La clé de sécurité de Google, « Titan » a été piratée par deux hackers
Cette clé censée aider pour l’authentification à double facteurs avait la réputation d’être inviolable.
C’est d’ailleurs inviolabilité qui lui a donné cette réputation et le succès qu’elle connaît. Pourtant deux hackers français ont réussi à prouver qu’elle est aussi vulnérable comme n’importe quel matériel informatique.
Cet article va aussi vous intéresser : La clé USB de Google en soutien des mots de passe
En guise de rappel il faut signifier que ces outils sont commercialisés depuis maintenant 2 ans. Leurs fonctionnalités de base sont d’accroître au maximum les connexions en rendant impossible le piratage informatique des utilisateurs. C’est une clé USB-A/NFC, doublée d’une seconde clé Bluetooth. Si en pratique elle a longtemps prouvé qu’elle peut être utile pour sécuriser la connexion, son caractère invulnérable a été malheureusement brisé grâce à la découverte des français. Le problème c’est que les jetons physiques servant à l’authentification peuvent-être Clonés. Cela a été découvert par Thomas Roche et Victor Lomne, des chercheurs en sécurité informatique, de la société NinjaLab, une société basée à Montpellier.
Les chercheurs après leur analyse de la clé de Google, ils ont estimé que pareillement à d’autres clés de la sorte, leur utilisation présente beaucoup d’avantages pour la sécurité des connexions et pour l’authentification à double facteur. Ce moyen est beau et bien sûr. Mais pas infaillible. Pour tout pirate informatique qui s’en donne les moyens, il est clair qu’il réussira à trouver forcément une faille de sécurité. « La faille de la clé de sécurité Google Titan porte sur la puce NXP contenue dans son petit boîtier en plastique, boîtier d’ailleurs beaucoup plus dur à ouvrir qu’il n’y paraît, ce qui empêche de le refermer sans dégâts. Une fois la clé ouverte et la puce accessible, l’hacker peut mener une attaque par canal latéral qui ne peut, vous l’aurez compris, être mise en œuvre qu’en cas d’accès physique à l’objet. » explique les chercheurs de ninja lab.
Pour être en mesure de pouvoir explorer la faille de sécurité, les chercheurs Français ont dû remarqué après plusieurs analyses, des émissions de radiations électromagnétiques. Des émissions qui coïncident fortement à la signature numérique émise à part la puce. En se servant alors de plus de 6 000 opérations qui utilisaient les références de la puce NXP, nos deux chercheurs ont réussi à reconstituer la clé privée au travers de chiffrement ECDSA. Avec toutes les ressources à leur disposition et leur est alors possible de créer la propre clé.
L’opération est difficile à mettre en pratique il faut le noter. Que ce soit pour l’extraction les informations ou encore la réintégration de la puce, il faut s’attendre à y mettre au minimum 4h du temps. Il faudra par la suite 6 heures de temps bien compté pour avoir des informations suffisantes pour enclencher le piratage de compte bien déterminé. Pour finir ce qui rend encore les choses beaucoup plus difficile, le pirate informatique a besoin d’avoir accès à la clé. Pour séparer un utilisateur de sa clé Titan de Google, il est difficile de pouvoir le faire de manière assez naturel, sauf si le pirate informatique prévoit l’avancée du cambriolage. Pour un seul compte, il faudra 10h du temps en tout. Lorsqu’on atteint les deux comptes il le faut à peu près 16h de temps et 22h pour 3 comptes à pirater. Mais on retiendra une chose à l’issue de cette analyse des deux hackers français : la clé ne peut pas être pirater à distance. Sur ce coup c’est Google qui a raison.
Accédez maintenant à un nombre illimité de mot de passe :
