Tous les processeurs modernes intègrent désormais des plateformes de gestion cachées comme le désormais tristement célèbre Intel Management Engine et l’AMD Platform Security Processor.
Ces plateformes de gestion sont de petits systèmes d’exploitation qui tournent directement sur votre processeur tant qu’ils sont alimentés. Ces systèmes ont un accès complet au réseau de votre ordinateur et pourraient être utilisés par un adversaire pour vous désanonymiser de diverses façons (par accès direct ou via un malware, par exemple), comme le montre cette vidéo éclairante : BlackHat, How to Hack a Turned-Off Computer, or Running Unsigned Code in Intel Management Engine https://www.youtube.com/watch?v=9fhNokIgBMU Invidious.
Ils ont déjà été touchés par plusieurs vulnérabilités de sécurité par le passé, qui ont permis à des malwares de prendre le contrôle des systèmes visés. Ils sont aussi accusés par de nombreux acteurs de la confidentialité, dont l’EFF et Libreboot, d’être une porte dérobée vers n’importe quel système.
Il existe des méthodes pas si simples pour désactiver l’Intel IME sur certains processeurs, et vous devriez le faire si vous le pouvez. Sur certains ordinateurs portables AMD, vous pouvez le désactiver dans les paramètres du BIOS en désactivant PSP.
Notez qu’à la décharge d’AMD, jusqu’à présent et pour autant que je sache, aucune vulnérabilité de sécurité n’a été trouvée pour l’ASP, ni aucune porte dérobée : voir https://www.youtube.com/watch?v=bKH5nGLgi08&t=2834s Invidious. De plus, l’AMD PSP ne fournit aucune capacité de gestion à distance, contrairement à l’Intel IME.
Si vous vous sentez un peu plus aventureux, vous pourriez installer votre propre BIOS avec Libreboot ou Coreboot, si votre ordinateur portable le prend en charge (sachez que Coreboot contient bien du code propriétaire, contrairement à son fork Libreboot).
Par ailleurs, certains processeurs ont des failles impossibles à corriger (surtout les processeurs Intel) qui pourraient être exploitées par divers malwares. Voici une bonne liste actuelle de ce type de vulnérabilités affectant des processeurs récents et très répandus : https://en.wikipedia.org/wiki/Transient_execution_CPU_vulnerability Wikiless Archive.org
Vérifiez par vous-même :
- Si vous utilisez Linux, vous pouvez vérifier l’état de vulnérabilité de votre processeur face aux attaques Spectre/Meltdown en utilisant https://github.com/speed47/spectre-meltdown-checker Archive.org, disponible sous forme de paquet pour la plupart des distributions Linux, y compris Whonix.
- Si vous utilisez Windows, vous pouvez vérifier l’état de vulnérabilité de votre processeur avec inSpectre https://www.grc.com/inspectre.htm Archive.org
Certaines de ces failles peuvent être évitées grâce à des paramètres de logiciel de virtualisation qui atténuent ce genre d’exploits. Consultez ce guide pour plus d’informations https://www.whonix.org/wiki/Spectre_Meltdown Archive.org (Attention : ils peuvent fortement dégrader les performances de vos machines virtuelles).
Je vais donc atténuer certains de ces problèmes dans ce guide en recommandant l’usage de machines virtuelles sur un ordinateur portable anonyme dédié à vos activités sensibles, qui ne sera utilisé que depuis un réseau public anonyme.
De plus, je recommanderai l’usage de processeurs AMD plutôt que de processeurs Intel.
Source : The Hitchhiker’s Guide to Online Anonymity, écrit par AnonyPla © CC BY-NC 4.0