Oct 242011
 

UPDATE : Il est intéressant de noter que Filiol prétend avoir recensé en tout 181 « Bridges » Tor avec son procédé, alors que les statistiques publiques du réseau montrent qu’il y en a au moins 500.

Eric Filiol est un expert français en sécurité informatique, spécialisé en virologie.
S’il a un CV et un parcours impressionnants, vous avez très certainement entendu parler de lui récemment dans un des nombreux articles où il prétends avoir brisé la fiabilité de la technologie d’anonymat Tor.

« La confiance dans le réseau d’anonymisation Tor est ébranlée »

C’est le titre qu’on a pu lire dans bon nombre d’articles de blogs, de sites d’actualités, ou de tweets.

Le fond de l’histoire est donc qu’un groupe de chercheurs français pense avoir démontré que le réseau Tor est vulnérable, peu fiable et est dangereusement indigne de la confiance qu’on lui porte.

Pour appuyer leurs déclarations, ceux-ci — Eric Filiol en tête — présenteront une démonstration de leur attaque le 29 et 30 octobre à São Paulo dans le cadre de la conférence « Hackers to Hackers ».

Si aucun des rédacteurs d’actualité, ou de blogs, ne semblent avoir voulu attendre la démonstration pour mesurer la pertinence des déclarations faites, je vais en faire de même, et proposer mon humble analyse préliminaire des propos tenus par Filiol jusqu’ici.
Je vais donc prendre le temps de détailler le contexte de la nouvelle, puis de méthodiquement expliquer en quoi les attaques de Filliol consistent une par une en faisant le point sur leur réelles implications pour la sécurité du réseau Tor, puis enfin d’évaluer la crédibilité de Filiol et de ses propos.

Les déclarations.

De l’article d’itespresso dont le contenu technique est plus qu’imprécis, il ressort plusieurs points principaux :

  • Avec son équipe, il aurait mis au point un « algorithme de scripts très complexes » pour dresser une liste des Entry Nodes (Bridges) Tor censés être secrets.
  • Avec son équipe, il aurait trouvé un moyen de déterminer à l’avance, et de forcer la route Tor qu’un client établirait, le forçant potentiellement à constituer une route de 3 relais Tor compromis.
  • Toujours à l’aide de son équipe, il serait arrivé au constat qu’une part importante de relais tournent sous des versions vulnérables de Windows, et aurait mis au point un virus capable de percer le chiffrement de Tor.

Ces trois déclarations peuvent se résumer en une seule phrase, lancée par Filiol lui-même, et qui à elle seule devrait provoquer un raz-de-marée dans l’univers de la sécurité informatique à l’échelle mondiale :

« Nous sommes parvenus à briser à la fois l’anonymisation et le chiffrement (…) Ce qui nous permet d’accéder à la totalité des informations claires. »

Pour ceux que ça intéresse, Filiol a illustré d’avantage ses déclarations dans une série de 3 vidéos publiées sur Dailymotion, passées relativement inaperçues. Elles n’apportent que peu d’informations supplémentaires, si ce n’est qu’elles sont plus claires que l’article d’un point de vue technique.
Partie 1 / Partie 2 / Partie 3

Les implications.

Pourquoi une telle déclaration est-elle si importante ?

Tor est un protocole et un outil permettant de garantir un anonymat extrêmement solide à vos communications sur internet. Il a été développé — comme bon nombre d’outils de sécurité informatique, y compris internet lui-même — dans un premier temps par l’armée navale américaine et est aujourd’hui un protocole et un logiciel libre.
Existant depuis 2002, son utilisation est largement répandue au sein des forces armées, des journalistes, des entreprises, des activistes ou blogueurs dont les idées et propos dérangent dans des pays où la liberté d’expression est à géométrie variable, ou des citoyens voulant simplement préserver leur vie privée.

Il est également dit que Tor aurait joué un grand rôle dans la diffusion d’informations lors du printemps arabe, où internet a été régulièrement victime de filtrages agressifs.

En un mot, c’est une technologie extrêmement utilisée, et sollicitée, sur laquelle beaucoup de gens reposent pour garantir leur anonymat, leur intégrité physique, ou même leur vie.

Annoncer que Tor est vulnérable, cassé, perméable ou qu’il n’est pas digne de confiance met des millions d’utilisateurs à travers le monde en danger potentiel, et impliquerait de revoir profondément la façon dont tous ces individus doivent garantir l’anonymat de leurs communications.

À juste titre, cette technologie est donc continuellement dans le collimateur de tous les experts en sécurité informatique du monde, ou du moins une quantité impressionnante de chercheurs, de doctorants, d’experts et de développeurs, une moitié d’entre-eux cherchant à découvrir la faille dans cette technologie qui leur permettra d’entrer dans l’histoire, et de marquer la fin d’une ère dominée par Tor, et l’autre moitié cherchant à améliorer cette technologie pour la rendre moins sensible aux divers moyens de blocage mis en place par des gouvernements totalitaires, et garantir au mieux la sécurité des citoyens s’abritant derrière ce bouclier technologique.

Depuis 2002, cette technologie est donc scrutée attentivement, au point de la connaître par cœur, d’en avoir identifié les forces et les faiblesses.
Depuis 2002, cette technologie reste inviolée, même si dans certains cas extrêmement improbables et pessimistes, il est possible de la fragiliser, son principe reste le plus solide et le plus fiable que l’on connaisse, et ce depuis 10 ans.

Déclarer avoir cassé Tor est probablement pour le monde de la sécurité informatique aussi éloquent que déclarer avoir prouvé que P = NP pour le monde des mathématiques, ou d’avoir cassé le chiffrement AES pour le monde de la cryptographie (ce qui est ironique dans notre cas, nous verrons plus tard pourquoi)

Comme pour ces deux analogues, régulièrement, un individu annonce avoir décroché le saint Graal, et le monde entier retient son souffle en vérifiant ses résultats, et de la même façon, en général ces résultats se révèlent soit inexacts, soit grandement exagérés.

Récapitulatif : Comment fonctionne Tor ?

Mon article va s’intéresser aux détails techniques revendiqués par les déclarations de Filiol et son équipe, et va donc analyser en profondeur le fonctionnement de la technologie Tor.
Si j’espère parvenir à toucher un public le plus large possible, et initier par la même occasion ceux qui ne connaissaient Tor que de nom jusqu’ici, pour pleinement comprendre et juger les propos qui vont suivre, il est impératif d’avoir lu mon précédent article au sujet de Tor, où j’explique le plus simplement et de la façon la plus imagée possible quel est le raisonnement derrière la technologie Tor, et quelles sont les garanties qui font sa solidité et sa fiabilité.

J’insiste : si vous n’êtes pas intimes avec la mécanique derrière Tor, lisez mon article « Some people just want to see the world TOR » (rédigé en français, malgré le titre)

Une fois cela fait, nous pourrons analyser ensemble les déclarations de l’équipe de Filiol.

Lister les Entry nodes (Bridges) secrets de Tor.

Cet article en plusieurs parties abordera ce point ci en premier, alors que les parties qui suivront approfondiront chacune une autre problématique soulevée par Filiol, par souci de clarté.

Pour vous rafraîchir la mémoire : un bridge est un point d’entrée au réseau Tor. Ils existent car la liste des points d’entrée au réseau Tor est connue et publique, beaucoup de pays oppresseurs sont donc souvent tentés de bannir toutes ces IP, afin d’empêcher leurs citoyens d’accéder au réseau Tor. Les Bridges sont donc des points d’entrée au réseau Tor qui ne sont pas répertoriés dans les listes publiques.

Où trouver des Bridges quand on en a besoin ?

La question est donc, s’ils sont si secrets, comment des dissidents peuvent-ils obtenir leurs coordonnées lorsqu’ils en ont besoin pour accéder au réseau Tor ?

La réponse est que par défaut, chaque fois qu’un Bridge est créé, il communique ses coordonnées, non pas aux listes publiques, mais à un serveur Tor qui les répertorie sans en révéler la liste à qui que ce soit.
Quand quelqu’un a besoin de joindre Tor, il n’a qu’à envoyer un mail à l’adresse bridges@torproject.org avec pour seul message « get bridges ». Le serveur de Tor choisira alors 3 Bridges aléatoirement dans la liste et les lui enverra par mail.
De cette façon, les gens qui en ont besoin peuvent obtenir des Bridges sans qu’il soit possible d’accéder à la liste complète d’un coup, ce qu’un pays oppresseur pourrait faire afin de bannir ces Bridges aussi facilement que les points d’entrée diffusés sur les listes publiques.

Quelle est l’attaque proposée par Filiol, alors ?

Après avoir lu le point précédent, il ne faut pas être Directeur du centre de recherche de l’ESIEA pour comprendre qu’en envoyant assez de demandes de nœuds Tor à d’adresse mail bridges@torproject.org, il finira, trois par trois, par nous envoyer la liste complète des Bridges, petit à petit.

Pour compliquer cette tâche, l’équipe de Tor a mis en place un filtre qui ignore toute demande ne provenant pas de gmail, yahoo, ou du MIT, et n’autorise qu’un certain nombre de requêtes pour chaque IP.
Le but ici est de compliquer la tâche d’un organisme voulant tous les répertorier pour les bannir : il n’est jamais revendiqué qu’il est impossible d’abuser de ce système et de garantir que personne ne créera 50 adresses gmails et passera deux mois à envoyer des mails en boucle au serveur pour épuiser sa liste. L’équipe de Tor rend juste ce processus suffisamment laborieux et lent pour que, le temps qu’une entité ait répertorié la majorité de la liste de Bridges « secrets », d’autres auront été rajoutés à la liste, probablement plus rapidement qu’il n’est possible d’en dresser la liste, en pratique.

L’ « attaque » de Filiol ne semble pas être plus élaborée que ça.
En effet, ce qu’il qualifie fièrement d’ « algorithmes de scripts très complexes » (sic.) mis au point par son équipe de chercheurs, n’est vraisemblablement rien d’autre qu’un petit programme ne dépassant probablement pas les quelques dizaines de lignes de code, à la portée de n’importe quel lycéen de 16-17 ans s’intéressant à la programmation en Perl, en une après-midi de travail.

Si vous ne me croyez pas, allez voir un programmeur de votre entourage, pas nécessairement expert en sécurité informatique, et demandez lui combien de temps et de lignes de code il lui faudrait pour automatiser l’envoi de mails, et dresser une liste des IP contenues dans les réponses reçues.
Pour un informaticien de profession, ça ne devrait pas prendre plus d’une heure de travail, même s’il n’est pas diplômé d’une École d’Ingénieur réputée.

À vrai dire, c’est un dispositif plusieurs fois moins complexe que celui nécessaire pour envoyer des volées de spams aux adresses mails récupérées grâce à google, qui inondent probablement le répertoire « Indésirables » de votre boite.

Pas de quoi crier à l’exploit, en soi.

Est-ce que ça « casse Tor » ?

Pas vraiment, non.

Comme décrit plus haut, avec assez de patience, il est évident qu’il est possible de répertorier les éléments de cette liste, et d’en bannir une partie. C’est un risque calculé par l’équipe de Tor, qui préfère avoir un moyen facile de distribuer des Bridges Tor à quiconque en fait la demande, quitte à ce que certains organismes passent des semaines à en demander pour espérer en bannir une partie.

Tout d’abord, comme je l’ai également évoqué plus haut, la tâche a suffisamment été compliquée pour espérer que le temps qu’une entité malveillante ait fait le tour de la liste, d’autres bridges aient été créés et injectés dans cette liste, rendant la « blacklist » établie caduque.

Ensuite, même s’il existait un moyen de récupérer tout le contenu de cette liste assez rapidement pour en bannir tous les éléments, Filiol semble ignorer qu’il est parfaitement possible de créer un Bridge Tor « secret » qui ne sera même pas annoncé sur la liste confidentielle de Tor.
En gros, ce Bridge ne sera connu que par la personne qui le crée, et donc dit « privé ». Libre à lui ensuite de le communiquer de façon confidentielle à des gens de confiance en ayant besoin, se l’échangeant entre cercles de confiance afin d’éviter qu’il ne tombe aux mains des censeurs.

C’est un moyen de diffusion un peu plus laborieux pour ceux en ayant besoin, mais c’est la démarche logique et justifiée dans un pays où des crimes de guerre sont commis à chaque coin de rue, et où les médias et journalistes sont persécutés.

C’est très facile à mettre en place, et expliqué dans la documentation de Tor.

Il suffit de rajouter ces deux lignes dans votre fichier de configuration torrc :

BridgeRelay 1
PublishServerDescriptor 0

La première activant le mode « Bridge » de votre logiciel Tor, et la seconde demandant que votre Bridge ne soit communiqué à personne, pas même la fondation Tor.

Conclusion

Il n’y a donc ici absolument pas lieu de s’inquiéter, et encore moins de crier avoir « ébranlé Tor ».
Non seulement il serait laborieux de dresser la liste des Bridges Tor présents dans la liste détenue par Torproject.org en espérant qu’entre-temps il n’y en ait pas eu de nouveaux ajoutés et qu’il faille en refaire tout le tour, mais en plus il en existe bon nombre qui ne sont listés nulle part, et qui ne peuvent pas être détectés aussi facilement.

Tout ce que Filiol fait ici, c’est nous rappeler pourquoi il est important de créer suffisamment de Bridges Tor, et d’en avoir quelques uns de « privés » à envoyer à des contacts de confiance se trouvant victime de persécution, par exemple.

Si possible, faire utiliser une nouvelle adresse ip à vos Bridges de temps en temps n’est pas une mauvaise idée, histoire de renouveler la liste « secrète » des nœuds répertoriés.

Ce que Filiol dit avoir « découvert » ici n’a aucune répercussion sur la confiance qu’on peut avoir en le réseau Tor, n’étant pas une méthode prétendant compromettre l’anonymat de Tor, mais prétendant simplement simplifier son filtrage.

Contrairement aux deux autres procédés qu’il a évoqué, et qui eux prétendent réduire à néant la sécurité garantie par la technologie Tor.

J’analyserai ceux-ci dans les parties 2 et 3 de mon article, à venir dans les jours qui viennent.

  15 Responses to “Did Filiol break Tor ? (1/3)”

  1. […] sérieusement sur les détails techniques, cet article se veut plutôt court et informatif. Voir le bel article de koolfy pour quelque chose de plus […]

  2. Très bon article, bravo ! Tu es un des seuls à te plonger un minimum dans les détails, et franchement, ça ne peut pas faire de mal…
    Vivement les deux prochains articles 😉

    D’ailleurs, il n’y a pas de license sur tes articles… Je dois t’avouer que celui-ci m’a servi de source d’inspiration pour écrire quelque chose sur le sujet 🙂

  3. Merci pour ton article !

    Tu devrais le traduire en anglais, qu’il ai plus de visibilité par rapport à toutes les bêtises qu’on lit partout.

  4. Tor … c’est quand même pas super top comme réseaux, c’est super pour sniffer les L/P. devenir un noeud de sortie et puis sniffer les protocoles clair …
    Tor, c’est que pour du non chiffré et non confidentiel … comment faire confiance a un tel réseau ?

  5. « Tor, c’est que pour du non chiffré et non confidentiel … comment faire confiance a un tel réseau ? »

    Et si je fais passer mon information *confidentielle* dans un tunnel ssh (*chiffré*) à travers Tor, je peux avoir confiance non ?
    Il faut connaitre comment fonctionne Tor pour savoir ce qu’il faut faire et ne pas faire avec, c’est tout. Comme pour tout à vrai dire.

  6. […] Did Filiol break Tor ? (1/3) […]

  7. Un point de détail pour renforcer votre propos: tous les bridges ne sont pas accessibles par mail.
    La fondation Tor en garde 1/3 sous le coude, 1/3 sont donc accessible par mail, et 1/3 sont accessibles à partir du client Tor lui-même, ce qui veut dire que même avec ce « script », Fillol ne peut avoir accès qu’à 1/3 des bridges.

  8. […] Tor, puis enfin d’évaluer la crédibilité de Filiol et de ses propos (…).» Source : koolfy.be/2011/10/24/did-filiol-break-tor-1/ Billets en relation : 24/10/2011. Rumors of Tor’s compromise are greatly exaggerated : […]

  9. Merci pour cette excellente suite d’article concernant TOR. J’ai bien fait de ne pas m’empresser de relayer bêtement l’info, que je trouvais malgré tout le tintouin autour, très limitée en véracité.

  10. J’avais une piètre image de E. Filiol (et je n’étais pas le seul), mais il a réussi à la faire empirer, de beaucoup.

    C’est l’illustration du pire du pire de ce que le « cirque de la sécurité » peut produire.

    Bien pire que la fausse vulnérabilité de WPA-Enterprise.

  11. […] mes deux articles prédécents, j’expliquais comment l’« attaque » de Filiol avait affreusement mal quantifié et référencé les Bridge Relays du réseau Tor, puis comment il avait recyclé un procédé de « Packet Spinning » exposé en […]

  12. Exellentes informations : à quand les prochains ? J’ai hâte de les lire.

    Pourtant, il y a un volet marginal qui interresse certains(es) d’entre-nous : le gain.

    Combien a touché éric filliol ?
    Sur combien de temps ?
    Pour quels travaux ?
    De qui ?

    Cela a-t-il eu une incidence :

    Sur la promotion-carrière ?
    Sur le recrutement-piston ?
    Sur  » l’effacement  » de ses erreures de parcours ?
    Sur  » un crédit  » auprès d’entreprises – privés ou/et publiques – ?

    Etc.

  13. @bruitdesbillets

    Les articles suivants sont assez facilement trouvables:
    http://koolfy.be/2011/10/29/did-filiol-break-tor-2/
    http://koolfy.be/2012/02/17/did-filiol-break-tor-3/

    Pour ce qui est des motivations de filiol, elles sont brièvement évoquées dans le 3eme article mais je n’ai pas l’intention de m’embourber dans des attaques ad-hominem ni des procès d’intentions.

  14. merci pour votre réponse –

 Leave a Reply

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>