Actualités

“Si vous essayez d’appeler la fonction RNG HAL alors qu’elle n’a pas de nombres aléatoires […] elle renverra un code d’erreur” : de la sécurité, à nouveau, instable de l’environnement IoT !

Alors que bon nombre de fabricants continue à déployer produits et solutions reposant toute ou en partie sur des objets ou éco-systèmes IoT (Internet of Things), à nouveau, la technologie est mis à mal ; le problème ? une génération de numéros aléatoires qui trouveraient des faiblesses, notamment, dans les codes-erreurs souvent mal ou très peu vérifiés pour apposer un nouveau numéro randomisé ; résultat : sans résolution directe ou sur l’instant, cela provoque une vulnérabilité assez sérieuse au sein du système IoT, ce qui peut permettre une intrusion inconnue.

 

 

Les chercheurs de BishopFox, Dan (AltF4) Petro et Allan Cecil (dwangoAC), sont parvenus à démontrer, lors de la 29ième édition de la DefCon (qui s’est déroulée du 6 au 9 Août 2021), les faiblesses de ce système : de manière générale, le générateur de numéro aléatoire (RNG) peut, au niveau maximal – H-RNG, pour Hardware Random-Number Generator – permettre de se prémunir de toute faille ou intrusion sécuritaire en terme de chiffrement et d’entrée-sortie de flux de données mais, selon le PoC des chercheurs, certaines lignes de codes propres aux appels des terminaux ou dispositifs IoT mettent en évidence un flot, également, considérables de retour-appels de codes-erreurs : “si vous essayez d’appeler la fonction RNG HAL alors qu’elle n’a pas de nombres aléatoires à vous donner, elle échouera et renverra un code d’erreur. Ainsi, si l’appareil essaie d’obtenir trop de nombres aléatoires trop rapidement, les appels commenceront à échouer“, indiquent les chercheurs lors de la conférence retransmise sur le compte Youtube DefCon29.

 

De là, une boîte de Pandore s’ouvre potentiellement avec, faute de vérifications, des numéros remis à zéro (littéralement) ou une mémoire-vive avec des bytes arbitraires. Au total et à l’heure du PoC, 435 000 certificats seraient sous ce problème critique soit environ 1 certificats (sur l’Internet…) sur 172. Il est fortement insisté, en toute logique, que l’erreur ne vient pas ainsi de l’utilisateur mais plutôt du côté des éditeurs-produits qui doivent revoir leur copie sécuritaire à ce sujet, ne serait-ce qu’en instaurant une vérification plus avancée et chronique du code des objets sous la coupe d’un environnement IoT.

 

Il est recommandé une bascule sous CSPRNG (Cryptographically Secure Pseudo-Random Number Generator) qui ira puiser sur des sources (comme des APIs) moins faillible ou ne générant pas autant d’erreurs de randomisation ; principalement du fait que le socle repose sur une entropie – randomisation – forte. Ainsi, pour chaque bit (0-255) la fréquence sera plus étendue avec une randomisation plus répétée et homogène et, surtout, avec la quasi-impossibilité d’avoir un chiffre avec uniquement des zéros… A veiller !

 

 

Sources :




  • 50% J'apprécieVS
    50% Je n'apprécie pas
    Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-1: :+1: :) :( 8-O 8)

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2021 - v1.11.0