du 10 octobre 2018
Date

Choisir une autre édition

Supermicro : Bloomberg affirme que des serveurs d'un opérateur américain ont été altérés

En fin de la semaine dernière, nos confrères ont publié un long papier expliquant comment les Chinois auraient ajouté une micropuce espionne sur des cartes mères Supermicro. Impliquées dans cette affaire, Amazon, Apple et Supermicro ont toutes les trois démenti ces accusations avec vigueur, soutenues par les renseignements américains et britanniques.

Hier, Bloomberg a lancé un nouveau pavé dans la mare dans un papier intitulé « nouvelle preuve de piratage de matériel Supermicro chez un opérateur américain ». Nos confrères expliquent que Yossi Appleboum (co-DG de Sepio Systems) leur a fourni des documents pour étayer leurs dires. Le matériel « manipulé » aurait été enlevé en août de cette année. Le nom de cet opérateur n'est pas précisé.

La situation n'est pas tout à fait identique, mais le principe reste le même : « des communications inhabituelles depuis un serveur Supermicro et une inspection physique ultérieure ont révélé un implant intégré dans le connecteur Ethernet du serveur » explique Bloomberg.

Yossi Appleboum affirme que ce n'est pas la première fois qu'il découvre ce genre de manipulation sur du matériel fabriqué par des sous-traitants en Chine, ajoutant que « Supermicro est une victime » dans cette histoire.

Interrogée, la société reste sur ses positions précédentes : « Nous ne sommes toujours pas au courant de composants non autorisés et n’avons été informés par aucun client de la présence de tels composants ».

Elle charge à nouveau Bloomberg : « Nous sommes consternés que Bloomberg ne nous fournisse que des informations partielles, aucune documentation et une demi-journée pour répondre à ces nouvelles allégations », ce à quoi notre confrère affirme avoir laissé 24h à Supermicro.

L'enquête continue outre-Atlantique, notamment par l'intermédiaire du sénateur John Thune siégeant au Comité du commerce qui sollicite auprès des dirigeants des entreprises impliqués un briefing avant le 12 octobre : « Les allégations selon lesquelles la chaîne d'approvisionnement en matériel informatique des États-Unis a été délibérément altérée par une puissance étrangère doivent être prises au sérieux ».

Les sénateurs Marco Rubio (républicain) et Richard Blumenthal (démocrate) ont de leur côté demandé à Supermicro des précisions sur la manière dont la société avait enquêté sur les affirmations de Bloomberg.

George Stathakopoulos, responsable sécurité chez Apple, reste sur la ligne de défense de la société affirmant qu'elle n'a découvert aucun signe de transmission suspecte ni aucune autre preuve d'altération du matériel.

Joe Fitzpatrick, expert cité dans le premier article de Bloomberg, revient sur cette histoire dans le Risky Business podcast, comme le rapporte Engadget. Il affirme avoir été cité hors contexte, que l'histoire de la puce espionne était alors « théorique » et qu'il se sentait « mal à l'aise ».

Bloomberg s'est de nouveau exprimé sur le sujet : « Joe FitzPatrick ne faisait pas partie des 17 sources comprenant des spécialistes et des responsables gouvernementaux, et sa citation directe dans l'histoire décrit un exemple hypothétique de la manière dont une attaque matérielle pourrait se dérouler ».

En bourse, c'est de nouveau une chute pour Supermicro qui passe sous les 12,5 dollars. La semaine dernière, la société était à plus de 21 dollars par action.

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

Hier, peu avant 16h30, les utilisateurs ont commencé à avoir des difficultés à accéder au service du géant du Net. Ce dernier annonçait un retour à la normale à 19h13 hier, sans préciser les raisons de cette panne qui a donc duré près de 3h tout de même.

Pour rappel, Google Cloud a connu une panne de près de 5h au début du mois. Un changement de configuration dans les serveurs était alors à l'origine du problème.

Copié dans le presse-papier !

En fin de semaine dernière, des utilisateurs ont eu la mauvaise surprise de voir apparaître des publicités pour Booking sur leur écran de verrouillage, du moins ceux utilisant l'application fonds d'écran de paysages préinstallée.

Plusieurs pays sont concernés, dont la France (nous en avons fait l'expérience). Le fabricant confirme à XDA Developers que les images publicitaires ont été supprimées (elles peuvent toujours être disponibles sur les terminaux si elles ont été téléchargées).

Huawei ne donne par contre aucune explication : ont-elles été mises en place intentionnellement avec une volte-face devant le tollé, ou bien par erreur ? Booking a-t-il tenté de « détourner » l'application en ajoutant son logo comme l'avait fait The North Face sur Wikipedia ? Toutes les hypothèses restent ouvertes.

Copié dans le presse-papier !

Mozilla vient de mettre à jour toutes les versions supportées de Firefox pour corriger une faille critique 0-day.

Rapportée à l’éditeur par le chercheur Samuel Groß pour le compte du Google Project Zero, la brèche peut permettre à un pirate d’exécuter à distance un code arbitraire, pouvant mener à une prise totale de contrôle. Soit le pire des scénarios.

Estampillée CVE-2019-11707, la vulnérabilité peut affecter tout utilisateur de Firefox sur ordinateur, donc sous Linux, macOS ou Windows. Elle réside dans la manière dont Firefox manipule des objets JavaScript à cause d’un problème dans Array.pop, le navigateur souffrant d’une « confusion de types ». Aucun détail supplémentaire ni prototype d’exploitation n’a encore été révélé.

Les utilisateurs de l’actuelle branche principale peuvent récupérer depuis l’À propos la mouture 67.0.3. La branche ESR elle aussi est mise à jour avec la 60.7.1. L’installation des correctifs est d’autant plus urgente que la faille est déjà exploitée.

Copié dans le presse-papier !

Google enrichit l’actuel Chrome 75 de deux fonctions dédiées à la sécurité, l’une intégrée, l’autre disponible sous forme d’extension, toutes deux liées à Safe Browsing.

D’abord, une nouvelle page d’avertissement quand l’adresse visitée a toutes les apparences d’une tentative de tromperie. Google cite un exemple classique : go0gle.com au lieu de google.com. Le service se réfère à l’historique pour s’assurer que le site n’est pas visité régulièrement afin de ne pas bloquer un site finalement légitime.

Ensuite, une extension peut être installée pour signaler manuellement tout site suspect à Safe Browsing. L’avertissement est pris en compte, Google promettant une analyse de l’adresse et du comportement du site.

Google compte donc sur les utilisateurs pour enrichir son service de protection, en faisant presque appel au civisme : « Si le site est ajouté aux listes de Safe Browsing, vous ne protègerez pas seulement les utilisateurs de Chrome, mais également ceux des autres navigateurs ».

Copié dans le presse-papier !

L’Assemblée nationale a approuvé hier après-midi la proposition de résolution soutenue par Marie-Christine Dalloz (LR). Le texte, qui n’a qu’une portée symbolique, plaide notamment pour une « accélération du déploiement de la fibre optique afin de couvrir tout le territoire, au plus tard d’ici 2025, conformément aux objectifs adoptés par la Commission européenne ».

Les députés ont ainsi marqué leur attachement à ce dossier, soulignant qu’il est « indispensable de relier tout le territoire au très haut débit, y compris les zones rurales, insulaires et de montagne ».

Le gouvernement est solennellement « invit[é] » à « évaluer l’efficacité des sommes allouées à la couverture numérique du territoire », et à « rouvrir le guichet du Fonds pour la société numérique (FSN) afin d’aider les collectivités territoriales à achever le déploiement des réseaux d’initiative publique ».