rogue0 Posté(e) mercredi à 00:24 Share Posté(e) mercredi à 00:24 (modifié) Retour sur le hack des opérateurs téléphoniques US par Salt Typhoon de fin 2024, car j'avais raté un énorme détail important. (et ça a préparé le terrain pour le scandale Signal en cours aux US). Sources: https://www.axios.com/2024/10/15/salt-typhoon-hack-china-verizon-att (résumé généraliste) https://www.eff.org/deeplinks/2024/10/salt-typhoon-hack-shows-theres-no-security-backdoor-thats-only-good-guys (réquisitoire impitoyable de l'association EFF, pro vie privée et pro cryptage) https://www.politico.com/news/2024/10/25/trump-hack-china-phones-00185608 (non tech, qui omet l'aspect backdoor CALEA gouvernemental) https://docs.fcc.gov/public/attachments/DOC-408015A1.pdf (RETEX de la FCC) https://www.nextgov.com/cybersecurity/2024/12/hundreds-organizations-were-notified-potential-salt-typhoon-compromise/401843/ (autres cibles du même hack) https://www.armis.com/blog/breaking-down-salt-typhoon/ (vulnérabilités utilisées par les hackers) https://doctorow.medium.com/https-pluralistic-net-2024-10-07-foreseeable-outcomes-calea-4e543eb51bad (réquisitoire) EDIT: https://en.wikipedia.org/wiki/2024_United_States_telecommunications_hack Contexte: Le gouvernement US faisait régulièrement l'apologie des backdoors (ou portes dérobées) dans les systèmes de communication chiffrés (au moins depuis la puce Clipper du FBI de 1993) ... D'ailleurs, la loi CALEA de 1994 a obligé les opérateurs US à faciliter les écoutes téléphoniques gouvernementales (via backdoors dans le matériel télécom). Et il poussait les messageries chiffrées comme Telegram, Whatsapp, Signal, pour qu'elles ajoutent des backdoors gouvernementales "que seuls les gentils peuvent utiliser". Le 07/10/2024, le gouvernement US a brutalement fait un virage à 180°. Les backdoors gouvernementales sont mortes ce jour-là. Pourquoi ? Les hackers (présumés chinois) de Salt Typhoon avaient piraté les principaux opérateurs téléphoniques US (Verizon, AT&T, au total 9 opérateurs etc...). (pas de gros hack sophistiqué, ils ont utilisé des vieilles failles et des mots de passe faibles, et patiemment piraté 80 organisations différentes par rebond jusqu'à arriver à leur cible) Et sont arrivés à utiliser les backdoors gouvernementales US, pour écouter les communications de certains citoyens américains lambda dénommés D.J.Trump, JD.Vance, et tout leur entourage, etc. (candidats à l'élection à ce moment). (et même pour les communications chiffrées, les métadonnées / Fadettes de l'appel restent disponibles, y compris la géolocalisation approximative des téléphones portables). EDIT (selon la fiche wikipedia, le piratage a duré 1 an avant d'être détecté ) EDIT2: le hack a aussi permis aux chinois de consulter la liste des personnes sous écoute judiciaire / policière ... Ce qui a permis de savoir quel agent/source chinoise était grillé/soupçonné. https://en.wikipedia.org/wiki/2024_United_States_telecommunications_hack Changement de doctrine US : le chiffrage pour tous, c'est le bien! Le FBI a rapidement conclu qu'il était impossible de garantir et de déloger les hackers chinois de ces backdoors (codées en dur dans le matériel)... Et les autorités ont retourné leur veste, en recommandant officiellement à tous, de basculer sur les logiciels de communication chiffrées de bout en bout (sans backdoor officielle)... D'où l'explosion de l'usage des messageries chiffrées Signal, Whatsapp et Telegram. Ces logiciels ont sans doute des failles de sécurité , mais au moins, si les pirates veulent écouter une conversation, ils doivent hacker chaque téléphone un par un... Au lieu d'avoir un système d'écoute centralisé qui peut rendre tout le réseau téléphonique vulnérable par un seul hack. (single point of failure) ---------------------------------------------- Aparté sur le scandale Signal Par contre, ces messageries restent vulnérables à une erreur/gaffe d'ajout de participant silencieux (voire invisible) : c'est ce qui est arrivé au journaliste de The Atlantic, invité par erreur à un canal de discussion sur Signal, pour discuter de frappes aériennes au Yemen... Ce hack de Volt Typhoon explique donc pourquoi l'administration Trump a eu au moins le réflexe de discuter sur Signal (au lieu de SMS non crypté ou des feu Blackberry)... Par contre, les discussions gouvernementales classifiées doivent être conduites sur les téléphones/réseaux chiffrés durcis officiels, approuvés par la NSA/DoD... Il n'y a aucune excuse valable à utiliser des systèmes non sécurisés ... et en fait c'est sans doute un crime fédéral. (surtout concernant les plans d'opération militaire où la moindre fuite peut faire tuer des militaires US). Bref, s'il fallait jeter en prison le fuiteur sur Discord, ou Hillary, alors il faudrait démissionner et mettre en prison tous les participants au chat signal -> soit les représentants du DNI, du DoD, de JD.Vance, de Bressent, de Mark Rubio, et le conseiller à la sécurité nationale etc.). Bref, ça ferait désordre. --------------------- Baroud d'honneur des backdoors gouvernementales en France Du coup, la dernière loi narcotraffic en France, qui prévoyait d'exiger l'ajout d'une backdoor gouvernementale à toutes les messageries chiffrées, fait figure de combat d'arrière garde. Heureusement, tout le monde s'est ligué contre cet article , qui a été rejeté. Le hack de Volt Typhoon a cloué le cercueil de cette mesure (y compris une alliance rare entre l'ANSSI, la Quadrature du Net, les compagnies de la Tech). https://next.ink/176634/larticle-8ter-sur-les-portes-derobees-enterre-cetait-une-enorme-connerie/ Après, pour lutter contre le narco-traffic, ou les pédophiles, il y a d'autres mesures possibles (moins efficaces, mais sans bombe à retardement) : Comme le hack du smartphone du suspect (pas besoin de cracker le chiffrage, en contrôlant le téléphone, on lit le message déchiffré par le suspect )... Ou l'écoute/hack de leurs forums. ------------------------ Quid de la vulnérabilité des systèmes d'écoute FR? Bon, par contre, ce qui m'inquiète, c'est que tous les pays européens (dont la France) ont quasi-certainement des systèmes d'écoute téléphoniques - étatiques et légaux - branchés sur les opérateurs téléphoniques... Sur le modèle des systèmes d'écoute US installés suite à la loi CALEA. J'espère que la France a vérifié que l'architecture d'écoute était résistante aux hackers chinois ... (note au cas où il y a des décideurs qui lisent ce forum ... ) Les hollandais avaient fait pire comme gaffe : l'opérateur téléphonique national avait confié l'entretien des systèmes d'écoutes téléphoniques à une société étrangère ... qui venait de Chine, et qui s'appelait ... Huawei. N'importe quel SR aurait sabré le Champagne pour une occasion pareille. C'est ce qu'on appelle une tentation irrésistible, sur invitation de la victime ... Modifié mercredi à 18:53 par rogue0 EDIT2 : multiples précisions fiche wikipedia 3 Lien vers le commentaire Partager sur d’autres sites More sharing options...
rogue0 Posté(e) mercredi à 18:04 Share Posté(e) mercredi à 18:04 (modifié) Petite précision sur la sécurité de la messagerie Signal selon la NSA. Voici un rappel de sécurité envoyé en interne par la NSA le mois dernier à propos de l'appli de messagerie Signal (février 2025) https://www.cbsnews.com/news/nsa-signal-app-vulnerabilities-before-houthi-strike-chat/ En gros, l'application est approuvée seulement pour des échanges gouvernementaux non classifiés. (en remplacement des SMS et téléphones classiques sous écoute par les hackers étrangers... (en plus du FBI) cf mon message précédent décrivant l'incident). EDIT: (à confirmer) : l'appli Signal aurait été ajoutée par défaut aux téléphones professionnels du gouvernement US (pas les téléphones durcis classifiés). la sécurité de l'application (open source) était suffisamment robuste pour être recommandée, vu le contexte de piratage des opérateurs téléphoniques. MAIS La NSA rappelle qu'il y a des attaques de phishing/hameçonnage + Man-in-the-middle (infiltration d'intermédiaire) en cours sur la messagerie Signal. (note perso : sans doute possibles aussi via Whatsapp et Telegram). La NSA déconseille l'usage de ces messageries commerciales pour tout échange classifié -> les outils gouvernementaux chiffrés sont là pour ça... (du moins pour ceux qui n'ont rien à cacher, et qui n'ont pas peur de laisser leurs discussions internes sauvegardées dans les archives nationales). Commentaire perso: Pour un usage civil/privé, la messagerie Signal a une bonne réputation en terme de sécurité. (l'appli est entièrement open source, et son protocole a inspiré Whatsapp, mais son business model n'est PAS de vendre les données persos de ses utilisateurs, ce qui fait une grosse différence. Et elle a fait le choix d'être moins conviviale/connectée en échange d'une meilleure sécurité. https://en.wikipedia.org/wiki/Signal_(messaging_app) Par contraste, voici toutes les critiques sur la sécurité et la confidentialité des échanges Whatsapp (qui il est vrai est une cible plus tentante 1.3 milliards d'utilisateurs, contre 50M pour Signal) https://en.wikipedia.org/wiki/Reception_and_criticism_of_WhatsApp_security_and_privacy_features -------------------------------- Quelle différence avec les téléphones habilités pour les infos classifiées ? L'application chiffre peut-être les communications ... mais les smartphones sur lesquelles tourne l'appli sont des passoires en matière de sécurité (Android, Iphone, c'est pareil maintenant). Du coup, il suffit de prendre le contrôle des smartphones pour lire les conversations déchiffrées... Et ça peut se faire à distance. Il y a des marché gris, où des centaines de vulnérabilités critiques de smartphone/appli/ordinateurs sont à vendre, pour pirater les smartphones, et les écouter. (les vulnérabilités les plus prisées sont les failles 0 clic, cad celles qui marchent automatiquement, sans aucune action de l'utilisateur) C'est un marché dit "gris", car les clients peuvent être les polices, les SR, les firmes de sécurité, ou des pirates. Quelques noms célèbres : NSO Group, Pegasus, etc. Pour 100k$, n'importe qui peut avoir accès à une faille permettant de prendre le contrôle du téléphone... Ce qui est régulièrement utilisé par les forces de police pour contourner le chiffrement. https://fr.wikipedia.org/wiki/Pegasus_(logiciel_espion) https://theintercept.com/2024/05/22/whatsapp-security-vulnerability-meta-israel-palestine/ ---------------------------------------------------- Les téléphones sécurisés officiels sont eux archi-blindés à tous les niveaux (matériel, logiciel, radio, EMP, écoute EM, etc)... Et n'autorisent que les fonctions strictement nécessaires à tourner. Par conséquent ... ils sont lents, lourds, et ch*** à utiliser. Aucune appli commerciale n'est autorisée (en particulier celles qui traquent et revendent les infos utilisateurs -> ce qui est la majorité des applis populaires). Et ça a toujours été la lutte des SR et experts en sécurité , pour convaincre les ministres et conseillers fraichement élus d'abandonner leurs bons vieux blackberry / smartphone ... facilement piratable. De mémoire, ils n'ont jamais réussi à faire lâcher à Trump son vénérable samsung galaxy en 2016... Modifié mercredi à 18:44 par rogue0 1 1 Lien vers le commentaire Partager sur d’autres sites More sharing options...
Messages recommandés
Créer un compte ou se connecter pour commenter
Vous devez être membre afin de pouvoir déposer un commentaire
Créer un compte
Créez un compte sur notre communauté. C’est facile !
Créer un nouveau compteSe connecter
Vous avez déjà un compte ? Connectez-vous ici.
Connectez-vous maintenant