Canal Caché

Le concept remonte au début des années 1970. Des recherches sur le problème du confinement ont montré qu'un processus peut divulguer des informations même lorsqu'il n'a pas le droit de communiquer. Butler Lampson a formulé ce problème en 1973 et, la même année, C. Lamb a décrit comment analyser les ressources partagées d'un système pour détecter précisément ce type de fuite.

Des critères ultérieurs pour les systèmes de confiance, notamment la norme américaine TCSEC, ont fait de l'analyse des canaux cachés une exigence formelle pour les produits à haute assurance.

Tous les canaux cachés ont en commun le détournement d'une ressource à une fin que ses concepteurs n'avaient jamais prévue. La ressource est légitime (en-têtes de paquets, horloges système, files d'impression, résolution de noms) et continue d'assurer sa fonction normale tout en transportant une charge cachée. Comme le comportement du support est celui attendu, le transfert n'attire pas l'attention, sauf si quelqu'un le recherche spécifiquement.

L'ingénierie de la sécurité répartit traditionnellement les canaux cachés en deux classes, selon la ressource partagée qu'ils exploitent.

Dans un canal caché de stockage, un processus écrit dans un emplacement qu'un autre lit, comme le champ identifiant d'un paquet IP, la longueur d'une requête DNS, les attributs d'un fichier ou un espace inutilisé dans un en-tête de protocole. Chaque état écrit encode un ou plusieurs bits.

Dans un canal caché de temporisation, un processus module le moment ou la durée d'utilisation d'une ressource partagée, comme les intervalles entre paquets, les profils de charge du processeur ou l'ordre des événements. Le destinataire mesure la temporisation et décode le message. Rien n'est écrit nulle part.

En pratique, la frontière est floue : la longueur d'un paquet peut relever du stockage, et des rafales, de la temporisation. La classification détermine néanmoins la façon dont un canal est repéré lors de la revue de conception et détecté en exploitation. Les canaux de stockage offrent une capacité plus élevée, tandis que les canaux de temporisation sont plus lents et encore plus difficiles à distinguer d'un comportement normal.

Les exemples réels les plus marquants exploitent une infrastructure que les pare-feu bloquent presque jamais, car la résolution de noms et le diagnostic de base sont indispensables :

Pour un initié malveillant, les canaux cachés résolvent le problème central du vol de données : les canaux standard sont surveillés. La messagerie, les téléversements web, les messageries instantanées et les supports amovibles peuvent tous être inspectés. Un initié qui veut sortir une base de données clients sans être repéré a donc besoin d'une voie qu'aucune règle d'inspection ne surveille. La tunnellisation via DNS ou ICMP offre exactement cela.

Les canaux cachés servent aussi les attaquants externes : le trafic de commande et de contrôle, les mises à jour de logiciels malveillants et l'exfiltration de données par étapes se déguisent systématiquement en protocoles autorisés. Pour les défenseurs, la conséquence est inconfortable : un journal propre des canaux standard ne prouve pas qu'aucune donnée n'a fui, seulement qu'aucune ne l'a fait par les canaux surveillés.

Les agents d'Anexet interceptent le trafic au niveau des protocoles, de sorte que les sessions HTTP, FTP, SMTP, IMAP et POP3 sont visibles sur le poste. Dans la console, chaque protocole dispose de son propre interrupteur et de son filtre de ports, et les statistiques affichent les sessions TCP et les paquets interceptés au fil du temps. Associée à la surveillance du trafic web et au système DLP d'Anexet, elle relie le contexte de navigation au contenu de chaque transfert.

1 / 2

• 
• 

Détecter les canaux cachés est plus difficile que surveiller les canaux standard, car l'activité du support est légitime. Une élimination complète est rarement possible. L'objectif réaliste est de réduire la capacité du canal caché en dessous de ce dont un attaquant a besoin et d'augmenter les chances de repérer une tentative.

Les programmes concrets combinent les niveaux du tableau ci-dessous :

Commencez par les canaux que l'entreprise laisse ouverts par défaut, comme le DNS et l'ICMP sortant, puis ajoutez un contexte comportemental pour qu'un usage inhabituel de ces canaux mène à un utilisateur précis. L'analyse des canaux cachés relève de la revue de conception, et la surveillance fait pencher les chances du côté des défenseurs en exploitation.

Pour aller plus loin : Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?.