Top Qs
Chronologie
Chat
Contexte
Moxie Marlinspike
expert en sécurité informatique De Wikipédia, l'encyclopédie libre
Remove ads
Matthew Rosenfeld, mieux connu sous le pseudonyme Moxie Marlinspike est un cryptographe, chercheur en sécurité informatique et entrepreneur américain. Il est l'auteur de l'application de messagerie sécurisée Signal, le cofondateur de la Signal Foundation et le CEO de l’entreprise Signal Messenger LLC (anciennement Open Whisper Systems).
Il est également co-auteur du protocole de communication cryptographique Signal Protocol qui permet d'établir des communications chiffrées de bout en bout pour la messagerie instantanée. Ce protocole, initialement introduit dans l'application open source TextSecure, est adopté par les acteurs majeurs du marché tels que WhatsApp ou Facebook Messenger et sécurise les échanges de plus d'un milliard d'utilisateurs.
Moxie Marlinspike est aussi un ancien responsable de l'équipe sécurité du média social Twitter et l'auteur d'une proposition pour remplacer le système d'authentification de SSL/TLS. Il a découvert certaines vulnérabilités de SSL/TLS ; a maintenu un service de test d'intrusion des réseaux Wi-Fi Protected Access[1] et un système d'anonymisation des requêtes envoyées au moteur de recherche de Google[2].
Remove ads
Biographie
Résumé
Contexte
Moxie Marlinspike[a],[b] est originaire de l'État de Géorgie[13] aux États-Unis. Il déménage à San Francisco en et commence à travailler pour des entreprises technologiques comme BEA Systems[13],[5]. En , il achète un voilier délabré et le rénove avec trois amis[c]. Ils apprennent la navigation en autodidactes et effectuent l'année suivante un périple autour des Bahamas, tout en réalisant un documentaire de leur voyage[13],[5].
En , Moxie Marlinspike est cofondateur et chief technology officer de Whisper Systems[d],[14], une startup spécialisée en sécurité informatique. En , Whisper Systems lance TextSecure et RedPhone ; deux applications Android qui fournissent du chiffrement de bout en bout, respectivement pour les messages SMS et les conversations téléphoniques. La société est rachetée par le réseau social Twitter fin [15] et Moxie Marlinspike devient responsable de l'équipe chargée de la sécurité de Twitter[5],[16]. Pendant qu'il est à la tête de cette équipe, Twitter rend open source (GPLv3) les applications de Whisper Systems[17],[18].
Il quitte Twitter en [19] et crée Open Whisper Systems[20] sous la forme d'un projet collaboratif open source[21] pour continuer le développement de TextSecure et RedPhone[22],[23]. Au même moment, Trevor Perrin et lui commencent le développement du protocole Signal[13], dont une première version est ajoutée à l'application TextSecure en [24]. En , les deux applications TextSecure et RedPhone sont fusionnées en une seule, nommée Signal[e],[25]. Conscient que l'application Signal peut disparaitre faute de moyens[13], et soucieux de pérenniser le protocole[26], Moxie Marlinspike travaille entre et avec WhatsApp[27], Facebook[28],[29] et Google[30] pour les aider à intégrer le protocole Signal dans leurs services de messagerie[f].
Le [33], le cofondateur de WhatsApp, Brian Acton, et Moxie Marlinspike annoncent la création de la Signal Foundation, un organisme à but non lucratif (501c3) dont l'un des objectifs est le soutien financier du développement de Signal[34]. Cette fondation reçoit un financement initial de 50 millions de dollars de la part de Brian Acton[35],[36].
Il annonce début 2022 quitter le poste de CEO de Signal[37].
Remove ads
Travaux
Résumé
Contexte
Vulnérabilités SSL/TLS
Moxie Marlinspike a découvert certaines vulnérabilités dans la mise en œuvre de SSL/TLS (protocoles de sécurisation des échanges sur Internet), notamment chez Microsoft[38].
Dans un article de , il met en évidence les failles de sécurité des implémentations qui ne vérifient pas correctement l'extension BasicConstraints de la norme X.509 v3 dans le chaînage des certificats électroniques : cela permet à quiconque possédant un certificat valide pour son propre domaine de créer un certificat factice pour n'importe quel domaine[38]. L'interface de programmation Microsoft CryptoAPI étant déficiente, Internet Explorer, Outlook et tous les logiciels Windows dépendants de SSL/TLS étaient vulnérables à des attaques de type de l'homme du milieu (man-in-the-middle). En , la même faille de sécurité est découverte dans la mise en œuvre de SSL/TLS des périphériques iOS d'Apple[39],[40]. À cette occasion, Il met à jour l'outil écrit neuf ans plus tôt pour montrer les vulnérabilités d'Internet Explorer (sslsniff) afin de prendre en compte l'empreinte des clients iOS[39].
En , il présente une attaque null-prefix sur les certificats SSL et révèle que la majeure partie des implémentations de SSL ne vérifie pas correctement la valeur Common Name du certificat. Ces implémentations peuvent se faire piéger par des certificats frauduleux qui embarquent un caractère nul dans le champ Common Name[g],[41],[42].
HTTPS stripping
Dans un article de , Moxie Marlinspike introduit le concept de HTTPS stripping, une attaque de type de l'homme du milieu (man-in-the-middle) pour les sites web proposant des ressources web sécurisées.
Dans celle-ci, un attaquant se place entre le flux du navigateur web d'un utilisateur et le serveur fournissant les pages ; analyse celui-ci et remplace les adresses web qui devraient utiliser une connexion chiffrée par des liens hypertextes non sécurisés ou par des adresses quasi-homographes sécurisées mais dont le site appartient à l'attaquant. En modifiant quelques détails visuels de la page (ajout d'une icône affichant un verrou sur les pages non chiffrées par exemple[43]), l'attaque devient suffisamment subtile pour que l'utilisateur ne la remarque ; et le navigateur n'émet pas d'avertissement. Il annonce la création d'un outil (sslstrip) permettant d'automatiser cette attaque, et en effectue une démonstration des Conférences Black Hat de 2009[44],[45].
Il ne s'agit pas à proprement parler d'une attaque contre un protocole spécifique (SSL/TLS notamment), mais plutôt contre l'ensemble des techniques mises en œuvre pour obtenir l'adresse d'une ressource sécurisée[46]. Lors d'un test de 24 h sur l'un de ses serveurs, il obtient des comptes PayPal, des numéros de cartes de crédit, des identifiants de courrier électronique, etc.[46],[44],[43]
Le mécanisme de politique de sécurité HTTP Strict Transport Security (HSTS) sera par la suite développé pour combattre ce type d'attaque.
Faiblesses des autorités de certification
Lors des conférences Black Hat de à Las Vegas, Marlinspike intervient sur le thème SSL and the Future of Authenticity[47]. Il expose les problèmes récurrents liés aux autorités de certification, leur nombre pléthorique[h], le manque d'agilité du système en cas de brèche et le faible niveau de sécurité que cela procure au Web[48]. Pour limiter ces faiblesses, il annonce la création d'un projet nommé Convergence (en), compatible avec l'existant et permettant à l'utilisateur de révoquer ses tiers de confiance[49],[50],[51].
En , Trevor Perrin et lui soumettent un Internet-Draft à l'Internet Engineering Task Force concernant une extension de TLS appelée TACK (Trust Assertions For Certificate Keys[52]), dont le principe est basé sur des public-key pinning[53], afin de réduire les risques inhérents aux autorités de certification[54].
Craquage MS-CHAPv2
Cette section est vide, insuffisamment détaillée ou incomplète. Votre aide est la bienvenue ! Comment faire ?
Remove ads
Voyages et surveillances
Cette section est vide, insuffisamment détaillée ou incomplète. Votre aide est la bienvenue ! Comment faire ?
Conférences et conventions
Moxie Marlinspike intervient régulièrement dans des conventions liées à la sécurité des systèmes d'information.
- Black Hat DC 2009 : New Tricks For Defeating SSL In Practice[44]
- DEF CON 17 et Black Hat 2009 : More Tricks for Defeating SSL[55],[56]
- DEF CON 18 et Black Hat 2010 : Changing Threats to Privacy[57]
- DEF CON 19 et Black Hat 2011 : SSL and the Future of Authenticity[58],[47]
- DEF CON 20 : Defeating PPTP VPNs and WPA2 with MS-CHAPv2[59]
- Webstock (en) '15 : Making private communication simple[60]
- 36C3 : The ecosystem is moving[61]
Remove ads
Distinctions
Cette section est vide, insuffisamment détaillée ou incomplète. Votre aide est la bienvenue ! Comment faire ?
Notes et références
Voir aussi
Wikiwand - on
Seamless Wikipedia browsing. On steroids.
Remove ads