Avec Cortana, un ordinateur verrouillé n'est pas forcément protégé

08 mars 2018 à 16h27
0
Si les assistants vocaux nous facilitent la vie, il y a aussi le revers de la médaille : dans certains cas, ils peuvent donner aux individus mal intentionnés un accès à votre ordinateur qu'ils n'auraient pas eu sans cet outil.

En passant par Cortana, deux chercheurs israéliens ont réussi à forcer un ordinateur verrouillé à visiter un site de leur choix. Les conséquences de l'exploitation de cette faille auraient pu être destructrices si des hackers s'étaient mis à l'exploiter. Heureusement, Microsoft a fermé rapidement la vanne en apportant un correctif.

Jusqu'à il y a peu, n'importe quel ordinateur sous Windows 10 avec Cortana pouvait être forcé à télécharger un malware

La découverte faite par Tal Be'ery et Amichai Shulman fait froid dans le dos. Les deux Israéliens se sont aperçus que Cortana, l'assistant vocal de Microsoft, restait à l'affût même lorsque l'ordinateur était en mode « veille » et/ou verrouillé. Toute personne ayant physiquement accès à un tel ordinateur peut alors insérer un adaptateur Ethernet USB, puis ordonner à Cortana de lancer le navigateur et d'aller sur n'importe quel site n'utilisant pas le protocole https. Puisqu'il n'y a pas de chiffrement, le malfaiteur peut se mettre entre le navigateur et l'équipement réseau auquel est relié l'adaptateur Ethernet (box Internet par exemple) pour rediriger le trafic vers un site malicieux, lequel forcerait le téléchargement d'un malware.

L'effet dévastateur pourrait être démultiplié si des adaptateurs Ethernet sont insérés dans d'autres ordinateurs se trouvant à proximité, les organisant ainsi en réseau, ou bien en sélectionnant le « bon » réseau avec la souris à partir de l'écran de déverrouillage. Ou alors, un ordinateur compromis pourrait d'abord recevoir un malware qui forcerait le passage via les haut-paleurs d'un fichier audio pré-enregistré avec des commandes Cortana à destination d'autres ordinateurs se trouvant à proximité.

Cortana


Pour vous protéger des malfaiteurs, apprenez à Cortana à reconnaître votre voix !

Ayant découvert cette faille, et avant de diffuser leurs travaux, les deux chercheurs ont alerté Microsoft, qui a depuis sorti un correctif. Désormais, les requêtes de visiter tel ou tel site formulées via Cortana alors que l'ordinateur est verrouillé sont redirigées vers Bing, le moteur de recherche « maison ». Afin de protéger davantage son ordinateur, les deux chercheurs recommandent de paramétrer Cortana pour qu'elle réponde uniquement au propriétaire de l'ordinateur. Windows propose en effet de cocher une case intitulée « Essayer de ne répondre qu'à moi »

Et même si les deux Israéliens n'ont pas essayé ce dernier scénario, au lieu de parler avec leur propre voix, en théorie ils auraient aussi pu passer un enregistrement d'ultrasons, complètement inaudibles à l'oreille humaine (ce qui éviterait aux malfaiteurs d'etre remarqués), mais parfaitement audible pour un mico d'ordinateur. Une attaque de ce type a été essayée en 2017 par des chercheurs chinois et a reçu le nom de DolphinAttack.

Voir aussi :
Modifié le 01/06/2018 à 15h36
Soyez toujours courtois dans vos commentaires
et respectez le réglement de la communauté.
0
0

Actualités récentes

Une série animée dramatique Game of Thrones serait dans les cartons chez HBO Max
Nissan dévoile un van baroudeur et tout électrique : le e-NV200 Winter Camper
Alors, on regarde ? Resident Alien S01E01
Test DualSense : le gamepad PS5 tient ses promesses d'immersion
Soldes Amazon : l'enceinte Ultimate Ears Boom 3 à près de -50%
Affaire du Joy-Con Drift : la Commission Européenne sommée d'enquêter suite à 25 000 plaintes
Signal : faut-il modérer les groupes de discussion ? Les employés lancent le débat en interne
Valve poursuivie pour violation d'un brevet de manette sur lequel le Steam Controller se baserait
Soldes 2ème démarque : les Samsung Galaxy Buds Live au meilleur prix sur Amazon
AMD : la pénurie des pièces pour les consoles next-gen et PC attendue jusqu'au second semestre 2021
Haut de page