Palinopsia "“ Quand votre carte graphique trahit vos secrets

Des chercheurs en sécurité allemands viennent de publier un document dans lequel ils expliquent une méthode pour lire et afficher des framebuffers (en Français : Des tampons de trames) extraits de plusieurs cartes graphiques grand public.

En effet, même après un redémarrage de l'ordinateur, le contenu de la VRAM n'est pas effacé et il est possible d'y accéder. Imaginons que vous soyez en train de travailler sur un document top secret qui ressemble à ceci :

http://korben.info/wp-content/uploads/2015/03/capture5-650x406.png

Vous partez faire une pause café et comme vous l'a appris le formateur ANSSI, vous pensez bien à verrouiller la session de votre ordinateur. Très bien... Seulement, voici un affreux espion chinois ou russe ou américain ou du daesh qui s'incruste dans votre bureau pendant que vous n'y êtes pas. Il redémarre alors votre machine avec un Live CD Ubuntu à partir duquel il lance le petit logiciel mis au point par les chercheurs allemands.

Et comme la VRAM de la carte graphique n'a pas été vidée, voici ce qu'il obtient :

http://korben.info/wp-content/uploads/2015/03/screenshot118-650x406.png

Il récupère les fameux framesbuffers. C'est moche et difficilement lisible, mais en les assemblant, il pourra grappiller quelques informations précieuses. Sachez aussi que la qualité des images récupérées dépend du driver et de la carte graphique de la machine ciblée.

Plus inquiétant, même si vous bossez sur un système d'exploitation dit sécurisé comme Tails, la même technique peut fonctionner. Sur le site, ils donnent l'exemple d'une clé RSA générée sur Tails, que l'utilisateur ouvre avec gedit et dont l'image se retrouve dans la VRAM.

Ce problème a été observé sur les Linux utilisant les drivers open source radeon (cartes AMD/ATI), ou le nouveau driver open source NVidia, ou le driver fermé NVidia et les Windows utilisant le driver fermé pour les cartes ATI et AMD. Et avec les cartes :

1. ATI Radeon HD3750
2. ATI Radeon HD4350/4550
3. nVidia NVS 5400M
4. nVidia GeForce GT650M

Ca ne veut pas dire que les autres drivers et les autres cartes ne sont pas sensibles à cette attaque. Ça veut juste dire que les mecs n'ont pas testé sur plus de cartes et avec plus de drivers que ça.

Petite subtilité, cette technique baptisée Palinopsia est aussi réalisable depuis une machine virtuelle, sur une VirtualBox dont l'accélération matérielle 3D a été activée. Cela signifie que si vous lancez une VM étrangère sur votre système, elle peut parfaitement récupérer les images contenues dans la VRAM et les envoyer à un attaquant à votre insu.

http://korben.info/wp-content/uploads/2015/03/palinopsia-650x366.png

Cet article merveilleux et sans aucun égal intitulé : Palinopsia – Quand votre carte graphique trahit vos secrets ; a été publié sur Korben, le seul site qui t'aime plus fort que tes parents.