La conférence Black Hat se déroule à Las Vegas cette semaine. Des pirates informatiques, des experts en sécurité et des représentants de grandes entreprises se réunissent pour discuter de tout ce qui a trait à la sécurité de l'information. Si vous suivez l'actualité de la conférence aujourd'hui, vous avez peut-être entendu parler d'une nouvelle faille de sécurité dans Android (et les téléphones Meego compatibles NFC) qui pourrait permettre à une balise NFC (communication en champ proche) malveillante de transmettre du malware directement sur votre téléphone. Cela semble terrifiant, non? Désormais, les pirates informatiques peuvent s'emparer de votre smartphone sans même que vous ne fassiez rien. Mais comme toujours avec ce type de problèmes de sécurité, ce n'est pas aussi simple qu'il y paraît. Et ce «bidouillage» NFC, aussi sexy et techniquement impressionnant qu’il soit, n’a rien de particulièrement effrayant pour les utilisateurs de smartphones habituels.
Lisez la suite pour savoir pourquoi.
Tout d'abord, nous devrions expliquer rapidement ce qu'est le NFC. Il s'agit d'une technologie de communication sans fil à très courte portée, conçue pour envoyer instantanément de petites quantités de données sur de très courtes distances. Sur les smartphones, cela peut être utilisé pour transférer des éléments tels que des URL d'un combiné à un autre ou pour numériser des "tags" NFC, qui peuvent eux-mêmes contenir de petites quantités de données sur lesquelles le téléphone peut ensuite agir. Il peut également être utilisé pour faciliter les paiements, par exemple via Google Wallet. (dans notre Android AZ)
Selon de nombreuses sources, Charlie Miller, chercheur en sécurité, a présenté diverses techniques de piratage du Nexus S (sur Gingerbread), du Galaxy Nexus (sur sandwich à la crème glacée) et du Nokia N9, alimenté par Meego, à Black Hat cette semaine. La plupart des exploits les plus effrayants ont été trouvés sur la N9, mais nous allons nous concentrer sur Android ici, car c'est ce que nous faisons. (Et c'est aussi ce sur quoi beaucoup de titres d'aujourd'hui se concentrent.)
En commençant par le haut de gamme, le Galaxy Nexus Miller a démontré que les téléphones Android compatibles NFC exécutant Ice Cream Sandwich ou version ultérieure utilisent Android Beam, une fonctionnalité que certains (mais pas tous) ont activée par défaut. Beam permet notamment aux utilisateurs de charger des URL depuis un autre téléphone ou une autre balise NFC directement dans le navigateur Web de l'appareil. Cela signifie qu’il est possible, avec une balise NFC illicite, d’envoyer un utilisateur modeste directement à une page Web illicite. Pour que cela fonctionne, cependant, l’étiquette doit se situer dans la plage très courte à laquelle les radios NFC peuvent fonctionner - en gros, presque sans toucher l’arrière de l’appareil. Android Beam ouvre automatiquement les URL marquées sans aucune invite, de par leur conception. C'est une préoccupation de sécurité valable, mais pas un exploit au sens classique du terme, car pour faire tout ce dont vous avez besoin, vous devez trouver une vulnérabilité dans le navigateur Web de votre choix.
Si vous utilisez le navigateur Android intégré à Android 4.0.1, un tel bogue existe et pourrait permettre à une page Web spécialement conçue d'exécuter du code sur l'appareil. Encore une fois, un problème de sécurité tout à fait valable, mais l’utilisation de la technologie NFC comme méthode de livraison pour ce type d’exploitation est loin d’être pratique. Sans compter qu'Android 4.0.1 est uniquement disponible sur le Galaxy Nexus, un téléphone qui a depuis été mis à jour pour Android 4.0.4 ou 4.1.1, selon votre opérateur.
Miller a également montré comment il pouvait exploiter les bogues de la gestion de la mémoire d’Android 2.3 pour faire exécuter un code par un périphérique Gingerbread doté de la prise en charge NFC à l’aide d’un tag malveillant. Cela donne potentiellement à un attaquant la possibilité de contrôler entièrement le périphérique en utilisant uniquement une balise NFC, mais nous devrions signaler quelques facteurs qui rendent ce problème moins sérieux que vous ne le pensez peut-être. Bien sûr, Android 2.3 Gingerbread est toujours la version la plus utilisée d’Android, et de nombreux nouveaux appareils Android sont compatibles NFC, mais il n’ya guère de croisement entre les deux. Le Nexus S a été le premier appareil Android à prendre en charge la technologie NFC, mais a depuis été mis à jour pour Jelly Bean. Les autres appareils compatibles NFC sont livrés à la version 2.3, mais la plupart des téléphones Android grand public dotés de la technologie NFC utilisent au moins la version 4.0.3, ce qui n’est pas vulnérable aux exploits utilisés dans cette démonstration. En fait, nous ne pouvons penser à un seul téléphone Gingerbread avec NFC qui n'a pas encore été mis à jour pour au moins Android 4.0.3.
Il existe donc certainement des vulnérabilités, mais pour le moment, les seules graves sont limitées à un très petit sous-ensemble de la population Android avec NFC et à une version de système d'exploitation très spécifique. De plus, le téléphone doit être allumé, la radio NFC doit être activée et l'utilisateur doit être suffisamment distrait pour ne pas remarquer la tonalité ou la vibration NFC.
En fin de compte, tout exploit impliquant un accès physique au périphérique piraté sera d'une utilité limitée pour les véritables méchants. Prendre le contrôle d'un smartphone via NFC dans le monde réel va devenir dangereux et peu pratique, même après la publication des méthodes présentées sur Black Hat. Si j'ai accès à votre téléphone, allumé, pendant une longue période, avec une intention malveillante, NFC ne sera pas mon premier port d'escale. Les exploits démontrés par Charlie Miller cette semaine sont ingénieux et indéniablement intéressants à lire. Mais il est facile d’exagérer le danger réel qu’ils posent, en particulier lorsque les rapports classiques sur ces piratages ne tiennent pas compte des détails techniques importants.
En bout de ligne - si vous aimez utiliser NFC de temps en temps sur votre téléphone Android, vous pouvez continuer à le faire en toute sécurité.
Plus: Arc Technica
