S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Des Français détailleront demain une faiblesse du réseau Tor

Des attaques à Tor et à travers

Le réseau Tor fonde l’intégralité de sa réputation sur l’anonymat complet de ses utilisateurs, qui lui a valu en 2010 une récompense de la FSF. Une infrastructure spécifique permet de se reposer entièrement sur le protocole TCP pour masquer l’identité des participants au réseau. Le but est bien sûr de pouvoir échanger des informations en ayant la certitude qu’aucun type d’espionnage ou de pistage quelconque n’entre en jeu. Mais une faille aurait été trouvée et serait suffisante pour compromettre l’intégralité de ce réseau.

tor 

Une infrastructure et des oignons

Tor est donc un projet signifiant « The Onion Router ». Ce nom très particulier vient de son architecture même, à savoir un maillage totalement décentralisé de routeurs organisés en couches d’oignons. Ces couches sont appelées nœuds, trois d’entre eux étant notamment choisis au hasard pour assurer les communications à chaque connexion de l’utilisateur. Ces communications sont intégralement chiffrées pour garantir le secret des transmissions, et le réseau Tor a les faveurs des utilisateurs voulant échanger sans être inquiétés, surtout dans les pays où la liberté d’expression est malmenée et durant des évènements tels quel le Printemps Arabe.

Pourtant, ils pourraient être justement inquiétés puisque des chercheurs français déclarent avoir réussi à briser les défenses du réseau, tant l’anonymat des conversations que le chiffrement des données, permettant ainsi un accès complet à ces dernières. Le site ITespresso a eu voilà quelques jours la primeur de certaines explications avant que l’équipe de chercheurs, conduite par Éric Filiol, directeur du laboratoire de recherche en cryptologie et virologie de l’ESIEA, ne présente les résultats de ses travaux dès demain à la conférence « Hackers To Hackers » qui se tient à Sao Paulo au Brésil.

Des français pèlent le réseau Tor

Pour l’équipe de l’ESIEA, il s’agissait de tester la résistance du réseau Tor à des tentatives sérieuses de pénétration. Le réseau lui-même se divise en deux parties, l’une publique, l’autre cachée. La partie publique contient environ 5000 nœuds possédant un total de 9000 adresses IP. Dans la partie cachée se trouvent d’autres nœuds mais Éric Filiol précise que seule la fondation Tor, qui se tient derrière le projet, connaît leur existence. Son équipe a donc créé un algorithme visant leur découverte, et ils sont parvenus à découvrir 181 ponts (bridges, points d'entrée secrets au réseau) à ce jour, permettant d’obtenir une cartographie quasi-complète de l’infrastructure de Tor. Cet algorithme est devenu depuis une bibliothèque dont le code source sera publié mi-novembre.

tor

Éric Filiol dresse également une carte physique avec quelques chiffres. Au sein du réseau Tor se trouve 200 serveurs dont la mission est de servir de répertoires. 9039 routeurs « Onion » très exactement constituent le maillage décentralisé, ainsi que 5827 machines physiques dont la moitié sous Windows. Filiol indique à ce sujet qu’environ un tiers des machines Windows est vulnérable, via une augmentation de privilèges. Et la France elle-même fait partie des principaux pays à héberger des éléments de cette infrastructure avec les États-Unis, l’Allemagne et le Royaume-Uni.

tor

Mais pourquoi et comment pénétrer les défenses de Tor ? Le directeur répond : « Tout le monde fait confiance à un réseau dont personne ne dispose vraiment d’une vision globale ». Le « comment » est le résultat d’un travail de longue haleine car on ne casse pas un chiffrement AES (en mode compteur) aussi facilement. Filiol considère cependant que l’implémentation dans Tor est « mauvaise » : « on a réduit considérablement le degré de deux des trois couches de chiffrement. »

Une prise de contrôle, mais en environnement simulé

Pour la dernière défense, l’équipe a utilisé une bibliothèque open source de cryptanalyse nommée Mediggo. La cryptanalyse vise le déchiffrage de données sans posséder la clé de chiffrement. Via l’analyse du code source de Tor, l’équipe a mis au point un virus qui ne permet pas directement de casser le chiffrement, mais de le « manipuler » dans le but d’ « affaiblir le système au moment où l’on veut et affecter un certain nombre de noeuds ». Si l’objectif est atteint, une partie de Tor se retrouve infectée, suffisante pour établir un poste d’observation et contrôler ainsi les flux qui y transitent.

C’est un élève de l’ESIEA qui a testé en simulation deux techniques associées pour contrôler les nœuds. La première a pour but de provoquer littéralement un engorgement du trafic sur les nœuds, mais sans provoquer de saturation. La deuxième (packet spinning) permet de créer des boucles pour les paquets de données, et donc de libérer les nœuds sur commande. Pas de déni de services donc, mais un affaiblissement suffisant pour établir une base de contrôle.

Cette technique peut être généralisée et répétée pour former un authentique botnet à l’intérieur du réseau Tor avec moins de 1000 machines sous Windows. Filiol conclut : « Nous avons un bel exemple de ce qui peut être une cyber-attaque généralisée. Nous l’avons appris en prenant de la hauteur avec une vision globale de Tor ».

Mais la fondation Tor a expressément demandé à l’ESIEA de fournir les détails de la méthode, ce que l’équipe d’Éric Filiol a refusé, évoquant d’ailleurs une requête « agressive ». Les réponses arriveront avec la présentation des travaux à Sao Paulo.

La fondation Tor répond

La fondation Tor a répondu le 24 octobre sur le sujet de cette faiblesse du réseau. Pour elle, les propos de l'équipe française sont grandement exagérés.

La fondation indique bien qu’Éric Filiol a refusé de partager les détails de sa découverte, mais elle relativise également les indications données par le directeur à ITespresso. Au sujet des 6000 machines physiques environ et donc de leurs adresses IP associées, elle note que le chiffre ne peut pas être bon, puisque 2500 seulement existeraient. La fondation avance une explication : la surveillance opérée par l’équipe de chercheurs s’est peut-être faite sur plusieurs semaines, collectant alors des adresses qui ne sont plus des relais existants.

Les 30 % de machines Windows vulnérables sont relativisés eux aussi. En effet, pour la fondation, il ne faut pas confondre les machines physiques et la capacité totale. En clair, pouvoir affecter 30 % des machines ne signifie pas affecter 30 % de la capacité puisque les machines et l’ensemble des clients effectue un équilibrage de charge (load balancing) à travers les relais. En outre, 181 ponts ne peuvent pas permettre l’établissement d’une cartographie représentative de Tor puisqu’il en existe environ 600.

Enfin, et surtout, les attaques menées par l’équipe de l’ESIEA ont été réalisées en environnement simulé. La fondation se demande donc quel degré d’efficacité peut bien avoir la méthode sur la véritable architecture de Tor dans des conditions réelles.

Et puisque la fondation parle de sécurité, elle en a profité pour publier hier une nouvelle version du client de connexion qui passe en mouture 0.2.2.34. De nombreux bugs sont corrigés, dont une faille critique qui pourrait être exploitée pour lever l’anonymat des utilisateurs. D’après le descriptif dans le changelog cependant, il ne s’agit pas des problèmes soulevés par les chercheurs français, mais de la possible réutilisation de certificats de sécurité.
Source : Tor
Vincent Hermann

Rédacteur/journaliste spécialisé dans le logiciel et en particulier les systèmes d'exploitation. Ne se déplace jamais sans son épée.

Publiée le 28/10/2011 à 11:53

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...

Il y a 133 commentaires

Avatar de geekounet85 INpactien
geekounet85 Le vendredi 28 octobre 2011 à 12:18:01
Inscrit le mercredi 9 juin 04 - 8092 commentaires
Ils ont fait des progrès mon école
Ils ont arrêtés de se torcher à la bierre le week end? :)

l'un n'empêche pas l'autre!
Avatar de TaigaIV INpactien
TaigaIV Le vendredi 28 octobre 2011 à 12:18:08
Inscrit le mercredi 1 octobre 08 - 10472 commentaires
merde voulais la faire

Un autre TORdu à été plus rapide que toi, TORais pu faire un effort pour être plus rapide. On va avoir un TORrent de commentaire sur cette histoire.
Avatar de geekounet85 INpactien
geekounet85 Le vendredi 28 octobre 2011 à 12:20:17
Inscrit le mercredi 9 juin 04 - 8092 commentaires
Un autre TORdu à été plus rapide que toi, TORais pu faire un effort pour être plus rapide. On va avoir un TORrent de commentaire sur cette histoire.

oui, ça serait bête qu'un problème de sécurité assez terre à terre mine à tord ce réseau pourtant très utile!
Avatar de TaigaIV INpactien
TaigaIV Le vendredi 28 octobre 2011 à 12:26:52
Inscrit le mercredi 1 octobre 08 - 10472 commentaires
oui, ça serait bête qu'un problème de sécurité assez terre à terre mine à tord ce réseau pourtant très utile!

Il semblerait que l'idée que tor soit faible en cas de compromission de suffisamment de noeud n'est pas nouvelle. Ce qui pose un problème c'est qu'un tiers des noeuds soient vulnérables. Il y a tout de même pas mal de si dans cette histoire, on verra au moment de la publication. A priori des mises à jour pourraient permettre de résoudre les problèmes.
Avatar de typhoon006 INpactien
typhoon006 Le vendredi 28 octobre 2011 à 12:28:34
Inscrit le jeudi 12 mai 05 - 24144 commentaires
oui, ça serait bête qu'un problème de sécurité assez terre à terre mine à tord ce réseau pourtant très utile!

tu m'étonnes, très utile pour les sites pédo et la mafia
Avatar de Crysalide INpactien
Crysalide Le vendredi 28 octobre 2011 à 12:28:48
Inscrit le mardi 24 mars 09 - 5372 commentaires
Filiol, c'est pas lui qui avait annoncé avoir cracké AES à plusieurs reprises.
Si c'est le cas, son travail sur TOR mérite d'être rendu public ainsi que les conditions de simulation.

C'est un peu comme si les physiciens du CERN refusaient de rendre public leurs protocoles expérimentaux sur la découverte de neutrinos supraluminiques.

Avatar de lampsak INpactien
lampsak Le vendredi 28 octobre 2011 à 12:32:42
Inscrit le samedi 21 mai 05 - 328 commentaires
Heu bon, donc si j'ai bien compris ils ont réussi a faire saturer des serveurs pour accéder au lien de niveau 1 plus rapidement...

En effet, c'est un problème, mais surtout ça fait une publication pour l'école d'info. La manière dont c'est géré est assez pitoyable je trouve, même si les chercheurs et étudiants ont l'air doués.

"Surtout, on ne fait pas un full disclosure à TOR avant que toute la presse parle de nous" ... Pendant ce temps là, 27 opposants chinois se prennent une balle dans la tête... (un tout petit peu exagéré )

C'est dommage de donner autant de grains à moudre à des personnes qui n'en avaient pas besoin ...

Avatar de taralafifi INpactien
taralafifi Le vendredi 28 octobre 2011 à 12:36:19
Inscrit le samedi 22 juillet 06 - 4662 commentaires
Pourquoi vous parlez tous de Fillon ?
Avatar de lampsak INpactien
lampsak Le vendredi 28 octobre 2011 à 12:36:25
Inscrit le samedi 21 mai 05 - 328 commentaires


Je connais plus de personnes qui l'utilisent pour twitter de la Chine que pour aller sur des sites comme ca... (heureusement ... )

En tous cas, encore une fois les Anonymous ne se sont pas trompés de cible!
Avatar de Arona INpactien
Arona Le vendredi 28 octobre 2011 à 12:39:17
Inscrit le mardi 9 mai 06 - 951 commentaires

Je connais plus de personnes qui l'utilisent pour twitter de la Chine que pour aller sur des sites comme ca... (heureusement ... )

En tous cas, encore une fois les Anonymous ne se sont pas trompés de cible!


Non mais laisse-le utiliser les mêmes arguments que le gouvernement actuel qui veut civiliser Internet!
;