Sorry, you need to enable JavaScript to visit this website.

Image CAPTCHA
Saisir les caractères affichés dans l'image.

5 raisons de ne pas se fier à TrueCrypt (et autant de recommandations)

5 raisons de ne pas se fier à TrueCrypt (et autant de recommandations)
2012-09-062013-02-28sécurité du poste de travailfr
Cauchemars des forces de l'ordre et bénédiction pour les cybercriminels, le FBI lui-même reconnaît son incapacité à déchiffrer un disque protégé avec TrueCrypt . Pour autant ce système est-il réellement inviolable ? Petit retour sur les dernières attaques connues et préconisations...
Publié le 6 Septembre 2012 par cedric bertrand dans sécurité du poste de travail
5 raisons de ne pas se fier à TrueCrypt (et autant de recommandations)

Logiciel gratuit de chiffrement à la volée, TrueCrypt est un des outils qui a révolutionné le monde de la sécurité en offrant un système de chiffrement simple, rapide et efficace. Très utilisé en sécurité informatique, celui-ci permet de garantir la confidentialité de ses données et de protéger son système d’exploitation par l’utilisation d’algorithmes de chiffrement réputés comme sûrs. Une des autres fonctionnalités remarquables de cet outil, est qu’il implémente aussi le concept de « déni plausible » qui est la possibilité pour une personne soupçonnée d’utiliser un logiciel de chiffrement de nier la plausible existence d’un fichier chiffré. Cette fonctionnalité notable est induite par l’utilisation de deux niveaux de chiffrement imbriquables .

Cauchemars des forces de l’ordre et bénédiction pour les cybercriminels, le FBI lui-même reconnaît son incapacité à déchiffrer un disque protégé avec TrueCrypt . Pour autant ce système est-il réellement inviolable ? Petit retour sur les dernières attaques connues.

raison 1 : les mots de passe

Les algorithmes de chiffrement à clé secrète tels qu’AES sont réputés comme sûr… tant qu’ils sont utilisés avec des bons de mots de passe ! TrueCrypt n’échappe pas à cette règle et plusieurs outils sont spécialement dédiés au déchiffrement des mots de passe faible (ex : TrueCrack ). Concernant l’existence de conteneurs Truecrypt, ceux-ci peuvent être révélés avec des outils tels que Fitools ou TCHunt .

raison 2 : la mémoire vive

En 2010, de nouvelles méthodes permettant d’extraire une clé de chiffrement stockée en mémoire vive ont fait leur apparition : Cold Boot attacks, exploitation d’une connexion Firewire , copie de la mémoire vive, etc. Des outils tels que Aeskeyfind ou encore Passware Kit Forensic permettent par exemple de trouver la clé de conteneurs TrueCrypt chargés en mémoire. Néanmoins certaines de ces méthodes, de par les nombreux paramètres requis, sont assez improbables à mettre en pratique.

raison 3 : les malwares / outils d’espionnage

TrueCrypt ne protège pas des malwares, spywares ou des outils d’espionnage. Un keylogger par exemple ou tout autre malware disposant des capacités requises peuvent enregistrer les frappes de l’utilisateur et ainsi découvrir le mot de passe associé.

Concernant les malwares, le virus Ymun et le vers Magic Lantern ont été les premiers permettant la capture de clés de chiffrement. Plus récemment, le bootkit Stoned Bootkit a permis de cibler des ordinateurs Windows entièrement chiffrés.

raison 4 : l’intégrité

Le chiffrement protège la confidentialité des données, mais pas leur intégrité. Si l’attaquant connaît « géographiquement » l’emplacement d’un fichier, il peut écraser ce dernier. Un exemple d’attaque est disponible ici.

raison 5 : la loi

En France, même si la loi considère que l’utilisation de moyens de cryptologie est libre (LCEN article 30-1), le refus de remise de la clé de chiffrement peut entraîner 3 ans d’emprisonnement ainsi que 45000€ d’amende. Cette peine est aggravée dans le cas où le chiffrement a été utilisé pour commettre un délit .

les bonnes pratiques d’utilisation de TrueCrypt

A la vue des méthodes d’attaques contre TrueCrypt, l’ensemble des préconisations suivantes permettent d’améliorer la sécurité de son système de chiffrement :

  1. la sécurisation de son ordinateur : comme vu précédemment TrueCrypt ne protège ni des malwares, ni des intrusions… Une bonne hygiène informatique est donc de mise (mises à jour, sécurisation de l’OS, protection anti-virale, protection du BIOS, etc.)
  2. la sécurisation de la mémoire vive : afin d’éviter la récupération de clés de chiffrement chargées en mémoire, il est conseillé de chiffrer la mémoire virtuelle de son système d’exploitation , et de ne pas oublier de verrouiller son ordinateur en cas d’absence (voire de l'éteindre ce qui permet d'éviter une attaque Cold Boot)
  3. l’utilisation d’une solution de chiffrement matérielle : Implémenté au niveau matériel, un composant passif tel qu’une puce TPM (Trusted Platform Module) permet de vérifier les métriques du boot, et en cas de modification du noyau, le déchiffrement de la racine ne se fera pas (ce qui alertera l'utilisateur le cas échéant). Ce composant, quoique non exempt de failles de sécurité, permet le stockage de secrets (tel que des clés de chiffrement) de manière sécurisée.
  4. l’utilisation de systèmes de contrôle d’intégrité : une des vulnérabilités du chiffrement était que celui-ci n’assurait pas l’intégrité des données, installer un contrôleur d’intégrité supplémentaire permettrait donc d’être alerté en cas de modification d’un composant critique.
  5. l’utilisation des mots de passe complexes (à ce sujet, lire l'article de Sébastien)

Attention à aussi chiffrer ses périphériques amovibles telles que les clés USB afin d’éviter certaines mésaventures .

conclusion

Actuellement considéré comme sûr, TrueCrypt ne doit pas malgré tout faire oublier que l’utilisation d’un système de chiffrement ne peut se faire que dans une démarche de politique globale et dans une sécurité informatique cohérente. Même s’il permet de se protéger contre certaines attaques, l’accès physique d’un poste chiffré peut malgré tout entraîner sa compromission si certaines règles de sécurité ne sont pas suivies.

Cedric Bertrand

crédit photo : copyright iQoncept - Fotolia.com

Edit : Merci à tous les commentateurs anonymes, qui grâce à leurs commentaires acerbes et délicats, m'ont donné de nombreuses pistes d'amélioration.

9 Commentaires

  • 13 Septembre 2012
    2012-09-13
    par
    Anne Onyme
    -Pour le truecrypt trojanisé, c'est l'affaire de six lignes de code (6!)
    http://exploitability.blogspot.fr/2010/08/truecrypt-will-never-be-same-y...
    Ca passe 100% des antivirus et c'est absolument indétectable.

    - "Pas sur que tous les fichiers du container, une fois ouverts soient déchiffrés dans la mémoire ou accessibles "facilement". "
    Si le container est monté alors un xcopy /e /s ou équivalent fait largement l'affaire! Pourquoi vouloir à ce point dumper la mémoire vive alors que tous les documents sont librements accessibles?
  • 12 Septembre 2012
    2012-09-13
    par
    Remarques pertinentes, néanmoins quelques bémols :
    - Un outil qui copierait la mémoire vive a moins de chance d'être détecté qu'une version trojanisée de trueCrypt (quoique... Je reconnais que ce fait est très discutable)
    - Des framework tels que Volatilty pour ne citer que lui, simplifient l'analyse de la mémoire et permettent de récupérer facilement une clé stockée en mémoire (ou alors en utilisant un outil tel que Aes-keyfind)
    - Des outils tels que Passware kit forensic permettent de facilement déchiffrer un container chargé en mémoire vive
    - Pas sur que tous les fichiers du container, une fois ouverts soient déchiffrés dans la mémoire ou accessibles "facilement". Je vous invite à faire l'expérience et à nous rapporter les résultats : ouvrez un container truecrypt, faites une capture de la mémoire vive, et essayez de voir si les fichiers du container sont accessibles en clair (j'en doute mais l'expérience peut répondre à cette interrogation).

    Quant au fait de faire compliqué, j'aime bien chercher différents scénarios (même certains ne sont ni les plus simples, ni les probables ;-))
  • 12 Septembre 2012
    2012-09-13
    par
    Anne Onyme
    > Par contre effectivement, même si un contener est rarement monté et donc
    que les données sont moins vulnérables à un malware par exemple, rien
    n'empêche un attaquant "motivé et compétent" de créer un petit script
    qui scannerait les processus en mémoire et à la détection d'un processus
    truecrypt, celui-ci ferait une copie de la mémoire vive.

    Ou bien il remplacerait le binaire truecrypt par une version trojanisée qui loggerait les mots de passe lors du déchiffrement!
    Ou bien il copierait les fichiers du container une fois ouvert.

    Pourquoi chercher compliqué? Récupérer la mémoire, puis la scanner alors qu'un utilisateur entre lui même le mdp ?!
  • 12 Septembre 2012
    2012-09-13
    par
    Bonjour

    Merci du commentaire. Bonnes suggestions concernant les recommandations, je ne pense d'ailleurs pas que l'Elysée dira le contraire :-) J'ajouterais aussi que truecrypt est utile afin de se protéger contre le vol et la récupération des mots de passe de l'OS (chiffrement du système d'exploitation), ainsi que pour le chiffrement de ses fichiers personnels "importants" (factures, mots de passe, backup, photos "intimes", etc)

    Par contre effectivement, même si un container est rarement monté et donc que les données sont moins vulnérables à un malware par exemple, rien n'empêche un attaquant "motivé et compétent" de créer un petit script qui scannerait les processus en mémoire et à la détection d'un processus truecrypt, celui-ci ferait une copie de la mémoire vive. Après récupération de la mémoire vive (soit un gros fichier, pas discret), il pourrait retrouver facilement la clé stockée en mémoire (mise en pratique en partie sur cet article : http://lepouvoirclapratique.blogspot.fr/2012/06/analyse-tout-en-memoire....)
  • 12 Septembre 2012
    2012-09-13
    par
    Vince
    Merci pour cet éclairage sur l'outil TrueCrypt. Lecture fort utile car la tendance est bien trop souvent à l'installation et l'utilisation rapide d'un outil sans trop se pencher sur ces capacités, ses forces et ses faiblesses.
    Personnellement, je recommande TrueCrypt dans deux cas de figure:
    - la protection de données personnelles sur une clé USB (avec ou sans TrueCrypt version portable). En cas de vol de la clé, cela évite que des photos ou vidéos perso soient mises à la disposition de tiers inconnus.
    - la protection de données confidentielles professionnelles dont on a plus un usage fréquent. Ainsi les données sont archivées de façon assez sécurisée et comme le container n'est que rarement "monté", les données sont moins vulnérables à un virus ou malware.

Pages

Ajouter un commentaire

comments

  • Les adresses de pages web et de courriels sont transformées en liens automatiquement.
  • Les lignes et les paragraphes vont à la ligne automatiquement.
  • Tags HTML autorisés : <a> <em> <strong> <cite> <blockquote> <code> <ul> <ol> <li> <dl> <dt> <dd> <br>

Plain text

  • Aucune balise HTML autorisée.
  • Les adresses de pages web et de courriels sont transformées en liens automatiquement.
  • Les lignes et les paragraphes vont à la ligne automatiquement.

Email HTML

  • Les lignes et les paragraphes vont à la ligne automatiquement.
  • Les adresses de pages web et de courriels sont transformées en liens automatiquement.
Image CAPTCHA
Saisir les caractères affichés dans l'image.
Changer d'affichage