Cendrillon et la détection basée sur les signatures

Autrefois, les gens n’étaient pas vraiment au fait des technologies qui n’allaient apparaitre que des centaines voire des milliers d’années plus tard. C’est pour cela que les cours de cybersécurité que l’on trouve dans les contes doivent souvent être approfondis. Dissimulé dans des métaphores, des conjectures et des ornements littéraires, le sens original de célèbres contes peut être déformé ou complètement perdu. Heureusement, Cendrillon a échappé à ce destin.

La première version du conte a été écrite sur un papyrus égyptien. Cendrillon n’est pas qu’une autre histoire populaire en Europe. En résumé, il s’agit d’une jeune femme en détresse qui trouve le bonheur grâce à l’aide apportée par une entité surnaturelle. Dans la version de Charles Perrault, cette entité est la fée marraine. Dans les contes des frères Grimm, c’est un arbre qui pousse sur la tombe de la mère de Cendrillon. Dans l’ancienne version égyptienne, c’est le Dieu Horus qui joue ce rôle. Ces légères différences ne devraient pas nous faire oublier le message principal.

L’élément commun, et l’aspect le plus important en termes de cybersécurité, est l’incident de la chaussure ou de la pantoufle de verre. Malgré la touche exotique du conte égyptien original, nous allons prendre pour référence les versions européennes puisque ce sont celles que le lecteur connaît.

Fausse identité

Allons-y. Notre héroïne vit dans une maison avec son père, sa belle-mère et ses demi-sœurs. Chargée de réaliser des travaux ménagers, comme le tri des grains, Cendrillon essaie d’automatiser les corvées en demandant de l’aide aux pigeons et aux colombes. Même dans la version la plus ancienne du conte, il s’agit probablement d’une référence non au tri d’objets physiques mais au classement d’immenses quantités de données.

D’autre part, Cendrillon rêve d’assister au bal organisé dans le palais du roi même si cela lui est impossible ; non pas à cause de son travail mais parce qu’elle n’est pas autorisée à entrer. Elle aurait besoin d’une jolie robe et d’un carrosse mais sa famille refuse de l’aider. La fée marraine vient à son secours et transforme une citrouille en carrosse, des souris en chevaux et des chiffons en robe.

Pour faire simple, la fée marraine crée une fausse identité pour Cendrillon pour qu’elle puisse assister au bal incognito. N’oubliez pas qu’à cette époque le mot cybercriminel n’existait pas en tant que tel et que les gens attribuaient cette magie à des sorcières et des enchanteresses. Peu importe ce qui se passait jadis. Même de nos jours la culture populaire voit les cybercriminels comme des techno-chamans tout-puissants !

Il semblerait que l’on puisse accéder au bal sans invitation (authentification initiale) donc Cendrillon doit tout simplement donner son nom à l’entrée. Le problème est que son identité d’origine ne répond pas aux critères de sélection. Heureusement, la fée marraine les a pris en compte lorsqu’elle a créé la fausse identité.

Certificat numérique

Les détails du changement d’identité de Cendrillon deviennent bientôt plus clairs lorsque la fée marraine l’avertit que sa nouvelle image va disparaître à minuit. À ce moment-là tout le monde verra des chiffons au lieu d’une robe, des souris et des rats à la place des chevaux et des cochers, etc. Qu’est-ce qui pourrait constituer la base de ce dispositif ? À en juger par les réalités de l’Europe médiévale, absolument rien. Il semblerait plutôt qu’il s’agisse d’un genre de limitation artificielle. Rappelons-nous ce qui se passe vraiment à minuit : la date change.

Toute personne qui a déjà oublié de renouveler le certificat SSL de son site Internet comprend très bien ce scénario. Le certificat était valide une seconde plus tôt et les utilisateurs naviguaient tranquillement sur le site. Puis le certificat a expiré et les navigateurs ont commencé à afficher des avertissements et des morceaux au lieu du contenu. Le site Internet s’est transformé en citrouille aux douze coups de minuit.

Les certificats fonctionnent plus ou moins de la même façon que les actifs numériques (tokens), ou clés d’accès. Ils ne sont valides qu’un certain temps et cessent de fonctionner lorsque la date est atteinte puisque le système coupe instantanément la connexion (si on part du principe que tout est bien configuré). La pauvre Cendrillon devient soudainement un imposteur au bal. Nous ne savons pas vraiment pourquoi la fée marraine est incapable de créer un certificat plus fiable mais il est très probable qu’elle n’ait pas directement accès à une autorité de certification.

Détection basée sur les signatures

Lorsqu’elle réalise qu’elle n’a plus beaucoup de temps, Cendrillon quitte le palais en courant et perd une de ses chaussures (ou pantoufles de verre). Il s’agit là du seul élément réel de sa nouvelle identité. La version des frères Grimm est particulièrement intéressante. Dans leur interprétation, la chaussure n’est pas laissée au hasard. Le prince avait fait enduire de poix tout l’escalier pour obtenir un indice sur cette jeune fille mystérieuse et s’en servir pour la retrouver. En d’autres termes, il a eu recours à un genre de système de détection des cybermenaces. Le prince a ensuite utilisé la chaussure comme base pour mettre au point un outil qui lui permet de détecter les objets de type « Cendrillon » puis a lancé une recherche globale en vérifiant le pied de toutes les jeunes filles du pays.

De nombreux antivirus fonctionnent de cette façon. Les experts en antivirus extraient une partie du code du malware, crée une « chaussure » à partir du fragment (hachage) puis le compare avec les données entrantes. Nous utilisons cette technologie, appelée détection basée sur les signatures, pour nos solutions même si ce n’est plus notre méthode de détection principale depuis un certain temps.

Tentative d’imitation du hachage

Quoi qu’il arrive, les frères Grimm qui, pour une quelconque raison se sont étrangement concentrés sur le sang dans leurs premiers contes, sont allés un peu plus loin dans leurs conclusions. Dans la version de leur conte, les demi-sœurs de Cendrillon essaient d’imiter le hachage en se coupant littéralement un orteil et le talon pour entrer dans la chaussure. Pourtant, il est assez difficile d’imiter le hachage. Comme on pouvait s’y attendre, le hachage des sœurs échoue et est rejeté par l’outil d’analyse de signatures du prince.

Grâce à ce conte et à notre article, vous pouvez expliquer à vos enfants certains concepts de base comme l’usurpation d’identité, les certificats numériques et l’analyse des signatures. Nous vous invitons à profiter pleinement de cette occasion et de ce texte, ne serait-ce que pour que les efforts de ces éminents experts en cybersécurité, comme Charles Perrault mais aussi Jacob et Wilhelm Grimm, soient toujours reconnus.