Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Palinopsia – Quand votre carte graphique trahit vos secrets

Des chercheurs en sécurité allemands viennent de publier un document dans lequel ils expliquent une méthode pour lire et afficher des framebuffers (en Français : Des tampons de trames) extraits de plusieurs cartes graphiques grand public.

En effet, même après un redémarrage de l’ordinateur, le contenu de la VRAM n’est pas effacé et il est possible d’y accéder. Imaginons que vous soyez en train de travailler sur un document top secret qui ressemble à ceci :

Capture

Vous partez faire une pause café et comme vous l’a appris le formateur ANSSI, vous pensez bien à verrouiller la session de votre ordinateur. Très bien… Seulement, voici un affreux espion chinois ou russe ou américain ou du daesh qui s’incruste dans votre bureau pendant que vous n’y êtes pas. Il redémarre alors votre machine avec un Live CD Ubuntu à partir duquel il lance le petit logiciel mis au point par les chercheurs allemands.

Et comme la VRAM de la carte graphique n’a pas été vidée, voici ce qu’il obtient :

screenshot1

Il récupère les fameux framesbuffers. C’est moche et difficilement lisible, mais en les assemblant, il pourra grappiller quelques informations précieuses. Sachez aussi que la qualité des images récupérées dépend du driver et de la carte graphique de la machine ciblée.

Plus inquiétant, même si vous bossez sur un système d’exploitation dit sécurisé comme Tails, la même technique peut fonctionner. Sur le site, ils donnent l’exemple d’une clé RSA générée sur Tails, que l’utilisateur ouvre avec gedit et dont l’image se retrouve dans la VRAM.

Ce problème a été observé sur les Linux utilisant les drivers open source radeon (cartes AMD/ATI), ou le nouveau driver open source NVidia, ou le driver fermé NVidia et les Windows utilisant le driver fermé pour les cartes ATI et AMD. Et avec les cartes :

  1. ATI Radeon HD3750
  2. ATI Radeon HD4350/4550
  3. nVidia NVS 5400M
  4. nVidia GeForce GT650M

Ca ne veut pas dire que les autres drivers et les autres cartes ne sont pas sensibles à cette attaque. Ça veut juste dire que les mecs n’ont pas testé sur plus de cartes et avec plus de drivers que ça.

Petite subtilité, cette technique baptisée Palinopsia est aussi réalisable depuis une machine virtuelle, sur une VirtualBox dont l’accélération matérielle 3D a été activée. Cela signifie que si vous lancez une VM étrangère sur votre système, elle peut parfaitement récupérer les images contenues dans la VRAM et les envoyer à un attaquant à votre insu.

vm1

Alors que faire pour éviter tout problème de fuite ? Et bien pas grand-chose mis à part éteindre complètement votre ordinateur quand vous vous absentez pour vider la VRAM. Et si vous utilisez des machines virtuelles, pensez bien à désactiver l’accélération matérielle sur celles-ci.

Si ça vous intéresse, un proof of concept a été mis en ligne ici et toutes les explications nécessaires à son utilisation sont ici.

Que faire après le bac quand on est passionné de cybersécurité ?

Entièrement dédiée à la cybersécurité, l’école Guardia est accessible soit directement après le bac (post-bac), soit après un bac+2 ou bac+3. En rejoignant l’école Guardia, vous deviendrez développeur informatique option cybersécurité (Bac+3) ou expert en cybersécurité (Bac+5).

Cliquez ici pour en savoir plus

Lien sponsorisé


Les articles du moment