Thunderspy : confinez vos ordinateurs portables…

En ce dimanche 10 mai, Björn Ruytenberg, un « étudiant chercheur » néerlandais, mettait les doigts dans la prise en dévoilant au grand jour les vulnérabilités [1] qu’il a découvert sur le protocole Thunderbolt équipant de nombreux ordinateurs portables fabriqués entre 2011 et 2020, autant dire, la plupart des ordinateurs portables équipés d’un port Thunderbolt en circulation à ce jour.

Commençons par le commencement, car même s’il est présent depuis bientôt 10 ans et notamment sur les Mac Book, Thunderbolt n’est pas forcément connu en détails du grand public.

Thunderbolt [2], c’est un peu l’art de mettre tous ses œufs dans le même panier en regroupant tout ce qu’il est possible de connecter à un ordinateur portable dans un seul et même contrôleur.

Ce contrôleur de communication bidirectionnel permet des échanges de données à 40 Gbits/s à partir de la version 3, pouvant accueillir jusqu’à 6 périphériques simultanés, dont deux écrans et remplacer à lui seul : FireWire, USB, DisplayPort / HDMI, Jack, Ethernet et SATA. Les différents périphériques se partageant la bande passante totale. Thunderbolt permet également une alimentation électrique « puissante » (pour un si petit connecteur en tout cas) allant jusqu’à 100 watts.

Intel, à l’initiative de Thunderbolt, se défend [3] en disant que les vulnérabilités du protocole sont atténuées grâce à la protection Kernel DMA activable dans Windows 10 (1803 et supérieur), le noyau Linux 5.X ou encore macOS 10.12.4 et supérieur. Sauf que la plupart des ordinateurs fabriqués jusqu’en 2019 ne permettraient pas de supporter la protection DMA d’après Wired [4], et chez Dell par exemple, impossible de trouver un ordinateur compatible à ce jour.

Le chercheur a publié deux vidéos mettant en scène deux scénarios d’attaques permettant de bypasser l’authentification Windows [5], même sur un poste dont le disque serait chiffré avec Bitlocker, mais aussi comment désactiver sur Winddows, toujours, la sécurité mise en place au niveau du Bios sur Thunderbolt [6]. Les vulnérabilités devraient également être portées sur la version 4 de Thunderbolt, ainsi que le protocole USB 4 d’après lui...

Le chercheur propose également un outil de détection baptisé Spycheck, disponible pour Windows [7] et Linux [8], permettant d’analyser si un ordinateur est vulnérable ou non.

Même s’il ne faut pas tomber dans paranoïa la plus totale puisqu’il y a quand même très peu de chance que quelqu’un puisse réaliser une telle prouesse pendant la pause pipi du propriétaire de l’ordinateur (éteint, en veille ou verrouillé) qui l’aurait laissé sans surveillance. Déjà s’il verouille sa session, c’est pas mal.
Admettons que vous ayez activé le chiffrement Bitlocker sur l’ensemble des ordinateurs de votre parc équipés d’une puce TPM. À ce point-là, ont déjà perdu pas mal de DSI, bref. Une attaque sur un ordinateur qui aurait été volé est parfaitement envisageable. Si une méthode d’authentification pré-démarrage n’a pas été activée [9], telle qu’un code PIN ou une clé USB de démarrage, l’attaque démontré en vidéo [5] sur un ordinateur chiffré et éteint pourrait parfaitement être réalisée.
Je ne vous promets pas que si vous mettez en place un tel mécanisme, vous ne trouverez pas le code PIN sur une étiquette collée au-dessus du clavier ou la clé USB de démarrage dans la sacoche de l’ordinateur portable…

Bon déconfinement quand même et sortez masqués !

[1] https://thunderspy.io/ 
Papier complet : https://thunderspy.io/assets/reports/breaking-thunderbolt-security-bjorn-ruytenberg-20200417.pdf 

[2] https://fr.wikipedia.org/wiki/Thunderbolt_(interface) 

[3] https://blogs.intel.com/technology/2020/05/more-information-on-thunderspy/ 

[4] https://www.wired.com/story/thunderspy-thunderbolt-evil-maid-hacking/ 

[5] https://youtu.be/7uvSZA1F9os 

[6] https://youtu.be/oEfzp4lHpB0 

[7] https://thunderspy.io/files/Spycheck-Windows-20200511.zip 

[8] https://github.com/BjornRuytenberg/spycheck-linux 

[9] https://www.howtogeek.com/262720/how-to-enable-a-pre-boot-bitlocker-pin-on-windows/