S3 Ep143 : Manigances de surveillance des supercookies

Pas de lecteur audio ci-dessous ? Écouter directement sur Soundcloud.

DOUG.  Un correctif Apple d'urgence, des ordinateurs allumés au gaz et POURQUOI JE NE PEUX PAS CONTINUER À UTILISER WINDOWS 7 ?

Tout cela, et plus encore, sur le podcast Naked Security.

[MODÈME MUSICAL]

Bienvenue sur le podcast, tout le monde.

Je suis Doug Aamoth ; c'est Paul Ducklin.

Paul, comment vas-tu ?

---

CANARD.  Eh bien, je suis un peu surpris, Doug.

Vous avez insisté sur la nécessité de continuer à utiliser Windows 7 !

---

DOUG.  Eh bien, comme beaucoup de gens, je suis en colère à ce sujet (blague !), et nous en reparlerons dans un instant.

Mais d'abord, un point très important Cette semaine dans l'histoire de la technologie segment.

Le 11 juillet 1976 a marqué le dernier soupir pour un outil de calcul mathématique autrefois commun.

Je fais bien entendu référence à la règle à calcul.

Le dernier modèle américain produit, un Keuffel & Esser 4081-3, a été présenté à la Smithsonian Institution, marquant la fin d'une ère mathématique…

…une époque rendue obsolète par les ordinateurs et les calculatrices comme la préférée de Paul, la HP-35.

Donc, Paul, je crois que vous avez du sang sur les mains, Monsieur.

---

CANARD.  Je n'ai jamais possédé de HP-35.

Premièrement, j'étais beaucoup trop jeune, et deuxièmement, ils coûtaient 395 $ chacun quand ils sont arrivés.

---

DOUG.  [RIRES] Waouh !

---

CANARD.  Il a donc fallu encore quelques années pour que les prix s'effondrent, lorsque la loi de Moore est entrée en vigueur.

Et puis les gens n'ont plus voulu utiliser les règles à calcul.

Mon père m'a donné son ancien, et j'ai chéri cette chose parce qu'elle était géniale…

… et je vais vous dire ce qu'une règle à calcul vous apprend, parce que lorsque vous l'utilisez pour la multiplication, vous convertissez essentiellement les deux nombres que vous voulez multiplier en nombres entre 1 et 10, puis vous les multipliez ensemble.

Et puis vous devez déterminer où va la virgule décimale.

Si vous avez divisé un nombre par 100 et multiplié l'autre par 1000 pour les obtenir dans la plage, alors dans l'ensemble, vous devez ajouter un zéro, pour multiplier par 10, à la fin.

C'était donc un moyen fantastique de vous apprendre si les réponses que vous obteniez de votre calculatrice électronique, où vous avez tapé de longs nombres comme 7,000,000,000 XNUMX XNUMX XNUMX…

… si vous aviez réellement obtenu l'ordre de grandeur, l'exposant, n'est-ce pas.

Les règles à calcul et leur équivalent imprimé, les tableaux de bord, vous ont beaucoup appris sur la façon de gérer les ordres de grandeur dans votre tête, et de ne pas accepter trop facilement de faux résultats.

---

DOUG.  Je n'en ai jamais utilisé, mais cela semble très excitant d'après ce que vous venez de décrire.

Continuons l'excitation.

La semaine dernière, Firefox libéré Version 115:

Firefox 115 est sorti, dit adieu aux utilisateurs des anciennes versions de Windows et Mac

Ils comprenaient une note que j'aimerais lire, et je cite :

En janvier 2023, Microsoft a mis fin à la prise en charge de Windows 7 et Windows 8.

Par conséquent, il s'agit de la dernière version de Firefox que les utilisateurs de ces systèmes d'exploitation recevront.

Et j'ai l'impression qu'à chaque fois qu'une de ces notes est ajoutée à une version finale, les gens sortent et disent : « Pourquoi ne puis-je pas continuer à utiliser Windows 7 ?

Nous avons même eu un commentateur disant que Windows XP est très bien.

Alors, que diriez-vous à ces personnes, Paul, qui ne veulent pas abandonner les versions du système d'exploitation qu'ils adorent ?

---

CANARD.  La meilleure façon pour moi de le dire, Doug, est de relire ce que je considère comme les commentateurs les mieux informés de notre article ont dit.

Alex Fair écrit :

Il ne s'agit pas seulement de ce que *vous* voulez, mais de la façon dont vous pourriez être utilisé et exploité, et à son tour nuire aux autres.

Et Paul Roux disait plutôt satiriquement :

Pourquoi les gens utilisent-ils encore Windows 7 ou XP d'ailleurs ?

Si la raison en est que les nouveaux systèmes d'exploitation sont mauvais, pourquoi ne pas utiliser Windows 2000 ?

Heck, NT 4 était tellement génial qu'il a reçu SIX Service Packs !

---

DOUG.  [RIRES] 2000 * était * génial, cependant.

---

CANARD.  Il ne s'agit pas que de vous.

Il s'agit du fait que votre système comporte des bogues, que les escrocs savent déjà exploiter, qui ne seront jamais corrigés.

Donc la réponse est que parfois tu dois simplement lâcher prise, Doug.

---

DOUG.  « Il vaut mieux avoir aimé et perdu que de n'avoir jamais aimé du tout », comme on dit.

Restons sur le sujet de Microsoft.

Patch Tuesday, Paul, donne abondamment.

Microsoft corrige quatre zero-days et prend enfin des mesures contre les pilotes du noyau des logiciels criminels

---

CANARD.  Oui, le grand nombre habituel de bogues corrigés.

La grande nouvelle à ce sujet, les choses dont vous devez vous souvenir (et il y a deux articles que vous pouvez go et les consulter sur news.sophos.com si vous voulez connaître les détails sanglants)….

L'un des problèmes est que quatre de ces bogues sont dans la nature, des failles zero-day déjà exploitées.

Deux d'entre eux sont des contournements de sécurité, et aussi triviaux que cela puisse paraître, ils concernent apparemment le fait de cliquer sur des URL ou d'ouvrir des éléments dans des e-mails où vous recevriez normalement un avertissement disant : "Êtes-vous vraiment sûr de vouloir faire cela ?"

Ce qui pourrait autrement empêcher un certain nombre de personnes de faire une erreur indésirable.

Et il y a deux trous d'élévation de privilège (EoP) corrigés.

Et bien que l'élévation de privilège soit généralement considérée comme inférieure à l'exécution de code à distance, où les escrocs utilisent le bogue pour s'introduire en premier lieu, le problème avec EoP a à voir avec les escrocs qui « flânent déjà avec intention » dans votre réseau .

C'est comme s'ils étaient capables de passer du statut d'invité dans le hall d'un hôtel à celui de cambrioleur super secret et silencieux qui, soudainement et comme par magie, avait accès à toutes les chambres de l'hôtel.

Donc, ceux-ci valent vraiment la peine d'être surveillés.

Et il y a un avis de sécurité spécial de Microsoft…

… eh bien, il y en a plusieurs; celui sur lequel je veux attirer votre attention est ADV23001, qui est essentiellement Microsoft disant: «Hé, rappelez-vous quand les chercheurs de Sophos nous ont signalé qu'ils avaient trouvé tout un tas de rootkittery avec des pilotes de noyau signés que même Windows contemporain ne ferait que charger parce qu'ils ont été approuvés pour une utilisation ? »

Je pense qu'à la fin, il y avait bien plus de 100 pilotes signés.

La bonne nouvelle de cet avis est que tous ces mois plus tard, Microsoft a finalement déclaré : "OK, nous allons empêcher le chargement de ces pilotes et commencer à les bloquer automatiquement."

[IRONIQUE] Ce qui, je suppose, est assez important, alors qu'au moins certains de ces pilotes ont été signés par Microsoft lui-même, dans le cadre de leur programme de qualité matérielle. [DES RIRES]

Si vous voulez trouver l'histoire derrière l'histoire, comme je l'ai dit, rendez-vous simplement sur news.sophos.com et recherchez "conducteurs" .

Microsoft révoque les pilotes malveillants dans Patch Tuesday Culling

---

DOUG.  Excellent.

Très bien, cette prochaine histoire… Je suis intrigué par ce titre pour tant de raisons : Rowhammer revient pour éclairer votre ordinateur.

Sécurité sérieuse : Rowhammer revient pour éclairer votre ordinateur

Paul, parlez-moi de…

[SUR L'AIR DU "MARTEAU DE PETER GABRIEL"] Parlez-moi de…

---

TOUS LES DEUX.  [CHANT] Rowhammer !

---

DOUG.  [RIRES] Cloué !

---

CANARD.  Allez, maintenant il faut faire le riff.

---

DOUG.  [SYNTHÈSE D'UN SYNTHÉTISEUR] Doodly-doo da doo, doo do doo.

---

CANARD.  [IMPRESSIONNANT] Très bien, Doug !

---

DOUG.  Thank you.

---

CANARD.  Ceux qui ne s'en souviennent pas du passé : "Rowhammer" est le nom du jargon qui nous rappelle que les condensateurs, où les bits de mémoire (uns et zéros) sont stockés dans la DRAM moderne, ou les puces de mémoire dynamique à accès aléatoire, sont si proches ensemble…

Lorsque vous écrivez sur l'un d'eux (vous devez en fait lire et écrire les condensateurs en rangées à la fois, donc « marteau à rames »), lorsque vous faites cela, parce que vous avez lu la rangée, vous avez déchargé les condensateurs.

Même si tout ce que vous avez fait est de regarder la mémoire, vous devez réécrire l'ancien contenu, sinon il sera perdu à jamais.

Lorsque vous faites cela, parce que ces condensateurs sont si petits et si proches les uns des autres, il y a une petite chance que les condensateurs d'une ou des deux rangées voisines inversent leur valeur.

Maintenant, il s'appelle DRAM parce qu'il ne conserve pas sa charge indéfiniment, comme la RAM statique ou la mémoire flash (avec la mémoire flash, vous pouvez même éteindre l'appareil et il se souviendra de ce qu'il y avait).

Mais avec la DRAM, après environ un dixième de seconde, en gros, les charges de tous ces petits condensateurs se seront dissipées.

Ils ont donc besoin d'être réécrits tout le temps.

Et si vous réécrivez très rapidement, vous pouvez réellement faire basculer des bits dans la mémoire à proximité.

Historiquement, la raison pour laquelle cela a été un problème est que si vous pouvez jouer avec l'alignement de la mémoire, même si vous ne pouvez pas prédire quels bits vont basculer, vous * pourriez * être en mesure de jouer avec des choses comme les index de mémoire, les tables de pages, ou des données à l'intérieur du noyau.

Même si tout ce que vous faites est de lire à partir de la mémoire, car vous avez un accès non privilégié à cette mémoire en dehors du noyau.

Et c'est ce sur quoi les attaques au marteau à rames ont eu tendance à se concentrer à ce jour.

Maintenant, ce que ces chercheurs de l'Université de Californie à Davis ont fait, c'est qu'ils se sont dit: "Eh bien, je me demande si les modèles de retournement de bits, aussi pseudo-aléatoires soient-ils, sont cohérents pour différents fournisseurs de puces?"

Ce qui ressemble en quelque sorte à un "supercookie", n'est-ce pas ?

Quelque chose qui identifie votre ordinateur la prochaine fois.

Et en effet, les chercheurs sont allés encore plus loin et ont découvert que des puces individuelles… ou des modules de mémoire (ils contiennent généralement plusieurs puces DRAM), des DIMM, des modules de mémoire double en ligne que vous pouvez clipser dans les fentes de votre ordinateur de bureau, par exemple, et dans certains ordinateurs portables.

Ils ont découvert qu'en fait, les modèles de retournement de bits pouvaient être convertis en une sorte de balayage de l'iris, ou quelque chose comme ça, afin qu'ils puissent reconnaître les DIMM plus tard en refaisant l'attaque de rowhammering.

En d'autres termes, vous pouvez effacer les cookies de votre navigateur, vous pouvez modifier la liste des applications que vous avez installées, vous pouvez modifier votre nom d'utilisateur, vous pouvez réinstaller un tout nouveau système d'exploitation, mais les puces de mémoire, en théorie, vous donneront loin.

Et dans ce cas, l'idée est : super cookies.

Très intéressant, et vaut bien une lecture.

---

DOUG.  C'est cool!

Autre chose à propos de l'écriture de nouvelles, Paul : vous êtes un bon rédacteur de nouvelles, et l'idée est d'accrocher le lecteur tout de suite.

Ainsi, dans la première phrase de ce prochain article, vous dites : "Même si vous n'avez pas entendu parler du vénérable projet Ghostscript, vous pouvez très bien l'avoir utilisé sans le savoir."

Je suis intrigué, car le titre est : Un bogue Ghostscript pourrait permettre à des documents malveillants d'exécuter des commandes système.

Un bogue Ghostscript pourrait permettre à des documents malveillants d'exécuter des commandes système

En savoir plus

---

CANARD.  Eh bien, Ghostscript est une implémentation gratuite et open source des langages PostScript et PDF d'Adobe.

(Si vous n'avez pas entendu parler de PostScript, eh bien, PDF est en quelque sorte "PostScript Next Generation".)

C'est une façon de décrire comment créer une page imprimée, ou une page sur un écran d'ordinateur, sans dire à l'appareil quels pixels activer.

Alors vous dites : « Dessinez un carré ici ; dessinez un triangle ici; utilisez cette belle police.

C'est un langage de programmation à part entière qui vous donne un contrôle indépendant de l'appareil sur des choses comme les imprimantes et les écrans.

Et Ghostscript est, comme je l'ai dit, un outil gratuit et open source pour faire exactement cela.

Et il existe de nombreux autres produits open source qui utilisent exactement cet outil pour importer des éléments tels que des fichiers EPS (Encapsulated PostScript), tels que ceux que vous pourriez obtenir auprès d'une société de conception.

Vous pourriez donc avoir Ghostscript sans vous en rendre compte - c'est le problème clé.

Et c'était un bug petit mais vraiment ennuyeux.

Il s'avère qu'un document malveillant peut dire des choses comme "Je veux créer une sortie et je veux la mettre dans un nom de fichier XYZ".

Mais si vous mettez, au début du nom du fichier, %pipe%, et *puis* le nom du fichier…

…ce nom de fichier devient le nom d'une commande à exécuter qui traitera la sortie de Ghostscript dans ce qu'on appelle un "pipeline".

Cela peut sembler une longue histoire pour un seul bogue, mais la partie importante de cette histoire est qu'après avoir résolu ce problème : « Oh, non ! Nous devons faire attention si le nom du fichier commence par les caractères %pipe%, car cela signifie en fait qu'il s'agit d'une commande, pas d'un nom de fichier.

Cela pourrait être dangereux, car cela pourrait entraîner l'exécution de code à distance.

Ils ont donc corrigé ce bogue, puis quelqu'un s'est rendu compte : "Vous savez quoi, les bogues vont souvent par paires ou par groupes."

Soit des erreurs de codage similaires ailleurs dans le même morceau de code, soit plusieurs façons de déclencher le bogue d'origine.

Et c'est alors que quelqu'un de l'équipe Ghostscript Script s'est rendu compte : "Vous savez quoi, nous les laissons également taper | [barre verticale, c'est-à-dire le caractère «tuyau»] nom de la commande d'espace également, nous devons donc également vérifier cela.

Il y a donc eu un patch, suivi d'un patch-to-the-patch.

Et ce n'est pas nécessairement un signe de méchanceté de la part de l'équipe de programmation.

C'est en fait un signe qu'ils ne se sont pas contentés de faire le minimum de travail, de le signer et de vous laisser souffrir avec l'autre bogue et d'attendre qu'il soit trouvé dans la nature.

---

DOUG.  Et de peur que vous pensiez que nous avons fini de parler de bugs, nous avons un doozie pour vous !

Un patch Apple d'urgence émergé, et alors non émergé, puis Apple l'a en quelque sorte commenté, ce qui signifie que le haut est en bas et la gauche est à droite, Paul.

Urgent! Apple corrige un trou critique du jour zéro dans les iPhones, iPads et Mac

---

CANARD.  Oui, c'est un peu une comédie d'erreurs.

Je suis presque, mais pas tout à fait, désolé pour Apple sur celui-ci…

… mais à cause de leur insistance à en dire le moins possible (quand ils ne disent rien du tout), on ne sait toujours pas à qui revient la faute.

Mais l'histoire se déroule ainsi : « Oh non ! Il y a un 0-day dans Safari, dans WebKit (le moteur de navigateur utilisé dans chaque navigateur sur votre iPhone et dans Safari sur votre Mac), et les escrocs/éditeurs de logiciels espions/quelqu'un l'utilisent apparemment pour un grand mal.

En d'autres termes, "look-and-be-pwned", ou "drive-by install", ou "zero-click infection", ou tout ce que vous voulez l'appeler.

Donc Apple, comme vous le savez, a maintenant ce système Rapid Security Response (au moins pour les derniers iOS, iPadOS et macOS) où ils n'ont pas à créer une mise à niveau complète du système, avec un tout nouveau numéro de version que vous ne pouvez jamais rétrograder à partir de, chaque fois qu'il y a un jour 0.

Ainsi, les réponses rapides de sécurité.

Ce sont les choses qui, si elles ne fonctionnent pas, vous pouvez les supprimer par la suite.

L'autre chose est qu'ils sont généralement très petits.

Génial!

Le problème est… il semble que parce que ces mises à jour ne reçoivent pas de nouveau numéro de version, Apple a dû trouver un moyen d'indiquer que vous aviez déjà installé Rapid Security Response.

Donc, ce qu'ils font, c'est que vous prenez votre numéro de version, comme iOS 16.5.1, et ils ajoutent après un espace, puis (a).

Et le mot dans la rue est que certains sites Web (je ne les nommerai pas parce que ce ne sont que des ouï-dire)…

…lorsqu'ils examinaient le User-Agent chaîne dans Safari, qui inclut la (a) juste pour être complet, est allé: "Whoooooa! Qu'est-ce que (a) faire dans un numéro de version ? »

Ainsi, certains utilisateurs signalaient des problèmes, et Apple apparemment tiré la mise à jour.

Apple sort silencieusement sa dernière mise à jour zero-day – et maintenant ?

Et puis, après tout un tas de confusion, et un autre article sur Naked Security, et personne ne savait vraiment ce qui se passait… [RIRES]

… Apple a finalement publié HT21387, un bulletin de sécurité qu'ils ont produit avant d'avoir le correctif prêt, ce qu'ils ne font normalement pas.

Mais c'était presque pire que de ne rien dire, parce qu'ils ont dit : « À cause de ce problème, Rapid Security Response (b) sera bientôt disponible pour résoudre ce problème.

Et c'est tout. [RIRE]

Ils ne disent pas exactement quel est le problème.

Ils ne disent pas si c'est dû à User-Agent chaînes parce que, si c'est le cas, le problème est peut-être plus avec le site Web à l'autre bout qu'avec Apple eux-mêmes?

Mais Apple ne le dit pas.

Nous ne savons donc pas si c'est de leur faute, de la faute du serveur Web ou des deux.

Et ils disent juste "bientôt", Doug.

---

DOUG.  C'est le bon moment pour poser la question de notre lecteur.

Sur cette histoire d'Apple, le lecteur JP demande :

Pourquoi les sites Web ont-ils autant besoin d'inspecter votre navigateur ?

C'est trop snoopy et s'appuie sur les anciennes façons de faire les choses.

Qu'en dites-vous, Paul ?

---

CANARD.  Je me suis posé cette question moi-même, et je suis allé chercher, "Qu'est-ce que tu es censé faire avec User-Agent cordes ? »

Cela semble être un problème permanent pour les sites Web où ils essaient d'être super intelligents.

Alors je suis allé à MDN (ce qui était, je pense, Réseau de développeurs Mozilla, mais c'est maintenant un site communautaire), qui est l'une des meilleures ressources si vous vous demandez : « Qu'en est-il des en-têtes HTTP ? Qu'en est-il du HTML ? Qu'en est-il de JavaScript ? Qu'en est-il du CSS ? Comment tout cela s'emboîte-t-il ?"

Et leur conseil, tout simplement, est : « S'il vous plaît, tout le monde, arrêtez de regarder le User-Agent chaîne. Vous faites juste une tige pour votre propre dos et un tas de complexité pour tout le monde.

Alors pourquoi les sites regardent-ils User-Agent?

[WRY] Je suppose que c'est parce qu'ils le peuvent. [RIRE]

Lorsque vous créez un site Web, demandez-vous : « Pourquoi est-ce que je descends dans ce terrier de lapin ? User-Agent? "

Essayez de penser au-delà de cela, et la vie sera plus simple pour nous tous.

---

DOUG.  D'accord, très philosophique !

Merci, JP, de nous l'avoir envoyé.

Si vous avez une histoire intéressante, un commentaire ou une question que vous aimeriez soumettre, nous serions ravis de le lire sur le podcast.

Vous pouvez envoyer un e-mail à tips@sophos.com, commenter l'un de nos articles ou nous contacter sur les réseaux sociaux : @nakedsecurity.

C'est notre émission d'aujourd'hui; merci beaucoup pour votre écoute.

Pour Paul Ducklin, je suis Doug Aamoth, je vous rappelle : Jusqu'à la prochaine fois…

---

TOUS LES DEUX.  Restez en sécurité!

[MODÈME MUSICAL]