Quand vous branchez un périphérique USB compatible "Plug'n'Play", Windows va télécharger et installer les pilotes correspondants, avec les droits maximum (NT AUTHORITY\SYSTEM).
Or certains de ces pilotes ont des failles de sécurité.
En émulant certains périphériques USB, il devient alors possible de forcer l'installation de ces pilotes et d'exploiter les failles correspondantes pour prendre le contrôle de la machine.
Cette faille est même exploitable à distance via RDP (donc sans même avoir d'accès au port USB, car RDP peut faire de l'USB via le réseau.) (Permalink)
La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.
Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.
Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.
La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.
Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.
La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.
Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.
Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.
La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.
Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.
Via un mémo officiel, Donald Trump change la politique de cybersécurité de son pays. Il autorise, sous contrôle de l’État fédéral américain, des entreprises préalablement listées à mener des cyberattaques contre des « organisations criminelles transnationales ».
Jusque-là, aux États-Unis, ce sont les agences gouvernementales fédérales qui menaient les missions de cybersécurité du pays. Mais, dans un mémo officiel, Donald Trump vient d’enclencher une nouvelle doctrine qui implique beaucoup plus facilement les acteurs privés du secteur. C’est un changement important qui était attendu depuis des années par le lobby de la cybersécurité américain. Ce dernier plaidait pour la relance des anciennes « lettres de marque » mises au gout du jour « cyber ».
Dans le mémo publié par la Maison-Blanche ce mercredi 12 aout, Donald Trump demande au National Coordination Center (NCC) du Département de la Sécurité intérieure des États-Unis de « mettre en place, gérer et d’assurer le suivi d’un programme visant à autoriser les entreprises participantes » à mener des opérations de cyber-surveillance mais aussi des opérations d’attaques (« Cyber Effects Operation », en anglais) contre des « organisations criminelles transnationales étrangères opérant sur Internet (CE-TCO), « sous le contrôle et la supervision du gouvernement fédéral ».
Des opérations de contre-attaques comme celles autorisées en mer par les « lettres de marque »
Le texte d’explication du mémo publié par la Maison-Blanche cite comme cibles les organisations étrangères aux États-Unis qui mettent en place des attaques par ransomware, des campagnes de phishing, des fraudes financières, du chantage sexuel et des escroqueries par usurpation d’identité sur internet.
Dans son mémo, Donald Trump parle de « Cyber Effects Operation » et en donne une définition permettant aux entreprises autorisées à mener des opérations « de manipulation, de perturbation, de déni d’accès, de dégradation ou de destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou des informations qui y sont stockées ». Nous ne sommes plus ici dans la simple défense mais dans des opérations d’attaques.
L’entourage de Donald Trump préparait ce changement depuis quelque temps. Comme nos confrères de Bloomberg le soulignaient en décembre dernier, cette nouvelle politique ouvre « de nouvelles perspectives commerciales lucratives aux entreprises qui, traditionnellement, ont conclu des contrats avec l’État dans le cadre de stratégies défensives plutôt que de mesures offensives », même si elles seront exposées à de nouveaux risques et notamment à celui d’être plus rapidement la cible de cyberattaques.
Depuis plusieurs années, le lobby de la cybersécurité américain pousse (ici ou là, par exemple) à la mise en place de ce qu’il appelle des « lettres de marque cyber », adaptant à Internet le concept de « lettre de marque », existant dans la constitution américaine, qui permet aux navires privés de contre-attaquer dans les eaux internationales. Le concept a été repris récemment par le sénateur républicain qui a proposé une loi le 15 juillet dernier pour « autoriser le président des États-Unis à délivrer des lettres de marque et de représailles dans le domaine cybernétique, ainsi qu’à d’autres fins ».
Les budgets des agences en berne
Du côté des agences fédérales états-uniennes et de l’armée, l’argument est notamment de sous-traiter ces tâches de cybersécurité pour se concentrer sur leurs missions primaires. Surtout, que l’administration Trump a attaqué leur budget en matière de cybersécurité.
« Alors que nos adversaires gagnent du terrain grâce à l’IA, la posture cyberfédérale a été affaiblie », déclarait le premier directeur de la CISA, Chris Krebs (nommé par Donald Trump avant d’être mis sur la touche par le même pour avoir nié le piratage des élections de 2020). « La stratégie manque de clarté, les effectifs sont en baisse et les capacités ont été considérablement réduites », estimait-il avant d’ajouter : « Que cela nous plaise ou non, nous ne sommes pas aussi forts aujourd’hui que nous devrions l’être ».
Ce changement de doctrine arrive aussi quelques mois après les annonces d’Anthropic concernant Mythos et la polémique entre Trump et Anthropic sur l’usage militaire de l’IA allant jusqu’à la désignation de l’entreprise de Dario Amodei comme « fournisseur à risque pour la sécurité nationale », même si finalement le Pentagone continue à utiliser Mythos.
Via un mémo officiel, Donald Trump change la politique de cybersécurité de son pays. Il autorise, sous contrôle de l’État fédéral américain, des entreprises préalablement listées à mener des cyberattaques contre des « organisations criminelles transnationales ».
Jusque-là, aux États-Unis, ce sont les agences gouvernementales fédérales qui menaient les missions de cybersécurité du pays. Mais, dans un mémo officiel, Donald Trump vient d’enclencher une nouvelle doctrine qui implique beaucoup plus facilement les acteurs privés du secteur. C’est un changement important qui était attendu depuis des années par le lobby de la cybersécurité américain. Ce dernier plaidait pour la relance des anciennes « lettres de marque » mises au gout du jour « cyber ».
Dans le mémo publié par la Maison-Blanche ce mercredi 12 aout, Donald Trump demande au National Coordination Center (NCC) du Département de la Sécurité intérieure des États-Unis de « mettre en place, gérer et d’assurer le suivi d’un programme visant à autoriser les entreprises participantes » à mener des opérations de cyber-surveillance mais aussi des opérations d’attaques (« Cyber Effects Operation », en anglais) contre des « organisations criminelles transnationales étrangères opérant sur Internet (CE-TCO), « sous le contrôle et la supervision du gouvernement fédéral ».
Des opérations de contre-attaques comme celles autorisées en mer par les « lettres de marque »
Le texte d’explication du mémo publié par la Maison-Blanche cite comme cibles les organisations étrangères aux États-Unis qui mettent en place des attaques par ransomware, des campagnes de phishing, des fraudes financières, du chantage sexuel et des escroqueries par usurpation d’identité sur internet.
Dans son mémo, Donald Trump parle de « Cyber Effects Operation » et en donne une définition permettant aux entreprises autorisées à mener des opérations « de manipulation, de perturbation, de déni d’accès, de dégradation ou de destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou des informations qui y sont stockées ». Nous ne sommes plus ici dans la simple défense mais dans des opérations d’attaques.
L’entourage de Donald Trump préparait ce changement depuis quelque temps. Comme nos confrères de Bloomberg le soulignaient en décembre dernier, cette nouvelle politique ouvre « de nouvelles perspectives commerciales lucratives aux entreprises qui, traditionnellement, ont conclu des contrats avec l’État dans le cadre de stratégies défensives plutôt que de mesures offensives », même si elles seront exposées à de nouveaux risques et notamment à celui d’être plus rapidement la cible de cyberattaques.
Depuis plusieurs années, le lobby de la cybersécurité américain pousse (ici ou là, par exemple) à la mise en place de ce qu’il appelle des « lettres de marque cyber », adaptant à Internet le concept de « lettre de marque », existant dans la constitution américaine, qui permet aux navires privés de contre-attaquer dans les eaux internationales. Le concept a été repris récemment par le sénateur républicain qui a proposé une loi le 15 juillet dernier pour « autoriser le président des États-Unis à délivrer des lettres de marque et de représailles dans le domaine cybernétique, ainsi qu’à d’autres fins ».
Les budgets des agences en berne
Du côté des agences fédérales états-uniennes et de l’armée, l’argument est notamment de sous-traiter ces tâches de cybersécurité pour se concentrer sur leurs missions primaires. Surtout, que l’administration Trump a attaqué leur budget en matière de cybersécurité.
« Alors que nos adversaires gagnent du terrain grâce à l’IA, la posture cyberfédérale a été affaiblie », déclarait le premier directeur de la CISA, Chris Krebs (nommé par Donald Trump avant d’être mis sur la touche par le même pour avoir nié le piratage des élections de 2020). « La stratégie manque de clarté, les effectifs sont en baisse et les capacités ont été considérablement réduites », estimait-il avant d’ajouter : « Que cela nous plaise ou non, nous ne sommes pas aussi forts aujourd’hui que nous devrions l’être ».
Ce changement de doctrine arrive aussi quelques mois après les annonces d’Anthropic concernant Mythos et la polémique entre Trump et Anthropic sur l’usage militaire de l’IA allant jusqu’à la désignation de l’entreprise de Dario Amodei comme « fournisseur à risque pour la sécurité nationale », même si finalement le Pentagone continue à utiliser Mythos.
Bloctel devait protéger les utilisateurs opposés au démarchage téléphonique… mais ce n’était pas un franc succès. Bloctel a tiré officiellement sa révérence le 11 août, non sans un dernier fait d’arme : « Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ».
Un email envoyé aux utilisateurs, dont nous pouvons confirmer l’authenticité
Un des utilisateurs du service, Gauthier Huguenin, nous a transféré le message que Bloctel a envoyé. Nous avons ainsi pu vérifier son authenticité : il a bien été envoyé depuis un serveur autorisé par le domaine bloctel.gouv.fr et porte une signature cryptographique valide, comme en attestent les contrôles DKIM, SPF et DMARC.
Celui-ci évoque l’usurpation d’« un compte professionnel utilisateur du service » par «un tiers non autorisé » pour « accéder à ce compte et télécharger des fichiers échangés avec le service Bloctel ».
Deux fichiers sont listés : l’un « contenant des numéros de téléphone émanant du professionnel utilisateur du service » et l’autre est celui « restitué après vérification auprès de la liste d’opposition au démarchage téléphonique Bloctel ». En comparant les deux fichiers, on peut certainement en déduire les numéros inscrits sur Bloctel (qui ont donc disparu de la seconde liste).
Bloctel assure à ses utilisateurs à qui il a envoyé l’email que leur numéro de téléphone est la seule donnée concernée par l’incident. Mais couplée au fait qu’il appartient à une liste d’opposition à tout démarchage téléphonique, cela augmente un peu l’intérêt de cette donnée.
Dans son mail, le service affirme avoir bloqué le compte en question dès confirmation du piratage et avoir mené une investigation pour circonscrire le problème. Comme nécessaire à chaque fuite de données, Bloctel explique avoir notifié l’incident à la CNIL.
Le pirate repart avec 3 millions de numéros, dont 600 000 inscrits sur Bloctel
La revendication du piratage avait déjà été relayée par FrenchBreaches depuis quelques jours sans confirmation. La liste de plus de 3 millions de numéros de téléphone est revendiquée sans que ce chiffre soit officiel. La DGCCRF est venue clarifier la situation avec un communiqué :
« Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ». La répression des fraudes confirme que « seuls des numéros de téléphone ont été exposés, sans aucune autre donnée personnelle (nom, adresse, etc.) ». Elle ajoute que « la base de données Bloctel elle-même n’a pas été compromise ».
Bloctel devait protéger les utilisateurs opposés au démarchage téléphonique… mais ce n’était pas un franc succès. Bloctel a tiré officiellement sa révérence le 11 août, non sans un dernier fait d’arme : « Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ».
Un email envoyé aux utilisateurs, dont nous pouvons confirmer l’authenticité
Un des utilisateurs du service, Gauthier Huguenin, nous a transféré le message que Bloctel a envoyé. Nous avons ainsi pu vérifier son authenticité : il a bien été envoyé depuis un serveur autorisé par le domaine bloctel.gouv.fr et porte une signature cryptographique valide, comme en attestent les contrôles DKIM, SPF et DMARC.
Celui-ci évoque l’usurpation d’« un compte professionnel utilisateur du service » par «un tiers non autorisé » pour « accéder à ce compte et télécharger des fichiers échangés avec le service Bloctel ».
Deux fichiers sont listés : l’un « contenant des numéros de téléphone émanant du professionnel utilisateur du service » et l’autre est celui « restitué après vérification auprès de la liste d’opposition au démarchage téléphonique Bloctel ». En comparant les deux fichiers, on peut certainement en déduire les numéros inscrits sur Bloctel (qui ont donc disparu de la seconde liste).
Bloctel assure à ses utilisateurs à qui il a envoyé l’email que leur numéro de téléphone est la seule donnée concernée par l’incident. Mais couplée au fait qu’il appartient à une liste d’opposition à tout démarchage téléphonique, cela augmente un peu l’intérêt de cette donnée.
Dans son mail, le service affirme avoir bloqué le compte en question dès confirmation du piratage et avoir mené une investigation pour circonscrire le problème. Comme nécessaire à chaque fuite de données, Bloctel explique avoir notifié l’incident à la CNIL.
Le pirate repart avec 3 millions de numéros, dont 600 000 inscrits sur Bloctel
La revendication du piratage avait déjà été relayée par FrenchBreaches depuis quelques jours sans confirmation. La liste de plus de 3 millions de numéros de téléphone est revendiquée sans que ce chiffre soit officiel. La DGCCRF est venue clarifier la situation avec un communiqué :
« Un accès frauduleux à un compte professionnel a permis à un cybercriminel de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel ». La répression des fraudes confirme que « seuls des numéros de téléphone ont été exposés, sans aucune autre donnée personnelle (nom, adresse, etc.) ». Elle ajoute que « la base de données Bloctel elle-même n’a pas été compromise ».
La ville de Baltimore a fait baisser la criminalité par armes à feux de manière spectaculaire. 68% d'homicides en moins depuis 2019. Comment ? Avec 400 flics en *MOINS* et plusieurs bonnes idées.
Taper *FORT* contre le crime, ça fait bander les droitards, mais ça ne marche pas vraiment (Je rappelle que les USA ont un des plus forts taux de criminalité alors que certains états ont *encore* la peine de mort.) (Permalink)
Sous le coude: Let's Encrypt étant américain, je garde sous le coude Actalis.it, une société italienne qui possède un service gratuit de délivrance de certificats.
Pour le jour où ça part encore plus en couille aux USA. (Permalink)
Valve a prévenu les clients européens de la Steam Machine et du Steam Controller d’une fuite de données les concernant. CEVA, l’entreprise de logistique chargée de la distribution de ses produits sur le Vieux Continent, a en effet été victime d’une cyberattaque.
Les données compromises sont le nom, l’adresse postale, le pays, le numéro de téléphone, l’adresse email, le type du produit acheté et son prix, d’après le courriel de Valve partagé par Digital Foundry. CEVA n’a accès ni aux informations de paiement, ni aux mots de passe des comptes Steam. Il n’est pas nécessaire de changer son mot de passe Steam ni de modifier quoi que ce soit dans les réglages du compte.
Illustration : Flock
Valve recommande toutefois la plus grande vigilance dans les prochains jours, le risque de hameçonnage étant important. « Attendez-vous à recevoir de faux messages — par e-mail, SMS ou téléphone — mentionnant votre commande de matériel et semblant provenir de Steam, de Valve ou d’une société de livraison », prévient l’entreprise. Ces messages frauduleux pourraient indiquer l’adresse du client pour prouver leur authenticité, demander la confirmation d’une livraison ou de payer des frais de douane, ou encore de se connecter pour « vérifier » une commande.
L’assistance Steam ne traite les problèmes de compte que sur le site dédié https://help.steampowered.com/. « Jamais par email, chat Steam ou Discord. Toute personne qui vous contacte ailleurs en prétendant être l’assistance Steam ne l’est pas ». Valve conseille de saisir l’URL soi-même plutôt que de cliquer sur un lien présent dans un message ; les pages de connexion sont présentes sur store.steampowered.com, www.steampowered.com, steamcommunity.com ou help.steampowered.com. Enfin, l’assistance de la boutique ou un transporteur ne demandera jamais de mot de passe ou de code Steam Guard (le 2FA de Steam).
CEVA conserve les informations des clients de Steam pour les produits physiques jusqu’à 90 jours après la commande. L’enquête est toujours en cours, Valve ayant été notifiée de la fuite le 7 août. Les systèmes affectés ont été isolés et mis hors ligne. Étrangement, l’opérateur de Steam « fait pression » sur CEVA pour connaitre l’étendue complète de ce qui a été volé et la manière dont l’extraction s’est déroulée. Valve est aussi en train d’informer les autorités de protection des données dans les pays concernés.
Valve a prévenu les clients européens de la Steam Machine et du Steam Controller d’une fuite de données les concernant. CEVA, l’entreprise de logistique chargée de la distribution de ses produits sur le Vieux Continent, a en effet été victime d’une cyberattaque.
Les données compromises sont le nom, l’adresse postale, le pays, le numéro de téléphone, l’adresse email, le type du produit acheté et son prix, d’après le courriel de Valve partagé par Digital Foundry. CEVA n’a accès ni aux informations de paiement, ni aux mots de passe des comptes Steam. Il n’est pas nécessaire de changer son mot de passe Steam ni de modifier quoi que ce soit dans les réglages du compte.
Illustration : Flock
Valve recommande toutefois la plus grande vigilance dans les prochains jours, le risque de hameçonnage étant important. « Attendez-vous à recevoir de faux messages — par e-mail, SMS ou téléphone — mentionnant votre commande de matériel et semblant provenir de Steam, de Valve ou d’une société de livraison », prévient l’entreprise. Ces messages frauduleux pourraient indiquer l’adresse du client pour prouver leur authenticité, demander la confirmation d’une livraison ou de payer des frais de douane, ou encore de se connecter pour « vérifier » une commande.
L’assistance Steam ne traite les problèmes de compte que sur le site dédié https://help.steampowered.com/. « Jamais par email, chat Steam ou Discord. Toute personne qui vous contacte ailleurs en prétendant être l’assistance Steam ne l’est pas ». Valve conseille de saisir l’URL soi-même plutôt que de cliquer sur un lien présent dans un message ; les pages de connexion sont présentes sur store.steampowered.com, www.steampowered.com, steamcommunity.com ou help.steampowered.com. Enfin, l’assistance de la boutique ou un transporteur ne demandera jamais de mot de passe ou de code Steam Guard (le 2FA de Steam).
CEVA conserve les informations des clients de Steam pour les produits physiques jusqu’à 90 jours après la commande. L’enquête est toujours en cours, Valve ayant été notifiée de la fuite le 7 août. Les systèmes affectés ont été isolés et mis hors ligne. Étrangement, l’opérateur de Steam « fait pression » sur CEVA pour connaitre l’étendue complète de ce qui a été volé et la manière dont l’extraction s’est déroulée. Valve est aussi en train d’informer les autorités de protection des données dans les pays concernés.
Alors qu'il pousse pour une adoption du Full Self Driving dans toute l'Union européenne, la RDW invoque le secret des affaires pour ne rien dévoiler de son évaluation. Une opacité entretenue à la demande de Tesla elle-même, selon des échanges de courriels obtenus par Reuters.
La prochaine version de la distribution Linux devrait activer par défaut un important mécanisme de sécurité, la Shadow Stack. L’équipe effectue actuellement un gros travail préparatoire, qui pourrait largement débroussailler le terrain pour les autres systèmes Linux. Accrochez-vous un peu, on vous explique.
D’abord, qu’est-ce que la Shadow Stack ? Il s’agit d’une protection initialement créée par Intel en 2016 mais qui n’est réellement arrivée sur le marché qu’en 2020 avec la génération Tiger Lake. Elle fait partie d’une architecture nommée Intel CET (Control-Flow Enforcement Technology), qu’AMD a également reprise à partir de la génération Zen 3 de ses processeurs.
Le principe de la Shadow Stack (ou pile fantôme) est assez technique. Le processeur dispose en permanence d’une seconde pile d’exécution (call stack) en mémoire. Elle est cachée, isolée et protégée en écriture. Lorsqu’une instruction d’appel (CALL) survient, l’adresse de retour est ajoutée sur les deux piles. Quand l’instruction RET (RETURN) – qui sert à terminer l’exécution d’une fonction – survient, le processeur compare les deux piles : s’il y a correspondance des deux adresses de retour, l’opération se poursuit, dans le cas contraire le processeur déclenche une erreur (exception de protection de flux de contrôle). Cette erreur interrompt immédiatement le processus.
Il s’agit d’une fonction de sécurité, car en interrompant brutalement l’opération, le processeur empêche un pirate d’avancer dans son attaque. La Shadow Stack a été créée pour combattre les attaques de type ROP (return-oriented programming), qui peuvent mener à la prise de contrôle de la pile d’exécution. Elles peuvent également contourner des protections plus anciennes comme ASLR (Address Space Layout Randomization).
Une activation par défaut dans Fedora 45
Ce que propose l’équipe de Fedora, c’est d’activer cette protection sur l’ensemble du système sur les configurations x86_64. Car il s’agit bien pour l’instant encore d’une proposition, même si elle a de très fortes chances d’être acceptée au vu de son statut avancé. Si elle ne passait finalement pas la validation, elle serait programmée pour Fedora 46 au printemps prochain.
Dans la fiche dédiée, on peut lire que le gros avantage de la Shadow Stack est son impact quasi nul sur les performances, contrairement aux solutions logicielles de contrôle d’intégrité du flux d’exécution. Le surcoût d’exécution est jugé négligeable et imperceptible sur la grande majorité des charges de travail, permettant en échange une élévation générale du niveau de sécurité.
Une activation générale de cette pile fantôme suppose toutefois des adaptations profondes. Il faut notamment que les compilateurs GCC, Clang et rustc soient prêts, ce qui est a priori le cas désormais. Le reste dépend surtout d’un long travail préparatoire commencé il y a des années, la majorité des paquets du dépôt principal possédant déjà les annotations ELF requises, en plus de certaines options compilées à la compilation depuis 2018. Le support de la bibliothèque glibc est également marqué comme prêt.
Ça existait déjà… mais !
Sur un plan purement technique, Fedora n’est pas la première distribution à supporter la Shadow Stack. Sa prise en charge dans le noyau Linux remonte à la version 6.6 de 2023. Plusieurs distributions – dont Arch Linux, Ubuntu et Debian – compilent déjà une grande partie de leurs paquets avec l’option liée (-fcf-protection) de GCC/Clang.
Alors, en quoi la démarche de Fedora est-elle novatrice ? Parce qu’elle renverse la vapeur : on parle cette fois d’une activation générale et par défaut. Tout processus éligible bascule automatiquement sur la pile fantôme à son lancement, sans intervention de l’utilisateur. Ce changement a notamment nécessité un travail d’audit et de correction pour les binaires incompatibles, comme les routines en assembleur manuscrit, la chaine d’outils Rust ou encore les moteurs de compilation Just-in-time dans les navigateurs.
Pour ces derniers justement, l’équipe de Fedora note que Chrome et Firefox ne sont pas encore compatibles. Cependant, le mécanisme d’activation a été pensé avec cette limitation en tête et contient un processus de « dégradation élégante » (graceful fallback). En clair, si une application charge au démarrage un objet ELF ne disposant pas du marquage SHSTK (pour Shadow Stack), la glibc désactive silencieusement la pile fantôme pour ce processus unique, sans interrompre son exécution.
Précisons enfin que la Shadow Stack n’est que la première moitié de l’architecture Intel CET. L’autre partie se nomme IBT, pour Indirect Branch Tracking. Sa mission est de contrer un autre type d’exploitation, basé sur la programmation orientée saut ou appel indirect (JOP/COP) et qui peut mener, là encore, à une attaque de type ROP. Le travail réalisé sur la Shadow Stack préparera donc le terrain pour la prise en charge d’IBT dans une version « ultérieure » de Fedora, l’équipe ne donnant pas plus de précisions pour l’instant. Le support d’IBT signifierait alors celui d’Intel CET au grand complet, pour les processeurs Intel et AMD compatibles.
Il est très probable que ce travail de fond serve largement la communauté open source une fois Fedora 45 (ou 46 ?) disponible. On peut s’attendre à ce que la plupart des distributions emboitent le pas à Fedora, mais le système est habitué à être un précurseur.
La prochaine version de la distribution Linux devrait activer par défaut un important mécanisme de sécurité, la Shadow Stack. L’équipe effectue actuellement un gros travail préparatoire, qui pourrait largement débroussailler le terrain pour les autres systèmes Linux. Accrochez-vous un peu, on vous explique.
D’abord, qu’est-ce que la Shadow Stack ? Il s’agit d’une protection initialement créée par Intel en 2016 mais qui n’est réellement arrivée sur le marché qu’en 2020 avec la génération Tiger Lake. Elle fait partie d’une architecture nommée Intel CET (Control-Flow Enforcement Technology), qu’AMD a également reprise à partir de la génération Zen 3 de ses processeurs.
Le principe de la Shadow Stack (ou pile fantôme) est assez technique. Le processeur dispose en permanence d’une seconde pile d’exécution (call stack) en mémoire. Elle est cachée, isolée et protégée en écriture. Lorsqu’une instruction d’appel (CALL) survient, l’adresse de retour est ajoutée sur les deux piles. Quand l’instruction RET (RETURN) – qui sert à terminer l’exécution d’une fonction – survient, le processeur compare les deux piles : s’il y a correspondance des deux adresses de retour, l’opération se poursuit, dans le cas contraire le processeur déclenche une erreur (exception de protection de flux de contrôle). Cette erreur interrompt immédiatement le processus.
Il s’agit d’une fonction de sécurité, car en interrompant brutalement l’opération, le processeur empêche un pirate d’avancer dans son attaque. La Shadow Stack a été créée pour combattre les attaques de type ROP (return-oriented programming), qui peuvent mener à la prise de contrôle de la pile d’exécution. Elles peuvent également contourner des protections plus anciennes comme ASLR (Address Space Layout Randomization).
Une activation par défaut dans Fedora 45
Ce que propose l’équipe de Fedora, c’est d’activer cette protection sur l’ensemble du système sur les configurations x86_64. Car il s’agit bien pour l’instant encore d’une proposition, même si elle a de très fortes chances d’être acceptée au vu de son statut avancé. Si elle ne passait finalement pas la validation, elle serait programmée pour Fedora 46 au printemps prochain.
Dans la fiche dédiée, on peut lire que le gros avantage de la Shadow Stack est son impact quasi nul sur les performances, contrairement aux solutions logicielles de contrôle d’intégrité du flux d’exécution. Le surcoût d’exécution est jugé négligeable et imperceptible sur la grande majorité des charges de travail, permettant en échange une élévation générale du niveau de sécurité.
Une activation générale de cette pile fantôme suppose toutefois des adaptations profondes. Il faut notamment que les compilateurs GCC, Clang et rustc soient prêts, ce qui est a priori le cas désormais. Le reste dépend surtout d’un long travail préparatoire commencé il y a des années, la majorité des paquets du dépôt principal possédant déjà les annotations ELF requises, en plus de certaines options compilées à la compilation depuis 2018. Le support de la bibliothèque glibc est également marqué comme prêt.
Ça existait déjà… mais !
Sur un plan purement technique, Fedora n’est pas la première distribution à supporter la Shadow Stack. Sa prise en charge dans le noyau Linux remonte à la version 6.6 de 2023. Plusieurs distributions – dont Arch Linux, Ubuntu et Debian – compilent déjà une grande partie de leurs paquets avec l’option liée (-fcf-protection) de GCC/Clang.
Alors, en quoi la démarche de Fedora est-elle novatrice ? Parce qu’elle renverse la vapeur : on parle cette fois d’une activation générale et par défaut. Tout processus éligible bascule automatiquement sur la pile fantôme à son lancement, sans intervention de l’utilisateur. Ce changement a notamment nécessité un travail d’audit et de correction pour les binaires incompatibles, comme les routines en assembleur manuscrit, la chaine d’outils Rust ou encore les moteurs de compilation Just-in-time dans les navigateurs.
Pour ces derniers justement, l’équipe de Fedora note que Chrome et Firefox ne sont pas encore compatibles. Cependant, le mécanisme d’activation a été pensé avec cette limitation en tête et contient un processus de « dégradation élégante » (graceful fallback). En clair, si une application charge au démarrage un objet ELF ne disposant pas du marquage SHSTK (pour Shadow Stack), la glibc désactive silencieusement la pile fantôme pour ce processus unique, sans interrompre son exécution.
Précisons enfin que la Shadow Stack n’est que la première moitié de l’architecture Intel CET. L’autre partie se nomme IBT, pour Indirect Branch Tracking. Sa mission est de contrer un autre type d’exploitation, basé sur la programmation orientée saut ou appel indirect (JOP/COP) et qui peut mener, là encore, à une attaque de type ROP. Le travail réalisé sur la Shadow Stack préparera donc le terrain pour la prise en charge d’IBT dans une version « ultérieure » de Fedora, l’équipe ne donnant pas plus de précisions pour l’instant. Le support d’IBT signifierait alors celui d’Intel CET au grand complet, pour les processeurs Intel et AMD compatibles.
Il est très probable que ce travail de fond serve largement la communauté open source une fois Fedora 45 (ou 46 ?) disponible. On peut s’attendre à ce que la plupart des distributions emboitent le pas à Fedora, mais le système est habitué à être un précurseur.
Il y a décidément quelque chose qui cloche avec iCloud+. Le bouquet de services payants d’Apple promet de renforcer la confidentialité des internautes, notamment grâce au Relais privé. Mais des chercheurs en sécurité montrent que cette fonction peut faire fuiter l’adresse IP réelle des utilisateurs dans certains cas.
La fonction Relais privé iCloud est censée masquer l’adresse IP de l’internaute. Les requêtes sont redirigées via deux relais distincts : le premier connait l’adresse IP mais pas le site web consulté, le second connait le site web consulté mais pas l’adresse IP. Aucun ne possède toutes les informations permettant d’identifier l’utilisateur et de connaitre les sites visités.
Relais privé, réservé aux abonnés payants iCloud+, n’est pas un VPN au sens classique du terme. La fonction protège la navigation web dans Safari en masquant l’adresse IP et en chiffrant les requêtes DNS. Les VPN redirigent tout le trafic de l’appareil au niveau du système d’exploitation, pour toutes les applications. Les fuites dont il est question aujourd’hui « n’affectent pas les VPN », confirme le chercheur en sécurité Tommy Mysk.
Nouvelle déconvenue pour iCloud+
Avec un autre chercheur, Talal Haj Bakry, ils tirent justement la sonnette d’alarme : certaines requêtes générées par WebKit, le moteur de Safari, échappent au mécanisme de protection de Relais privé et des fonctions de proxy pour partir directement de l’appareil. Un site ou un serveur distant est donc en mesure de voir l’adresse IP réelle de l’utilisateur, malgré l’activation du relais.
Trois fonctions de WebKit sont concernées. D’abord, des vérifications liées aux clés d’accès (passkeys) passent par le service système WebAuthn d’Apple (depuis iOS 18.0), et non par le chemin réseau proxy du navigateur. Ensuite, WebKit ouvrirait directement les connexions HTTP/3/QUIC utilisées par WebTransport (depuis iOS 26.4) sans appliquer le proxy. Le serveur WebTransport peut dès lors « voir » la véritable adresse IP.
Enfin, le dernier souci ne concerne pas l’adresse IP, mais le DNS. La résolution d’un nom de domaine à l’avance (DNS prefetching, depuis iOS 26.0) est réalisée directement depuis l’appareil au lieu de passer par le proxy. Cela laisse fuiter les serveurs DNS réellement utilisés par le terminal.
Pour prouver leur découverte, les deux chercheurs ont mis en ligne un site web capable d’identifier ces fuites et de révéler l’adresse IP réelle d’un internaute, y compris lors de l’utilisation du Relais privé iCloud. « Puisque la requête est émise par le service d’identification du système d’exploitation plutôt que par Safari, elle n’emprunte jamais le chemin proxy de Relais privé », expliquent-ils. « Dans tous les cas, le serveur de destination voit l’adresse IP réelle de l’appareil ».
Signalons que la fuite d’informations est également effective sur macOS avec Safari, et tous les navigateurs tiers reprenant ce moteur.
Apple enquête, un correctif évoqué pour l’automne 2026
Cette découverte remet sérieusement en cause l’efficacité de la fonction iCloud+, et pose aussi problème aux navigateurs basés sur WebKit. Le moteur est obligatoire sous le capot des navigateurs alternatifs distribués dans l’App Store ; même si en Europe, le DMA permet en théorie à un éditeur d’utiliser un autre moteur, dans les faits aucun ne l’a encore fait.
Les chercheurs ont ainsi constaté que ces failles touchaient non seulement Safari, mais également au moins un navigateur Tor sur iOS, Onion Browser. Or, Tor est précisément conçu pour anonymiser le trafic en le faisant circuler dans une succession de relais situés dans différents pays. Ces nouvelles fuites peuvent donc, dans certains cas, exposer l’adresse IP réelle de l’utilisateur.
Mysk explique ne pas avoir contacté Apple en amont de la publication (contrairement à Tor et Onion Browser informés) : « Dans un monde idéal, nous aurions signalé les problèmes à Apple, ils les valideraient et publieraient un correctif rapidement. Malheureusement, sur la base de notre expérience passée avec Apple, signaler ce problème impliquerait des mois de retard, des communications incohérentes et, dans certains cas, un déni total de l’impact du problème ».
Selon un message sur X de Psylo – le navigateur axé sur la vie privée développé par ce même Tommy Mysk –, Apple aurait reproduit ces failles et « prévoit de traiter le problème », avec une correction prévue pour l’automne 2026. Cela fait suite à l’envoi d’un rapport à Apple après la publication du billet de blog. Apple confirme à 404 Media enquêter sur le sujet, mais sans plus de détails.
Connexion
![[MàJ] Un pirate a accédé à la plateforme des impôts, des « centaines de milliers d’usagers » concernés](../themes/icons/grey.gif "[MàJ] Un pirate a accédé à la plateforme des impôts, des « centaines de milliers d’usagers » concernés"){kind=icon}
