Un nouveau projet de loi du gouvernement fédéral prévoit d’obliger les fournisseurs de services de télécommunication de permettre aux forces de l’ordre (police, justice, sécurité de l’Etat…) de déchiffrer ce qui est échangé dans les applications de messageries cryptées de type Whatsapp ou Signal par certains utilisateurs spécifiques. Autrement dit, les fournisseurs de services seront obligés de « désactiver » le cryptage pour des utilisateurs visés par des enquêtes policières et judiciaires.

Le problème généralement soulevé, c’est qu’il n’existe aucun moyen de simplement « désactiver » le cryptage pour certains utilisateurs. Par conséquent, c’est l’ensemble des communications cryptées qui deviendra accessible, et non plus exclusivement celles de personnes qui intéressent la police et la justice. Certains dénoncent que l’affaiblissement du cryptage rendra les Belges beaucoup plus vulnérables aux attaques malveillantes. La protection de la vie privée est aussi évoquée. Cinquante ONG, universités et entreprises impliquées dans la protection de la vie privée et le cryptage ont publié une lettre ouverte contre le projet de loi. L’autorité belge de protection des données a déjà fait part de ses vives préoccupations dans un avis antérieur sur le projet de loi.

Mais surtout et plus fondamentalement, comme de nombreuses propositions de lois du même genre, celle-ci ne semble pas comprendre les techniques et technologies impliquées ni proposer de solution réaliste à son application.

Dossier(s): Sécurité IT Tags:

Il y a quelques jours, nous avons relayé le fait que Protonmail avait fournit des informations à la police française via une demande Europol vers la Suisse, dans le cadre d’une enquête contre les occupant·e·s d’un bâtiment de la place Sainte Marthe, militant·e·s pour le climat. Les adresses IP n’étant effectivement pas enregistrées par défaut par Protonmail, la société a activé l’enregistrement d’IP pour l’adresse e-mail visée par le mandat.

Protonmail a depuis réagi à l’information en déclarant avoir agit dans le cadre de ses obligations vis à vis de la loi suisse et de ses propres conditions d’utilisation, qui précisent que les IP ne sont pas enregistrées « par défaut » mais qu’elles peuvent être enregistrées pour des adresses spécifiquement visées par une requête légale. Protonmail suggère à ses utilisateurs et utilisatrices qui auraient des besoins « spécifiques » en matière de vie privée d’utiliser le site .onion, accessible uniquement via TOR. Il est toutefois toujours impossible d’ouvrir un nouveau compte sans devoir fournir un numéro de téléphone ou de carte de crédit.

Les protocoles e-mail sont réputés pour être des technologies fondamentalement difficiles à sécuriser. Auparavant, la seule façon de garantir le chiffrement de ses e-mails était d’utiliser le logiciel OpenPGP, mais là encore avec une immense faille puisque la plupart des méta-données (émetteur, destinataire, sujet, date et heure) sont très difficiles ou impossibles à chiffrer, dû au fonctionnement même des e-mails. En plus de ça, OpenPGP est difficile à utiliser, et encore plus à utiliser collectivement avec des personnes aux compétences informatiques variables. L’arrivée de fournisseurs d’e-mails chiffrés associatifs (comme Riseup) ou commerciaux (comme Protonmail ou Tutanota) a massivement augmenté la facilité d’utilisation du chiffrement des e-mails, comparés aux fournisseurs classiques comme Gmail et Outlook. Le fait que le contenu des e-mails n’ait pas pu être transmis à la police française est donc un point important à noter. Protonmail n’est pas anonyme (pas plus que Tutanota qui peut également être légalement forcé d’enregistrer l’adresse IP d’un utilisateur spécifique, par la justice allemande). L’utilisation d’un bon VPN ou de TOR est la seule façon d’être anonyme vis-à-vis de son fournisseur d’accès à internet ou des sites web visités.

Ces dernières années ont enfin vu se développer de nouveaux protocoles de messagerie chiffrée comme Signal ou Session qui permettent le chiffrement de la quasi-totalité des méta-données par défaut. Contrairement à OpenPGP qui utilise toujours la même clé pour chiffrer, ces nouveaux protocoles utilisent de nouvelles clés pour chaque message.

Malgré le fait que Protonmail est transmis cette information, il est toujours préférable d’utiliser un tel service plutôt qu’un fournisseur d’e-mail classique, en gardant à l’esprit que contrairement à Signal, les méta-données des e-mails ne sont généralement pas chiffrées. En toutes circonstances, sur tous les appareils que vous utilisez (smartphones, tablettes, ordinateurs) et pour toute activité sur le web, nous recommandons fortement l’utilisation d’un VPN réputé en matière de vie privée comme Mullvad, ou de TOR.

L’année 2020 et 2021 a été marqué par la mise en place et la répression d’une série d’occupations dans le quartier de la place Sainte Marthe, à Paris, afin de lutter contre sa gentrification. Quelques 20 personnes ont été arrêtées, trois perquisitions ont été menées et plusieurs personnes ont été condamnées à des peines de prison avec sursis ou à des amendes de plusieurs milliers d’euros (plus d’infos ici et ici). Par ailleurs, sept personnes passent en procès début 2022 pour « vol et dégradation en réunion et violation de domicile » suite à l’occupation d’un avec un dossier de plus de 1000 pages. Durant l’enquête, les policiers se sont concentré sur le collectif « Youth For Climate ». Ils ont notamment pu exploiter des photos publiées sur Instagram et ce même si elles étaient floutées à cause des vêtements.

Les policiers ont également remarqué que le collectif communiquait via une adresse mail protonmail. Ils ont donc adressé une réquisition (via EUROPOL) à l’entreprise suisse gestionnaire de la messagerie afin de connaître l’identité du créateur de l’adresse. Protonmail a répondu à cette réquisition en communiquant l’adresse IP ainsi que l’empreinte du navigateur utilisé par le collectif. Il est donc impératif de passer par le réseau tor (ou au minimum un VPN) lorsque vous utiliser une boite mail Protonmail (ou une autre boite mail sécurisée) si vous voulez garantir une sécurité suffisante.

Dans une mise à jour de la version beta de l’application, publiée ce mardi soir et disponible pour les utilisateurs au Royaume-Uni, l’application Signal permet à présent d’envoyer une crypto-monnaie, le « Mobilecoin », développé depuis 2017, notamment par Moxie Marlinspike, le fondateur et développeur principal de Signal. Hier soir également, Signal mettait à jour les sources de Signal-Server, qui n’avaient pas été publiées depuis plusieurs mois. On devine maintenant que c’était la préparation de cette nouvelle fonctionnalité qui a justifié pour Signal de ne pas publier les sources du côté serveur. Notons que les sources des applications Android/iOS suffisent heureusement à garantir la sécurité des messages.

« Signal Payments » présente le Mobilecoin comme la première crypto-monnaie supportée par la plateforme (avant d’autres ?). La décision peut surprendre puisque des cryptomonnaies bien établies, et très sécurisées existent depuis plusieurs années, notamment le Monero. Mobilecoin est d’ailleurs largement inspiré du Monero (ainsi que du protocole de consensus Stellar) mais comporte des différences majeures avec celui-ci : le mobilecoin est « pré-miné », il y a donc 250 millions de pièces (tokens) existantes et il n’y en aura jamais plus. Ce pré-minage pose la question de savoir qui détient les pièces et comment elles ont été/seront distribuées. Signal défend l’utilisation du Mobilecoin car c’est une cryptomonnaie pensée pour l’utilisation sur des smartphones, qui nécéssite peu de puissance de calcul, aux transactions très rapides (quelques secondes). Mobilecoin est également critiquée pour sa dépence à la technologie « d’enclave sécurisée » SGX d’Intel, réputée vulnérable depuis plusieurs années, mais prévoit de cesser de l’utiliser dans le futur, et ne baserait pas ses fonctions sécuritaires de base sur cette technologie. Enfin, le Mobilecoin ne peut pour l’instant être acheté qu’auprès d’exchanges de crypto-monnaies  ce qui rend son acquisition compliquée par le commun des mortels.

Des envois de crypto-monnaies aussi simples qu’un message Signal ? Nous n’en sommes pas encore là, et les développeurs de Signal et de Mobilecoin devront répondre à de nombreuses question d’ici là, mais à l’heure où les campagnes de solidarité sont systématiquement censurées par les plateformes de paiement (Stripe, Paypal, Pot Commun,…) et de crowdfunding, la fonctionnalité montre tout de suite son intérêt. « Signal Payments » n’est disponible pour l’instant qu’au Royaume-Uni, avec un numéro +44, et sur le canal de mises à jour beta, la fonctionnalité peut-être désactivée entièrement.

La police fédérale a mené ce matin environ 200 perquisitions, dont une vingtaine renforcée avec les unités spéciales, visant le crime organisé lors d’une intervention coordonnée au plus haut niveau policier et judiciaire. On dénombrerait au moins 10 arrestations. Dans le viseur : des utilisateurs de téléphones sécurisés de la marque SKY ECC. Le prix annuel d’une licence pour l’un de leurs appareils est affiché à €2.200. Il s’agit d’un concurrent d’EncroChat dont les téléphones avaient été hackés par les polices françaises et néerlandaises (voir notre article), ce qui donne une piste sur les méthodes utilisées par la police belge. L’enquête durait depuis fin 2019, sous la direction des parquets fédéral et anversois et a mobilisé les enquêteurs de la Computer Crime Unit.

Ces méthodes posent des questions légales puisque les preuves ont été recueillies massivement sur bases de suspicions liées à l’utilisation d’un moyen de communication sécurisée afin d’y rechercher des actes potentiellement délictueux, ce qui pourrait rendre les éléments irrecevables en justice.

Ces affaires ont fait connaître médiatiquement les sociétés de « cryptophones », qui proposent des smartphones soi-disant sécurisés pour des abonnements aux prix mirobolants. Comme l’affaire Encrochat l’avait démontré, ce genre de scénario offre une surface d’attaque très large à la police (code-source fermé, accès physique possible aux serveurs, pressions directes sur les employés ou directeurs de ces sociétés, etc.)

La protection des communications vue par SKY ECC

La protection des communications vue par SKY ECC

De nombreux utilisateurs abandonnent actuellement WhatsApp et migrent vers Signal. Cette migration est causée par les nouvelles conditions d’utilisation de WhatsApp qui impose aux utilisateurs de partager certaines données avec Facebook. Parmi les données qui seront collectées par Facebook, on trouve notamment “l’heure, fréquence et durée de vos activités et interactions”, “vos adresses IP et d’autres données comme les codes géographiques des numéros de téléphone et votre localisation générale (ville et pays)” ou encore “votre photo de profil”. Les utilisateurs qui refuseraient ce partage risquent de voir leur compte supprimé le 8 février. Les changements de condition d’utilisation ne sont pas exactement les mêmes en Europe qu’ailleurs pour cause du Règlement Général de Protection des Données (RGPD), mais Whatsapp y récolte comme partout une quantité abusive de données sur ses utilisateurs.

Dès le 7 janvier, Signal enregistrait une explosion des inscriptions. Quelques jours plus tard, Signal s’imposait comme l’application la plus téléchargée sur Android et iOS un peu partout dans le monde. En 2020, la Mozilla Foundation avait désigné Signal “application de communication la plus sécurisée”. Signal, en effet, reste la meilleure application de messagerie sécurisée et nous conseillons depuis des années son utilisation (voir nos articles ici et ici). Plus d’infos sur Signal ici.

Dossier(s): Sécurité IT Tags:

Le 10 décembre, l’entreprise israélienne Cellebrite, qui vend des produits d’exfiltration de données de smartphone aux forces de l’ordre (voir notre article), a annoncé avoir trouvé une solution pour déchiffrer l’application Signal. « Déchiffrer les messages et les pièces jointes envoyés par Signal a été impossible… jusqu’à maintenant », pouvait-on lire dans une note de blog supprimée depuis. Derrière des explications techniques sur une récupération de clé secrète, Cellebrite annonçait en réalité qu’elle pouvait lire vos textes en ayant en possession de votre téléphone… déverrouillé. Ce que n’importe qui aurait pu faire simplement en ouvrant l’application pour consulter les messages. Bref, un grand « effet d’annonce », largement relayé, pour ce qui n’est en réalité qu’une petite amélioration rendant l’exportation des données plus confortable à partir du moment où l’on a déjà un accès total au téléphone…

 

Dossier(s): Sécurité IT Tags:

Une campagne de surveillance menée par des services iraniens contre les dissidents du régime, qui dure depuis six ans, a été mise au jour. Depuis 2014, Rampant Kitten (le groupe de piratage à l’origine à l’origine de cette campagne) lançait des attaques pour espionner leurs victimes, notamment via le détournement de comptes Telegram, l’extraction de codes d’authentification à deux facteurs via des SMS, des enregistrements téléphoniques, l’accès aux informations de compte KeePass et la distribution de pages de phishing malveillantes à l’aide de faux comptes de service Telegram.

Ils ont utilisé des documents malveillants pour attaquer leurs victimes et voler autant d’informations que possible stockées sur l’appareil infecté. Le document intitulé « Le régime craint la propagation des canons révolutionnaires.docx » (traduction) permettait à Rampant Kitten de mener ses attaques. Une fois ouvert, le fichier chargeait un modèle de document à partir d’un serveur distant (afalr-sharepoint [.] Com), qui se fait passer pour un site Web d’une organisation à but non lucratif qui aide les dissidents iraniens. Il téléchargeait ensuite un code de macro malveillant, qui exécute un script batch pour télécharger et exécuter une charge utile de l’étape suivante. Cette charge utile vérifie ensuite si le service de messagerie Telegram est installé sur le système des victimes. Si tel est le cas, il extrait trois exécutables de ses ressources. Ces exécutables incluent un voleur d’informations qui prend les fichiers Telegram de l’ordinateur de la victime, vole des informations de l’application de gestion des mots de passe KeePass, télécharge tout fichier qui se termine par un ensemble d’extensions prédéfinies, enregistre les données du presse-papiers et prend des captures d’écran. Rampant Kitten utilise également des pages de phishing usurpant l’identité de Telegram.

Une application Android malveillante a également été découverte. Elle était déguisée en service pour aider les Iraniens en Suède à obtenir leur permis de conduire. Une fois que les victimes téléchargaient l’application, la porte dérobée volait leurs messages SMS et contournait la double authentification (2FA) en transférant tous les messages SMS contenant des codes 2FA vers un numéro de téléphone contrôlé par un attaquant. L’une des fonctionnalités uniques de cette application malveillante est de transférer tout SMS commençant par le préfixe G- (le préfixe des codes d’authentification à deux facteurs de Google) vers un numéro de téléphone qu’il reçoit du serveur C2. Il convient de noter que l’application lance également une attaque de phishing ciblant les identifiants du compte Google (Gmail) des victimes. Il récupère également les données personnelles (comme les contacts et les détails du compte) et enregistre l’environnement du téléphone.

Plus d’infos ici et ici.

Gmail et Telegram compris par des pirates au service du régime

Gmail et Telegram compris par des pirates au service du régime

Les chercheurs chinois de DBAPPSecurity viennent de trouver une faille dans Bluetooth. Baptisée “BlueRepli” elle permet à un pirate de s’introduire dans des smartphones Android et d’y dérober des informations, parmi lesquelles les SMS et les contacts du répertoire. Cette faille est dite “zero day”, c’est à dire inconnue jusqu’à aujourd’hui. La menace est importante parce que la cible est un système quasiment universel, et que tous les appareils sont une cible potentielle, indépendamment de la prudence avec laquelle leur utilisateur a utilisé le web. Pour se connecter en Bluetooth, un utilisateur doit effectuer une opération dite d’appairage, pendant laquelle les deux appareils vont faire connaissance. Une fois présentés, ils peuvent se connecter très rapidement et automatiquement, sans action supplémentaire. Il suffit pour cela d’activer le Bluetooth, de mettre les deux appareils sous tension et de les rapprocher à une distance raisonnable. Grâce à cette faille, un pirate peut enregistrer son propre appareil auprès de la cible en tant qu’objet appairé en Bluetooth. Il se connecte à la cible, en se faisant passer pour un appareil connu, sans explication ni autorisation.

Tant que Google n’aura pas corrigé la faille dans son système d’exploitation, le Bluetooth demeurera une porte grande ouverte. Ce n’est probablement qu’une question de temps avant que les équipes d’Android ne corrigent cette nouvelle brèche. S’il n’est pas possible de désinstaller le Bluetooth comme on le ferait avec une application malveillante, mieux vaut garder un œil sur les mises à jour de votre appareil Android dans les prochains temps.

La sécurité de Bluetooth compromise

Dossier(s): Sécurité IT Tags:

Jeudi 2 juillet, au siège d’Eurojust, l’agence de coopération judiciaire de l’Union européenne, à La Haye, des enquêteurs néerlandais et français ont révélé qu’ils étaient parvenus contourner les systèmes de sécurité des téléphones EncroChat. Ces appareils ont commencé à arriver entre les mains des experts de la gendarmerie française en 2017, en marge d’affaires de trafic de stupéfiants. A l’apparence anodine, ils disposaient de fonctionnalités cachées rendant leurs communications impossibles à intercepter et leurs données illisibles. Leurs données pouvaient être totalement supprimées en saisissant un simple code sur le téléphone.

Ces téléphones, dont la caméra, le micro ou le GPS étaient parfois physiquement détruits pour limiter tout risque de pistage, étaient commercialisés par EncroChat au prix de 1.000 euros et assorti d’un abonnement d’environ 3 000 euros l’année. Chaque appareil disposait même d’un service après-vente, disponible vingt-quatre heures sur vingt-quatre et sept jours sur sept. En 2020, selon les autorités néerlandaises, 50.000 appareils EncroChat étaient actifs, dont 12.000 dans les seuls Pays-Bas.

Les enquêteurs français ont découvert les serveurs formant le soubassement technique du réseau EncroChat étaient situés en France. Un logiciel capable de siphonner le contenu des appareils et de lire les échanges avant qu’ils soient chiffrés a été envoyé sur des milliers de téléphones. Ceux-ci ont été écoutés pendant des semaines. Les responsables d’Encrochat ont fini par s’apercevoir que quelque chose clochait sur leurs appareils. Le 13 juin, ils font parvenir en urgence, en anglais, un message à tous leurs utilisateurs : « Une ou plusieurs entité(s) gouvernementales ont lancé une attaque pour compromettre [certains de nos appareils]. Nous ne pouvons plus en garantir la sécurité. Nous vous conseillons de les éteindre et de vous en débarrasser immédiatement. » La justice française, qui vise, notamment, le chef de « fourniture d’un moyen de cryptologie », n’a pas (encore?) lancé de poursuite contre EncroChat.

Un téléphone Encrochat

Un téléphone Encrochat