Si tu avais été tranquillement chasser bogues cryptographiques dans un système radio de police propriétaire depuis 2021, mais vous avez dû attendre le second semestre 2023 pour rendre vos recherches publiques, comment géreriez-vous la révélation ?
Vous feriez probablement ce que les chercheurs du cabinet de conseil néerlandais en cybersécurité Midnight Blue a fait : organisez une tournée mondiale d'apparitions à des conférences aux États-Unis, en Allemagne et au Danemark (Black Hat, Usenix, DEF CON, CCC et ISC) et transformez vos découvertes en un BWAIN.
Le mot BWAIN, si vous ne l'avez jamais vu auparavant, est notre propre acronyme plaisant qui est l'abréviation de Bug avec un nom impressionnant, généralement avec son propre logo, un site Web adapté aux relations publiques et un nom de domaine personnalisé.
(Un célèbre BWAIN, nommé d'après un instrument de musique légendaire, Lyre d'Orphée, avait même un thème musical, bien que joué sur un ukulélé.)
Présentation de TETRA:BURST
Cette recherche est baptisée TÉTRA : RAFALE, avec la lettre "A" stylisée pour ressembler à un mât de transmission radio brisé.
TETRA, si vous n'avez jamais entendu parler avant, est l'abréviation de Radio terrestre à ressources partagées, À l'origine Radio à ressources partagées transeuropéennes, et est largement utilisé (en dehors de l'Amérique du Nord, au moins) par les forces de l'ordre, les services d'urgence et certaines organisations commerciales.
TETRA a déjà participé à Naked Security, lorsqu'un étudiant slovène a reçu un conviction criminelle pour avoir piraté le réseau TETRA dans son propre pays après avoir décidé que ses signalements de vulnérabilité n'avaient pas été suffisamment pris au sérieux :
La radio à ressources partagées nécessite moins de stations de base et a une portée plus longue que les réseaux de téléphonie mobile, ce qui aide dans les régions éloignées, et elle prend en charge les communications point à point et de diffusion, ce qui est souhaitable lors de la coordination des forces de l'ordre ou des efforts de sauvetage.
Le système TETRA, en effet, a été standardisé en 1995, lorsque le monde de la cryptographie était très différent.
À l'époque, les outils cryptographiques, y compris les chiffrements DES et RC4, et l'algorithme de résumé de message MD5, étaient encore largement utilisés, bien qu'ils soient tous maintenant considérés comme dangereusement dangereux.
Le DES a été supplanté au début des années 2000 car il utilise des clés de chiffrement de seulement 56 bits.
Les ordinateurs modernes sont suffisamment rapides et bon marché pour que des cryptocraqueurs déterminés puissent assez facilement essayer tous les 2 possibles.56 différentes clés (ce qu'on appelle un attaque par force brute, pour des raisons évidentes) contre les messages interceptés.
RC4, qui est censé transformer les données d'entrée avec des modèles reconnaissables (même une chaîne de texte du même caractère répétée encore et encore) en chou râpé numérique aléatoire, s'est avéré présenter des imperfections importantes.
Ceux-ci pourraient être utilisés pour supprimer les entrées de texte en clair en effectuant l'analyse statistique de sortie de texte chiffré.
MD5, qui est censé produire un pseudo-aléatoire de 16 octets résumé de message à partir de n'importe quel fichier d'entrée, générant ainsi des empreintes digitales infalsifiables pour les fichiers de toute taille, s'est avéré également défectueux.
Les attaquants peuvent facilement tromper l'algorithme en produisant la même empreinte digitale pour deux fichiers différents, anéantissant sa valeur en tant qu'outil de détection de fraude.
Chiffrement de bout en bout pour les transactions en ligne individuelles, que nous tenons désormais pour acquis sur le Web grâce au protocole HTTP sécurisé (HTTPS, basé sur TLS, abréviation de sécurité de la couche de transport), était à la fois nouveau et inhabituel en 1995.
La protection basée sur les transactions s'appuyait sur le tout nouveau protocole au niveau du réseau connu sous le nom de SSL (couche de sockets sécurisée), désormais considéré comme suffisamment peu sûr pour que vous ayez du mal à le trouver en cours d'utilisation n'importe où en ligne.
Faire la fête comme en 1995
Contrairement à DES, RC4, MD5, SSL et leurs amis, le cryptage de l'ère 1995 de TETRA reste largement utilisé à ce jour, mais n'a pas reçu beaucoup d'attention de la recherche, apparemment pour deux raisons principales.
Tout d'abord, même s'il est utilisé dans le monde entier, ce n'est pas un service quotidien qui apparaît dans toutes nos vies comme le font les téléphones mobiles et le commerce en ligne.
Deuxièmement, les algorithmes de chiffrement sous-jacents sont propriétaires, protégés en tant que secrets commerciaux dans le cadre d'accords de non-divulgation (NDA) stricts, de sorte qu'ils n'ont tout simplement pas fait l'objet d'un examen mathématique public aussi poussé que les algorithmes de chiffrement open source non brevetés.
En revanche, les cryptosystèmes tels que AES (qui a remplacé DES), SHA-256 (qui a remplacé MD5), ChaCha20 (qui a remplacé RC4) et diverses itérations de TLS (qui a remplacé SSL) ont tous été analysés, disséqués, discutés, piratés, attaqué et critiqué en public pendant des années, suivant ce que l'on appelle dans le métier Le principe de Kerckhoff.
Auguste Kerckhoff était un linguiste né aux Pays-Bas qui a fini comme professeur de langue allemande à Paris.
Il a publié une paire d'articles fondateurs dans les années 1880 sous le titre Cryptographie militaire, dans lequel il a proposé qu'aucun système cryptographique ne devrait jamais s'appuyer sur ce que nous appelons maintenant la sécurité par l'obscurité.
En termes simples, si vous devez garder l'algorithme secret, ainsi que la clé de déchiffrement de chaque message, vous avez de gros problèmes.
Vos ennemis finiront par, et inévitablement, mettre la main sur cet algorithme…
… et, contrairement aux clés de déchiffrement, qui peuvent être modifiées à volonté, vous êtes coincé avec l'algorithme qui utilise ces clés.
Utilisez les NDA pour le commerce, pas pour la cryptographie
Les NDA commerciaux sont particulièrement inutiles pour garder des secrets cryptographiques, en particulier pour les produits à succès qui se retrouvent avec de plus en plus de partenaires inscrits sous NDA.
Il y a quatre problèmes évidents ici, à savoir :
- De plus en plus de personnes ont officiellement la possibilité de découvrir des bogues exploitables, qu'ils ne divulgueront jamais s'ils s'en tiennent à l'esprit de leur NDA.
- De plus en plus de fournisseurs ont de toute façon la possibilité de divulguer les algorithmes, si l'un d'entre eux viole sa NDA, que ce soit par accident ou à dessein. Comme Benjamin Franklin, l'un des scientifiques américains les plus connus et les plus connus, est censé l'avoir dit, "Trois personnes peuvent garder un secret, si deux d'entre elles sont mortes.".
- Tôt ou tard, quelqu'un verra l'algorithme légalement sans NDA contraignant. Cette personne est alors libre de le divulguer sans enfreindre la lettre de la NDA, et sans piétiner son esprit s'il lui arrive d'être d'accord avec le principe de Kerckhoff.
- Quelqu'un qui n'est pas sous NDA finira par comprendre l'algorithme par observation. Curieusement, si c'est le bon mot, les rétro-ingénieurs cryptographiques peuvent être à peu près sûrs que leur analyse est correcte en comparant le comportement de leur implémentation présumée à la réalité. Même de petites incohérences sont susceptibles d'entraîner des sorties cryptographiques très différentes, si l'algorithme mélange, hache, déchiquette, diffuse et brouille son entrée de manière suffisamment pseudo-aléatoire.
Les chercheurs néerlandais de cette histoire ont adopté la dernière approche, acquérant légalement un tas d'appareils TETRA conformes et découvrant comment ils fonctionnaient sans utiliser aucune information couverte par NDA.
Apparemment, ils ont découvert cinq vulnérabilités qui se sont retrouvées avec des numéros CVE, remontant à 2022 en raison du temps nécessaire pour assurer la liaison avec les fournisseurs TETRA sur la façon de résoudre les problèmes : CVE-2022-24400 à CVE-2022-24404 compris.
De toute évidence, ils attendent maintenant tous les détails pour un effet de relations publiques maximal, avec leur premier article public prévu pour le 2023/08/09 à la conférence Black Hat 2023 à Las Vegas, USA.
Que faire?
Les informations préalables fournies par les chercheurs suffisent à rappeler d'emblée trois règles cryptographiques incontournables :
- Ne violez pas le principe de Kerckhoff. Utilisez les NDA ou d'autres instruments juridiques si vous souhaitez protéger votre propriété intellectuelle ou essayer de maximiser vos frais de licence. Mais n'utilisez jamais le « secret commercial » dans l'espoir d'améliorer la sécurité cryptographique. Tenez-vous en aux algorithmes de confiance qui ont déjà survécu à un examen public sérieux.
- Ne vous fiez pas à des données que vous ne pouvez pas vérifier. CVE-2022-24401 concerne la façon dont les stations de base et les combinés TETRA s'accordent sur la manière de crypter chaque transmission afin que chaque rafale de données soit cryptée de manière unique. Cela signifie que vous ne pouvez pas trouver les clés pour déchiffrer les anciennes données, même si vous les avez déjà interceptées, ou prédire les clés pour que les données futures les espionnent plus tard en temps réel. TETRA fait apparemment sa configuration de clé sur la base des horodatages transmis par la station de base, de sorte qu'une station de base correctement programmée ne devrait jamais répéter les clés de cryptage précédentes. Mais il n'y a pas de processus d'authentification des données pour empêcher une station de base malveillante d'envoyer de faux horodatages et ainsi d'inciter un combiné ciblé à réutiliser les données de flux de clés d'hier ou à divulguer à l'avance le flux de clés qu'il utilisera demain.
- Ne construisez pas de portes dérobées ou d'autres faiblesses délibérées. CVE-2022-24402 couvre une astuce délibérée de rétrogradation de la sécurité qui peut être déclenchée dans les appareils TETRA à l'aide du code de cryptage de niveau commercial (cela ne s'applique apparemment pas aux appareils achetés officiellement pour les forces de l'ordre ou les premiers intervenants). Cet exploit transforme prétendument le cryptage 80 bits, où les fouineurs doivent essayer 280 différentes clés de déchiffrement lors d'une attaque par force brute, en 32-bits chiffrement. Étant donné que DES a été banni il y a plus de 20 ans pour avoir utilisé un cryptage 56 bits, vous pouvez être sûr que 32 bits de clé sont bien trop petits pour 2023.
Heureusement, il semble que CVE-2022-24401 ait déjà été annulé avec les mises à jour du micrologiciel (en supposant que les utilisateurs les aient appliquées).
Quant au reste des vulnérabilités…
…nous devrons attendre le début de la tournée TETRA:BURST pour plus de détails et d'atténuations.
- Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
- PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
- PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
- PlatonESG. Automobile / VE, Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
- Décalages de bloc. Modernisation de la propriété des compensations environnementales. Accéder ici.
- La source: https://nakedsecurity.sophos.com/2023/07/24/hacking-police-radios-30-year-old-crypto-flaws-in-the-spotlight/
- :possède
- :est
- :ne pas
- :où
- $UP
- 1
- 15%
- 20
- 20 ans
- 2021
- 2022
- 2023
- 25
- 32
- 700
- a
- Absolute
- accident
- acquisition
- avancer
- AES
- Après
- à opposer à
- depuis
- accords
- algorithme
- algorithmes
- Tous
- allégué
- prétendument
- déjà
- Amérique
- an
- selon une analyse de l’Université de Princeton
- et les
- tous
- de n'importe où
- les apparences
- appliqué
- Appliquer
- une approche
- SONT
- domaines
- autour
- AS
- At
- attaquer
- précaution
- Authentification
- auteur
- auto
- et
- RETOUR
- Backdoors
- image de fond
- base
- basé
- BE
- car
- était
- before
- Benjamin
- propriétés de liant
- Noir
- Black Hat
- Blackhat
- frontière
- tous les deux
- Bas et Leggings
- acheté
- Rupture
- diffusion
- bogues
- construit
- Bouquet
- mais
- by
- CAN
- ccc
- Canaux centraux
- Chance
- modifié
- caractère
- pas cher
- code
- Couleur
- Commerce
- commercial
- Communications
- comparant
- ordinateurs
- Congrès
- considéré
- conseil
- contraste
- correct
- pourriez
- Pays
- couverture
- couvert
- Housses
- critiqué
- Crypto
- cryptographique
- Customiser
- cve
- Cybersécurité
- données
- Rencontres
- journée
- parfaite
- affaire
- Décider
- profond
- Danemark
- Conception
- détails
- déterminé
- Compatibles
- DID
- différent
- Digérer
- numérique
- Divulguer
- découvert
- discuté
- Commande
- do
- Ne fait pas
- domaine
- Services
- Dévaloriser
- doublé
- Néerlandais
- chacun
- même
- effet
- efforts
- non plus
- urgence climatique.
- crypté
- chiffrement
- fin
- ennemis
- mise en vigueur
- Les ingénieurs
- assez
- notamment
- Pourtant, la
- faire une éventuelle
- JAMAIS
- de tous les jours
- Exploiter
- équitablement
- loin
- RAPIDE
- en vedette
- Frais
- moins
- Figure
- Déposez votre dernière attestation
- Fichiers
- Trouvez
- résultats
- empreinte digitale
- Prénom
- Fixer
- imparfait
- défauts
- Abonnement
- Pour
- trouvé
- quatre
- franklin
- gratuitement ici
- amis
- De
- plein
- avenir
- générateur
- Allemand
- Allemagne
- obtenez
- donné
- Go
- accordée
- piraté
- piratage
- ait eu
- Half
- arriver
- chapeau
- Vous avez
- he
- la taille
- aide
- ici
- sa
- appuyez en continu
- tenue
- d'espérance
- flotter
- Comment
- How To
- http
- HTTPS
- if
- la mise en oeuvre
- impressionnant
- l'amélioration de
- in
- Y compris
- Compris
- en effet
- individuel
- inévitablement
- d'information
- contribution
- peu sûr
- instrument
- instruments
- intellectuel
- propriété intellectuelle
- développement
- impliqué
- vous aider à faire face aux problèmes qui vous perturbent
- IT
- itérations
- SES
- juste
- XNUMX éléments à
- en gardant
- ACTIVITES
- clés
- Kicks
- connu
- langue
- LAS
- Las Vegas
- Nom
- plus tard
- Droit applicable et juridiction compétente
- application de la loi
- couche
- fuite
- au
- à gauche
- Légal
- légalement
- légendaire
- lettre
- niveaux
- Licence
- comme
- Probable
- Gamme
- Vit
- logo
- Location
- plus long
- Style
- ressembler
- LOOKS
- Entrée
- Marge
- mathématique
- largeur maximale
- maximales
- Mai..
- MD5
- veux dire
- message
- messages
- mélange
- Breeze Mobile
- téléphone mobile
- PLUS
- beaucoup
- musical
- Sécurité nue
- prénom
- Nommé
- à savoir
- Besoin
- Besoins
- réseau et
- réseaux
- n'allons jamais
- Nouveauté
- aucune
- Ordinaire
- Nord
- Amérique du Nord
- célèbre
- maintenant
- numéros
- évident
- of
- de rabais
- Officiellement
- Vieux
- on
- ONE
- en ligne
- open source
- Opportunités
- or
- Institution
- initialement
- Autre
- nos
- ande
- sortie
- au contrôle
- plus de
- propre
- paire
- Papier
- papiers
- Paris
- partenaires,
- motifs
- paul
- Personnes
- effectuer
- personne
- Téléphone
- Platon
- Intelligence des données Platon
- PlatonDonnées
- joué
- Police
- Pops
- position
- possible
- Poteaux
- pr
- prévoir
- assez
- empêcher
- précédent
- principe
- Probablement
- d'ouvrabilité
- processus
- produire
- Produits
- Professeur
- programmé
- correctement
- propriété
- proposé
- propriétaire
- protéger
- protection
- protocole
- à condition de
- public
- publié
- mettre
- tranquillement
- Radio
- aléatoire
- gamme
- réal
- en temps réel
- Les raisons
- reçu
- reconnaissable
- relatif
- compter
- reste
- éloigné
- répéter
- répété
- remplacé
- Rapports
- sauver
- un article
- chercheurs
- REST
- résultat
- révéler
- inverser
- bon
- Saïd
- même
- scientifiques
- examen minutieux
- Deuxièmement
- secret
- sécurisé
- sécurité
- sur le lien
- vu
- envoi
- grave
- dangereux
- service
- Services
- installation
- Shorts
- devrait
- signé
- simplement
- depuis
- Taille
- slovène
- petit
- Fouiner
- So
- solide
- quelques
- Quelqu'un
- esprit
- Spotlight
- SSL
- Commencer
- station
- DÉSINFECTANT
- Encore
- Histoire
- Strict
- Chaîne
- Lutter
- Étudiant
- réussi
- tel
- Les soutiens
- supposé
- sûr
- Survécu
- SVG
- combustion propre
- Prenez
- tâches
- des campagnes marketing ciblées,
- que
- Merci
- qui
- Le
- le monde
- leur
- Les
- thème
- puis
- ainsi
- l'ont
- chose
- this
- ceux
- bien que?
- trois
- Avec
- Ainsi
- fiable
- Titre
- à
- demain
- trop
- a
- outil
- les outils
- top
- Tour
- commerce
- Transactions
- transition
- communication
- déclenché
- difficulté
- confiance
- Essai
- TOUR
- Tourné
- se tourne
- deux
- typiquement
- En fin de compte
- sous
- sous-jacent
- uniquement
- contrairement à
- jusqu'à
- Actualités
- URL
- us
- États-Unis
- utilisé
- d'utiliser
- utilisateurs
- Usages
- en utilisant
- Plus-value
- divers
- VEGAS
- fournisseurs
- vérifier
- très
- vulnérabilités
- vulnérabilité
- attendez
- souhaitez
- était
- Façon..
- we
- web
- Site Web
- WELL
- ont été
- Quoi
- quand
- que
- qui
- WHO
- largement
- répandu
- largeur
- sera
- comprenant
- sans
- Word
- activités principales
- faire des exercices
- travaillé
- world
- pourra
- années
- hier
- Vous n'avez
- Votre
- zéphyrnet