif. Les pirates à l'extérieur auront ensuite bien plus de temps pour trouver et extraire les informations.le 13/04/2018 à 17:55 -
transgohanExpert éminentVu que le local va contenir d'autres machines qui vont faire tourner tout un tas de truc, la modulation de consommation sera pour moi beaucoup trop variable pour qu'ils puissent lire quoi que ce soit...
C'est théoriquement possible en labo quand tu as un seul équipement, mais dans un centre protégé on ne met pas qu'une seule machine, donc elles vont polluer les pics de consommation.
Je pense donc que c'est inexploitable.
Mais l'initiative et la réussite de la technique en labo mérite d'être relevée.le 14/04/2018 à 19:17 -
Salut,
j'ai du mal à imaginer un geek isolé dans son coin capable d'exploiter une telle faille.
C'est une surface d'attaque que je trouve journalistique :-)
VXle 14/04/2018 à 20:25 -
J'ai lu le papier publié dans arxiv.org, et je confirme mon opinion que c'est quand même du méga-anecdoctique.
Oui, ok, c'est une sorte de CPU Throttling mais faut pas non plus exagérer...
Mais bon en Israël ils sont très paranos sur la sécu :-)
VXle 15/04/2018 à 1:07 -
UtherExpert éminent séniorEn général c'est pas un geek dans son coin qui a besoin de contourner un air gap. Le but de ce genre de technique, c'est l’espionnage militaire ou industriel.le 16/04/2018 à 10:44
-
Pierre GIRARDExpert éminentÇa marche aussi derrière un onduleur ? Et si oui, le pirate doit-il être dans la salle énergie pour agir ?le 20/04/2018 à 15:09
-
hl037Membre du ClubDisons que ça permet à un lanceur d'alerte ou un espion d'exfiltrer des données sans avoir à faire passer de clef usb ni de transmission radio, à condition qu'il puisse avoir accès au réseau électrique de l'extérieur du bâtimentle 20/04/2018 à 19:41