Quand la surveillance tourne au cauchemar : des pirates chinois ont infiltré les données de millions d’Américains !

Imaginez que pour des raisons de sécurité nationale, la loi oblige les opérateurs télécoms à ouvrir un accès spécial pour que les autorités puissent écouter les appels, les messages et le trafic Internet de chaque citoyen. Imaginez maintenant que malgré des garanties d'inviolabilité, cet accès spécial, autrement dit, un backdoor ou porte dérobéeporte dérobée, soit également exploité par une puissance étrangère hostile.

C'est exactement l'histoire qu'a révélée le Wall Street journal vendredi 5 octobre. Des pirates liés au gouvernement chinois sont parvenus à pénétrer les backdoors de plusieurs opérateurs américains, tels AT&TT et Verizon. Grâce à cette infiltration, ils ont pu potentiellement utiliser pendant des mois les infrastructures permettant d'obtenir une autorisation d'accéder de façon quasi illimitée aux données des clients de ces opérateurs.

Le groupe de hackers porte le nom de « Salt Typhoon ». Il fait partie des nombreuses unités de piratage soutenues par les autorités chinoises. Ces groupes sont utilisés pour préparer le terrain pour mener à terme des cyberattaques destructrices en cas de conflit entre la Chine et les États-Unis au sujet de Taïwan. Dans le cas présent, les pirates se sont introduits dans les systèmes des trois plus grands opérateurs américains (AT&T, Verizon, LumenLumen). Ils ont pu ensuite accéder aux outils utilisés pour transmettre les données des clients aux forces de l'ordre et au gouvernement. Tout ce que l'on sait, c'est que la collecte aurait été massive. Les autorités américaines annoncent avoir commencé leur enquête. Ce piratage montre encore une fois qu'une loi de surveillance massive, censée assurer la protection de la nation et des citoyens, peut les mettre en danger.

Il n'y a aucun moyen technique de créer une porte dérobée que seuls les « gentils » peuvent utiliser. Et c'est justement pour que les citoyens puissent échapper à cette surveillance de masse finalement dangereuse que des applications chiffrées sont nées. C'est notamment le cas de la messagerie Signal. Cette dernière la renforce en ajoutant une nouvelle couche de protection. Elle permet d'éviter le déchiffrement des données par de futurs ordinateurs quantiques. © Signal

Le chiffrement pour claquer la porte dérobée

Malgré les protections mises en place par les opérateurs, un backdoor reste une faille dans le système et le risque zéro n'existe pas. N'en déplaise aux États, y compris la France, où cette obligation envers les opérateurs existe aussi, l'accès illicite à un backdoor légal aussi sécurisé qu'il soit, n'est qu'une question de temps. Par praticité, facilité et nécessité, les lois prises à une époque où ce type de menace n'existait pas ou peu n'ont jamais été mises à jour. 

Autrement dit, le danger était alors inexistant lorsque cette loi américaine sur la surveillance de massemasse des communications a été appliquée il y a trente ans. À l'époque, les téléphones portables étaient rares et Internet n'en était qu'à ses débuts. Il a fallu attendre les révélations de l'ancien membre de la NSA Edward Snowden pour que la population américaine se rende compte que le pouvoir avait les moyens techniques de l'« écouter ». Obligés à maintenir ces backdoors, les opérateurs n'ont pas pu ni su protéger leurs clients de cette surveillance.

Mais, c'est du côté des géants de la high-tech qu'une révolution assurant une meilleure confidentialité pour leur client a été menée. À titre d'exemple, Meta a ainsi pris soin de chiffrer ses messageriesmessageries (MessengerMessenger, WhatsAppWhatsApp). Sur AndroidAndroid, l'applicationapplication Message de GoogleGoogle est également chiffrée de bout à bout. Les applications de communication chiffrées, comme Signal ou TelegramTelegram, ont été plébiscitées par un public désormais averti. De fait, hormis lorsque l'on téléphone ou que l'on échange par SMS, ou bien que l'on surfe sans VPN sur ordinateurordinateur, ces backdoors sont de moins en moins pertinents pour surveiller les personnes.

C'est exactement pour cette raison qu'en France, les autorités souhaiteraient pouvoir accéder aux données chiffrées des applications, comme le réclamait encore, il y a peu, l'ancien ministre de l'Intérieur, Gérald Darmanin. Et pour mettre la pressionpression, cela a justement donné lieu à l'arrestation en France de Pavel DurovPavel Durov, le patron de Telegram. L'argument employé pour légitimer cet accès aux données chiffrées est la lutte contre le terrorisme et les abus sur les mineurs.

Malheureusement, pour atteindre cet objectif, la technologie ne permet pas de s'assurer que ces « ouvertures » ne soient pas exploitées par des acteurs malveillants. Autrement dit, surveiller pour protéger peut s'avérer totalement contreproductif et dangereux.