Mon téléphone et moi … et d’autres ?

Co-écrit par Kevin.

Le 23 juin dernier, 2 ans après les révélations de l’espionnage de la chancelière allemande Angela Merkel, les journaux Mediapart et Libération en collaboration avec Wikileaks ont révélé que la NSA avait espionné entre 2006 et 2012 les 3 derniers présidents français (Jacques Chirac, Nicolas Sarkozy et François Hollande) ainsi que différentes personnalités politiques,  dont des conseillers présidentiels, des membres de la diplomatie…Après tout, il fallait bien s’y attendre…

Comment les espions de la NSA ont-ils pu intercepter des conversations sensibles ?

Les quelques éléments dont nous disposons montrent qu’outre la complicité du BND (rien que ça…) et la mise en place d’une station d’écoute sur le toit de l’ambassade des Etats-Unis (parfaitement bien localisée à proximité du palais de l’Elysée), la NSA a pu profiter de plusieurs « failles » liées aux téléphones sécurisés utilisés au sein des ministères.

• La situation géographique des serveurs de données : le téléphone Blackberry a été largement utilisé au sein des ministères jusqu’en 2007. Ce téléphone présentait un avantage sérieux pour la NSA : fourni par le fabricant canadien RIM, les données sont certes chiffrées, mais elles sont hébergées sur des serveurs au Canada. Or le Canada est l’un des pays membres des «Fives Eyes», l’alliance des services de renseignement de l’Australie, du Canada, de la Nouvelle-Zélande, du Royaume-Uni et des États-Unis…
• Les restrictions intrinsèques d’utilisation : Le Teorem (téléphone cryptographique pour réseau étatique et militaire) fourni par l’industriel français Thales a été déployé fin 2011. A ce téléphone s’ajoute un réseau de visioconférence sécurisée (Horus) ainsi que le réseau téléphonique Rimbaud qui permet de réaliser des communications protégées au niveau « secret défense ». Si cela peut paraître idéal, la réalité est un peu plus complexe : en effet, si notre président téléphone depuis son Teorem à un ministre dont le téléphone n’est pas capable d’adopter le même protocole de chiffrement, alors leur conversation ne sera pas chiffrée… plus largement, il n’y a pas de solution existante pour appeler quelqu’un qui ne dispose pas de Teorem et n’a pas d’accès à Horus ou Rimbaud.
• La réticence des utilisateurs face à une technologie difficile à s’approprier.

Entre sécurité et ergonomie, mon cœur balance…

…ou pas ! Le Teorem, ultra sécurisé et idéal sur le papier est loin d’être ergonomique… trop lent, il faut attendre presque 30 secondes avant de réussir à établir une communication. Pire, il ne dispose pas de répertoire, ce qui oblige ses propriétaires à avoir sur eux un agenda papier. Enfin – le comble ! – il n’est pas tactile.  Nos présidents ont donc succombé aux sirènes de leur téléphone commercial, iPhone 4 voire simple Nokia.

Trending

Le Product Owner vu par les développeurs

Ce sont ces pratiques qui ont également facilité la tâche à la NSA, qui disposait d’une liste de sélecteurs des numéros de téléphones des politiciens à cibler.

Quelles sont les solutions et les bonnes pratiques ?

Sur le plan de la sécurité des communications pure, la bonne pratique de base est d’éviter d’échanger des informations sensibles par voix aussi bien que par SMS avec des téléphones commerciaux non sécurisés. Les communications passent par le réseau des grands opérateurs publics et par conséquent les données sont à la merci de tous ceux qui pourraient y trouver un intérêt.

L’utilisation de téléphones chiffrés apporte donc une bonne réponse, à condition que le protocole de chiffrement utilisé soit le même pour les deux interlocuteurs. Chaque téléphone devra donc disposer d’une application de chiffrement de la voix et des SMS. Il est également possible d’intégrer des outils de sécurité supplémentaires, tel qu’un détecteur d’IMSI Catcher, un dispositif qui permet d’intercepter des communications en imitant le fonctionnement d’une antenne-relais. Il est également recommandé que les téléphones soient fournis par un fabricant national afin de limiter les fuites d’information et le stockage de données confidentielles à l’étranger.

Dans le cas de l’utilisation d’un téléphone commercial, il existe un certain nombre de bonnes pratiques qui permettent de limiter les risques d’espionnage et de vol de données. Il faut avant tout s’assurer de toujours mettre à jour le système d’exploitation du mobile et installer un anti-virus de confiance. Les nouvelles versions corrigent de nombreuses failles et vulnérabilités. Il est évidemment important d’activer la protection par mot de passe et si possible de chiffrer le smartphone. Même s’il est protégé par mot de passe, il ne faut jamais laisser le téléphone sans surveillance. Enfin, il est judicieux de désactiver le service de géolocalisation par défaut, le NFC, le Bluetooth et le WiFi. Ces différentes fonctionnalités sont des portes d’entrée pour les hackers qui permettent de localiser le téléphone (GPS), d’intercepter les échanges de données lors de paiements (NFC) et d’aller jusqu’à prendre le contrôle du téléphone (Bluetooth et WiFi).

Mais cette histoire nous rappelle également  l’importance du pragmatisme : comment la solution que j’ai décrite sur le papier va-t-elle s’appliquer dans la réalité ? Les solutions de sécurité que nous élaborons doivent être adoptées par les utilisateurs, il est donc primordial de les associer à la phase d’élaboration de l’ergonomie de la solution.