Des clés et portes dérobées cachées dans des clés USB chiffrées
Après avoir démonté la clé ThinkPlus FU100 de Lenovo, Xusheng Li a épinglé plusieurs outils de chiffrement, parfois aidé par l'IA Codex d'OpenAI.
Le chercheur en sécurité Xusheng Li a mis au jour des portes dérobées et des clés codées en dur dans les logiciels de plusieurs fabricants de supports USB présentés comme sécurisés, selon tomshardware.com. Ces résultats prolongent son enquête menée l'an dernier sur la clé ThinkPlus FU100 de Lenovo, vendue comme chiffrée en AES-256 et qui contenait en réalité une carte SD non chiffrée.
Sur la FU100, le lecteur d'empreintes ne faisait qu'activer la connexion USB sans chiffrer les données de la carte. Lenovo a publié en début d'année un correctif pour les clés FU100, FU200 et TU800 ainsi que pour le SSD TSD303 : les propriétaires doivent appeler une ligne de service en Chine pour obtenir un remplacement ou une mise à jour du firmware sur site.
Le constructeur a classé l'avis au niveau de gravité élevé. L'une des trois CVE concerne le logiciel de configuration, qui permettrait à un utilisateur local déjà connecté de contourner l'authentification et d'enregistrer une empreinte non fiable. Sur le TSD303, Li a constaté que les données étaient bien chiffrées, mais que le bon mot de passe transitait en clair sur le port USB avant d'être comparé par le logiciel.
Codex en renfort
Li a ensuite utilisé Codex, l'outil de programmation d'OpenAI, avec des outils de rétro-ingénierie. Il lui a fallu environ sept minutes pour casser l'outil de Netac, où il a trouvé une clé fixe et le mot de passe de l'utilisateur dans les journaux de diagnostic. Codex a mis environ 26 minutes à reconstituer le mot de passe interne de KakaSoft et à déchiffrer un fichier de test, et environ 10 minutes à déverrouiller la clé Copy Secure de Nexcopy via un certificat présent dans l'application de lecture.
Dans son intervention en conférence en mars, Li avait résumé la FU100 à « une carte SD dans un boîtier sophistiqué ». Une mesure provisoire avait consisté à couler de l'époxy sur la carte. Le produit YutianDun de SecZure renferme pour sa part deux comptes cachés aux mots de passe simples, selon le chercheur.
En bref
Qu'a découvert Xusheng Li sur la clé USB Lenovo ThinkPlus FU100 ?
La clé, vendue comme chiffrée en AES-256, contenait une carte SD non chiffrée ; le lecteur d'empreintes ne faisait qu'activer la connexion USB.
Quel correctif Lenovo propose-t-il pour la FU100 et le TSD303 ?
Un remplacement ou une mise à jour du firmware sur site, à demander via une ligne de service en Chine.
Qu'est-ce que Codex a permis de faire ?
Cet outil d'OpenAI a aidé Li à casser en minutes les protections des outils de Netac, KakaSoft et Nexcopy.