D'abord, il y avait eu la question de savoir si le driver exploité était celui de la carte embarquée. Dans la mesure où les auteurs se sont montrés très clairs sur ce point en précisant qu'ils allaient attaquer un périphérique tierce-partie, ça ressemblait plus à une campagne de communication pour noyer le poisson qu'autre chose. Ceci étant, les critiques étaient de bonne guerre, dans la mesure où l'attaque d'une plate-forme d'Apple avait largement été mise en avant comme publicité :

"We're not picking specifically on Macs here, but if you watch those 'Get a Mac' commercials enough, it eventually makes you want to stab one of those users in the eye with a lit cigarette or something."

Forcément, quand on y va de la sorte, il ne faut pas s'attendre à se faire caresser dans le sens du poil par le camp d'en face, en particulier quand on laisse sous-entendre que le driver de la carte Atheros embarquée serait lui-même vulnérable :

"The exploit shown in the video was targeting a specific third party driver and that same vulnerability does not affect the built in card. We are, however, doing ongoing research on the built-in card as well and have shared our findings with Apple."

Pour couronner le tout, Brian Krebs du Washington Post nous apprend qu'Apple dément fermement qu'on lui ait montré quelque exploitation que ce soit, tandis qu'Atheros affirme n'avoir été contacté d'aucune manière.

Finalement, c'est bien le manque d'informations techniques concrêtes qui donne prise à la rumeur, un peu comme à Cansecwest/core05, puis à ToorCon, où David Maynor avait fait une présentation sur l'attaque via des périphériques malicieux, USB et PCMCIA principalement. Malheureusement, personne ne semble avoir vu la moindre démonstration, ligne de code ou explication un peu détaillée permettant d'appuyer ses dires. Et ça me hérisse particulièrement le poil dans la mesure où j'avais abandonné les quelques démos de ma présentation parce qu'il était censé en faire des similaires...

Et puis vient la thèse du fake, qu'on retrouve argumentée par Jim Thompson dans ce long billet qui décortique la vidéo façon Fox Mulder en forme, son attention exacerbée ne passant à côté d'aucun détail. Je passerai sur les trucs blancs qui ressemblent à d'autres trucs blancs, mais pas tout à fait, qui disparaissent ou apparaissent bizarrement, et autres choses un peu capillotractées qui se trouvent largement décrite dans le billet. Par contre, il y a deux points qui m'ont fait plus particulièrement réagir : la connexion au réseau 192.168.1.0/24 et l'adresse MAC cible de l'attaque.

La connexion réseau semble revêtir une grande importance dans cette affaire parce qu'elle soit manifestement réalisée à l'aide de l'Airport sur MacBookPro, alors qu'elle n'est pas censée être impliquée. Mais mettons trente secondes à la place de Maynor. Il veut une démonstration. L'idée qu'il veut mettre en pratique consiste à r00ter sa petite victime via un dongle WiFi USB non associé et de récupérer un shell en connect back. Le problème, c'est que sans association, pas de connexion ! À partir de là, soit il monte tout un système de communication au dessus de trames de signalisations, genre IP over Probes, soit il se débrouille pour récupérer un lien réseau ailleurs. C'est évidemment cette dernière solution qu'il va choisir, comme n'importe qui d'autre l'aurait fait. Il a alors deux solutions : la carte ethernet ou l'Airport. Comme sa démo porte sur du WiFi et qu'il veut bien montrer à tout le monde qu'il n'y a pas de câble qui traîne, il va opter pour la seconde. Il monte donc un AP avec son Dell[1], y associe l'Airport et le tour est joué. Il peut donc attaquer son dongle et récupérer son shell via le lien IP porté par l'Airport. Ça ne me choque pas outre mesure, mais le manque d'explication et la complexité du montage laissent planer le doute. D'autant que comme me le faisait très justement mon chevelu de voisin de bureau, il aurait pu faire pleins d'autres choses aussi démonstratives qu'un connect back, comme ajouter un utilisateur, créer un fichier sur le bureau, ouvrir un popup, etc. On y perd en interactivité, le côté Wargames en prenant un coup au passage, mais au moins, ça démontrerait l'effet dans les conditions minimales d'exploitation sans mettre pas en jeu l'Airport et, plus important, sans prêter à confusion ou polémique.

Par contre, l'histoire de l'adresse MAC est un peu plus gênante. Lorsque Maynor lance son exploit, on peut lire à l'écran l'aide en ligne qui montre qu'un des paramètres nécessaires est l'adresse MAC de la carte WiFi ciblée. Vu la manière dont le programme est appelé, il semble très probable que ce soit le dernier argument fourni, dont on voit la fin en retour à la ligne, avec 6D pour le dernier octet. Il se trouve que c'est la même valeur que l'Airport du MacBookPro. Argh, pas de bol quand même... Si c'est effectivement le cas, cela voudrait dire qu'il envoie quelque chose à cette carte, alors que d'une part elle n'est pas censée servir et que d'autre part elle porte un lien IP. Il n'en fallait pas plus pour que doucement se profile l'idée du bidonnage complet : Maynor ne lancerait en fait qu'une simple connexion vers un programme en écoute de l'autre côté (genre netcat), et poupouf le shell. À vrai dire, la vidéo ne montrant que très peu de choses, aucun élément technique n'étant là, on ne peut que conjecturer dans un sens ou dans l'autre. Ajoutez à cela les antécédants de Maynor, et forcément, vous vous posez la question : fake ou pas ?

J'ai plutôt tendance à faire confiance, c'est mon côté bisounours. Toutefois, je m'interroge sur la démarche des auteurs. Ces dernier se réfugient en effet derrière l'argument du full disclosure responsable pour justifier l'absence de démonstration et de publication détaillée qu'ils disent vouloir diffuser lorsque la faille sera patchée. Et c'est bien là que le bât blesse. Quand on publie, on ne fait pas les choses à moitié. Soit on en dit suffisament, soit on se tait en attendant de pouvoir le faire. Mais non, forcément, il fallait que ça sorte pour la BlackHat. Mais au final, on n'a rien. Juste des présomptions, des plans sur la comètes et surtout une sombre impression de malaise, comme si on était passé à côté de quelque chose d'important, tant il y a des choses à dire sur les drivers. Dommage.

La question aujourd'hui n'est donc pas à mon avis de savoir si tout cela est vrai ou non, ou dans quelle mesure ce serait bidonné, mais plutôt de savoir si ces travaux dépasseront l'énorme perte de temps et d'énergie qu'ils ont suscité jusque là. J'espère vraiment que ce sera le cas, vraiment... Parce qu'au delà de la honte que vont devoir se trainer Maynor et Cache, ça sera un énorme discrédit pour BlackHat, qui aurait alors laisser passer un papier sans aucune justification technique pour l'appuyer...

Notes

[1] Pourquoi ne pas utiliser un simple AP à deux francs six sous qui aurait aussi bien pu faire l'affaire ?