Ma, chi va sano va piano. Il aura fallu trois longues semaines au SIG Bluetooth pour réagir à l'article rédigé par les universitaires Shaked et Avishai Wool. Lesquels, rappelons-le, expliquaient comment espionner une liaison Bluetooth en jouant sur les mécanismes d'appairage.

La recette miracle du SIG tient en une campagne de presse largement relayée par des médias généralement non techniques, et une page de contre-arguments. Une page que l'on peut parcourir d'un écran distrait puisque le seul conseil utile que l'on peut y trouver est d'accroître la taille du code PIN utilisé... solution qui semblait claire à la lecture du rapport des deux israéliens. Le reste du texte n'est qu'une longue énumération des différents types d'attaques que peut subir un composant Bluetooth. Chaque descriptif s'achevant peu ou prou par un « mais c'est pas grave » ou « mais c'est très rare ». Tout çà n'est pas très rassurant. Certains de ces avis même émettent des contrevérités techniques qui frisent la malhonnêteté, ainsi les paragraphes sur les attaques en Déni de Service.

Bluetooth est, a toujours été, sera toujours un canal de communication à destination du grand public, excessivement difficile à sécuriser, et conçu avec une approche quasi anti-informatique. Plus simplement, ce mécanisme de transport ne repose pas sur une conception « driver » supportant des protocoles, mais sur une vision « fonction associée à un périphérique » qui exige une multitude de modes d'appairages. Cette façon de voir les choses est tout à fait louable, car plus proche d'une utilisation « produits bruns » que l'on rencontre en électronique grand public. Bluetooth, c'est parfait pour une télécommande de chaîne HiFi, l'expédition d'un « chat » d'ado, la récupération d'un fond d'écran de téléphone mobile. C'est déjà nettement plus douteux dès qu'il s'agit de l'employer comme canal d'acheminement de données pour un clavier -risque de keylogging à distance-, une souris -idem-, un périphérique de stockage (piratage direct) ou d'imprimante (capture des informations au fil de la frappe).

Or, les habitudes d'usage « grand public » sont, en matière de sécurité, pratiquement inexistantes. Plus de 80 % des codes PIN de démarrage des terminaux cellulaires sont laissés par défaut sur l'invariable 0000. Les portiers d'immeubles à digicodes sont tous connus par la fleuriste du coin (un peu de social engineering amoureux en vient à bout facilement) et les récentes affaires de phishing ont prouvé que même les sacro-saints numéros secrets bancaires s'obtenaient avec une facilité déconcertante. En outre, peut-on sérieusement pousser une clientèle à choisir l'un des trois niveaux de sécurité puis entrer un numéro à 10 chiffres pour lancer le programme laine d'une machine à laver ou bancher un module GPS sur un autoradio ? Voilà qui relève d'une totale méconnaissance des ressorts de la psychologie humaine. Même un programmeur C++ ou un gourou du cryptage refuse de se perdre dans le mode d'emploi d'un magnétoscope... ou alors, par pure perversion intellectuelle. Quant aux « cent ans nécessaires pour casser un pin comprenant 8 chiffres », argument avancé par les portes paroles du SIG, l'histoire de la cryptographie montre à quel point ce genre de propos manque de sérieux. Surtout quelques jours après la démonstration prouvant comment provoquer une collision sur SHA 1.

La première des protections serait peut-être de ne jamais activer un accès Bluetooth sur un appareil contenant des données confidentielles, ou ne jamais enregistrer de données confidentielles sur un appareil Bluetooth. Tant que le Bluetooth SIG n'avancera comme seul argument que les méthodes utilisées seraient « trop coûteuses » et « difficiles à mettre en pratique », l'usage de cette couche de transport doit être considérée comme suspecte. Le SIG perd de vue que les moyens mis en oeuvre pour pirater des données sont proportionnels à la valeur de la donnée. Toute considération de complexité ou de coût ne sont alors qu'un rideau de fumée, dressé par des industriels qui paraissent s'inquiéter plus de leurs ventes que de l'intégrité des données de leurs clients. C'est avec des arguments aussi légers qu'ont succombé les mécanismes de cryptage de Wep, de Nagravision, du brouillage Canal Plus, du « mot de passe sécurisé » de Windows 9.x, du LMHash ou de Windows CE 1.x etc.

. Web-profils.com, la place de marché du conseil et de l'ingénierie