Le lien le plus faible est la troisième semaine thématique annuelle de Motherboard consacrée à l’avenir du piratage et de la cybersécurité. Suivez-la ici .

Écoutez le nouveau podcast de piratage de Motherboard, CYBER, ici.

Il était un peu avant minuit lorsque j’ai pris la décision impulsive qui allait me transformer en cyborg le plus inutile du monde.

Mon ami et moi venions de quitter un concert gratuit à la 25e édition annuelle de Def Con, la plus grande conférence de hackers au monde, et nous errions dans les couloirs de l’hôtel Caesars de Las Vegas en essayant de décider ce que nous allions faire du reste de notre nuit. C’est alors que j’ai reçu le message fatidique d’un ami : « Le village Biohacking ferme pour la nuit, il reste encore quelques implants. »

J’avais fait quelques remarques désinvoltes pendant le week-end sur le fait de vouloir me faire implanter une puce de communication en champ proche (NFC) dans la main, mais chaque fois que j’étais allé visiter le stand, l’attente avait été longue. Ce serait ma dernière chance de me faire implanter une puce à la conférence, alors nous avons décidé de nous y arrêter en sortant de l’hôtel.

Au moment où je suis arrivé au village biohacking, il ne restait qu’une seule puce NFC. C’était comme le destin, alors j’ai fourché 50 dollars en liquide et j’ai pris place à la station de piercing. J’avais déjà eu quelques piercings auparavant, alors la perspective de me faire piquer ne me dérangeait pas autant que celle de me faire injecter un dispositif électronique passif dans la main dans une salle de conférence d’hôtel.

Si j’avais un seul conseil à donner à quiconque envisage de se faire implanter une puce NFC, ce serait de le faire sobre.

Les puces NFC sont similaires aux puces d’identification par radiofréquence (RFID) utilisées pour des choses comme les badges des employés ou le suivi des marchandises dans les magasins, sauf qu’elles ne sont pas tout à fait aussi puissantes (d’où le champ proche) et permettent une communication bidirectionnelle. Les puces NFC peuvent être utilisées pour stocker de petites quantités d’informations, comme des mots de passe, des informations de contact, une adresse Web ou même une photo.

Lorsqu’une puce NFC est amenée à quelques centimètres d’un lecteur NFC (la plupart des smartphones modernes sont dotés de la fonction NFC), les données de la puce peuvent être transférées au lecteur. Pour ce faire, le lecteur génère un faible courant électrique qui crée un petit champ magnétique. Lorsque la puce NFC se trouve dans ce champ magnétique, une petite bobine dans la puce utilise l’énergie du téléphone pour produire son propre champ afin que les données stockées sur l’appareil puissent être transférées au lecteur.

La puce NFC que je me suis fait injecter dans la main a été fabriquée par Dangerous Things, une entreprise de biohacking lancée par Amal Graafstra qui a également été pionnière en matière de pistolets biométriques DIY. Graafstra vend ces puces depuis qu’il a levé 30 000 dollars lors d’une campagne de crowdfunding en 2014. La puce est enfermée dans un petit tube en verre d’un peu moins d’un demi-pouce de long et d’à peine deux millimètres de diamètre. Ce tube est injecté dans la chair molle entre votre pouce et votre index, juste au-dessus de la sangle. Lorsque vous tenez votre main dans certaines positions, on peut à peine voir le contour de la puce pousser contre la peau.

Le processus réel d’obtention de l’implant s’est déroulé sans problème, mais les choses ont rapidement dévié après cela. Le problème avec les puces NFC, c’est que quiconque possède un lecteur peut également écrire sur l’appareil s’il n’est pas protégé. Bien que ce ne soit pas exactement une énorme menace pour la sécurité, étant donné que quelqu’un devrait amener le lecteur à plusieurs centimètres de votre main pour écrire sur la puce, quand vous êtes à la plus grande conférence de hackers du monde, il vaut mieux jouer la sécurité.

Donc, à l’insistance de tout le monde à la station d’implantation, la première chose que j’ai faite avec mon implant a été de le sécuriser avec un pin à quatre chiffres. Je n’avais pas décidé quel genre de données je voulais mettre sur la puce, mais je ne voulais surtout pas que quelqu’un d’autre écrive sur ma puce en premier et me bloque potentiellement. J’ai choisi le même pin que celui utilisé pour mon téléphone afin de ne pas l’oublier le matin – ou du moins, je pensais l’avoir fait.

Lire la suite : 72 heures de Pwnage : Un Noob paranoïaque va à Def Con

Si j’avais un seul conseil à donner à quiconque envisage de se faire implanter une puce NFC, ce serait de le faire sobrement. Pour commencer, le perceur ne vous donnera probablement même pas l’implant s’il soupçonne que vous êtes en état d’ébriété pour des raisons impliquant le consentement et la sécurité (l’alcool fluidifie votre sang, ce qui est aussi la raison pour laquelle vous ne devriez pas vous faire tatouer en état d’ébriété). Mais surtout, vous ne vous réveillerez pas le lendemain matin avec un mal de tête fendu et absolument aucune idée de la façon de déverrouiller votre main.

J’ai passé la majeure partie de mon premier jour en tant que cyborg à parcourir désespérément les différentes possibilités de pin qui m’empêchaient de déverrouiller la puce NFC dans ma main et d’y ajouter des données. J’ai essayé tous les candidats évidents – 0000, 1234, 6969 – et les différents codes que j’utilise dans d’autres domaines de ma vie. J’ai essayé les lecteurs NFC sur différents téléphones ainsi que les dispositifs NFC dédiés. J’ai passé beaucoup trop de temps à lire les protocoles utilisés pour sécuriser la puce, mais la conclusion semblait inéluctable : Je m’étais irrévocablement possédé.

Comment j’ai retrouvé l’accès à ma main

Au moment où j’ai quitté Def Con, j’avais accepté mon destin de cyborg totalement inutile. Il est possible de retirer les implants NFC, bien sûr. Le processus implique une chirurgie mineure et d’après ce que j’ai lu, ce n’est pas vraiment un gros problème. Mais lorsque la semaine du piratage de cette année est arrivée, cela m’a semblé être une bonne occasion d’essayer de déverrouiller ma main une dernière fois. J’ai donc posté sur le forum Dangerous Things dans l’espoir que quelqu’un d’autre ait rencontré des problèmes similaires avec sa puce NFC.

Graafstra a répondu et a dit que cela avait probablement à voir avec le fait que j’avais utilisé une application NFC tierce pour définir le mot de passe lorsque j’ai reçu la puce pour la première fois. Dangerous Things recommande de sécuriser ses implants de puce en utilisant sa propre app NFC. Ensuite, toute application tierce peut être utilisée pour ajouter ou lire le contenu de l’implant. Le problème, cependant, est si vous utilisez l’une de ces apps pour configurer le mot de passe en premier lieu.

Sans entrer dans les détails techniques de la raison pour laquelle c’est un problème, ces apps modifient une partie spécifique du mécanisme de sécurité de la puce afin qu’elle ne puisse être modifiée que par cette même app. En d’autres termes, pour déverrouiller ma main, je devrais me souvenir non seulement du mot de passe, mais aussi de l’application NFC que j’avais utilisée pour le définir.

Je n’étais pas entièrement sûr du mot de passe que j’avais utilisé pour sécuriser ma main, mais j’avais une demi-douzaine de candidats principaux, donc il s’agissait surtout de trouver quelle application avait été utilisée pour protéger la puce. J’ai commencé par utiliser une application appelée NFC Shell qui permet aux utilisateurs d’envoyer des commandes au format hexadécimal directement à la puce NFC. L’application avait été retirée de la boutique Google Play quelques mois auparavant pour des raisons inconnues, j’ai donc dû la charger sur mon téléphone. Après plusieurs tentatives pour essayer de comprendre le mot de passe en utilisant le shell, j’ai commencé à essayer diverses applications commerciales.

Après avoir essayé une application appelée NFC Tools sans succès, je suis passé à NXP TagWriter. J’ai essayé cinq ou six combinaisons de pin différentes, aucune n’a fonctionné. J’étais sur le point d’abandonner cette application quand j’ai décidé d’essayer une dernière combinaison de pin – et ça a marché. Au total, il a probablement fallu cinq heures de lecture de documents techniques et d’essais de différentes combinaisons de mots de passe, d’applications NFC et de lecteurs NFC pour retrouver l’accès à mon implant.

C’est un sentiment étrange d’avoir accès à la puce dans ma main pour la première fois depuis qu’on me l’a implantée il y a plus d’un an. Maintenant, tout ce que j’ai à faire est de décider ce que je vais stocker sur les quelque 900 octets de mémoire implantés dans ma main. Je vais peut-être y mettre un GIF ou mes coordonnées, mais une partie de moi veut le laisser vide. Après avoir vécu un an avec un implant NFC totalement inutile, j’ai commencé à l’apprécier. Cette petite bosse presque imperceptible sur ma main gauche était un rappel constant que même les technologies les plus sophistiquées et les plus infaillibles ne sont pas à la hauteur de l’incompétence humaine.