Questions à un expert : Watch Dogs vs. la réalité

Avec un record de vente de 4 millions de copies vendues au cours de la première semaine de sa sortie, Watch Dogs est instantanément rentré dans le top des meilleurs jeux, grâce à un univers immersif et à son concept original. Toute la mécanique du jeu est basée sur le piratage des appareils de la ville (distributeurs automatiques, portails, feux de circulation, caméras de surveillance – pour atteindre les objectifs du joueurs. Les développeurs d’Ubisoft souhaitaient que leur script soit réaliste, afin de permettre au joueur de ne réaliser que des piratages réalisables dans la vraie vie. Pas étonnant qu’ils aient demandé aux experts de Kaspersky Lab de lire le script du jeu et d’ajuster les éléments liés au piratage. Maintenant que le jeu est sorti, de nombreux joueurs se demandent quels aspects du jeux sont réels, si de telles astuces de piratage existent vraiment. Nous avons réuni vos questions postées sur notre page Facebook et avons demandé à Igor Soumenkov, expert en sécurité chez Kaspersky Lab, de nous dire la vérité sur les piratages de Watch Dogs.

À quel point notre réalité est-elle proche de la fiction dans le jeu ?

Bien que certains des piratages sont très similaires à ce qui se passe dans le monde réel, cela reste un jeu, une simulation. Il est essentiel de comprendre que Watch Dogs ne vous apprend pas à pirater mais vous pouvez voir à quel point un outil de piratage peut être puissant.

Parmi les piratages que nous voyons dans le jeu et qui peuvent être réalisés dans la vraie vie :

– l’interception (renifleurs de mots de passe et paquets Wi-Fi sur Android)

– les piratages ATM/POS (malwares sur des distributeurs automatiques contrôlés par SMS pour qu’ils crachent des billets)

– les piratages de voiture (Charlie Miller et Chris Valasek l’ont démontré)

– contrôler une ville – feux de circulation/blackouts (Le système de feux de circulation de New York aurait-il été piraté ?)

Voici la liste des piratages de #Watchdogs qui peuvent se produire dans la vie réelle

Tweet

Est-il possible de pirater toutes ces choses en utilisant un téléphone mobile ?

Bien sûr, dans la vie réelle, les piratages nécessitent bien plus de préparation du côté des pirates – il ne suffit pas de taper les touches d’un smartphone en utilisant des exploits prêts à être utilisés.

Par exemple, voici comment le piratage d’un distributeur automatique se produit : les criminels chargent un exploit sur une clé USB. Après avoir connecté la clé au distributeur, l’exploit permet aux pirates d’obtenir des privilèges importants et de lancer le malware. Il peut par exemple s’agir d’une backdoor contrôlant le système d’exploitation du distributeur. Une fois le distributeur piraté, les criminels n’ont plus qu’à récupérer l’argent. L’étape finale – obtenir les billets du distributeur, peut également être activée à l’aide d’un smartphone.

Ne pensez-vous pas que le jeu pourrait donner des idées aux cybercriminels qui souhaiteraient prendre le contrôle d’une ville ?

Nous espérons que ce jeu donnera aux gens l’occasion de réfléchir à la sécurité des futurs systèmes d’exploitation. La sécurité doit être prise extrêmement au sérieux dans ce genre de cas. Le jeu est une simulation intéressante de ce qui pourrait se passer si ce n’était pas le cas.

Pouvez-vous citer un incident de sécurité qui s’est vraiment produit et que l’on peut considérer comme l’un des plus effrayants ?

La plupart des piratages que vous voyez dans le jeu concernent des systèmes de contrôle automatisés compromis. Il s’agit d’une nouvelle tendance effrayante qui est apparue il y a plusieurs années, depuis l’apparence du vers Stuxnet, et qui frappe les systèmes de contrôle industriels. Il s’agissait d’un exemple de comment un programme informatique peut détruire des choses de la vie réelle. Ils détruisent des équipements matériels et c’est ce que nous voyons dans le jeu. Cela devient de plus en plus réel.

Les possibilités d’une cyber attaque sur un jeu en ligne sont-elles hautes ?

Un tel risque existe et sa gravité dépend du type de jeu auquel vous jouez et la façon dont vous vous comportez quand vous jouez et dans la vie réelle. Cela fait plus de 10 ans que certains chevaux de Troie réussissent à voler, par exemple, les biens des personnages des joueurs. De nos jours, les chevaux de Troie sont incroyablement flexibles, avec un grand nombre d’options ciblant différents aspects de notre vie digitale : ils peuvent choisir s’ils souhaitent voler notre mot de passe Skype ou s’ils souhaitent uniquement voler les mots de passe de jeu. Ces derniers les aident à pirater les comptes de jeu.

Pour cela, les pirates visent aussi bien les développeurs du jeu que les joueurs mais ils ont des objectifs différents : voler de la propriété intellectuelle, créer des serveurs de jeu illégaux, etc.

Dans le mode multijoueur décryptage… Quand différents joueurs sont proches l’un de l’autre, cela accélère le processus de décryptage. Est-ce possible dans la vraie vie ? J’ai entendu dire que différents appareils peuvent s’associer  par Wi-Fi afin de partager leur puissance de calcul ! Est-ce possible ?

C’est vrai. Certains processus informatiques sont réalisés plus rapidement quand vous utilisez des ressources partagées. L’attaque de mot de passe est une tâche de ce type. Il est possible de distribuer une charge de travail sur différents appareils afin qu’ils la réalisent simultanément. Il existe un certain nombre de logiciels disponibles, mais il est aussi possible de développer une application séparée qui aiderait à partager la tâche sur un certain nombres d’appareils détectés sur un réseau Wi-Fi.

Quel est selon vous l’obstacle le plus important à la mise en place d’une vraie « ville intelligente » comme on le voit dans #Watch Dogs ?

Les obstacles de la sphère technologique ne sont pas signifiants. Tout repose dans les droits administratifs. Dans le Chicago virtuel de Watch Dogs, éteindre les lumières, bloquer les tuyaux de gaz, les distributeurs automatiques, les systèmes de surveillance et les ponts tournants – tout est interconnecté dans un même réseau. Cela signifie qu’une seule organisation est responsable de toute une infrastructure et que cette dernière ne dispose que d’un centre de données.

Dans la vraie vie, tous ces systèmes sont gérés par différentes organisations. Prenons les distributeurs automatiques par exemple : chaque banque dispose d’un réseau de distributeurs automatiques séparé. L’obstacle le plus important dans la vie réelle serait probablement d’unir sous le même toit ces entreprises et organisations séparées  afin de les réunir dans le même centre de données.

D’un autre côté, réunir ces systèmes à également un inconvénient : le prix à payer en cas d’erreur. Une fois piraté, un système a plus de chances de faire face à des conséquences graves ou négatives. Mais en même temps, la nature interconnectée du système le rend plus facile à protéger. Il existe un concept que l’on appelle la « surface d’attaque » : moins il y a de sociétés, moins il y a de services et moins la surface d’attaque est importante. En d’autres termes, une société de sécurité devra protéger un seul centre de données, dépensant ainsi moins de ressources.

Une rumeur dit que le matériel désormais utilisé pour le piratage requiert un budget minimum mais qu’il peut être utilisé pour pirater toute l’infrastructure d’une ville. Quelle est votre opinion sur le sujet ?

En parlant de pirater « toute l’infrastructure d’une ville », comme je l’ai déjà dit, nous ne disposons pas d’un unique système pour gérer la vie de toute une ville. Nous disposons d’infrastructures disparates : un réseau de radars, un réseau de distributeurs automatiques, etc. Cela rend donc le piratage de toute l’infrastructure d’une ville impossible. Pour ce qui est du matériel, il reste dans la plupart des cas secondaire – un pirate peut travailler avec un PC de base qui a couté 100€. Ce dont vous avez besoin c’est d’un écran, un clavier, un système qui fonctionne ainsi que des bonnes connaissances et des bons outils. Ces derniers sont faciles à trouver sur Internet, qu’ils soient gratuits, payants ou autres.

Quel appareil mobile est le meilleur pour pirater ?

Les manipulations de ce genre requièrent un smartphone avec des privilèges particuliers au sein du système d’exploitation, qu’il s’agisse d’un téléphone Android débloqué ou d’un iPhone jailbreaké. De tels appareils permettent aux pirates de changer l’adresse MAC de la carte et entre autres, de travailler à un niveau plus profond sur le réseau. Mais ce n’est pas l’appareil qui est important : la chose la plus importante est une série d’applications et d’outils spécialisés qui sont disponibles aussi bien pour Android que iOS.

Pensez-vous  que dans le futur il sera possible qu’une entreprise contrôle toute une ville et qu’un petit groupe de rebelles tentent de pirater son système ?

Une entreprise prenant le contrôle de toute une ville…je ne pense pas. En tout cas ça n’irait pas dans le sens de l’intérêt de l’entreprise : chaque organisation veut avoir une forme de contrôle sur sa sphère et ne s’intéresse pas vraiment aux monopoles. L’idée de ce genre de futur n’est pas réaliste pour Chicago : remettre le contrôle de toute une ville à une unique société contredit les règles d’une compétition saine. Il n’y a donc aucune raison de penser que l’idée du jeu pourrait être appliquée dans la vraie vie.

Mais quand nous parlons de soi-disant « villes intelligentes », nous allons peu à peu vers cela. Mais c’est différent : même dans ce cas, l’infrastructure sera gérée par différentes organisations avec différents domaines de responsabilité.

Quels sont vos conseils pour les joueurs qui essaient de pirater d’autres jeux à un joueur ?

Nous parlons de jeux et de la sécurité dans le monde réel, adressez donc cette question sur le fonctionnement du jeu à Ubisoft :).

Le piratage physique d’appareils existe-il ? Comme les boites bleues dans les années 70.

Bien évidemment, et il y en a de nombreux. Prenez les « plug computers » qui sont de la taille d’une tablette ou les vieux chargeurs de téléphone ! Ils sont juste branchés à une prise et connectés à Internet. Il existe toute une famille d’appareils de ce genre : les GuruPlug, les DreamPlug, etc. Ce sont de minuscules PC complètement opérationnels et conçus dans le but de réaliser des tests de sécurité sur des réseaux par exemple. Il existe également le « PawnPlug », une petite boîte qui scanne automatiquement le réseau, trouve les vulnérabilités et prépare des rapports.

Il y a-t-il une différence entre pirater un PC et pirater, disons, un système de climatisation ou un feu de circulation ?

Tous ces appareils, bien que je ne suis pas certain que ça soit le cas du système de climatisation, sont connectés d’une manière, et je parle des feux de circulations, des portes automatiques et des ponts levants. Ils sont connectés à des ordinateurs ou à des contrôleurs qui sont eux-mêmes gérés par des opérateurs. Cela signifie que pirater le feu de circulation requiert le piratage de l’ordinateur de l’opérateur. C’est l’approche la plus simple et c’est, par essence, ce qui est appliqué dans Watch Dogs – il s’agit de pirater les ordinateurs des opérateurs ou de l’organisation en charge.

Des piratages intéressants ont-ils été supprimés du jeu et pourquoi ?

Puisque nous sommes spécialisés dans le combat contre les cyber-menaces et les personnes qui tentent de manipuler ou d’abuser de l’hyper-connectivité/des systèmes de TI, nous avons pu fournir un avis technique ainsi que nos recommandations sur les scénarios du jeu, aussi bien au cours du jeu qu’au niveau du développement des personnages et de l’histoire. Nous avons analysé le script et fourni des suggestions sur ce que nous considérions le plus approprié ou sur ce qui pourrait être ajusté, édité, changé afin que le jeu reste le plus authentique possible (techniquement).

Nous n’avons rien supprimé du scénario. Quand nous avons obtenu le script, le piratage avait déjà été intégré au scénario. Nous l’avons étudié, avons approuvé certains d’entre eux et en avons corrigé d’autres, mais nous n’avons jamais rien supprimé. Nous ne pouvons bien évidemment pas parler pour Ubisoft.

Qu’est-ce que ça fait d’avoir des connaissances professionnelles sur toutes les cyber-menaces actuelles et potentielles ? Dormez-vous bien ?

Oui, je dors bien. Tout va bien. Bien évidemment, nous comprenons que les systèmes de sécurité totale ne peuvent pas exister. Cela signifie qu’un piratage est une question de temps, de budget et de volonté. Il y aura toujours des vulnérabilités. On ne peux jamais être sûr de tout : ni de ses PC, ni de ses routeurs, ni des réseaux de son entreprise, ni des réseaux Wi-Fi et même pas de sa télé ! Mais nous savons comment réagir quand nous sommes piratés ou quand nous savons que nous allons l’être. Cela nous donne confiance.

 Existe-il une base de données qui permet un genre de vérification des personnes, comme c’est possible dans le jeu ? Ou ce genre de base de données sera-t-elle créée dans la décennie à venir ?

Il existe plusieurs bases de données de ce genre et vous les connaissez toutes. Elles s’appellent Facebook, LinkedIn ou Vkontakte, par exemple. Il suffirait d’une technologie pour corréler une personne à cette base de données pour que cela soit possible.

Pas besoin de travailler pour les services secrets pour faire cela. Il existe des sociétés de renseignement à source ouverte qui analysent les données ouvertes. Elles créent des comptes virtuels sur les réseaux sociaux, encouragent les gens à devenir amis, et ensuite, après avoir des milliers d’amis, vous pouvez accéder à pratiquement n’importe quel profil en ligne, car en ajoutant un ami vous accédez également aux profils de ses amis. Si vous avez des amis qui ont des milliers de connexions, vous pourrez d’ailleurs accéder à toute la population des réseaux sociaux.

Comme nombreux d’entre vous  le savent, il existe une théorie qui dit que deux individus choisis au hasard sur la planète peuvent être connectés par six poignées de main. Cela signifie qu’il suffirait de quelques amis pour trouver n’importe qui sur le réseau – ensuite vous auriez juste à corréler les informations découvertes avec le monde réel.  Il existe de nombreuses méthodes facilement explicables à n’importe qui : la géolocalisation, la reconnaissance faciale, la reconnaissance vocale, etc. Quand elles sont utilisées ensemble, elles sont relativement efficaces : elles se débarrassent des informations qui ne sont pas nécessaires, trouvent la personne en question et identifient son profil.