PoisonTap : le Raspberry Pi Zero à 5 dollars de Samy Kamkar pille un PC verrouillé en 30 secondes

En novembre 2016, le chercheur en sécurité Samy Kamkar a publié PoisonTap : un logiciel gratuit sur un Raspberry Pi Zero à 5 dollars qui, branché sur un Mac ou un PC verrouillé pendant environ 30 secondes, intercepte le trafic web et les cookies d'authentification de la machine, puis installe une porte dérobée qui maintient le navigateur et le réseau local contrôlables à distance une fois l'appareil retiré. « La motivation principale est de démontrer que, même sur un ordinateur protégé par mot de passe fonctionnant sous Wi-Fi WPA2, votre système et votre réseau peuvent encore être attaqués rapidement et facilement », a-t-il déclaré à Ars.

La chaîne n'utilise que des commodités standard. Le Pi se fait passer pour une carte Ethernet et, distribuant des adresses via DHCP, devient la passerelle ; en définissant le réseau local comme l'ensemble de l'espace IPv4, il devient aussi la passerelle de tout le trafic internet. Il trouve un navigateur en arrière-plan et y injecte des iframes cachées pointant vers le million de sites les plus visités d'Alexa, et — en se faisant passer pour le serveur HTTP de chaque site — collecte les cookies qui reviennent. Du code planté dans le cache maintient un WebSocket persistant actif après le retrait de la clé ; une attaque par rebinding DNS donne un accès administratif au routeur connecté.

Les défenses énumérées dans l'article sont structurelles, non comportementales. HSTS et des cookies correctement sécurisés déjouent la récolte de cookies — c'est pourquoi les pages de Google et Facebook ne pouvaient pas être déclenchées — tandis que l'authentification multifacteur n'aide guère, car elle n'est pas redéclenchée par les connexions fondées sur les cookies. Les utilisateurs finaux peuvent fermer les navigateurs avant de verrouiller, activer FileVault2 et mettre le Mac en veille, ou vider les caches ; l'habitude la plus sûre est simplement d'emporter la machine avec soi.

PoisonTap s'inscrivait dans la lignée de hacks bon marché et publiés de Kamkar : un chargeur USB à 10 dollars qui capture les frappes au clavier, un appareil à 30 dollars qui ouvre des voitures et des garages à verrouillage électronique, une application de traqueur DIY bâtie sur Google Street View. Il a publié le code source et une vidéo de démonstration, et Ars Technica a présenté ce schéma comme un avertissement permanent sur les compromis de sécurité d'un monde de plus en plus informatisé.

Un écran verrouillé protège l'invite de connexion, pas la pile réseau : se faire passer pour la passerelle Ethernet USB, qualifier tout l'internet IPv4 de « local », et les cookies viennent à vous.

Il ne nécessite aucune faille zero-day : le réseau par USB, le DHCP, les plages « locales » permissives et la persistance du cache sont tous des commodités ordinaires, simplement enchaînées dans le bon ordre.

Il a déplacé la frontière de confiance : l'invite de connexion n'a jamais été la véritable surface d'attaque — la pile réseau et le navigateur en arrière-plan l'étaient.

À 5 dollars, il a démocratisé une attaque qui semblait relever du fantasme d'un acteur étatique, déplaçant l'argument défensif des habitudes des utilisateurs vers des garanties au niveau des protocoles.

Une fois le matériel touché, la robustesse du mot de passe est sans importance. Placez la garantie au niveau du protocole — HSTS, cookies Secure — car les règles comportementales comme « verrouillez votre écran » échouent face à un appareil à 5 dollars.

Kamkar a publié le code source complet et une vidéo de démonstration, rendant la chaîne reproductible par quiconque dispose d'une carte à 5 dollars. L'article notait que l'exploit échouait déjà contre les sites appliquant correctement HSTS et les cookies Secure — Google et Facebook parmi eux — un instantané d'une industrie en pleine transition vers des paramètres par défaut tout-HTTPS. Son conseil pratique se terminait par l'option des vraiment paranoïaques : emporter l'ordinateur portable avec soi, ou éteindre complètement la machine.