Le 10 décembre dernier, l’entreprise israélienne Cellebrite annonçait avoir cassé la sécurité de l’application de communication chiffrée Signal. En fait, Cellebrite n’a rien cassé, leur outil permet aux policiers de télécharger et gérer les données de Signal (et de n’importe quelle application), depuis un téléphone dont ils auraient déjà le mot de passe, ou qui serait déverrouillé. Le matériel Cellebrite est utilisé par de nombreuses polices, il équipe d’ailleurs 500 commissariats en France.

Dans un billet publié sur le blog de Signal hier soir, Moxie Marlinspike (fondateur et développeur de Signal) explique être entré en possession d’un kit Cellebrite habituellement réservé aux forces de police et y avoir trouvé une bonne quantités d’énormes vulnérabilités. A commencer par le fonctionnement le plus basique du logiciel de Cellebrite : siphonner des données indiscriminées venues d’un engin inconnu.

« Il est possible d’éxécuter du code arbitraire sur la machine Cellebrite, tout simplement en incluant un fichier spécialement formaté mais par ailleurs inoffensif dans n’importe quelle application d’un appareil qui sera ensuite branché dans Cellebrite et scanné. Il n’y a virtuellement aucune limite au code qui peut ainsi être exécuté (…) il peut modifier non seulement le rapport généré par Cellebrite, mais également tous les rapports passés et futurs de tous les scans qui ont eu lieu et qui auront lieu sur l’engin de façon arbitraire (en insérant ou supprimant du texte, des e-mails, photos, contacts, fichiers, etc.) sans laisser aucune trace de cette altération. Cela pourrait même être fait de façon aléatoire et remettrait alors sérieusement l’intégrité des données fournies par Cellebrite. (…) Jusqu’à ce que Cellebrite ait réparé toutes les vulnérabilités de son logiciel, le seul remêde qu’aient ses clients est de ne rien scanner. » Plusieurs autres vulnérabilités ont été trouvées, et deux DLL d’Apple probablement utilisées sans licence d’utilisation pour extraire les données des iphones.

Dans le dernier paragraphe du billet, Signal sous-entend très lourdement que de tels fichiers piégés seront intégrés dans l’application de façon aléatoire pour certains utilisateurs dans le futur.