Comment un accès pour la NSA a-t-il été établi dans Windows.

Une erreur révèle la subversion de Windows par la NSA.

Une négligence commise par des programmeurs de Microsoft a indiqué que des codes d’accès spéciaux préparés par l’agence de sécurité nationale des USA ont été secrètement introduits dans Windows. Le système d’accès de la NSA existe dans chaque version du logiciel d’exploitation de Windows en service, à l’exception de versions premières de Windows 95 (et de ses prédécesseurs). La découverte suit de prés des révélations parues plus tôt cette année selon lesquelles un autre géant de logiciel des USA, Lotus, aurait introduit une porte cachée « help information » de la NSA [1] dans son System Note, et que des fonctions de sécurité sur d’autres systèmes logiciels avaient été délibérément paralysées.

La première découverte du nouveau système d’accès de la NSA a été faite il y a deux ans par le chercheur anglais Dr Nicko van Someren. Mais ce n’est que il y a quelques semaines qu’un deuxième chercheur a redécouvert le système d’accès. Il a aussi trouvé la preuve du lien avec la NSA.

Les spécialistes en sécurité informatique se sont rendus compte pendant deux années que des dispositifs curieux apparaissent à l’intérieur d’un driver de Windows utilisé pour des fonctions de sécurité et de chiffrage. Le driver, appelé ADVAPI.dll, permet et commande une gamme de fonctions de sécurité. Si vous employez Windows, vous le trouverez dans l’annuaire de C :\Windows\system de votre ordinateur.

Advapi.dll travaille étroitement avec Microsoft Internet Explorer, mais n’exécute que les fonctions cryptographiques que le gouvernement des USA autorise Microsoft à exporter. Cette information est en elle-même une assez mauvaise nouvelle, d’un point de vue européen. Maintenant, Il s’avère qu’Advapi exécute aussi des programmes spéciaux insérés et commandés par la NSA. Jusqu’à maintenant, nul ne sait ce que sont ces programmes ou ce qu’ils font.

Le Dr Nicko van Someren a rapporté à la conférence de Crypto 98 de l’année dernière qu’il avait désassemblé le driver Advadpi. Il s’est aéré qu’il contenait deux clefs différentes. L’une est utilisée par Microsoft pour commander les fonctions cryptographiques permises dans Windows, conformément aux règlementations d’exportation adoptées par les USA. Mais la raison qui justifie l’insertion d’une deuxième clef ou son auteur, est restée un mystère.

Une deuxième clef

Il y a deux semaines, une compagnie de sécurité informatique des USA a apporté la preuve que la deuxième clef appartient à la NSA. Comme le Dr van Someren, Andrew Fernandez, chef de projet scientifique chez Cryptonym Morrisville, (Caroline du Nord), avait testé la présence et la signification des deux clefs. Ensuite il a examiné le dernier Service Pack release de Windows NT4. Il a constaté que les développeurs de Microsoft n’avaient pas enlevé ou "décapé" les symboles de debbugage employés pour tester ce logiciel avant de le libérer. À l’intérieur du code il y avait les étiquettes des deux clefs. L’une s’appelait "PRINCIPAL", l’autre ’"NSAKEY".
Fernandes a rapporté sa re-découverte des deux clefs CAPI, et leur sens secret, à la conférence Advances in Cryptology, Crypto’99" qui s’est tenue à Santa Barbara. D’aprés des participants à la conférence, les développeurs de Windows qui y assistaient n’ont pas nié que la clef de "NSA" avait été insérée dans leur logiciel. Mais ils ont refusé de parler de ce que la clef fait ou de la raison pour laquelle elle avait été mise là à l’insu des utilisateurs.

Une troisième clef ?!

Mais d’après deux témoins assistant à la conférence, même les crypto programmeurs supérieurs de Microsoft étaient étonnés d’apprendre que la version de d’Advapi.dll dans Windows 2000 contient non pas deux, mais trois clefs. Brian LaMachia, chef de développement du CAPI à Microsoft "a été assommé" en apprenant ces découvertes, réalisées par des étrangers. La dernière découverte est due au Dr van Someren qui s’est basé sur des méthodes avancées de recherche qui testent rendent compte de l’"entropie" du code de programmation.
Au sein de Microsoft, l’accès au code source de Windows serait fortement compartimenté, ce qui rend facile l’insertion de modifications à l’insu même des chefs de produit respectifs.

Des chercheurs sont divisés pour ce qui est de savoir si la clef de NSA est prévue pour laisser les utilisateurs du gouvernement des USA exécuter des cryptosystemes classifiés dans leurs machines ou si le but est de pouvoir ouvrir n’importe qui et chacun ordinateur sous Windows aux techniques de recherche de renseignement déployées par les corps encore naissant des "guerriers de l’information" employés par la NSA.

Suivant Fernandez de Cryptonym, le fait d’avoir une clef secrète à l’intérieur de votre logiciel d’exploitation Windows "a pour résultat qu’il est énormément plus facile pour la NSA de loader (charger) des services de sécurité non autorisés sur toutes les copies de Microsoft Windows. Une fois que ces services de sécurité sont chargés, ils peuvent compromettre efficacement votre logiciel d’exploitation tout entier". La clef de la NSA est contenue à l’intérieur de toutes les versions de Windows depuis Windows 95 OSR2. "Pour les directeurs d’IT non-Américain qui comptent sur Windows NT pour exécuter les bases de données fortement sécurisées cette trouvaille est inquiétante", a-t-il ajouté. "Le gouvernement des USA fait tout son possible pour que la crypto" forte " ne soit pas employée en dehors des USA. Le fait qu’ils aient également installé une porte cachée cryptographique dans le logiciel d’exploitation le plus couramment utilisé dans le monde devrait constituer un message fort envoyé aux directeurs d’IT à l’étranger ". "Comment va se sentir un directeur d’IT quand il apprendra que dans chaque copie de Windows qui a été vendue, Microsoft a installé ’une back door ’pour la NSA - lui facilitant énormément la tâche pour que le gouvernement des USA accède à votre ordinateur ?" a-t-il demandé.

La faille peut-elle être retournée contre les espions ?

Le Dr van Someren estime que le but premier de la clef NSA à l’intérieur de Windows est peut être usage légitime du gouvernement des USA. Mais il dit qu’il ne peut pas y avoir une explication légitime pour la troisième clef dans Windows 2000 CAPI. "Ça a l’air plus trouble", explique-t-il.

Fernandez croit que la porte de sortie intégrée du NSA peut être retournée contre les espions. La clef de NSA à l’intérieur de CAPI peut être remplacée par votre propre clef, et être employée pour signer les modules cryptographiques de sécurité des tiers d’outre-mer ou non autorisés, non approuvés par Microsoft ou le NSA. C’est exactement ce que le gouvernement des USA avait essayé d’empêcher. Un programme qui montre comment faire pour remplacer la clef de la NSA peut être trouvée sur le site de Cryptonym  [2]

Selon un leader de la cryptographie aux USA, le monde devrait être reconnaissant de ce que la subversion de Windows par la NSA ait émergé avant l’arrivée de CPU qui manipulent les ensembles d’instruction chiffrés. Ceux-ci rendraient le type de découvertes faites ce mois impossible. "Si les CPU de la deuxième génération dotés d’ensembles d’instruction chiffrés avait bien été déployés, nous n’aurions jamais rien découvert au sujet de la NSAKEY."  [3]