Alors voilà, n’étant pas un pro de la sécurité informatique, je change petit à petit mes habitudes à partir des infos qui tombent vis-à-vis des techniques employées par les virus, sociétés commerciales ou agences gouvernementales pour infiltrer les appareils que nous utilisons au quotidien. Je suis donc rapidement passé sous GNU/linux, banni presque tous les logiciels non-libres, remplacé les services google par leur équivalent opensource, chiffré mon dossier personnel et je vais me bidouiller mon OpenVPN (merci Korben).
Bref, je commence à devenir un peu maniaque concernant la sécurité de mes appareils et je pense faire ce qu’il faut coté software. Cependant, il y a une chose qui reste difficile à contrôler mais qui est pourtant essentielle, c’est la partie matérielle : comment se protéger contre les backdoors installées de base sur la carte mère de l’appareil? A ma connaissance c’est impossible, voilà pourquoi je vous demande si certains d’entre-vous connaissez à quels constructeurs informatique (PC et smartphone) on peut faire “confiance” et les quels sont à fuir si l’on ne veut pas voir ses données s’envoler dans la nature (cf: les smartphones chinois)
Après moult recherches je n’ai étonnement trouvé aucune réponse à cette question, donc n’hésitez pas à donner votre avis
Merci à vous !
Etant donné que nous ne possédons aucun code de carte mère, à part prendre du matériel open-source (raspberry pi?) je ne vois pas comme contrôler qu’un matériel possède une backdoor. Il n’y a à ma connaissance aucune info disponible la dessus mais encore une fois à part des rumeur de backdoor sur des CPU… qui sont généralement infondée c’est de la parano et en même temps de la perte de temps pour un utilisateur final.
Le mieux étant d’avoir le contrôle sur ces équipement et contrôler leur activité, notamment réseau. C’est le meilleur moyen de voir si il y a des fuites.
Si je résume, pour le moment, personne n’a jamais détecté de backdoor matérielle intégrée aux cartes-mère, seules des rumeurs sur les CPU Intel sans véritable preuve (si c’est le cas, l’avenir nous le dira sûrement).
Pour les backdoors logicielles, la meilleure façon de s’en prémunir est d’utiliser du logiciel libre car le code est relu par suffisamment de personnes pour les détecter en peu de temps. Merci @Quezako pour tes références, je ne connaissais pas Qubes (recommandé par Snowden), je testerai tout ça bientôt !
Après, si j’ai bien compris, la plupart des backdoors se retrouvent dans le firmware des appareils. Soit implantées par des prestataires douteux (comme les smartphones chinois), soit implantées par la NSA avant livraison (http://www.lemondeinformatique.fr/actualites/lire-apple-dell-cisco-et-huawei-mecontents-des-backdoors-installes-par-la-nsa-56133.html). C’est plutôt celles-ci qui sont inquiétantes car il est impossible de savoir si l’on en a une, à part comme tu le dis @madshiva , en examinant l’activité réseau de son matériel. C’est à tel point que Qwant est allé jusqu’à signer un accord “no backdoor” avec Huawei pour ses serveurs (https://korben.info/qwant-mon-retour-apres-1-mois-de-test.html). C’est pour cela que des statistiques sur l’implantation de backdoors selon les constructeurs pourraient être intéressantes, histoire d’avoir confiance dans le matériel qu’on utilise.
Pour répondre synthétiquement sur la question des rumeurs portant sur les “backdoors” matériels à ma connaissance je n’ai jamais eu de remontée à ce sujet, côté “backdoors” logiciels effectivement nous savons aujourd’hui de source officielle, notamment celle publiée par Linus Torwalds, que des pressions sont exercées par certaines institutions gouvernementales pour implémenter des “backdoors” logiciels.
Quoi qu’il en soit, par mesure de précaution, j’ai opté récemment pour une solution matérielle “Dell PowerEdge” dédiée à un serveur de virtualisation sous CentOS 7 tournant sous KVM. Je lui ai installé une carte IDRAC d’administration à distance. J’ai ensuite configuré un centralisateur de logs tournant sous GRAYLOG avec la “pile ELK”. Je peux donc superviser l’ensemble de mon environnement réseau et systèmes. Je reconnais que ma solution n’est pas à la portée d’un utilisateur lambda, mais c’est celle qui me paraît la plus sécurisée et la mieux adaptée à mes besoins, hormis les jeux vidéos multijoueurs en ligne !
Tout nouveau dans le monde du jeu vidéo multijoueurs en ligne, malgré mon âge, je me suis récemment monté une machine dédiée aux jeux vidéos (CPU i7 Skylake 6700K, 32 Go de DDR4, HD SSD 1To, Carte mère Asus Z170 Gaming pro, 2 cartes graphiques Asus GTX 750 Ti). Si vous vous demandez pourquoi j’ai monté une telle machine, bein c’est surtout pour pouvoir jouer avec mon fils qui bosse à Micromania, vous imaginez le délire à chaque fois qu’il passe me voir, j’ai craqué…
notamment celle publiée par Linus Torwalds, que des pressions sont exercées par certaines institutions gouvernementales pour implémenter des “backdoors”
Oui, je me suis laissé dire que Dell était un constructeur correct niveau sécurité, mon nouveau PC est un Dell professionnel. Après pour un matos vraiment sécurisé et le plus opensource possible, il y a le Purism librem, mais qui est franchement cher https://puri.sm/products/
Il reste que la plupart du matos informatique utilise des processeurs Intel avec des outils d’administration intégrés pouvant donner un accès total à la machine à distance comme l’Intel Management Engine. J’ai lu quelques papiers de Joanna Rutkovska, la créatrice de QubesOS dont @Quezako parlait https://blog.invisiblethings.org/2015/10/27/x86_harmful.html
Cet outil est franchement difficile à desactiver car intégré dans le firmware du processeur et donc même pas accessible via le bios. Une première technique de désactivation de cet Intel ME a été posté récemment pour les processeurs Sandy Bridge et devrait être extensible aux proco les plus récents. A suivre.
J’espère aussi qu’ils sauront profiter des difficultés d’Intel pour revenir dans la course face à eux, il est temps ! Après niveau sécurité j’ai aussi lu qu’ils avaient malheureusement intégré l’équivalent du Intel ME chez AMD depuis fin-2013:
Plus d’explications ici : https://libreboot.org/faq/#amd
Bref, l’idéal serait d’avoir des processeurs open-source à la disposition des assembleurs mais je pense qu’on en a pour quelques années avant de voir poindre un projet sérieux pouvant concurrencer les gros fabricants…
C’est vrai, mais jusqu’à maintenant ils ont beau scier la branche à coup de tronçonneuse, elle ne casse pas… Pire : ça leur permet de récolter plus de fruits, il suffit de vendre ça comme un énième gadget indispensable dans la vie du consommateur 2.0 et ça passe.
En réalité, on est assez peu à se préoccuper réellement de notre vie privée sur nos supports informatiques, la plupart des gens ne comprennent pas les implications de telles atteintes, d’où l’importance de la pédagogie sur ce sujet.
Cela dit, je suis tombé sur cette enquête récemment dans laquelle on est en France, avec les Etats-Unis, le pays le plus inquiet à ce sujet. Peut être qu’à terme, à force de trahisons, de plus en plus de personnes prendront la menace au sérieux et le respect de la vie privée pourra devenir un argument commercial à part entière dans les prochains produits vendus. Nous verrons.
Concernant la désactivation de certains “implants matériels” situés en dur notamment au sein même du processeur je reste relativement septique car la stabilité du processeur en serait gravement impactée … (avis personnel)
Je préfère adopter une approche plus méthodique dans le sens où par principe un “backdoor” est à l’écoute. Je crois que la meilleure méthode pour détecter et agir sur un “backdoor” est de mettre en place des outils de supervision en temps réel appliqués sur l’ensemble de l’infra réseau et systèmes. Plus haut dans mon commentaire j’ai évoqué la solution:
Voici un petit article traitant du sujet “Graylog”, il est orienté tout public ici
A titre d’exemple, à partir de ce dispositif je peux réaliser une “forme d’analyse comportementale” de mon infra réseau et systèmes grâce à des “dashboards” adaptés qui me permettent d’avoir un visuel temps réel notamment sur l’activité des ports sensibles, des services, des règles firewall… L’inconvénient majeur de cette méthode est qu’elle requiert de la part de l’Administrateur une “écoute” drastique et une attention permanente sur la sécurité réseau et systèmes…
Hum! A ce stade de la réflexion il faut déjà imaginer que c’est un peu plus compliqué A titre d’exemple, un cluster ou une instance à déployer devra être en amont étudiée en fonction de l’infra matérielle, réseau et systèmes (serveurs, CPU, RAM, Stockage, OS Host, hyperviseur…). Je doute qu’un PC portable dernier cri puisse vraiment répondre à ce type de “projet”. Le plus ardu au départ n’est pas tellement l’aspect “matériel du projet” étant donné qu’il sera tributaire du coût budgétaire alloué, je pense plutôt à toute la partie pilotage du “projet” (étude et mise en oeuvre d’une stratégie optimale ex: exécution des “jobs parallèles” répartis sur différents nœuds utilisant certaines ressources CPU/RAM appropriées soit pour du calcul pur ou du stockage…, définition des deamons, scripts de démarrage…). Donc je partage ton avis @Quezako[quote=“Quezako, post:12, topic:4869”]
ca doit pas etre evident a configurer…
[/quote]
C’est surtout toute l’architecture x86 qui pose problème, pas que l’Intel Management Engine. Tu peux le désactiver du BIOS même si il reste en effet du code, il faut arrêter la parano. Chaque composant électronique peut devenir une pseudo backdoor. Non Intel ne met pas de backdoor c’est avant tout un outils destiné au professionnel, un peux comme pour les serveurs HP: https://en.wikipedia.org/wiki/HP_Integrated_Lights-Out
Genre l’ensemble de la planète tourne sur des serveurs du style, c’est bien joli la sécurité mais la paranoïa sur le matériel ne sert à rien. N’importe quelle composant électronique peut être attaqué si tu as l’accès physique.
Finalement AMD est a la ramasse niveau CPU, rapport performance / consommation est juste ignoble.
Au final il y a pas vraiment de sécurité, c’est juste qu’on croit être en sécurité.
Oui et rien n’est plus dangereux que l’impression de sécurité.
Une des premières choses que j’ai apprise à mes débuts, il y a nettement plus de trente ans, alors que les réseaux étaient beaucoup moins courants et moins ouverts, c’est que s’il existe une chose que tu ne veux pas que quelqu’un d’autre lise ou connaisse, le seul impératif c’est de ne la confier d’aucune façon à un système informatique, ou pire encore à un système en réseau…
Je sais ça paraît rabat-joie mais en fait c’est la seule sécurité. Tout le reste ce ne sont que des évaluations de risques, comme font les assureurs.
Ce n’est pas une porte dérobé c’est un outil de gestion, utiliser par les entreprises, car il faut bien évidement payer pour utiliser le soft.
Preuve : (iAMT cannot be fully utilized to its maximum potential without purchasing additional software or management services from Intel or another 3rd party independent software vendor (ISV) or value added reseller (VAR).)
tout les processeurs, y compris ARM prossède ce genre de fonctionnalité. Après c’est clairement moche et tout le monde aimerait le désactiver proprement. Attendre la conférence du début de mois de décembre, en janvier il y aura surement une methode en un clique qui fonctionnera bien.
