Le bug bounty Android de Google vire au fiasco

Il y a six mois, Google avait proposé de verser une récompense de 200 000 dollars à tout chercheur qui serait capable de pirater à distance un appareil Android en ne connaissant que le numéro de téléphone et l'adresse électronique de la victime. Mais aucun chercheur ne s’est précipité pour relever le défi. Cette nouvelle rassurante semble valider la sécurité du système d'exploitation mobile de Google. Mais ce n'est probablement pas la raison pour laquelle le concours Project Zero a suscité aussi peu d'intérêt parmi les chercheurs. Dès le début, certains ont fait remarquer que la récompense de 200 000 dollars n’était pas à la hauteur du défi proposé pour mettre au point une procédure en cascade d’exploits à distance n’impliquant pas l’intervention de l'utilisateur. « Si un chercheur avait réussi à mettre au point cet exploit, il aurait pu le vendre beaucoup plus cher à d'autres entreprises ou à d’autres entités », avait déclaré un utilisateur lors du lancement du concours en septembre. « D’autres pourraient payer beaucoup plus pour trouver une aiguille dans une botte de foin », avait déclaré un autre utilisateur.

Cette semaine, dans un blog, Google a dû reconnaître que c’était le cas : « Le montant de la récompense était sans doute insuffisant compte tenu du nombre de vulnérabilités requises pour gagner le concours ». Mais, selon l'équipe de sécurité de Google, ce n’est peut-être pas le seul motif qui explique ce manque d’intérêt. Ces exploits très complexes sont très difficiles à développer et il existe d’autres concours où les règles sont moins strictes. Pour d'obtenir des privilèges root ou kernel sur Android et compromettre complètement un périphérique, un attaquant doit combiner plusieurs vulnérabilités. À tout le moins, il a besoin d’une vulnérabilité qui lui permette d'exécuter un code à distance sur le périphérique en passant par une application. Ensuite, il a besoin d’une vulnérabilité d'escalade de privilèges pour échapper à la sandbox de l'application.

Un scénario d'attaque trop contraignant

À en juger par les bulletins de sécurité mensuels d'Android, les vulnérabilités d'escalade de privilèges ne manquent pas. Cependant, dans le cadre de ce concours, Google exigeait que les exploits soumis ne dépendent d’aucune interaction avec l'utilisateur. Cela signifie que les attaques devaient fonctionner sans que l’utilisateur ait besoin de cliquer sur des liens malveillants, de visiter des sites Web compromis, de recevoir et d’ouvrir des fichiers, etc. Cette règle a considérablement limité les points d'entrée disponibles pour attaquer un périphérique. Il aurait fallu que la première vulnérabilité soit située dans les fonctions de messagerie intégrée du système d'exploitation et exploite, par exemple, les SMS ou les MMS, ou qu’elle se trouve dans le firmware interne, c’est-à-dire dans le logiciel de bas niveau qui contrôle le modem du téléphone et peut être attaqué sur le réseau cellulaire.

Une vulnérabilité qui aurait satisfait à ces critères a été découverte en 2015 dans une bibliothèque de traitement des médias d’Android appelée Stagefright. La faille avait été identifiée par des chercheurs du cabinet de sécurité mobile Zimperium. La vulnérabilité d'Android, dont la réparation avait demandé à l'époque un très gros travail, aurait pu être exploitée en copiant, n’importe où dans l’espace de stockage du mobile, un fichier multimédia spécialement conçu. Aucune interaction de leur part n’était nécessaire : il suffisait d'envoyer un message multimédia (MMS) à des utilisateurs ciblés. Le seul fait de pouvoir envoyer le MMS garantissait le succès de l’exploit.

D'autres programmes de récompense à venir

D’autres vulnérabilités similaires ont déjà été identifiées dans Stagefright et dans d'autres composants qui servent au traitement des médias dans Android. Mais Google a modifié le comportement par défaut des applications de messagerie intégrées pour empêcher la récupération automatique des messages MMS, fermant la voie d’accès à des exploits futurs. « Les vulnérabilités que l’on peut exploiter à distance, sans assistance, sont rares et demandent beaucoup de créativité et de sophistication », a déclaré Zuk Avraham, fondateur et président de Zimperium, par courrier électronique. « Et ils valent beaucoup plus de 200 000 dollars », a-t-il ajouté. Zerodium, une entreprise spécialisée dans l’achat d’exploits offre également 200 000 dollars pour des jailbreaks distants d’Android, mais elle ne pose pas de conditions sur l'interaction de l'utilisateur. Zerodium revend ensuite ces exploits à ses clients parmi lesquels on compte des autorités judiciaires et des services de renseignements.

Mais pourquoi se casser la tête à trouver des vulnérabilités rares pour monter des chaînes d'attaque sans assistance alors que l’on peut se faire autant, si ce n’est plus d’argent, en revendant des exploits moins sophistiqués sur le marché noir ? « Globalement, ce concours a servi de test et nous espérons mettre à profit ce que nous avons appris dans d’autres programmes de récompenses et dans d’autres concours », a déclaré Natalie Silvanovich, membre de l'équipe Project Zero de Google. « C’est pourquoi nous invitons les chercheurs en sécurité à nous adresser leurs commentaires et leurs suggestions », a-t-elle ajouté.

Le crime paiera toujours plus

Il est important de signaler quand même que, malgré cet échec apparent, Google est le premier à avoir rétribué les chasseurs de bogues, et que, depuis des années, ses programmes de récompenses, aussi bien autour de ses logiciels que de ses services en ligne, connaissent un grand succès. Certes, il y a peu de chance que les éditeurs puissent offrir autant d'argent que les organisations criminelles, les agences de renseignements ou les entreprises spécialisées dans le rachat d’exploits pour ces exploits. Mais les programmes de rétribution de bogues et les concours de piratage s'adressent à des chercheurs plus concernés par la divulgation responsable des vulnérabilités que par les récompenses.