L'USB-C aura bientôt un système de protection cryptographique, Réactions à la publication du 02/01/2019

[Lionel]

Le groupement qui gère la norme USB-C a annoncé que la prochaine version allait inclure un système de protection destiné à la sécuriser.
Le but sera aussi bien de protéger les appareils contre des chargeurs non conformes (des contrefaçons que l'on trouve en masse), qui ne délivreraient pas la tension requise et pourraient endommager les appareils, que d'éviter qu'un produit malveillant déguisé en chargeur ne serve à siphonner des données d'un appareil.

La norme en elle même ne change pas, mais elle pourra inclure dans un futur proche un système d'authentification sécurisé permettant d'identifier le fabricant et ainsi d'assurer un niveau de protection efficace des utilisateurs.

Lien vers le billet original

[Hebus]

Fais nous un cours en détail et gratuit stp...

[iAPX]

Fais nous un cours en détail et gratuit stp...

Je vais essayer d'étayer.

Pour le NIST et la NSA, les courbes elliptiques utilisées sont basées sur des "nombres magiques" créés par la NSA, et dans le monde de la crypto tout le monde doute sur l'innocuité de ceux-ci sans qu'on puisse le vérifier, donc doute de l'innocence de la NSA amenant des nombres "magiques" sans expliquer leur construction. Un très gros problème qui invalide la notion de sécurité coté authentification...
La NIST couche avec la NSA, et ils se font des promesses sur l'oreiller. Le monde suit...
"The NSA is responsible for global monitoring, collection, and processing of information and data for foreign and domestic intelligence and counterintelligence purposes, specializing in a discipline known as signals intelligence"

Attaque MITM possible puisqu'une fois authentifiés deux dispositifs, leur communication n'est pas chiffrée fortement, permettant donc d'injecter ce qu'on veut dans la communication, et d'ailleurs prévu pour fonctionner au travers d'un HUB laissant passer le nouveau protocole d'authentification, ce HUB pourrait alors en profiter pour injecter du contenu dans un sens ou l'autre. Ou un simple "câble" puisque depuis le Thunderbolt ils peuvent être "actifs" et intégrer des processeurs. NSA approved.

Incompatibilité avec les HUB existant, c'est dans la doc, donc impossibilité d'authentifier un chargeur USB-C (au hasard) via un HUB USB-C qui ne supporte pas le nouveau protocole, par exemple.

Invasion de vie privée car permettant de relever les numéros de séries des appareils et donc de savoir quel appareil a été branché sur quel chargeur ou l'inverse, éventuellement a-posteriori si conservé. Une belle nouveauté technologique pour ceux qui voyagent et veulent recharger n'importe où, ou si on recharge chez des amis ou connaissances, n'importe quel lieu, etc. NSA approved

Verrouillage des usages car comme ça n'apporte quasiment aucune sécurité c'est essentiellement fait pour permettre à un constructeur (hum Apple au hasard) d'interdire des fonctionnalités avancée (charge rapide toujours au hasard, mais tout est possible) avec des appareils pourtant compatible avec ses profils d'usages ou de chargement. Apple approved.

Avec toutes ces belles qualités réunies, aucune raison pour que l'USB-C "protégé" n'apparaisse pas sur les futurs iPhone

Ce message a été modifié par iAPX - 3 Jan 2019, 13:14.

[xav_mtx]

Fais nous un cours en détail et gratuit stp...

Je vais essayer d'étayer.

Pour le NIST et la NSA, les courbes elliptiques utilisées sont basées sur des "nombres magiques" créés par la NSA, et dans le monde de la crypto tout le monde doute sur l'innocuité de ceux-ci sans qu'on puisse le vérifier, donc doute de l'innocence de la NSA amenant des nombres "magiques" sans expliquer leur construction. Un très gros problème qui invalide la notion de sécurité coté authentification...
La NIST couche avec la NSA, et ils se font des promesses sur l'oreiller. Le monde suit...
"The NSA is responsible for global monitoring, collection, and processing of information and data for foreign and domestic intelligence and counterintelligence purposes, specializing in a discipline known as signals intelligence"

Je reagis un peu en retard la dessus.
Je sais bien que la NSA passe son temps a espionner tout ce qu'elle peut avec des moyens absolument enorme, et emploie les meilleurs mathematiciens du monde, et qu'on ne peu que moyennement lui faire confiance.
Neanmoins, la meme chose s'est passe pour un algo plus ancien (je ne sais plus si c'etait du cryptage ou du hash, mais l'idee est la meme).
Ils avaient aussi modifie les tables de nombres "magiques", sans jamais dire pourquoi.
Certains speculaient que la NSA avait introduit une faiblesse dans la table, pour pouvoir casser plus facilement le bouzin.
Cet algo a ete "craque" il y a quelques annees, et on a pu se rendre compte que c'etait la table originale qui contenait des faiblesse, et la NSA avait renforce le truc avec la table qu'ils avaient proposes.

Il faut pas oublier que la NSA utilise tres probablement ces algos pour chiffrer ses donnees, et a tout interet a les renforcer.
Dans le meme registre, TOR a ete largement finance par le gouvernement US (surement avec l'accord de la NSA), afin d'aider les gens dans les dictatures a garder un peu d'anonymite. Alors que la NSA a rencontre des problemes face a ce reseau dans ses missions d'espionnage.

Bref, effectivement, faut pas trop faire confiance a la NSA, mais pour le coup, il y a des chances qu'ils soient un peu honnete.

[iAPX]

...
Il faut pas oublier que la NSA utilise tres probablement ces algos pour chiffrer ses donnees, et a tout interet a les renforcer.
Dans le meme registre, TOR a ete largement finance par le gouvernement US (surement avec l'accord de la NSA), afin d'aider les gens dans les dictatures a garder un peu d'anonymite. Alors que la NSA a rencontre des problemes face a ce reseau dans ses missions d'espionnage.

Bref, effectivement, faut pas trop faire confiance a la NSA, mais pour le coup, il y a des chances qu'ils soient un peu honnete.

La NSA est totalement honnête: sa mission est d'espionner électroniquement et informatiquement. point barre

Quand au réseau TOR il a été créé pour la marine Américaine et après déployé dans le grand-public, puisqu'ayant des faiblesses permettant de retracer les échanges pour la NSA.
Un autre bel exemple de confiance aveugle dans la NSA, tout comme certaines implémentations de Signal (un très très bon produit quand correctement implémenté) notamment dans Telegram avec les réglages par défaut NSA-friendly.

Ça va être très très dur de trouver des exemples où la NSA a augmenté la sécurité, alors qu'elle dépensé autour de 3 Milliards de dollars à ce jours pour l'affaiblir directement (failles de sécurités, backdoors, etc) et que la plupart de ces algorithmes (cypher) sont petit à petit trouvés comme ayant des failles permettant de les casser, le sha (aka "sha-0") puis sha-1 en tête sans même parler des générateurs de nombres aléatoires tout sauf aléatoires...

Soit ce sont des imbéciles et des amateurs, soit ils ont des génies permettant de créer des cypher avec des failles leur permettant de décrypter les échanges (le second est mon avis, j'ai un immense respect pour leur intelligence). Prétendre qu'ils ne le font pas exprès c'est vraiment insultant pour eux et la NSA

Ce message a été modifié par iAPX - 6 Jan 2019, 18:30.

[xav_mtx]

Ça va être très très dur de trouver des exemples où la NSA a augmenté la sécurité, alors qu'elle dépensé autour de 3 Milliards de dollars à ce jours pour l'affaiblir directement (failles de sécurités, backdoors, etc) et que la plupart de ces algorithmes (cypher) sont petit à petit trouvés comme ayant des failles permettant de les casser, le sha (aka "sha-0") puis sha-1 en tête sans même parler des générateurs de nombres aléatoires tout sauf aléatoires...

Soit ce sont des imbéciles et des amateurs, soit ils ont des génies permettant de créer des cypher avec des failles leur permettant de décrypter les échanges (le second est mon avis, j'ai un immense respect pour leur intelligence). Prétendre qu'ils ne le font pas exprès c'est vraiment insultant pour eux et la NSA

J'ai retrouve l'algo que la NSA a aide a renforcer. C'est le DES:
NSA's involvement in the design

On a mis 20 ans a comprendre ce qu'ils avaient fait (ils sont tres forts), mais leur modifs, notament les S-box, on effectivement renforce l'algo.

Au passage, ils utilisent eux meme AES, ils n'auraient eu absolument aucun interet a l'affaiblir, ils savent tres bien qu'ils ne sont pas les seuls a chercher a craquer les algos de cryptage, ils ont tout interet a les rendre le plus solide possible.
Oui la NSA essait de trouver des algos de cryptage les plus robustes possible. Meme si ils sont coupables averes des pires agissements des US depuis des decennies, on peu au moins leur laisser ca.


A mon avis, ils se foutent d'essayer de peter les algos de cryptages. Leur strategie, est probablement, plutot de trouver des moyens detournes pour acceder aux donnees, c'est surement plus simple pour eux vu leurs moyens.

Creer un algo de cryptage, et comprendre les consequences sur sa robustesse, que peuvent avoir une modification de son implementation, est a la portee de tres peu de personnes dans le monde. Il est extrement simple de se planter quand on l'implemente ou qu'on essai d'en creer un.

Ce message a été modifié par xav_mtx - 9 Jan 2019, 09:59.