Des précisions sur BadUSB, la faille de sécurité du protocole USB |
————— 08 Octobre 2014 à 15h08 —— 20980 vues
Troisième épisode dans l'histoire de la grave faille de sécurité touchant le protocole USB. Lundi, nous vous parlions du rebondissement suite à la mise en ligne du code permettant d'exploiter la faille qui touchait potentiellement la totalité des périphériques USB commercialisés depuis des années. Bernie Thompson, un développeur spécialisé dans le protocole USB (ancien de l'équipe dédiée chez Microsoft et fondateur de Plugable, une entreprise qui vend des périphériques USB) revient sur cette affaire et tente d'arrondir les angles en expliquant pourquoi cette faille n'est pas si grave que cela.
Tout d'abord, il précise que pour être vulnérable, le périphérique doit posséder un firmware et que ce n'est pas le cas de tous, comme ceux qui utilisent un ASIC à la place. Mais ces derniers doivent tout de même occuper une place réduite sur le marché à cause de leur coût élevé. Ensuite, ce firmware doit pouvoir être mis à jour de manière logicielle : comprenez par là que la ROM doit être effaçable pour être réécrite, ce qui semble être le cas de la majorité des produits vendus actuellement. Enfin, le mécanisme de mise à jour du firmware doit être sécurisé. Le développeur précise que c'est le cas de certains périphériques comme ceux utilisant les puces de DisplayLink. Bref, un argumentaire recevable, mais qui a ses limites.
Dans un deuxième temps, le spécialiste de l'USB précise que le virus qui touchera le périphérique USB doit avoir été spécialement développé pour le contrôleur USB embarqué dans l'appareil. Alors bien sûr, les constructeurs de périphériques USB ont le choix du contrôleur, mais l'usage de certains est plus répandu que d'autres et les firmwares des différents microcontrôleurs peuvent se ressembler. Mais il est vrai qu'en l'état, le code rendu public par les deux chercheurs en sécurité ne s'applique que sur les contrôleurs Phison. En revanche, avec les bonnes connaissances et un peu de modifications, la faille est potentiellement exploitable sur l'ensemble des périphériques. Bref, c'est une bonne nouvelle en demi-teinte, mais qui pourra rassurer certains utilisateurs.
