ENT, des faux avis avec ma main

Les arsouyes
(in english)
4 avril 2024

En plein dans la lecture de fichiers PDF pour des expertises civiles, on n’a pas produit d’article mais ça n’a pas empêché l’actualité de nous rattraper…

Les ENTs. Une première vague de fausses alertes terroristes avait déjà déferlé sur les ENT en septembre et comme nous l’avions plus ou moins prédit à l’époque, une seconde vague s’est de nouveau abattue 6 mois plus tard. Sauf que cette fois, les petits-malins ont aussi diffusé des vidéos choquantes…

Mais au delà des aspects techniques du piratage en lui même (du phishing, c’est pas comme s’ils avaient injecté un shellcode polymorphique dans un zéro day). On salue la décision pleine de bon sens du ministère de supprimer la messagerie des ENT. Preuve s’il y en avait besoin, que le [merveilleux] site des arsouyes influence jusque dans ces hautes sphères du pouvoir puisque notre dernier article [5] concluait par ces termes :

https://www.arsouyes.org/articles/2024/2024-03-11_useless_IT/

[…] Quand on leur dira que des maîtresses d’école ont besoin de communiquer avec des parents, ils échouerons à l’épreuve en modélisant un ENT mais réussirons en proposant une simple liste de diffusion. Points bonus pour ceux qui se rappelleront qu’un cahier de liaison existe déjà et permet, contrairement à l’informatique, de responsabiliser les enfants.

Si le ministère pouvait passer l’étape suivante et débranche entièrement les ENT (dont pronote), ça ne pourrait que faire du bien à tous les enfants et les personnels de l’Education Nationale.

Les faux avis. La technique est vieille comme le commerce ; si vous voulez vendre un produit, faites appel à un complice qui en dira du bien. Morris en avait fait un album en 1955 ; l’Elixir du Docteur Doxey. Sauf qu’avec les réseaux sociaux et les places de marchés, ça a pris des proportions industrielles…

Identifier avec la main. Parmi les moyens d’authentification, la biométrie donne souvent l’impression d’avoir les meilleurs résultats mais le plus gros coût de mise en place (tout bon film de science fiction utilisera, à minima, un scan laser de la rétine). Ingénico (industriel des moyens de paiement) s’est dit, plutôt qu’une carte bancaire, si on reconnaissait la forme de la main, ou plutôt le tracé des vaisseaux sanguins…

https://www.tf1.fr/tf1/jt-13h/videos/je-paye-avec-ma-main-37989940.html

Techniquement, la forme de la main a été piratée depuis un bon moment (mais reste utile dans des contextes où ça n’en vaut pas la peine, comme une cantine scolaire). La forme des vaisseaux sanguins l’a aussi été par le CCC en 2019. D’après ce qu’on a compris, ils vérifient maintenant que la main est vivante.

Ce système, comme tout système de reconnaissance biométrique, a des taux de faux négatif (vous n’êtes pas reconnu pour qui vous êtes) et de faux positifs (une authentification frauduleuse). Les techniques par reconnaissance des visages font l’objet d’évaluation par le NIST [9] et lorsqu’on fixe le taux de fraude à 1/1.000.000, on a des échecs d’authentification variables autour de 3/1000. Pour les mains, ingénico n’a pas communiqué sur les taux obtenus mais il faut les comparer à ceux des moyens actuels des paiements par carte bancaire : 3/10.000 de fraude lorsqu’on doit utiliser le code pin, 1/1 pour le sans contact. Donc même si une main n’est pas aussi fiable que ça, tant que c’est mieux qu’un code PIN, c’est toujours ça de pris.

https://pages.nist.gov/frvt/html/frvt11.html

Mais le vrai problème avec les méthodes biométriques, celui dont on parle peu dans ces discussions, c’est que si une base de donnée est corrompue, que la donnée d’authentification est cassée puis réutilisée, on ne peut pas changer notre corps aussi facilement qu’on change un mot de passe ou une clé cryptographique après une fuite. Que le CCC arrive à créer une nouvelle fausse main à partir de données présentes dans une base d’authentification (ou une base d’un hôpital), et toutes les personnes concernées devront payer des dizaines de milliers d’euros en chirurgie pour pouvoir continuer à utiliser le système… (On me souffle dans l’oreillette qu’un hématome redistribue les vaisseaux sanguins lors de sa résorption, un bon coup de maillet et quelques semaines d’arrêt maladie devrait pouvoir résoudre le problème).

Garder ses mains dans ses poches pourrait devenir un signe de résistance à l’oppression…