Disclaimer (pour une fois) : Attention, le contenu qui suit est publié dans un but purement éducatif : vous êtes seuls responsables de ce que vous en ferez !
Contexte
Quand on discute de « failles de sécurité » ou de « fuites d’information » on pense souvent aux vulnérabilités que l’on peut rencontrer sur nos ordinateurs ou nos réseaux informatiques. Mais tout ça ne concerne pas que les machines, bien au contraire ! On peut rencontrer ce genre de failles dans plein d’autres situations : sur un distributeur de billets, sur les digicodes d’immeubles usés par le temps…Ou sur de simples cartes à gratter !
Capture d'écran du site de Perplex City par Mind Candy Design
Il y a quelques années, alors que j’étais à la recherche d’énigmes et de casses-tête pour mes élèves pour les encourager à jouer et à réfléchir en même temps (je suis enseignant-documentaliste dans un petit collège de banlieue parisienne, vous vous souvenez ?), je suis tombé sur un jeu de cartes à collectionner d’origine britannique du nom de Perplex City – un jeu fantastique bourré de joueurs formidables, et qui reste dans mon souvenir le meilleur ARG auquel j’aie joué.
Perplex City fix par Knolleary - Licence CC BY-NC-SA. On peut voir sur la carte le panneau argenté à gratter qui dissimule l'UID.
Chaque carte de ce jeu donnait à résoudre une énigme différente et quand un joueur trouvait (ou pensait avoir trouvé) la solution, il se connectait à son compte sur le site du jeu et saisissait l’identifiant unique de la carte (ou Unique IDentifier) qu’on pouvait révéler en grattant le panneau argenté de la carte, avant de saisir sa solution pour récolter le nombre de points correspondant à la difficulté de l’énigme à résoudre.
La faille
Pour faire profiter les collégiens de certaines de ces énigmes, j’ai réalisé en Mai 2007 avec l’autorisation de l’équipe de Mind Candy Design (les créateurs de Perplex City) des agrandissements en noir et blanc de certaines cartes illustrant les énigmes les plus visuelles, accompagnées d’une traduction du texte et de la carte originaux, le tout affiché sur les tables et les piliers de notre CDI avec le film adhésif transparent de la marque Eurefilm que nous utilisons généralement pour couvrir nos documents (livres, bandes-dessinées, périodiques, etc.).
Le schéma des affichages au CDI : l'agrandissement en noir et blanc tout en bas, la carte originale sur l'agrandissement, le tout recouvert par le film plastique...
...Et la même chose, sur place (affiché sur le montant d'une de nos étagères).
Les cartes et leur design ont eu un grand succès auprès de mes élèves et un soir, en nettoyant le CDI avant de partir, j’ai remarqué que certaines cartes avaient été altérées depuis leur mise sous film. Si les couleurs étaient restées inchangées malgré l’exposition au soleil, l’UID qui était dissimulé par le panneau argenté à gratter était plus ou moins visible suivant les cartes, alors que le panneau argenté lui-même était intact.
J’ai donc contacté Mind Candy Design pour leur faire part de mes observations et mon interlocutrice de l’époque m’a demandé plus de renseignements – ainsi que de rester discret – quant à cette faille dans le système de sécurité qui permettait de garantir que les cartes achetées pouvaient effectivement être échangées contre des points .
Selon ce que j’avais pu observer, il était possible que les cartes mises sous film révèlent plus ou moins rapidement leur UID suivant la quantité de chaleur ou de lumière à laquelle elles étaient exposées : l’encre utilisée pour imprimer les UID s’évaporant en partie sous l’action de la chaleur, elle traversait le panneau argenté sans l’abîmer pour aller se déposer sur le film transparent suivant les caractères de l’UID dissimulé qu’il suffisait de lire.
Comment les UID sont révélés en clair sur le film adhésif (enfin, je pense !)
J’ai tenté de reproduire le phénomène en partant de cette théorie, en installant uniquement les cartes originales sous film et en utilisant :
- des cartes de différents niveaux de difficultés
- de différentes waves (vagues de publication des cartes de Perplex City)
- dans des endroits plus ou moins exposés à la lumière et la chaleur
La carte Seven Bridges après avoir passé quelques jours au soleil. En haut, avant de retirer le film adhésif ; en bas, après avoir retiré le film.
La carte XXX après avoir passé quelques jours au soleil, pareil. En haut avant de retirer le film et en bas, après avoir retiré le film.
L’UID de toutes les cartes testées a été révélé dans les 3 à 4 jours suivant l’importance de l’exposition au soleil, toujours sans que l’intégrité du panneau argenté soit compromise une fois le film adhésif retiré (tout au plus une légère griffure dans certains cas). Il était donc possible d’utiliser l’UID d’une carte sur le site de Perplex City sans que cela puisse se voir en se basant sur l’intégrité du panneau argenté.
Reprise de contact et publication
J’ai recontacté mon interlocutrice de Mind Candy Design pour lui transmettre les photographies et mes théories, et après m’avoir remercié pour toutes ces informations et dit qu’elle contacterait la compagnie responsable de la fabrication des cartes, elle m’a demandé encore une fois de rester discret quant à cette faille de sécurité : les choses en sont restées là…jusqu’à aujourd’hui !
Entretemps, pas mal de choses ont changé : tout d’abord, j’ai demandé conseil à des ingénieurs en informatique régulièrement confrontés à l’exposition de failles de sécurité (dont mon beau-père, ingénieur réseau et sécurité pour un ensemble hospitalier) ainsi qu’au cryptographe et spécialiste en sécurité informatique Bruce Schneier sur la marche à suivre pour signaler un tel problème à une compagnie. Tous m’ont conseillé de contacter la compagnie concernée avant toute publication et c’est ce que j’ai fait en écrivant un e-mail à Michael Smith, CEO de Mind Candy Design avec qui j’avais déjà eu l’occasion d’échanger pendant une série d’interviews commémoratives lors de l’anniversaire de la mise en hibernation de Perplex City en 2008 : c’est avec son autorisation de publier ma trouvaille que je me suis attelé à la rédaction de ce billet. Et surtout, Perplex City n’a pas été reconduit – l’explication de cette technique ne risque donc pas de maltraiter les ventes du jeu 
Le schéma des affichages au CDI : l'agrandissement en noir et blanc tout en bas, la carte originale sur l'agrandissement, le tout recouvert par le film plastique...
