Des Français détailleront demain une faiblesse du réseau Tor

Des attaques à Tor et à travers 133
Le réseau Tor fonde l’intégralité de sa réputation sur l’anonymat complet de ses utilisateurs, qui lui a valu en 2010 une récompense de la FSF. Une infrastructure spécifique permet de se reposer entièrement sur le protocole TCP pour masquer l’identité des participants au réseau. Le but est bien sûr de pouvoir échanger des informations en ayant la certitude qu’aucun type d’espionnage ou de pistage quelconque n’entre en jeu. Mais une faille aurait été trouvée et serait suffisante pour compromettre l’intégralité de ce réseau.

tor 

Une infrastructure et des oignons

Tor est donc un projet signifiant « The Onion Router ». Ce nom très particulier vient de son architecture même, à savoir un maillage totalement décentralisé de routeurs organisés en couches d’oignons. Ces couches sont appelées nœuds, trois d’entre eux étant notamment choisis au hasard pour assurer les communications à chaque connexion de l’utilisateur. Ces communications sont intégralement chiffrées pour garantir le secret des transmissions, et le réseau Tor a les faveurs des utilisateurs voulant échanger sans être inquiétés, surtout dans les pays où la liberté d’expression est malmenée et durant des évènements tels quel le Printemps Arabe.

Pourtant, ils pourraient être justement inquiétés puisque des chercheurs français déclarent avoir réussi à briser les défenses du réseau, tant l’anonymat des conversations que le chiffrement des données, permettant ainsi un accès complet à ces dernières. Le site ITespresso a eu voilà quelques jours la primeur de certaines explications avant que l’équipe de chercheurs, conduite par Éric Filiol, directeur du laboratoire de recherche en cryptologie et virologie de l’ESIEA, ne présente les résultats de ses travaux dès demain à la conférence « Hackers To Hackers » qui se tient à Sao Paulo au Brésil.

Des français pèlent le réseau Tor

Pour l’équipe de l’ESIEA, il s’agissait de tester la résistance du réseau Tor à des tentatives sérieuses de pénétration. Le réseau lui-même se divise en deux parties, l’une publique, l’autre cachée. La partie publique contient environ 5000 nœuds possédant un total de 9000 adresses IP. Dans la partie cachée se trouvent d’autres nœuds mais Éric Filiol précise que seule la fondation Tor, qui se tient derrière le projet, connaît leur existence. Son équipe a donc créé un algorithme visant leur découverte, et ils sont parvenus à découvrir 181 ponts (bridges, points d'entrée secrets au réseau) à ce jour, permettant d’obtenir une cartographie quasi-complète de l’infrastructure de Tor. Cet algorithme est devenu depuis une bibliothèque dont le code source sera publié mi-novembre.

tor

Éric Filiol dresse également une carte physique avec quelques chiffres. Au sein du réseau Tor se trouve 200 serveurs dont la mission est de servir de répertoires. 9039 routeurs « Onion » très exactement constituent le maillage décentralisé, ainsi que 5827 machines physiques dont la moitié sous Windows. Filiol indique à ce sujet qu’environ un tiers des machines Windows est vulnérable, via une augmentation de privilèges. Et la France elle-même fait partie des principaux pays à héberger des éléments de cette infrastructure avec les États-Unis, l’Allemagne et le Royaume-Uni.

tor

Mais pourquoi et comment pénétrer les défenses de Tor ? Le directeur répond : « Tout le monde fait confiance à un réseau dont personne ne dispose vraiment d’une vision globale ». Le « comment » est le résultat d’un travail de longue haleine car on ne casse pas un chiffrement AES (en mode compteur) aussi facilement. Filiol considère cependant que l’implémentation dans Tor est « mauvaise » : « on a réduit considérablement le degré de deux des trois couches de chiffrement. »

Une prise de contrôle, mais en environnement simulé

Pour la dernière défense, l’équipe a utilisé une bibliothèque open source de cryptanalyse nommée Mediggo. La cryptanalyse vise le déchiffrage de données sans posséder la clé de chiffrement. Via l’analyse du code source de Tor, l’équipe a mis au point un virus qui ne permet pas directement de casser le chiffrement, mais de le « manipuler » dans le but d’ « affaiblir le système au moment où l’on veut et affecter un certain nombre de noeuds ». Si l’objectif est atteint, une partie de Tor se retrouve infectée, suffisante pour établir un poste d’observation et contrôler ainsi les flux qui y transitent.

C’est un élève de l’ESIEA qui a testé en simulation deux techniques associées pour contrôler les nœuds. La première a pour but de provoquer littéralement un engorgement du trafic sur les nœuds, mais sans provoquer de saturation. La deuxième (packet spinning) permet de créer des boucles pour les paquets de données, et donc de libérer les nœuds sur commande. Pas de déni de services donc, mais un affaiblissement suffisant pour établir une base de contrôle.

Cette technique peut être généralisée et répétée pour former un authentique botnet à l’intérieur du réseau Tor avec moins de 1000 machines sous Windows. Filiol conclut : « Nous avons un bel exemple de ce qui peut être une cyber-attaque généralisée. Nous l’avons appris en prenant de la hauteur avec une vision globale de Tor ».

Mais la fondation Tor a expressément demandé à l’ESIEA de fournir les détails de la méthode, ce que l’équipe d’Éric Filiol a refusé, évoquant d’ailleurs une requête « agressive ». Les réponses arriveront avec la présentation des travaux à Sao Paulo.

La fondation Tor répond

La fondation Tor a répondu le 24 octobre sur le sujet de cette faiblesse du réseau. Pour elle, les propos de l'équipe française sont grandement exagérés.

La fondation indique bien qu’Éric Filiol a refusé de partager les détails de sa découverte, mais elle relativise également les indications données par le directeur à ITespresso. Au sujet des 6000 machines physiques environ et donc de leurs adresses IP associées, elle note que le chiffre ne peut pas être bon, puisque 2500 seulement existeraient. La fondation avance une explication : la surveillance opérée par l’équipe de chercheurs s’est peut-être faite sur plusieurs semaines, collectant alors des adresses qui ne sont plus des relais existants.

Les 30 % de machines Windows vulnérables sont relativisés eux aussi. En effet, pour la fondation, il ne faut pas confondre les machines physiques et la capacité totale. En clair, pouvoir affecter 30 % des machines ne signifie pas affecter 30 % de la capacité puisque les machines et l’ensemble des clients effectue un équilibrage de charge (load balancing) à travers les relais. En outre, 181 ponts ne peuvent pas permettre l’établissement d’une cartographie représentative de Tor puisqu’il en existe environ 600.

Enfin, et surtout, les attaques menées par l’équipe de l’ESIEA ont été réalisées en environnement simulé. La fondation se demande donc quel degré d’efficacité peut bien avoir la méthode sur la véritable architecture de Tor dans des conditions réelles.

Et puisque la fondation parle de sécurité, elle en a profité pour publier hier une nouvelle version du client de connexion qui passe en mouture 0.2.2.34. De nombreux bugs sont corrigés, dont une faille critique qui pourrait être exploitée pour lever l’anonymat des utilisateurs. D’après le descriptif dans le changelog cependant, il ne s’agit pas des problèmes soulevés par les chercheurs français, mais de la possible réutilisation de certificats de sécurité.
Publiée le 28/10/2011 à 11:53 - Source : Tor
Vincent Hermann

Rédacteur/journaliste spécialisé dans le logiciel et en particulier les systèmes d'exploitation. Ne se déplace jamais sans son épée.

Soutenez nos journalistes

Le travail et l'indépendance de la rédaction dépendent avant tout du soutien de nos lecteurs.

Abonnez-vous
À partir de 0,99 €

Publicité