Comment des mots de passe d'ambassades ont été dérobés ?

Fin août, un chercheur en sécurité informatique suédois annonçait avoir en sa possession des centaines de mots de passe et autres identifiants permettant de se connecter à des boîtes mails d'ambassades. Aujourd'hui, il en dit plus sur la faille qu'il a exploité, cette dernière se révélant humaine comme bien souvent.

Récemment, Dan Egerstad avait beaucoup fait parler de lui en récupérant des centaines d'informations sensibles (identifiants et mots de passe) provenant de plusieurs ambassades étrangères et notamment de l'ambassade de l' Inde aux Etats-Unis ou encore celle de Russie en Suède. Très discret sur son mode opératoire, les supputations sont allées bon train s'orientant principalement vers l'erreur humaine et le choix de mots de passe trop faciles à découvrir. Egerstad a fini par révéler la faille incriminée, mettant en cause l'oubli de l'ajout d'une méthode de chiffrement des données pour protéger ces dernières transitant à travers un réseau Tor.

Tor pour The Onion Router, est un réseau mondial décentralisé de routeurs destiné à rendre anonymes les échanges sur Internet utilisant le protocole TCP, en offrant une protection contre l'analyse du trafic ainsi généré. Le trafic est transmis à travers une série de noeuds Tor choisis aléatoirement et chaque serveur ne connaît que celui qui lui a transmis les données et celui auquel il va les retransmettre. Dans l'absolu, tout ordinateur équipé du logiciel adéquat peut offrir une partie de sa bande passante pour participer au réseau Tor et tout au long de son cheminement, le trafic est crypté par défaut, exception faite pour le noeud sortant (voir la FAQ de Tor). De fait, une protection supplémentaire s'impose, à savoir le chiffrement préalable des données envoyées via SSL par exemple. Une précaution omise par les employés desdites ambassades d'où les problèmes qui en ont découlés.

Avec l'aide d'autre complices, Egerstad a réussi à mettre en place cinq noeuds Tor de sortie localisés dans différentes parties du globe et équipés d'un logiciel maison, conçu afin de se consacrer entièrement à l'analyse du trafic POP3 et IMAP. Un filtrage sur des mots tels que gov, government, embassy, war, terrorism, passport, ... , a été opéré jusqu'à ce qu'un mail attire son attention et déclenche son offensive à plus large échelle. A sa plus grande stupeur, Egerstad s'est aperçu que de nombreux utilisateurs communiquaient bien trop de données sensibles et il n'avait alors plus qu'à se servir.

Au bout du compte, toute cette histoire n'aurait jamais eu lieu si une politique de sécurité plus stricte avait clairement été établie. Le réseau Tor dont le but est d'assurer l'anonymat du trafic et non un chiffrement de bout en bout n'est ainsi nullement en cause mais c'est sa mauvaise utilisation qui a porté préjudice aux ambassades.

Source : vulnerabilite.com