Avec Cortana, un ordinateur verrouillé n'est pas forcément protégé

08 mars 2018 à 16h27
0
Si les assistants vocaux nous facilitent la vie, il y a aussi le revers de la médaille : dans certains cas, ils peuvent donner aux individus mal intentionnés un accès à votre ordinateur qu'ils n'auraient pas eu sans cet outil.

En passant par Cortana, deux chercheurs israéliens ont réussi à forcer un ordinateur verrouillé à visiter un site de leur choix. Les conséquences de l'exploitation de cette faille auraient pu être destructrices si des hackers s'étaient mis à l'exploiter. Heureusement, Microsoft a fermé rapidement la vanne en apportant un correctif.

Jusqu'à il y a peu, n'importe quel ordinateur sous Windows 10 avec Cortana pouvait être forcé à télécharger un malware

La découverte faite par Tal Be'ery et Amichai Shulman fait froid dans le dos. Les deux Israéliens se sont aperçus que Cortana, l'assistant vocal de Microsoft, restait à l'affût même lorsque l'ordinateur était en mode « veille » et/ou verrouillé. Toute personne ayant physiquement accès à un tel ordinateur peut alors insérer un adaptateur Ethernet USB, puis ordonner à Cortana de lancer le navigateur et d'aller sur n'importe quel site n'utilisant pas le protocole https. Puisqu'il n'y a pas de chiffrement, le malfaiteur peut se mettre entre le navigateur et l'équipement réseau auquel est relié l'adaptateur Ethernet (box Internet par exemple) pour rediriger le trafic vers un site malicieux, lequel forcerait le téléchargement d'un malware.

L'effet dévastateur pourrait être démultiplié si des adaptateurs Ethernet sont insérés dans d'autres ordinateurs se trouvant à proximité, les organisant ainsi en réseau, ou bien en sélectionnant le « bon » réseau avec la souris à partir de l'écran de déverrouillage. Ou alors, un ordinateur compromis pourrait d'abord recevoir un malware qui forcerait le passage via les haut-paleurs d'un fichier audio pré-enregistré avec des commandes Cortana à destination d'autres ordinateurs se trouvant à proximité.

Cortana


Pour vous protéger des malfaiteurs, apprenez à Cortana à reconnaître votre voix !

Ayant découvert cette faille, et avant de diffuser leurs travaux, les deux chercheurs ont alerté Microsoft, qui a depuis sorti un correctif. Désormais, les requêtes de visiter tel ou tel site formulées via Cortana alors que l'ordinateur est verrouillé sont redirigées vers Bing, le moteur de recherche « maison ». Afin de protéger davantage son ordinateur, les deux chercheurs recommandent de paramétrer Cortana pour qu'elle réponde uniquement au propriétaire de l'ordinateur. Windows propose en effet de cocher une case intitulée « Essayer de ne répondre qu'à moi »

Et même si les deux Israéliens n'ont pas essayé ce dernier scénario, au lieu de parler avec leur propre voix, en théorie ils auraient aussi pu passer un enregistrement d'ultrasons, complètement inaudibles à l'oreille humaine (ce qui éviterait aux malfaiteurs d'etre remarqués), mais parfaitement audible pour un mico d'ordinateur. Une attaque de ce type a été essayée en 2017 par des chercheurs chinois et a reçu le nom de DolphinAttack.

Voir aussi :
Modifié le 01/06/2018 à 15h36
Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
0
0

Actualités du moment

#Vidéo | On a approché le Galaxy S9 lors du MWC : quelles nouveautés ?
TF1 et Orange trouvent un accord au montant fortement baissé
Smartphone : les fans d’Apple moins fidèles que ceux d’Android
Alexa sait désormais trouver des chansons selon votre humeur
Sea of Thieves : la bêta ouverte à tous ce week-end !
Android P : quelles sont ses nouvelles fonctionnalités?
Une caméra connectée qui vous dit quand le feu est vert sur votre téléphone ?
Oculus : tous les casques Rift hors-service depuis hier
Les Huawei P20, Pro et Lite fuitent : dites bonjour au triple capteur photo
Votre horloge est peut-être en retard de 6 minutes... mais pourquoi ?
Haut de page