# Samy Kamkar

Samy Kamkar est un chercheur en sécurité, pirate informatique, lanceur d'alerte et entrepreneur américain.

## Biographie

À 16 ans, Kamkar abandonne ses études et participe un an plus tard à la création de Fonality, une entreprise proposant des solutions de VoIP basées sur un logiciel open source et qui lèvera plus de 46 millions de dollars en financement privé$^,$.
Samy Kamkar est célèbre pour avoir créé et diffusé le ver MySpace Samy, qui devint en 24 heures le virus le plus répandu de tous les temps et provoquera son arrestation par les services secrets des États-Unis, en vertu du Patriot Act.
Il est également connu pour divers projets faisant la démonstration de vulnérabilités comme SkyJack, un drone personnalisé permettant de prendre le contrôle d'autres drones Parrot et Evercookie, dont il est fait mention dans un des documents secrets de la NSA révélés par Edward. Snowden.
Samy Kamkar est à l'origine de plusieurs découvertes concernant les collectes de données illégales opérées par certains systèmes d'exploitation pour téléphone mobile comme iOS, Android et Windows Phone. Ses recherches dans ce domaine ont abouti à une série de recours collectifs et à une audience sur la protection de la vie privée à Capitol Hill.

## Travaux
### Ver Samy

En 2005, Kamkar a publie sur Myspace le ver Samy, premier script XSS publique capable d'auto-propagation. Le ver transportait une charge utile affichant le message "but most of all, Samy is my hero" ("mais surtout, Samy est mon héros") sur le profil de la victime tout en lui faisant envoyer une demande d'ami à Kamkar. Lorsqu'un utilisateur visualisait ce profil, la charge utile était déployée sur sa page. En seulement 20 heures de sa version du 4 octobre 2005, plus d'un million d'utilisateurs avaient exécuté la charge utile, faisant de Samy le virus à la propagation la plus rapide de tous les temps. L'équipe MySpace a temporairement arrêté le site pour résoudre le problème qui permettait au ver de fonctionner.
En 2006, Kamkar a été perquisitionné par le United States Secret Service and Electronic Crimes Task Force pour avoir utilisé le ver. Après s'être vu offrir une négociation de peine lui permettant d'échapper à la prison en échange d'une amende de vingt mille dollars, de trois ans de probation et de 720 heures de travail d'intérêt général, Kamkar a plaidé coupable à une accusation de crime de piratage informatique à la Cour supérieure de Los Angeles. En outre, conformément à l'accord susmentionné, Kamkar était autorisé à conserver un seul ordinateur sans réseau, mais était expressément interdit d'accès à Internet pendant sa peine. Depuis 2008, Kamkar effectue des recherches et des conseils indépendants en matière de sécurité informatique et de respect de la vie privée.

### Autres

Après la fin de sa peine aménagée en 2008, Kamkar s'investit dans la recherche et fait la démonstration de vulnérabilités dans les cartes de crédit Visa, MasterCard et Europay équipées de puces de communication en champ proche (NFC) et de radio-identification (RFID).
Il publie des preuves logicielles de la possibilité de voler des informations comme le nom du propriétaire, le numéro et la date d'expiration d'une carte de crédit de ce type, le tout sans contact direct$^,$.
Kamkar publie également des démonstrations de vol d'identité de cartes de contrôle d'accès physique en utilisant la radio-identification à partir d'un appareil de la taille d'une carte de crédit, supprimant ainsi la nécessité d'être connecté à un ordinateur$^,$.
En 2010, Kamkar se rend dans plus d'une douzaine de pays pour parler de ses recherches sur la sécurité mobile et des faiblesses qu'il a découvertes lors de sa cryptanalyse du langage de programmation PHP, notamment en prenant la parole lors de certaines des plus grandes conventions dans ce domaine telles que la DEF CON, les Black Hat. Briefings et la ToorCon$^,$$^,$.
Fin 2010, Kamkar assiste au Faraday Hack Day de Bratislava afin d'aider à mettre en lumière la corruption politique et professionnelle du gouvernement slovaque.
Début 2011, Kamkar rejoint le conseil d'administration de Brave New Software, une organisation à but non lucratif initialement financée par une subvention de plusieurs millions de dollars du Département d'État américain. L’organisme est responsable de la création de uProxy avec l’ Université de Washington et Google Ideas. L’association a également créé Lantern, un réseau conçu pour contourner la censure sur Internet et empêcher la suppression de l’information numérique et de la liberté d'expression.
En plus de publier Evercookie en tant que logiciel libre et opensource et d'exposer les campagnes de collecte illégale de données opérées par Apple, Google et Microsoft en 2011, Kamkar a également révélé les pratiques de KISSmetrics et Hulu en matière de traque des utilisateurs. Les cookies d'identification utilisés par les entreprises étaient créés de nouveau immédiatement après leur suppression grâces aux cookies Flash et HTML5 Local Storage, qui n'étaient pas automatiquement supprimés lorsque les consommateurs supprimaient les cookies de leur navigateur$^,$. Plusieurs sociétés identifiées comme exerçant une activité de ré-cookie ont par la suite été poursuivies par des avocats en recours collectif. En janvier 2013, KISSmetrics, un réseau de publicité en ligne, a réglé son action en justice liée à la régénération de cookies pour 500 000 USD.

### Faille dans PHP

Début 2010, Kamkar découvre une faille majeure dans toutes les versions du langage de programmation PHP, en particulier dans le générateur de nombres pseudo-aléatoires, permettant de subtiliser l'ID de session d'un utilisateur et de prendre ainsi le contrôle de sa session. Kamkar a publié un correctif puis démontré que l'attaque était possible sur les principales banques, réseaux sociaux et forums$^,$$^,$.

### Evercookie

En 2010, Kamkar dévoile Evercookie, un cookie qui "ne peut apparemment pas être supprimé", documenté par la suite à la une du New York Times$^,$$^,$. En 2013 il est découvert qu'un des documents top secret sur la NSA divulgué par Edward Snowden cite Evercookie comme méthode de suivi des utilisateurs de Tor.

### Recherche mobile

En 2011, Kamkar découvre que les téléphones portables sous iOS, Android et Windows Phone envoient de manière continue à Apple, Google et Microsoft des informations permettant de corréler des coordonnées GPS avec les adresses MAC de routeurs Wi-Fi. Ses recherches sur le sujet sont publiées dans plusieurs articles en première page du Wall Street Journal$^,$$^,$. L'iPhone continuerait d'envoyer des données de localisation « même lorsque les services de localisation étaient désactivés ». Le Windows Phone continuerait également à envoyer des données de localisation « même lorsque l'utilisateur n'a pas donné l'autorisation à l'application de le faire ». Il a découvert que certaines de ces données avaient été révélées par Google et il a publié Androidmap, un outil exposant la base de données d'adresses MAC Wi-Fi de Google, corrélée aux coordonnées physiques fournies par les téléphones Android.

### Recherche Parrot AR Drone

En 2013, Kamkar créé SkyJack, un projet open source visant à rendre un drone capable de « rechercher, pirater et prendre le contrôle d'autres drones Parrot à distance, créant ainsi une armée de drones zombies »$^,$. L'ensemble de la spécification matérielle et logicielle a été publié et détaillé sur son site Web, un jour après l'annonce par Amazon de son futur service de livraison par drone, Amazon Prime Air$^,$.

### Recherche sur la sécurité automobile

Le 30 juillet 2015 Kamkar présente OwnStar - un petit appareil pouvant être dissimulé à proximité d'un véhicule General Motors et ainsi s'interposer entre le système de communication OnStar de la voiture et l'application mobile RemoteLink sur le téléphone de son propriétaire. Cette attaque de l'homme du milieu permet à tout utilisateur non autorisé d'utiliser des commandes OnStar pour localiser, déverrouiller ou démarrer le véhicule. Le 11 août, General Motors met à jour le serveur OnStar et l'application RemoteLink afin de bloquer ces attaques.
En 2015, Kamkar aurait également construit un dispositif électronique peu coûteux de la taille d'un portefeuille, capable de capturer un code de déverrouillage à distance des portes de voiture afin de l'utiliser ultérieurement. L'appareil émet un signal de brouillage pour bloquer sa réception par le véhicule, tout en l'enregistrant. Sur deux tentatives de l'utilisateur, le dispositif enregistre un code et ne le transmet au véhicule qu'après la réception du deuxième, conservant le code supplémentaire pour une utilisation future. Selon Kamkar, cette vulnérabilité était connue depuis des années pour affecter de nombreux types de véhicules, mais aucune démonstration n'en avait été faite.

### Dispositif d'émulation de bande magnétique et de carte de crédit

Le 24 novembre 2015, Samy Kamkar publie MagSpoof ; un appareil portable permettant d'émuler n'importe quelle bande magnétique ou carte de crédit « à distance », même sur les lecteurs standard, en générant un fort champ électromagnétique.
Selon ses propres termes, MagSpoof peut être utilisé comme une carte de crédit traditionnelle et stocker plusieurs cartes (il est aussi techniquement possible de désactiver les exigences en matière de puces via une modification). L'appareil peut se révéler utile dans la recherche en sécurité faisant intervenir la lecture de bandes magnétiques, comme sur les lecteurs de cartes de crédit, de clés de chambre d'hôtel, de tickets de parking, etc.

### Détournement de trafic Internet

Le 16 novembre 2016, Samy Kamkar publie PoisonTap, un adaptateur Ethernet USB permettant de détourner tout le trafic Internet d'une machine cible, même protégée par un mot de passe et verrouillée.
L'appareil ciblé peut ainsi être contraint à envoyer une requête contenant les cookies de son utilisateur sur un site non sécurisé, permettant au pirate d'usurper son identité.