Echelon On Line

Connaître le réseau Echelon



Cette article de Duncan Campbell vient du site Telepolis et date du 4 septembre 1999.

How NSA access was built into Windows

Careless mistake reveals subversion of Windows by NSA

Careless mistake by Microsoft programmers has revealed that special access codes prepared by the US National Security Agency have been secretly built into Windows. The NSA access system is built into every version of the Windows operating system now in use, except early releases of Windows 95 (and its predecessors). The discovery comes close on the heels of the revelations earlier this year that another US software giant, Lotus, had built an NSA "help information" trapdoor into its Notes system, and that security functions on other software systems had been deliberately crippled.

The first discovery of the new NSA access system was made two years ago by British researcher Dr Nicko van Someren. But it was only a few weeks ago when a second researcher rediscovered the access system. With it, he found the evidence linking it to NSA.

Computer security specialists have been aware for two years that unusual features are contained inside a standard Windows software "driver" used for security and encryption functions. The driver, called ADVAPI.DLL, enables and controls a range of security functions. If you use Windows, you will find it in the C:\Windows\system directory of your computer.

ADVAPI.DLL works closely with Microsoft Internet Explorer, but will only run crypographic functions that the US governments allows Microsoft to export. That information is bad enough news, from a European point of view. Now, it turns out that ADVAPI will run special programmes inserted and controlled by NSA. As yet, no-one knows what these programmes are, or what they do.

Dr Nicko van Someren reported at last year's Crypto 98 conference that he had disassembled the ADVADPI driver. He found it contained two different keys. One was used by Microsoft to control the cryptographic functions enabled in Windows, in compliance with US export regulations. But the reason for building in a second key, or who owned it, remained a mystery.

A second key

Two weeks ago, a US security company came up with conclusive evidence that the second key belongs to NSA. Like Dr van Someren, Andrew Fernandez, chief scientist with Cryptonym of Morrisville, North Carolina, had been probing the presence and significance of the two keys. Then he checked the latest Service Pack release for Windows NT4, Service Pack 5. He found that Microsoft's developers had failed to remove or "strip" the debugging symbols used to test this software before they released it. Inside the code were the labels for the two keys. One was called "KEY". The other was called "NSAKEY".

Fernandes reported his re-discovery of the two CAPI keys, and their secret meaning, to "Advances in Cryptology, Crypto'99" conference held in Santa Barbara. According to those present at the conference, Windows developers attending the conference did not deny that the "NSA" key was built into their software. But they refused to talk about what the key did, or why it had been put there without users' knowledge.

A third key?!

But according to two witnesses attending the conference, even Microsoft's top crypto programmers were astonished to learn that the version of ADVAPI.DLL shipping with Windows 2000 contains not two, but three keys. Brian LaMachia, head of CAPI development at Microsoft was "stunned" to learn of these discoveries, by outsiders. The latest discovery by Dr van Someren is based on advanced search methods which test and report on the "entropy" of programming code.

Within the Microsoft organisation, access to Windows source code is said to be highly compartmentalized, making it easy for modifications to be inserted without the knowledge of even the respective product managers.

Researchers are divided about whether the NSA key could be intended to let US government users of Windows run classified cryptosystems on their machines or whether it is intended to open up anyone's and everyone's Windows computer to intelligence gathering techniques deployed by NSA's burgeoning corps of "information warriors".

According to Fernandez of Cryptonym, the result of having the secret key inside your Windows operating system "is that it is tremendously easier for the NSA to load unauthorized security services on all copies of Microsoft Windows, and once these security services are loaded, they can effectively compromise your entire operating system". The NSA key is contained inside all versions of Windows from Windows 95 OSR2 onwards.

"For non-American IT managers relying on Windows NT to operate highly secure data centres, this find is worrying", he added. "The US government is currently making it as difficult as possible for "strong" crypto to be used outside of the US. That they have also installed a cryptographic back-door in the world's most abundant operating system should send a strong message to foreign IT managers".

"How is an IT manager to feel when they learn that in every copy of Windows sold, Microsoft has a 'back door' for NSA - making it orders of magnitude easier for the US government to access your computer?" he asked.

Can the loophole be turned round against the snoopers?

Dr van Someren feels that the primary purpose of the NSA key inside Windows may be for legitimate US government use. But he says that there cannot be a legitimate explanation for the third key in Windows 2000 CAPI. "It looks more fishy", he said.

Fernandez believes that NSA's built-in loophole can be turned round against the snoopers. The NSA key inside CAPI can be replaced by your own key, and used to sign cryptographic security modules from overseas or unauthorised third parties, unapproved by Microsoft or the NSA. This is exactly what the US government has been trying to prevent. A demonstration "how to do it" program that replaces the NSA key can be found on Cryptonym's website.

According to one leading US cryptographer, the IT world should be thankful that the subversion of Windows by NSA has come to light before the arrival of CPUs that handles encrypted instruction sets. These would make the type of discoveries made this month impossible. "Had the next-generation CPU's with encrypted instruction sets already been deployed, we would have never found out about NSAKEY."


Traduction de l'article


le 18/11/2002

Comment un accès pour la NSA a-t-il été établi dans Windows

Une erreur révèle la subversion de Windows par la NSA.

Une négligence commise par des programmeurs de Microsoft a indiqué que des codes d'accès spéciaux préparés par l'agence de sécurité nationale des USA ont été secrètement introduits dans Windows. Le système d'accès de la NSA existe dans chaque version du logiciel d'exploitation de Windows en service, à l'exception de versions premières de Windows 95 (et de ses prédécesseurs). La découverte suit de prés des révélations parues plus tôt cette année selon lesquelles un autre géant de logiciel des USA, Lotus, aurait introduit une porte cachée « help information » de la NSA dans son System Note, et que des fonctions de sécurité sur d'autres systèmes logiciels avaient été délibérément paralysées.

La première découverte du nouveau système d'accès de la NSA a été faite il y a deux ans par le chercheur anglais Dr Nicko van Someren. Mais ce n'est que il y a quelques semaines qu'un deuxième chercheur a redécouvert le système d'accès. Il a aussi trouvé la preuve du lien avec la NSA.

Les spécialistes en sécurité informatique se sont rendus compte pendant deux années que des dispositifs curieux apparaissent à l'intérieur d'un driver de Windows utilisé pour des fonctions de sécurité et de chiffrage. Le driver, appelé ADVAPI.dll, permet et commande une gamme de fonctions de sécurité. Si vous employez Windows, vous le trouverez dans l'annuaire de C :\Windows\system de votre ordinateur.

Advapi.dll travaille étroitement avec Microsoft Internet Explorer, mais n'exécute que les fonctions cryptographiques que le gouvernement des USA autorise Microsoft à exporter. Cette information est en elle-même une assez mauvaise nouvelle, d'un point de vue européen. Maintenant, Il s'avère qu'Advapi exécute aussi des programmes spéciaux insérés et commandés par la NSA. Jusqu'à maintenant, nul ne sait ce que sont ces programmes ou ce qu'ils font.

Le Dr Nicko van Someren a rapporté à la conférence de Crypto 98 de l'année dernière qu'il avait désassemblé le driver Advadpi. Il s'est aéré qu'il contenait deux clefs différentes. L'une est utilisée par Microsoft pour commander les fonctions cryptographiques permises dans Windows, conformément aux règlementations d'exportation adoptées par les USA. Mais la raison qui justifie l'insertion d'une deuxième clef ou son auteur, est restée un mystère.

Une deuxième clef

Il y a deux semaines, une compagnie de sécurité informatique des USA a apporté la preuve que la deuxième clef appartient à la NSA. Comme le Dr van Someren, Andrew Fernandez, chef de projet scientifique chez Cryptonym Morrisville, (Caroline du Nord), avait testé la présence et la signification des deux clefs. Ensuite il a examiné le dernier Service Pack release de Windows NT4. Il a constaté que les développeurs de Microsoft n'avaient pas enlevé ou "décapé" les symboles de debbugage employés pour tester ce logiciel avant de le libérer. À l'intérieur du code il y avait les étiquettes des deux clefs. L'une s'appelait "PRINCIPAL", l'autre '"NSAKEY". Fernandes a rapporté sa re-découverte des deux clefs CAPI, et leur sens secret, à la conférence Advances in Cryptology, Crypto'99" qui s'est tenue à Santa Barbara. D'aprés des participants à la conférence, les développeurs de Windows qui y assistaient n'ont pas nié que la clef de "NSA" avait été insérée dans leur logiciel. Mais ils ont refusé de parler de ce que la clef fait ou de la raison pour laquelle elle avait été mise là à l'insu des utilisateurs.

Une troisième clef ? !

Mais d'après deux témoins assistant à la conférence, même les crypto programmeurs supérieurs de Microsoft étaient étonnés d'apprendre que la version de d'Advapi.dll dans Windows 2000 contient non pas deux, mais trois clefs. Brian LaMachia, chef de développement du CAPI à Microsoft "a été assommé" en apprenant ces découvertes, réalisées par des étrangers. La dernière découverte est due au Dr van Someren qui s'est basé sur des méthodes avancées de recherche qui testent rendent compte de l'"entropie" du code de programmation. Au sein de Microsoft, l'accès au code source de Windows serait fortement compartimenté, ce qui rend facile l'insertion de modifications à l'insu même des chefs de produit respectifs.

Des chercheurs sont divisés pour ce qui est de savoir si la clef de NSA est prévue pour laisser les utilisateurs du gouvernement des USA exécuter des cryptosystemes classifiés dans leurs machines ou si le but est de pouvoir ouvrir n'importe qui et chacun ordinateur sous Windows aux techniques de recherche de renseignement déployées par les corps encore naissant des "guerriers de l'information" employés par la NSA.

Suivant Fernandez de Cryptonym, le fait d'avoir une clef secrète à l'intérieur de votre logiciel d'exploitation Windows "a pour résultat qu'il est énormément plus facile pour la NSA de loader (charger) des services de sécurité non autorisés sur toutes les copies de Microsoft Windows. Une fois que ces services de sécurité sont chargés, ils peuvent compromettre efficacement votre logiciel d'exploitation tout entier". La clef de la NSA est contenue à l'intérieur de toutes les versions de Windows depuis Windows 95 OSR2. "Pour les directeurs d'IT non-Américain qui comptent sur Windows NT pour exécuter les bases de données fortement sécurisées cette trouvaille est inquiétante", a-t-il ajouté. "Le gouvernement des USA fait tout son possible pour que la crypto" forte " ne soit pas employée en dehors des USA. Le fait qu'ils aient également installé une porte cachée cryptographique dans le logiciel d'exploitation le plus couramment utilisé dans le monde devrait constituer un message fort envoyé aux directeurs d'IT à l'étranger ". "Comment va se sentir un directeur d'IT quand il apprendra que dans chaque copie de Windows qui a été vendue, Microsoft a installé 'une back door 'pour la NSA - lui facilitant énormément la tâche pour que le gouvernement des USA accède à votre ordinateur ?" a-t-il demandé.

La faille peut-elle être retournée contre les espions ?

Le Dr van Someren estime que le but premier de la clef NSA à l'intérieur de Windows est peut être usage légitime du gouvernement des USA. Mais il dit qu'il ne peut pas y avoir une explication légitime pour la troisième clef dans Windows 2000 CAPI. "Ça a l'air plus trouble", explique-t-il.

Fernandez croit que la porte de sortie intégrée du NSA peut être retournée contre les espions. La clef de NSA à l'intérieur de CAPI peut être remplacée par votre propre clef, et être employée pour signer les modules cryptographiques de sécurité des tiers d'outre-mer ou non autorisés, non approuvés par Microsoft ou le NSA. C'est exactement ce que le gouvernement des USA avait essayé d'empêcher. Un programme qui montre comment faire pour remplacer la clef de la NSA peut être trouvée sur le site de Cryptom.

Selon un leader de la cryptographie aux USA, le monde devrait être reconnaissant de ce que la subversion de Windows par la NSA ait émergé avant l'arrivée de CPU qui manipulent les ensembles d'instruction chiffrés. Ceux-ci rendraient le type de découvertes faites ce mois impossible. "Si les CPU de la deuxième génération dotés d'ensembles d'instruction chiffrés avait bien été déployés, nous n'aurions jamais rien découvert au sujet de la NSAKEY."

Imprimer le document
Fermer cette fenêtre

Mesurez votre audience