Des vulnérabilités dans le passeport biométrique

Scannez ce passeport biométrique, dit Grunwald, et attendez-vous à voir votre système se crasher !...

Lukas Grunwald, un expert allemand en sécurité informatique de la société DN-Systems, a découvert de nouvelles vulnérabilités dans la conception des nouveaux passeports biométriques et du lecteur RFID.

En 2006, il avait déjà démontré comment copier la puce RFID incorporée dans un passeport biométrique. Grunwald avait participé à la conception d'un logiciel capable de lire et reprogrammer les puces RFID. Ce programme baptisé RFDump est capable d'afficher les metadatas de la puce RFID et de les modifier en utilisant simplement un éditeur hexadécimal ou texte. "Le design complet du passeport anglais est défectueux. De mon point de vue, tous ces passeports sont une énorme perte d’argent, ils n’améliorent pas du tout la sécurité", avait-il conclut voici un an.

De son côté, à la même époque, le webzine ZDNet avait rapporté que Mélanie Rieback, chercheur à l'Université de Vrije, aux Pays-Bas, avait démontré que la puce RFID pouvait être piratée et porteuse de virus informatique. Cette fois Grunwald a fait la synthèse des deux failles.

La puce RFID

Rappelons que la puce RFID est une radio-étiquette autoadhésive que l'on appelle également un marqueur ou "tag". Elle est destinée à l'identification des objets par signal radiofréquence (RFID). De plus en plus de produits en sont équipés. Elle est constituée d'un circuit imprimé (la puce de silicium), d'une mémoire faisant office de base de données et d'une antenne souple. Cette puce est passive et est activée par l'énergie du lecteur (un émetteur-récepteur) qui peut se trouver entre 1 et 50 cm de distance pour la norme des "cartes à puces" ISO 15693, sinon jusqu'à 1.50 m de distance.

Piratage de la puce RFID
Aujourd'hui, Lukas Grunwald, qui fut consultant en matière de passeport électronique pour le parlement allemand, indique que les failles de sécurité permettent à un pirate informatique de lire et de copier l'image de l'empreinte digitale stockée dans le passeport biométrique, et de créer une puce spécialement codée pour attaquer, tel un virus, les lecteurs de passeport biométrique qui essayent de la scanner.

Grunwald indique qu'il a réussi à tromper deux lecteurs de passeports fabriqués par différents fournisseurs en copiant la puce RFID d'un passeport et en modifiant ensuite l'image au format JPEG2000 contenant la photo d'identité.
La lecture de l'image modifiée a provoqué le crash du lecteur de puce, ce qui suggère qu'il pourrait être vulnérable à un piratage, comme par exemple la reprogrammation du lecteur afin de valider des passeports expirés ou piratés. "Si vous pouvez pirater quelque chose, vous pouvez très probablement l'exploiter," a dit Grunwald, qui discutera des vulnérabilités du passeport biométrique ce week-end, à la convention annuelle DefCon des pirates informatiques "au-dessus de tout soupçon" qui se tiendra à Las Vegas, aux Etats-Unis.
Les passeports biométriques contiennent une identification radiofréquence et sont signés différemment par chaque pays. Ce procédé est censé lutter contre la contrefaçon des documents administratifs pour les voyageurs entrant aux Etats-Unis, suite aux attentats du 11 septembre 2001.
Grunwald a démontré l'année dernière à la conférence sur la sécurité de BlackHat, comment extraire les données contenues dans une puce RFID d'un passeport biométrique, qui ne sont pas modifiables, et les cloner dans une autre puce qui passerait sans difficulté le contrôle.
Les vulnérabilités découvertes consistent en un dépassement de la mémoire-tampon (buffer-overrun) de la puce. Elles se produisent quand il y a des erreurs de programmation dans le logiciel, permettant à un pirate d'écrire sur la puce en dehors de la zone mémoire dédiée à la sauvegarde d'une quantité fixe de données. Soigneusement exploitées, ces vulnérabilités permettent généralement à un intrus d'exécuter ses propres instructions sur l'ordinateur ou le lecteur piraté, bien que Grunwald n'a pas été jusqu'à ce niveau de piratage sur les lecteurs de passeport biométrique testés.
Grunwald n'a pas voulu nommer les fournisseurs concernés, mais a expliqué que ces lecteurs sont actuellement en service dans un aéroport allemand. Il dit qu'il n'y a aucune raison de croire que les lecteurs commercialisés par d'autres fabricants soient moins vulnérables. "Je pense que la plupart des fabricants emploient des bibliothèques de logiciels standards pour décoder les images JPEG2000 des passeports", ce qui signifie qu'ils seraient tous vulnérables à ce genre d'attaque.

Piratage de l'empreinte digitale
Une deuxième vulnérabilité du passeport biométrique permettrait à un pirate de lire et de copier l'empreinte digitale affichée dans le passeport.
L'Organisation Internationale de l'Aviation Civile (ICAO) et les Nations Unies, qui ont développé la norme du passeport biométrique, ont choisi de sauvegarder l'empreinte digitale des voyageurs sous forme de photo numérique, une procédure très simple, trop simple, identique à celle du scanning de votre doigt sur la fenêtre d'un scanner à plat ordinaire. En conséquence, il est possible de lire l'image et de l'utiliser pour pirater un passeport en détournant simplement l'image de l'empreinte digitale.
Il y a plusieurs années, les chercheurs japonais avaient déjà démontré qu'il était possible de réaliser une fausse empreinte digitale en recouvrant la paume de son doigt avec de la gélatine.
L'ICAO recommande aux pays concernés par cette vulnérabilité de protéger les données du passeport en activant l'option appelée "Extended Access Control". Cette option de sécurité est censée protéger les données biométriques de la puce RFID en faisant en sorte que le lecteur obtienne un certificat digital du pays émetteur du passeport avant de pouvoir lire les données. Ce certificat est valable durant une courte période, mais étant donné que la puce ne contient pas d'horloge intégrée, il est possible de falsifier la date d'expiration numérique du certificat, ce qui le rend tout aussi vulnérable, a expliqué Grunwald. "C'est une erreur élémentaire", a-t-il ajouté.
Les Etats-Unis ont annoncé que le Département d'Etat n'a fait aucun commentaire. La conférence de Grunwald au DefCon, intitulée "We Break Your Tag, Then We Break Your Systems", est programmée pour le vendredi 3 août 2007. Elle va attirer du monde.

Pour plus d'information sur la technologie RFID et son usage, consultez l'article La généralisation des puces RFID.

Cet article a été repris dans les actualités de ZATAZ.