Un logiciel qui met le Mac à nu !, Réactions à la news du 30-04-2007

[Lionel]

Source : Macquebec

Subrosasoft commercialise un logiciel qui risque de faire froid dans le dos à beaucoup de personnes.
MacLockPick, fourni sur une clé USB, permet à l'insertion de cette dernière de récupérer tous les mots de passe présents sur une machine, que ce soient ceux qui verrouillent un disque Filevault que tous les mots de passe utilisateur des applications, des comptes mail, des comptes utilisateurs...
Il va encore plus loin et fouille les historiques des navigateurs, de Quicktime... pour tout savoir sur l'utilisateur.
Ce logiciel qui coûte 499$ ne sera vendu qu'aux forces de l'ordre et autres personnes habilitées à des investigations.
Mais l'enfer étant pavé de bonnes intentions, il suffira qu'une seule des personnes l'ayant à sa disposition légalement ne joue à le balancer sur le réseau pour qu'il échappe à tout contrôle et ne tombe entre des mains malveillantes.
Souhaitons qu'Apple réagisse fermement à ce qui n'est pour le commun des mortels qu'une faille de sécurité majeure de son système.

[dulrich]

On entend tout et n'importe que sur ce post.

Il n'y a pas de trou de sécurité utilisé ici pour cette manipulation, puisqu'il faut ^tre loggé (donc le dossier user-filevault décrypté) et le keychain ouvert.
Sur un ordinateur session fermée et protégée par filevault il y a aucune chance de récupérer quoi que ce soit (puisque le keychain user et alors crypté).

[reversi]

On entend tout et n'importe que sur ce post.

Il n'y a pas de trou de sécurité utilisé ici pour cette manipulation, puisqu'il faut ^tre loggé (donc le dossier user-filevault décrypté) et le keychain ouvert.
Sur un ordinateur session fermée et protégée par filevault il y a aucune chance de récupérer quoi que ce soit (puisque le keychain user et alors crypté).

Mouais, douce illusion...

Comme Filevault, c'est une bête image disque, on peut l'attaquer à coup de dictionnaire. Ensuite, il faut bien se dire que si Filevault n'était pas déchiffrable par les agences gouvernementales (NSA par exemple), il ne serait tout simplement pas disponible en vente au public.

Dans le passé, il y a des softs qui étaient vendus avec une certaine puissance de chiffrage dans certains pays et une autre dans d'autres.

Donc :

- pratiquement aucune chance pour un utilisateur de récupérer des informations avec un accès physique.

- peu de chance pour un utilisateur averti de récupérer des informations.

- 100% de chance pour une agence gouvernementale de récupérer des informations.

J'ai trouvé un autre coupable :
les réglages par défaut du Keychain
...
s'est affligent, les deux cases du bas sont cochées par défaut

Encore heureux que ces cases soient cochées par défaut. Sinon, ca retirerait tout l'intérêt de la Keychain du point de vue utilisation.

On se retrouverait dans le cas suivant :

Tu te loggues.
Tu lances Mail, Mail essaye de rappatrier tes courriers mais va te demander ton mot de passe keychain.

En gros, l'utilisateur devrait rentrer 2 fois un mot de passe pour récupérer son courrier...

Tu es en connexion automatique sous AirPort, allez encore une demande de mot de passe.

Il y a une limite floue entre la sécurité et la facilité d'utilisation.

Pour rappel par défaut, Mac OS X est en auto login... C'est quand même un peu plus génant.

[dulrich]

On entend tout et n'importe que sur ce post.

Il n'y a pas de trou de sécurité utilisé ici pour cette manipulation, puisqu'il faut ^tre loggé (donc le dossier user-filevault décrypté) et le keychain ouvert.
Sur un ordinateur session fermée et protégée par filevault il y a aucune chance de récupérer quoi que ce soit (puisque le keychain user et alors crypté).

Mouais, douce illusion...

Comme Filevault, c'est une bête image disque, on peut l'attaquer à coup de dictionnaire. Ensuite, il faut bien se dire que si Filevault n'était pas déchiffrable par les agences gouvernementales (NSA par exemple), il ne serait tout simplement pas disponible en vente au public.

Dans le passé, il y a des softs qui étaient vendus avec une certaine puissance de chiffrage dans certains pays et une autre dans d'autres.

Donc :

- pratiquement aucune chance pour un utilisateur de récupérer des informations avec un accès physique.

- peu de chance pour un utilisateur averti de récupérer des informations.

- 100% de chance pour une agence gouvernementale de récupérer des informations.

Une agence gouvernementale.... rien que ça . Aucune chance pour qu'une agence passe chez moi ! Et si c'était le cas je leur donnerais les accès qu'ils demandent ...
On parle ici du commun des mortels, bien entendu que moyennant de très très grosses ressources tu peux venir à bout de mot de passe au bout de plusieurs années/siècles/millénaires.
Le commun des mortels ne peut pas récupérer les mots de passe et data via un dongle de quelqu'un protégé par Filevault et session fermée. Si trou il y a il est créé par les besoins/envies de l'utilisateur de ne pas vouloir entrer 125x son mot de passe.

Je le répète, il n'y a pas de trou de sécurité, juste des options confortables pour l'utilisateur qui sont mises par défaut. Si vous voulez paranoïer sur la sécurité, libre à vous d'aller activer le nécessaire dans le Trousseau ou de simplement pas l'utiliser. Maintenant il est plus simple de mettre votre ordinateur sous clé et de l'éteindre (avec Filevault activé) quand vous n'êtes pas là. Mais faite gaffe, vous pourriez être enlevé par des martiens et être torturé jusqu'à ce que vous ayez donné vos de mot passe.

Dans un autre message, quelqu'un mentionne l'existence d'une "magic key" pour AES, je serais également curieux de connaître la source de cette information.

La source? quelques paranos du net...

[titou2c]

On entend tout et n'importe que sur ce post.

Il n'y a pas de trou de sécurité utilisé ici pour cette manipulation, puisqu'il faut ^tre loggé (donc le dossier user-filevault décrypté) et le keychain ouvert.
Sur un ordinateur session fermée et protégée par filevault il y a aucune chance de récupérer quoi que ce soit (puisque le keychain user et alors crypté).

Mouais, douce illusion...

Comme Filevault, c'est une bête image disque, on peut l'attaquer à coup de dictionnaire. Ensuite, il faut bien se dire que si Filevault n'était pas déchiffrable par les agences gouvernementales (NSA par exemple), il ne serait tout simplement pas disponible en vente au public.

Dans le passé, il y a des softs qui étaient vendus avec une certaine puissance de chiffrage dans certains pays et une autre dans d'autres.

Donc :

- pratiquement aucune chance pour un utilisateur de récupérer des informations avec un accès physique.

- peu de chance pour un utilisateur averti de récupérer des informations.

- 100% de chance pour une agence gouvernementale de récupérer des informations.

Une agence gouvernementale.... rien que ça . Aucune chance pour qu'une agence passe chez moi ! Et si c'était le cas je leur donnerais les accès qu'ils demandent ...
On parle ici du commun des mortels, bien entendu que moyennant de très très grosses ressources tu peux venir à bout de mot de passe au bout de plusieurs années/siècles/millénaires.
Le commun des mortels ne peut pas récupérer les mots de passe et data via un dongle de quelqu'un protégé par Filevault et session fermée. Si trou il y a il est créé par les besoins/envies de l'utilisateur de ne pas vouloir entrer 125x son mot de passe.

Je le répète, il n'y a pas de trou de sécurité, juste des options confortables pour l'utilisateur qui sont mises par défaut. Si vous voulez paranoïer sur la sécurité, libre à vous d'aller activer le nécessaire dans le Trousseau ou de simplement pas l'utiliser. Maintenant il est plus simple de mettre votre ordinateur sous clé et de l'éteindre (avec Filevault activé) quand vous n'êtes pas là. Mais faite gaffe, vous pourriez être enlevé par des martiens et être torturé jusqu'à ce que vous ayez donné vos de mot passe.

Dans un autre message, quelqu'un mentionne l'existence d'une "magic key" pour AES, je serais également curieux de connaître la source de cette information.

La source? quelques paranos du net...

pas du tout, pour commercialiser légalement un logiciel de criptage de données l'éditeur doit fournir une clé ou tout autre moyen permettant de décripter les données, la NSA entre autres l'exige.
il n'y a pas la moindre paranoïa la dedans, car bien sûr je ne pense que le simple utilisateur que je suis puisse être concerné (et pour ce que j'ai à cacher...), mais ça existe.
pour ceux qui sont intéressés voici un livre très bien fait :