COMPTOIR
register

Composé par ————— —— 14117 vues

Une faille USB simple à exploiter découverte chez Intel

Les failles informatiques c'est comme le gruyère : plus il y a de fromage et plus il y a de trous, et plus il y a de trous moins il y a de fromage. En deux mots, c'est un cercle sans fin ! En septembre derniers, des experts de Positive Technologies ont mis en évidence la possibilité de pirater un ordinateur via un port USB en utilisant une faille du Intel Management Engine. Ils ont simplement réussi à exécuter du code malicieux dans le Platform Controller Hub, la partie qui s'occupe de gérer les entrées/sorties. Ce IME est basé sur un système d'exploitation Minix, et il y a une vulnérabilité dans le petit microprocesseur (intégré au CPU donc) qui donne les autorisations d'accès à distance par exemple.

 

Du coup, avec du code paisiblement foulaire, et une clé USB, on peut donc prendre le contrôle à distance de tout un parc informatique administré par l'IME et Minix. Cela ne touche en revanche que les générations de processeurs Skylake et ultérieurs, les experts feront une démonstration de cette faiblesse en décembre prochain. Cela par contre met en lumière les backdoors qu'on pensait indétectables, et qui ont très bien pu être utilisés par des gouvernements ou autres entités malfaisantes pour de l'espionnage industriel, etc. Il va sans dire que le géant Intel colmatera rapidement cette faille une fois toutes les cartes en main pour la détecter. Jamais on sera tranquille.... (Source ehackingnews)

 

intel

Un poil avant ?

Un peu plus de Star Wars Battlefront 2 à quelques jours de son lancement

Un peu plus tard ...

NVIDIA : Après Volta, les Ampères ?

Les 13 ragots
Les ragots sont actuellement
ouverts à tous, c'est open bar !
par un ragoteur embusqué, le Mardi 14 Novembre 2017 à 14h12  
Pas de panique les louloutes zé les loulous : c'est pas la première faille USB
Sans compter la fameuse clef USB à condensateurs qui flingue un PC en 2 secondes.

C'est bô la technique !
par Un ragoteur macagneur du Centre, le Mardi 14 Novembre 2017 à 12h10  
Juste pour dire mon amiga 1200 surf sur le net bref lol
par Un ragoteur macagneur du Poitou-Charentes, le Mardi 14 Novembre 2017 à 07h04  
par Un #ragoteur déconnecté embusqué le Lundi 13 Novembre 2017 à 21h26
Justement, à l'époque un OS c'était... un OS, pas un ramassis de conneries bourrées de failles (car il y en a toujours, l'intérêt de l'OS statique étant son isolation de toute modification impromptue).
Si tu veux un OS sans fioritures mais en restant moderne installe ArchLinux et ne le connecte plus jamais à Internet après ton installation (qui nécessite Interet) et ne branche jamais de périphérique venant de l'extérieur si tu veux pas que des failles soient potentiellement exploitées.
Un logiciel est crée par un humain donc c'est évidant qu'il y aura toujours des failles, peu importe l'époque.
par Un ragoteur Gaulois de T'ai-pei, le Mardi 14 Novembre 2017 à 01h01  
par Un #ragoteur déconnecté embusqué le Lundi 13 Novembre 2017 à 21h26
Justement, à l'époque un OS c'était... un OS, pas un ramassis de conneries bourrées de failles (car il y en a toujours, l'intérêt de l'OS statique étant son isolation de toute modification impromptue).
Tu me fais sourire avec ton os statique, ça n'a strictement aucun sens et ça ne résout aucun problème de sécurité.
par Un ragoteur Gaulois de T'ai-pei, le Mardi 14 Novembre 2017 à 01h00  
par Un #ragoteur déconnecté embusqué le Lundi 13 Novembre 2017 à 21h26
Justement, à l'époque un OS c'était... un OS, pas un ramassis de conneries bourrées de failles (car il y en a toujours, l'intérêt de l'OS statique étant son isolation de toute modification impromptue).

Depuis un moment, on se retrouve avec des plateformes d'origine "pro", pour ne pas dire "serveurs" dans nos PC par recherche du profit maximal, tout ça n'est qu'une conséquence de ce travers, qui n'a qu'une incidence limitée dans une entreprise où l'administration (qui est quand même la cible de ces fonctionnalités...) existe, puisque l'USB ne sera pas du tout activé pour tout le monde.
Les époques n'ont RIEN à voir... si tu avais eu internet avec un atari ST ou un amiga, le problème aurait été le même. Des failles, il y en avait. Il y en a PARTOUT. De même qu'il y a des bugs partout, mais une bonne partie sont "invisibles"
Et le monde évolue, tout devient plus compliqué... après rien ne t'interdit de ressortir ton amiga 500 du placard (bon courage)
par Un #ragoteur déconnecté embusqué, le Lundi 13 Novembre 2017 à 21h26  
par Un ragoteur qui aime les de T'ai-pei le Lundi 13 Novembre 2017 à 14h53
mais bien sur.
ça a l'air si simple avec toi, tu attends quoi pour envoyer ton cv à intel and co????

et à l'époque de l'amiga / CPC / atari ST, y avait pas internet déjà.. ni de clé USB... y avait pas grand chose en fait. Alors même si les os étaient plein de trous, on s'en foutait un peu.
Justement, à l'époque un OS c'était... un OS, pas un ramassis de conneries bourrées de failles (car il y en a toujours, l'intérêt de l'OS statique étant son isolation de toute modification impromptue).

Depuis un moment, on se retrouve avec des plateformes d'origine "pro", pour ne pas dire "serveurs" dans nos PC par recherche du profit maximal, tout ça n'est qu'une conséquence de ce travers, qui n'a qu'une incidence limitée dans une entreprise où l'administration (qui est quand même la cible de ces fonctionnalités...) existe, puisque l'USB ne sera pas du tout activé pour tout le monde.
par Un adepte de Godwin d'Ile-de-France, le Lundi 13 Novembre 2017 à 15h09  
par Salva le Lundi 13 Novembre 2017 à 11h33
Suis passé à Ryzen maintenant, ça va.
Je crois qu'AMD a aussi des technologies de Management Engine qui pose les même problèmes de "vie privée" que celles d'Intel malheureusement...

Au niveau CPU le seul qui pourrait potentiellement respecter l'utilisateur de A à Z c'est RISC-V mais ce n'est pas demain la veille que les RISC-V seront aussi performants que les derniers x86_64.
par Un ragoteur qui aime les de T'ai-pei, le Lundi 13 Novembre 2017 à 14h53  
par Un #ragoteur déconnecté embusqué le Lundi 13 Novembre 2017 à 11h41
En fait, on pourrait être tranquilles... mais faudrait juste que ces chers industriels le veuillent, et ils s'en foutent royalement car des emmerdes pour nous avec leur matos c'est du pognon pour eux, quoi qu'on en dise

Un OS statique comme à l'époque CPC/ST/Amiga -> zéro faille au niveau le plus bas.
mais bien sur.
ça a l'air si simple avec toi, tu attends quoi pour envoyer ton cv à intel and co????

et à l'époque de l'amiga / CPC / atari ST, y avait pas internet déjà.. ni de clé USB... y avait pas grand chose en fait. Alors même si les os étaient plein de trous, on s'en foutait un peu.
par Un ragoteur parano d'Ile-de-France, le Lundi 13 Novembre 2017 à 14h36  
 
dans le petit microprocesseur (intégré au CPU donc)

Non, ce processeur auxiliaire est intégré au chipset (les chipsets VPro)... Il a aussi évidemment besoin d'un CPU qui puisse lui "causer", mais l'idée est que même lorsque le CPU est planté ou à l'arrêt, le processeur auxiliaire garde le contrôle sur le système (y compris pour le redémarrer).
IME a aussi besoin d'un contrôleur Ethernet compatible (Intel, donc), pour pouvoir communiquer avec l'extérieur (réseau local et plus si affinité... Bonjour messieurs de la NSA).
par Un #ragoteur connecté embusqué, le Lundi 13 Novembre 2017 à 12h14  
En même temps quand on utilise des technos propriétaires faut pas s'étonner d'avoir plus de pépins.
Si Intel libérais ses technologies ils pourraient s'appuyer sur une commu qui corrigerais les failles dès leur détection.
par Xorg, le Lundi 13 Novembre 2017 à 12h07  
Une fois de plus, le ME a encore frappé. Pas étonnant qu'il existe des projets dont le but est de le désactiver voire le supprimer.
Dommage qu'on ne trouve pas trop de BIOS/UEFI alternatifs pour les cartes-mère récentes...
par Un #ragoteur déconnecté embusqué, le Lundi 13 Novembre 2017 à 11h41  
En fait, on pourrait être tranquilles... mais faudrait juste que ces chers industriels le veuillent, et ils s'en foutent royalement car des emmerdes pour nous avec leur matos c'est du pognon pour eux, quoi qu'on en dise

Un OS statique comme à l'époque CPC/ST/Amiga -> zéro faille au niveau le plus bas.