Linux vulnérable à la touche backspace : un faux problème

Romain Heuillard
Publié le 21 décembre 2015 à 16h10
Depuis plus de cinq ans, il suffisait de presser frénétiquement la touche retour arrière (backspace) pour devenir administrateurs sur certains ordinateurs exécutant Linux. Mais cette faille ne concerne en fait qu'une minorité d'utilisateurs, et son correctif n'empêchera probablement pas d'accéder librement aux données de la plupart des utilisateurs.

Alerte ! Depuis la semaine dernière, de nombreux médias s'amusent de la facilité avec laquelle on peut « pirater » des ordinateurs exécutant Linux : il suffirait de presser 28 fois la touche retour arrière au démarrage. En cause, une faille de Grub 2, le chargeur de démarrage (bootloader) par défaut de nombreuses distributions Linux, dont quelques unes des plus populaires.

« Un nombre incalculable d'ordinateurs » seraient ainsi affectés, comme l'écrivent eux-mêmes les chercheurs qui ont révélé leur découverte la semaine dernière.

00092171-photo-linux-tux-logo-officiel.jpg

Une authentification en fait quasi inutilisée

Mais ce qui a échappé à la plupart des médias, c'est que la faille concerne une fonction que presque personne n'utilise. La plupart des ordinateurs exécutant Linux sont de toute manière bien plus vulnérables par d'autres biais.

La faille que ces deux chercheurs de l'université polytechnique de Valence ont révélée affecte effectivement la fonction d'authentification du chargeur de démarrage Grub 2. Comblée depuis, elle permettait d'accéder sans mot de passe à la console de secours (rescue shell) du bootloader, laquelle ouvre la voie à toutes sortes d'opérations.

« Une chaîne n'est pas plus solide que son maillon le plus faible »

Mais la quasi-totalité des utilisateurs s'en remettent à l'authentification du seul système d'exploitation. Nombreux sont ceux qui ne savent pas qu'on peut protéger en amont le chargeur de démarrage, et à quel point leurs données sont à défaut aisément accessibles à ceux qui mettent la main sur l'ordinateur.

Concrètement, sur tous ces ordinateurs sur lesquels le bootloader n'est pas protégé par mot de passe, on peut accéder librement à la console de secours. Et donc copier ou supprimer des données, et/ou installer un logiciel espion, sans même avoir chargé le système d'exploitation. Pire, en modifiant à la volée les paramètres de démarrage, ce qu'on peut faire librement dans la majorité des cas, on peut démarrer le système d'exploitation directement sur une invite de commande, en passant outre l'authentification.

0190000008288784-photo-got-rescue-shell.jpg
0190000008288786-photo-got-rescue-shell.jpg

En somme, installer le correctif de Grub 2 n'apportera pas le moindre gain de sécurité à la majorité des utilisateurs de Linux. Pas plus que d'activer l'authentification dès le bootloader. Car il suffirait de démarrer sur le disque dur avec un autre bootloader, par exemple en le chargeant depuis une clé USB.

« Une chaîne n'est pas plus solide que son maillon le plus faible », dit le dicton. En l'occurrence, la meilleure protection et la seule vraiment valable est de chiffrer son disque dur ou son SSD. Plus personne ne pourra accéder à vos données sans votre passphrase, quelles que soient les failles de sécurité de tel ou tel composant du système.
Romain Heuillard
Par Romain Heuillard

C'est vers l'âge de 12 ans, lorsque j'ai reçu mon premier ordinateur (un Pentium 100), que j'ai décidé d'abandonner ma prometteuse carrière de constructeur de Lego pour me consacrer pleinement à ma nouvelle passion pour l'informatique. Depuis je me suis aussi passionné pour l'imagerie en général et pour la photo en particulier, mais je reste fan de sujets aussi obscurs que les procédés de fabrication de composants électroniques ou les microarchitectures de processeurs, que l'infiniment grand et l'infiniment petit. Je suis enfin foncièrement anti-DRM et pro-standards ouverts.

Vous êtes un utilisateur de Google Actualités ou de WhatsApp ?
Suivez-nous pour ne rien rater de l'actu tech !
Commentaires (0)
Rejoignez la communauté Clubic
Rejoignez la communauté des passionnés de nouvelles technologies. Venez partager votre passion et débattre de l’actualité avec nos membres qui s’entraident et partagent leur expertise quotidiennement.
Abonnez-vous à notre newsletter !

Recevez un résumé quotidien de l'actu technologique.

Désinscrivez-vous via le lien de désinscription présent sur nos newsletters ou écrivez à : [email protected]. en savoir plus sur le traitement de données personnelles