vendredi 20 octobre 2017

Accueil du site > Technologie > Le premier virus contre les puces RFID créé en labo

Le premier virus contre les puces RFID créé en labo

Christophe Guillemin, ZDNet France

vendredi 17 mars 2006, sélectionné par Spyworld

Des chercheurs d’une université d’Amsterdam assurent avoir développé le premier virus pour puces RFID, capable de compromettre la base de données centrale. Les experts en sécurité sont dubitatifs.

Une équipe de chercheurs néerlandais affirme avoir réalisé le premier virus pour étiquettes électroniques à radiofréquences (RFID). Ces puces de petite taille collées par exemple sur les produits de grande consommation permettent aux industriels aujourd’hui de les tracer durant la chaîne de distribution.

Elles font donc office d’identifiant unique et intègrent une petite mémoire où sont stockées les données. Lors de leur passage devant un lecteur, ces données sont envoyées à un serveur qui héberge la base de données centrale.

Théoriquement, si la mémoire de la puce intègre un code malveillant, il peut donc contaminer le serveur et corrompre la base de données centrale. C’est sur ce principe de base qu’ont travaillé les chercheurs en informatique de l’université « Vrije » d’Amsterdam.

Ils ont élaboré un programme malveillant de petite taille, de moins de 1.024 bits, afin qu’il tienne dans la mémoire réduite des puces. Ils ont récréé en laboratoire une infrastructure RFID complète avec plusieurs scénarios. Le plus avancé est basé sur un lecteur RFID Philips connecté à un PC sous Windows qui héberge une base de données Oracle 10g.

En exploitant une faille dans la base de données, le code malveillant contenu dans la puce a modifié la base de données au-delà de ses droits d’accès, par exemple en changeant le prix d’un autre article.

Une opération viable en laboratoire

La technique employée est une attaque du type "SQL injection" à l’encontre de la base de données Oracle. Le principe est d’injecter des caractères spéciaux ou des chaînes de caractères particuliers dans des requêtes SQL envoyées au serveur. Bien choisis, ces caractères peuvent être interprétés par le serveur comme des commandes permettant de réaliser des fonctions normalement interdites.

« Jusqu’à présent, tous ceux qui travaillaient sur la technologie RFID sont partis du principe que lire une puce ne permettait pas de modifier la base de données centrale (...) Malheureusement, ils avaient tort », indiquent les chercheurs néerlandais.

Globalement les experts en sécurité sont pour l’instant dubitatifs. « Cette opération a été réalisée dans des conditions techniques et avec des équipements spécifiques. Il me semble peu probable qu’un virus comparable apparaisse dans les mois à venir en dehors des laboratoires spécialisés », commente François Paget chercheur chez l’éditeur antivirus McAfee France. Même son de coche chez son concurrent Sophos

Quoi qu’il en soit pour Adam Jura, analyste chez la société de conseil Datamonitor, « le meilleur effet que ces travaux puissent avoir est d’attirer l’attention des industriels sur les problèmes de sécurité soulevés par les RFID ».

Avec Jo Best de Silicon.com


Envoyer : Newsletter Imprimer : Imprimer Format PDF : Enregistrer au format PDF PartagerPartager :