La lumière qui parle : lire des données depuis un voyant clignotant
Le défi
Le gardien de nuit d'un dépôt Rhodes Logistics remarquait régulièrement le voyant d'état d'un contrôleur d'accès mural qui clignotait après la fermeture, toujours pendant une quarantaine de secondes, toujours à peu près à la même heure. L'appareil n'a ni connexion réseau ni écran, ce qui est précisément pourquoi il a été choisi pour la porte qu'il commande. La sécurité a filmé un des épisodes et un technicien a noté les clignotements : flash court, flash long, pause. La transcription est ci-dessous. Quelqu'un la lit depuis le parking.
Ce que tu vas apprendre
- Reconnaître le morse à partir de la forme d'une transcription
- Expliquer ce qu'est un canal caché et pourquoi une LED d'état en est un
- Décrire comment un air gap est contourné sans aucun réseau
- Nommer les sorties du quotidien capables de faire sortir des données d'un appareil isolé
Compétences testées
Prérequis
- Aucun
Comment ça marche
Un canal caché est n'importe quel moyen de faire circuler de l'information que les concepteurs du système n'ont jamais compté comme un moyen de faire circuler de l'information. Il n'a pas besoin de bande passante. Quatre chiffres, c'est un code de porte, un code PIN, ou le premier bloc d'une clé, et quarante secondes suffisent largement.
L'air gap part du principe que la menace circule par le réseau, donc il supprime le réseau. Ce qu'il ne supprime pas, c'est tout le reste de ce que l'appareil peut encore faire varier : une LED d'indication, un ventilateur qu'on peut faire tourner à des vitesses choisies, une bobine qui siffle à une fréquence choisie, un écran dont on peut moduler la luminosité. Un appareil compromis capable de changer n'importe lequel de ces paramètres sur commande, avec une caméra ou un microphone en ligne de vue, dispose d'une sortie.
Le morse est ce à quoi on s'attendrait de la part d'un implant peu sophistiqué. Ce sont deux symboles, cela survit à un canal d'observation lent ou bruité, et tous les décodeurs du monde le comprennent déjà. Reconnaître la forme est toute la compétence : des points et des traits, des lettres séparées par une espace, des mots séparés par un séparateur.
Erreurs fréquentes
- Essayer le base64 ou l'hexadécimal en premier. Aucun des deux n'a de points ou de traits dans son alphabet, et les deux renvoient immédiatement un marqueur d'erreur. L'entrée indique elle-même ce qu'elle est.
- Soumettre la phrase décodée en entier. Le libellé de la réponse demande le nombre, qui est la partie qui a de la valeur pour quiconque surveille.
- Écarter cette piste parce que l'appareil n'a pas de réseau. C'est précisément le principe de la technique, pas un argument contre elle.
Comment s'en protéger
Traitez les émissions physiques comme une interface.
- Supprimez la ligne de vue. Un appareil isolé doit se trouver là où aucune caméra, fenêtre ou surface réfléchissante ne peut observer sa façade, et les caméras couvrant la même pièce ne doivent pas être sur un réseau accessible à un attaquant.
- Recouvrez ou désactivez les LED d'indication sur les équipements qui traitent des secrets. Du ruban adhésif est une mesure légitime ici et ne coûte rien.
- Signez le micrologiciel et vérifiez-le au démarrage. Un voyant d'état ne transmet que lorsque quelque chose tourne et le veut ainsi.
- Renouvelez tout ce qu'un appareil aurait pu divulguer dès que vous avez des raisons de croire qu'il a été compromis, en commençant par les codes de porte que des humains ont mémorisés il y a des années.