Moxie Marlinspike
Moxie Marlinspike est un cryptographe, chercheur en sécurité informatique et entrepreneur américain. Il est l'auteur de l'application de messagerie sécurisée Signal, le cofondateur de la fondation Signal et le CEO de l’entreprise  (anciennement Open Whisper Systems).

Il est également co-auteur du protocole cryptographique Signal Protocol qui permet d'établir des communications chiffrées de bout en bout pour la messagerie instantanée. Ce protocole, initialement introduit dans l'application open source TextSecure, a été adopté par les acteurs majeurs du marché tels que WhatsApp ou Facebook Messenger et sécurise les échanges de plus d'un milliard d'utilisateurs.

Moxie Marlinspike est aussi un ancien responsable de l'équipe sécurité du réseau social Twitter et l'auteur d'une proposition pour remplacer le système d'authentification de SSL/TLS. Il a découvert certaines vulnérabilités de SSL/TLS ; a maintenu un service de test de pénétration des réseaux WPA et un système d'anonymisation des requêtes envoyées au moteur de recherche de Google.

Biographie 
Moxie Marlinspike est originaire de l'État de Géorgie aux États-Unis. Il déménage à San Francisco en  et commence à travailler pour des entreprises technologiques comme BEA Systems. En , il achète un voilier délabré et le rénove avec trois amis. Ils apprennent la navigation en autodidactes et effectuent l'année suivante un périple autour des Bahamas, tout en réalisant un documentaire de leur voyage.

En , Moxie Marlinspike est cofondateur et chief technology officer de Whisper Systems, une startup spécialisée en sécurité informatique. En , Whisper Systems lance TextSecure et RedPhone ; deux applications Android qui fournissent du chiffrement de bout en bout, respectivement pour les messages SMS et les conversations téléphoniques. La société est rachetée par le réseau social Twitter fin  et Moxie Marlinspike devient responsable de l'équipe chargée de la sécurité de Twitter. Pendant qu'il est à la tête de cette équipe, Twitter rend open source (GPLv3) les applications de Whisper Systems.

Il quitte Twitter en  et crée Open Whisper Systems sous la forme d'un projet collaboratif open source pour continuer le développement de TextSecure et RedPhone. Au même moment, Trevor Perrin et lui commencent le développement du protocole Signal, dont une première version est ajoutée à l'application TextSecure en février 2014. En , les deux applications TextSecure et RedPhone sont fusionnées en une seule, nommée Signal. Conscient que l'application Signal peut disparaitre faute de moyens, et soucieux de pérenniser le protocole, Moxie Marlinspike travaille entre  et  avec WhatsApp, Facebook et Google pour les aider à intégrer le protocole Signal dans leurs services de messagerie.

Le , le cofondateur de WhatsApp, Brian Acton, et Moxie Marlinspike annoncent la création de la fondation Signal, un organisme à but non lucratif (501c3) dont l'un des objectifs est le soutien financier du développement de Signal. Cette fondation reçoit un financement initial de  de dollars de la part de Brian Acton.

Il annonce début 2022 quitter le poste de CEO de Signal.

Travaux

Vulnérabilités SSL/TLS 
Moxie Marlinspike a découvert certaines vulnérabilités dans la mise en œuvre de SSL/TLS (protocoles de sécurisation des échanges sur Internet), notamment chez Microsoft.

Dans un article de , il met en évidence les failles de sécurité des implémentations qui ne vérifient pas correctement l'extension BasicConstraints de la norme X.509 v3 dans le chaînage des certificats électroniques : cela permet à quiconque possédant un certificat valide pour son propre domaine de créer un certificat factice pour n'importe quel domaine. L'interface de programmation Microsoft CryptoAPI étant déficiente, Internet Explorer, Outlook et tous les logiciels Windows dépendants de SSL/TLS étaient vulnérables à des attaques de type l'homme du milieu (). En , la même faille de sécurité est découverte dans la mise en œuvre de SSL/TLS des périphériques iOS d'Apple. À cette occasion, Il met à jour l'outil écrit  plus tôt pour montrer les vulnérabilités d'Internet Explorer (sslsniff) afin de prendre en compte l'empreinte des clients iOS.

En , il présente une attaque null-prefix sur les certificats SSL et révèle que la majeure partie des implémentations de SSL ne vérifie pas correctement la valeur Common Name du certificat. Ces implémentations peuvent se faire piéger par des certificats frauduleux qui embarquent un caractère nul dans le champ Common Name.

Dans un article de , Moxie Marlinspike introduit le concept de , une attaque de type l'homme du milieu () pour les sites web proposant des ressources sécurisées.

Dans celle-ci, un attaquant se place entre le flux du navigateur web d'un utilisateur et le serveur fournissant les pages ; analyse celui-ci et remplace les adresses web qui devraient utiliser une connexion chiffrée par des liens hypertextes non sécurisés ou par des adresses quasi-homographes sécurisées mais dont le site appartient à l'attaquant. En modifiant quelques détails visuels de la page (ajout d'une icône affichant un verrou sur les pages non chiffrées par exemple), l'attaque devient suffisamment subtile pour que l'utilisateur ne la remarque ; et le navigateur n'émet pas d'avertissement. Il annonce la création d'un outil (sslstrip) permettant d'automatiser cette attaque, et en effectue une démonstration au Black Hat DC 2009.

Il ne s'agit pas à proprement parler d'une attaque contre un protocole spécifique (SSL/TLS notamment), mais plutôt contre l'ensemble des techniques mises en œuvre pour obtenir l'adresse d'une ressource sécurisée. Lors d'un test de  sur l'un de ses serveurs, il obtient des comptes PayPal, des numéros de cartes de crédit, des identifiants de courrier électronique

Le mécanisme de politique de sécurité HTTP Strict Transport Security (HSTS) sera par la suite développé pour combattre ce type d'attaque.

Faiblesses des autorités de certification 
Lors des conférences Black Hat de  à Las Vegas, Marlinspike intervient sur le thème . Il expose les problèmes récurrents liés aux autorités de certification, leur nombre pléthorique, le manque d'agilité du système en cas de brèche et le faible niveau de sécurité que cela procure au Web. Pour limiter ces faiblesses, il annonce la création d'un projet nommé , compatible avec l'existant et permettant à l'utilisateur de révoquer ses tiers de confiance.

En , Trevor Perrin et lui soumettent un Internet-Draft à l'Internet Engineering Task Force concernant une extension de TLS appelée TACK (), dont le principe est basé sur des public-key pinning, afin de réduire les risques inhérents aux autorités de certification.

Craquage MS-CHAPv2

Voyages et surveillances

Conférences et conventions 
Moxie Marlinspike intervient régulièrement dans des conventions liées à la sécurité des systèmes d'information.
 Black Hat DC 2009 : 
 DEF CON 17 et Black Hat 2009 : 
 DEF CON 18 et Black Hat 2010 : 
 DEF CON 19 et Black Hat 2011 : 
 DEF CON 20 : 
  '15 : 
 36C3 :

Distinctions

Notes et références

Notes

Références

Voir aussi

Articles connexes 

 Libertés sur Internet
 Vie privée et informatique
 Cypherpunk

Liens externes 

Cryptologue américain
Informaticien américain
Développeur en informatique
Entrepreneur en informatique
Créateur de logiciels
Personnalité en sécurité informatique
Personnalité liée au logiciel libre
Personnalité américaine de l'informatique
Personnalité liée à San Francisco
Homme d'affaires américain
Pseudonyme (identité inconnue)
Date de naissance non renseignée (XXe siècle)
Lieu de naissance inconnu