Konboot : connexion à un PC sans en avoir le mot de passe, comment s’en protéger ?

Vous avez un mot de passe du tonnerre, un antivirus à jour et pensez que votre ordinateur est suffisamment protégé ? Dites Bonjour à Konboot. Un utilitaire pesant ~5mo, sur lequel vous pouvez démarrer un pc afin d’accéder à une session sans avoir besoin du mot de passe.

Ajoutez à cela la possibilité de transformer un téléphone en périphérique de démarrage grâce à l’utilitaire DriveDroid et vous avez un téléphone capable de rentrer dans la plupart des ordinateurs que vous croiserez.

 Petite histoire

Retour en arrière, il y a de ça quelques semaines :

Adam j’peux plus me connecter à mon pc mon fils a mis un mot de passe dessus et j’arrive plus à accéder à ma session, tu peux faire quelque chose ?

Pas très grave, je me dis que c’est soit un problème au niveau du capslock soit le clavier qui est passé en qwerty donc j’accepte.

Quelques heures plus tard chez moi avec la bête, je remarque que la personne avait oublié un détail. Elle avait raison, impossible de se connecter avec le mot de passe, mais il me manquait un autre détail.

Lequel ? Et bien, en plus du mot de passe inconnu, il y a aussi une reconnaissance faciale. Cerise sur le gâteau vous dites ? Devant la webcam vous pouvez trouver un morceau de scotch.

crying
Ma réaction

Bon, on se ressaisit, on passe rapidement en revue nos connaissances… Bingo !

C’est à ce moment que je me suis rappelé de Konboot, je l’ai donc sorti tel Excalibur, l’épée du roi Arthur.

Le plus long ensuite étant d’aller trifouiller dans le bios pour réussir à booter sur le téléphone, après c’est un jeu d’enfant.

Je suis arrivé directement sur la session puis :

  • Désinstallation du logiciel de reconnaissance faciale & de la suite antivirus qui lui est liée

Bah oui, ça a beau en faire rêver certain car ça donne un côté James Bond ou Mission Impossible, mais une fois le logiciel désinstallé la seule chose qu’il reste c’est un virevoltant façon farwest.

Ensuite :

  • Création d’une nouvelle session
  • Copier coller des documents de la session bloquée dans la nouvelle
  • Connexion sur la nouvelle session fraîchement créée
  • Suppression de l’ancienne

1h chrono pour passer une reconnaissance faciale, un mot de passe inconnu et pour faire le ménage, et tout ça sans porter de sweet à capuche et sans avoir un écran qui défile à la Matrix.

Qu’on boot Konboot ?

Avec mon exemple vous avez compris le potentiel d’un outil de ce genre dans l’éventualité où il se retrouverait dans les mains d’une personne malintentionnée. Notez qu’il existe une version Windows ainsi qu’une version Mac OSX.

Windows est touché de XP à Windows 10, uniquement sur les comptes locaux pour ce dernier. Mac lui est vulnérable pour les versions d’OSX 10.6 à 10.11.3.

Actuellement aucune version touchant Linux n’est disponible officiellement. Cependant une version avait vu le jour il y a quelques temps mais n’est tout simplement plus disponible sur leur site.

 Comment s’en protéger ?

Bon c’est bien tout ça, mais comment je m’en protège moi ?

Du calme, nous allons voir ensemble 3 solutions pour éviter de se faire avoir par Konboot. Cerise sur le gâteau, elles sont toutes réalisables aussi bien sur Windows, Linux que Mac OSX.

Interdire le boot CD/USB

Dans votre BIOS vous pouvez interdire le démarrage depuis une clé USB ou un CD/DVD, si ce n’est pas possible dans le votre, vous pouvez toujours mettre la priorité au disque dur.

bios_boot_order
Options de boot d’un BIOS

Vu que c’est modifiable il faudra alors rajouter un mot de passe au bios. Pour toutes ces manipulations, accédez à votre bios en maintenant la touche F* correspondante au démarrage de votre pc.

 Mettre un mot de passe au boot

Rendez vous dans la section Security ou Boot de votre BIOS puis cherchez une option ressemblant à Set supervisor password ou Set boot password.  Une fois le mot de passe validé, retourner dans le menu principal du BIOS puis cherchez Exit saving changes.

Pour supprimer votre mot de passe, retournez dans le bios et sélectionnez Clear/Reset Password. Si cette option n’est pas disponible alors il vous faudra refaire la manipulation précédente en entrant un mot de passe vide.

Chiffrer votre disque dur

truecrypt

Les utilisateurs de Windows en version Intégrale ou Entreprise ont à disposition BitLocker, une option permettant de chiffrer leur partition. Il s’installe sur une partition et est lancé avant Windows.

Il permet de sécuriser le démarrage à l’aide d’une clé USB qui fonctionnera alors comme une clé physique.

windows bitlocker
BitLocker

Pour les autres, des alternatives existent comme Veracrypt et CipherShed, forks de TrueCrypt suite à l’arrêt de son maintient en 2014.

ciphershed mac konboot chiffrer partition
CipherShed sur Mac OSX

Notez qu’ils sont évidemment tout les deux disponibles sous Windows, Mac OSX et Linux et permettent de chiffrer aussi bien votre disque dur que vos clés  USB par exemple, même si ce n’est pas le sujet d’aujourd’hui, c’est toujours bon à savoir.

Envie de partager ?
TwitterFacebookGoogle+LinkedIn

1
Poster un Commentaire

avatar
1 Comment threads
0 Thread replies
0 Followers
 
Most reacted comment
Hottest comment thread
1 Comment authors
Novakin Recent comment authors
Novakin
Invité

À noter qu’il existe pas mal de techniques permettant de faire sauter les protections par mot de passe du BIOS. Par exemple : faire un clear CMOS.

Concernant le chiffrement du disque dur, il vaut mieux utiliser un des fork de truecrypt que bitlocker. Le code source de ce dernier étant fermé on ne pourra jamais être sur a 100% qu’aucune backdoor n’est présente.