Marrakech, 24 févr. (Maroc-Actu) –
Autour de 100 millions de smartphones Samsung ont été affectés par une vulnérabilité dans l’environnement de sécurité cryptographique de la marque sud-coréenne, qui a exposé les mots de passe des utilisateurs protégés par le matériel à des cyber-attaques, bien que la société ait depuis corrigé ce problème.
Le bug, qu’ils ont découvert des chercheurs de l’université de Tel Aviv (Israël), se concentre sur les mises en œuvre par Samsung du système d’exploitation TrustZone, qui fonctionne parallèlement à Android sur ses téléphones mobiles.
Comme le rapportent les auteurs dans l’étude, la conception et la mise en œuvre cryptographique d’un système supporté par le matériel pour protéger les clés des téléphones mobiles de Samsung par le biais d’environnements d’exécution de confiance. avait « de graves défauts de conception« .
Ces problèmes ont affecté les derniers fleurons lancés par Samsung, dont le Séries Galaxy S21, S20, S10, S9 et S8qui ont été commercialisés entre 2021 et 2017 et sont les prédécesseurs directs du Galaxy S22 de cette année.
Grâce à des techniques de rétro-ingénierie et à l’analyse de la structure du code de l’implémentation de TrustZone de Samsung, les chercheurs de l’université de Tel Aviv ont testé l’implémentation de TrustZone de Samsung. Faisabilité de trois techniques d’attaque qui exposent des informations cryptographiques sur les « smartphones »..
La première consiste en un attaque de réutilisation sur le protocole cryptographique AES-GCM, avec laquelle un cybercriminel pourrait extraire les clés protégées par le matériel. Grâce à certaines techniques d’attaque, même les derniers appareils Samsung pourraient être touchés.
Les chercheurs ont également testé la viabilité de attaques par extraction de clés et les implications des attaques de plus haut niveau avec des serveurs distants, comme l’identification des comptes WebAuthn à l’aide du protocole FIDO2 ou l’importation sécurisée de clés de Google.
Après avoir pris connaissance des vulnérabilités étudiées, Samsung a lancé un un correctif de sécurité pour résoudre le problème sur ses smartphones en août l’année dernière, qu’elle a suivie d’une mise à jour ultérieure en octobre pour sécuriser davantage ses appareils.
