Les grands systèmes de communication sont-ils vulnérables ?

Aujour­d’hui, nous util­isons nos télé­phones porta­bles à de mul­ti­ples fins : pass­er des appels, envoy­er des SMS, échang­er des images ou faire des achats en ligne. Pour ce faire, nous devons nous con­necter au réseau de com­mu­ni­ca­tion (qui trans­met l’information entre dif­férents dis­posi­tifs et entités) dont nous savons qu’il est vul­nérable aux attaques. Les « fauss­es sta­tions de base » prof­i­tent, par exem­ple, de la con­fi­ance en un nom­bre impor­tant d’acteurs pour frag­ilis­er le réseau.

« À l’arrivée de chaque nou­velle généra­tion de com­mu­ni­ca­tions mobiles, des mod­i­fi­ca­tions sont apportées aux pro­to­coles de sécu­rité, explique Jan­nik Dreier. Le prob­lème est que la plu­part des pro­to­coles qui exis­tent aujour­d’hui datent de l’in­tro­duc­tion des télé­phones numériques et n’ont que peu évolué, alors que les garanties de sécu­rité souhaitées ont évidem­ment changé depuis lors. »

L’un des change­ments apportés lors du pas­sage à la 5G con­cerne la pro­tec­tion de la vie privée. Pour sécuris­er les com­mu­ni­ca­tions, l’appareil et le réseau doivent pou­voir s’au­then­ti­fi­er mutuelle­ment lorsqu’une con­nex­ion est établie. Cepen­dant, pen­dant la con­nex­ion et l’échange (de don­nées, de paroles ou d’im­ages), l’i­den­tité et la local­i­sa­tion de l’u­til­isa­teur ain­si que le con­tenu des échanges doivent rester con­fi­den­tiels. Pour ce faire, un pro­to­cole de com­mu­ni­ca­tion appelé Authen­ti­ca­tion and Key Agree­ment (AKA) est util­isé depuis l’in­tro­duc­tion de la norme 3G. Cela sig­ni­fie que les mes­sages sont chiffrés à l’aide d’une clé échangée lors de l’établissement de la connexion.

La norme actuelle de com­mu­ni­ca­tion 5G est donc basée sur le pro­to­cole 5G AKA¹. Ce nou­veau pro­to­cole a con­sid­érable­ment amélioré la pro­tec­tion de l’identifiant du télé­phone par rap­port à la tech­nolo­gie 4G, et a notam­ment résolu un prob­lème précédem­ment exploité par les inter­cep­teurs IMSI (Inter­na­tion­al Mobile Sub­scriber Iden­ti­ty). Ces dis­posi­tifs per­me­t­taient d’intercepter l’IM­SI d’une carte de télé­phone mobile afin de déter­min­er la local­i­sa­tion d’un appareil mobile et donc de suiv­re un util­isa­teur. Com­ment ? En écoutant sim­ple­ment les trans­mis­sions entre le télé­phone mobile et l’an­tenne du réseau mobile, l’IMSI étant envoyé en clair. Heureuse­ment, cela n’est plus pos­si­ble avec la 5G AKA.

« Bien que cette par­tie ait été améliorée, le pro­to­cole dans son ensem­ble est loin d’être par­fait, prévient Jan­nik Dreier. C’est comme si nous n’avions fait que ‘‘bouch­er un trou’’. Si nous devions refor­muler ce pro­to­cole et repar­tir de zéro, pour ain­si dire, nous le con­stru­iri­ons com­plète­ment dif­férem­ment. C’est sou­vent le cas en matière de tech­nolo­gie. Si la con­nex­ion entre un télé­phone et les antennes (sta­tions de base) est pro­tégée, le prob­lème est que les don­nées ne sont plus pro­tégées sur le réseau filaire ».

On fait con­fi­ance au réseau et à l’opérateur, ce qui crée un vecteur poten­tiel pour une mise sous écoute et sous sur­veil­lance ou pour engager une attaque directe. « L’u­til­i­sa­tion d’équipements chi­nois en par­ti­c­uli­er a fait l’ob­jet de nom­breux débats, car une ‘‘porte dérobée’’ pour­rait être util­isée à des fins d’es­pi­onnage ou car­ré­ment pour créer un ‘‘bou­ton rouge’’ : si l’on appuie dessus, le réseau et tous les appareils com­mu­ni­cants cesseraient immé­di­ate­ment de fonc­tion­ner. »

En out­re, les réseaux de télé­phonie mobile nous per­me­t­tent d’u­tilis­er nos télé­phones en itinérance, c’est-à-dire en nous con­nec­tant à un réseau dif­férent de celui de notre opéra­teur prin­ci­pal (lorsque nous sommes à l’é­tranger, par exem­ple). Il existe ain­si un risque qu’un attaquant fasse croire que nos télé­phones se trou­vent en itinérance et installe une fausse sta­tion de base², c’est-à-dire un dis­posi­tif malveil­lant util­isé pour imiter une sta­tion de base légitime d’un réseau mobile. Les com­mu­ni­ca­tions n’é­tant pro­tégées que jusqu’à la fausse sta­tion, l’attaquant est en principe en mesure d’intercepter et de sur­veiller tous les échanges qui tran­si­tent par celle-ci. Mal­heureuse­ment, les smart­phones actuels ne sont que peu équipés pour nous aver­tir de telles attaques – ils acceptent facile­ment de se con­necter en itinérance, ce qui n’est pas tou­jours claire­ment vis­i­ble pour l’utilisateur (qui, de plus, ne se doute de rien parce qu’il n’est peut-être même pas à l’étranger).  

La mise en place de fauss­es sta­tions de base ne se lim­ite pour­tant pas à servir des intérêts malveil­lants. Avec l’appui des opéra­teurs de réseaux mobiles, elle peut être util­isée, par exem­ple, par la police et les ser­vices de ren­seigne­ment à des fins de lutte con­tre la crim­i­nal­ité ou de sur­veil­lance : out­re les con­ver­sa­tions télé­phoniques et les mes­sages, ces acteurs peu­vent suiv­re tout con­tenu tran­si­tant par la fausse sta­tion de base.

La sécu­rité ne se lim­ite pas au réseau, mais con­cerne égale­ment les télé­phones eux-mêmes, notam­ment avec l’utilisation des com­mu­ni­ca­tions chiffrées de bout en bout, comme celles util­isées dans des appli­ca­tions telles que Sig­nal et What­sApp. En effet, si l’on pro­tège les com­mu­ni­ca­tions de bout en bout, chaque extrémité de la trans­mis­sion devient naturelle­ment une cible d’at­taque, tant pour les crim­inels que pour les ser­vices d’État qui cherchent à com­penser la perte d’efficacité de la sur­veil­lance du réseau.

C’est pour cette rai­son que des propo­si­tions visant à instau­r­er une sur­veil­lance des appareils à dis­tance voient régulière­ment le jour, notam­ment dans le cadre de la lutte con­tre le ter­ror­isme ou la pédo­pornogra­phie³. « Il y a cepen­dant des prob­lèmes, explique Jan­nik Dreier. D’un point de vue tech­nique, cette approche devra néces­saire­ment porter atteinte à la sécu­rité des com­mu­ni­ca­tions et des sys­tèmes pour l’ensem­ble de la pop­u­la­tion car elle prévoit que tous les appareils soient scan­nés, et non seule­ment en cas de sus­pi­cion. »  

Par ailleurs, les solu­tions pro­posées pour lut­ter con­tre la pédo­pornogra­phie reposent essen­tielle­ment sur la com­para­i­son des images avec une base de don­nées d’images con­nues, ou sur l’utilisation d’une intel­li­gence arti­fi­cielle entrainée sur ces images. Cela implique néces­saire­ment l’existence de « faux négat­ifs », c’est-à-dire d’images pédo­pornographiques non détec­tées, mais pire encore, un risque de « faux posi­tifs », ou « fauss­es alertes » : on pour­rait être accusé d’un crime que l’on n’a pas com­mis, parce qu’une image a été détec­tée à tort par l’intelligence artificielle.

Si toutes les images sur tous les appareils sont scan­nées, il y aura inévitable­ment un grand nom­bre de ces erreurs de clas­si­fi­ca­tion. « Nous savons égale­ment que des mod­i­fi­ca­tions invis­i­bles à l’œil nu peu­vent être appliquées à une image, mais qu’elles con­duisent à une clas­si­fi­ca­tion erronée par l’IA. On peut donc imag­in­er que des per­son­nes malveil­lantes mod­i­fient ain­si des images et les envoient à d’autres per­son­nes ciblées afin qu’elles soient détec­tées comme déten­tri­ces des con­tenus pédo­pornographiques. »

Il y a aus­si un dan­ger plus poli­tique. « Une fois qu’une telle infra­struc­ture est en place, elle peut être util­isée à d’autres fins et, in fine, notam­ment dans les pays non-démoc­ra­tiques, à la répres­sion. Il est égale­ment impor­tant de not­er que nous ne savons pas exacte­ment com­ment fonc­tion­nent ces infra­struc­tures, car les algo­rithmes de détec­tion qui les sous-ten­dent ne sont pas dans le domaine pub­lic, ajoute-t-il. C’est un prob­lème, car nous ne sauri­ons pas sur quelle base nous avons été incrim­inés. Il y aurait un manque de trans­parence. Une telle stratégie crée des capac­ités sans précé­dent de sur­veil­lance et de con­trôle des util­isa­teurs, avec des con­séquences poten­tielle­ment énormes pour la démoc­ra­tie en Europe et dans le monde. »

« Dans les réseaux actuels, nous faisons beau­coup trop con­fi­ance aux opéra­teurs et à leurs équipements, ce qui entraine des faib­less­es inhérentes. Mal­heureuse­ment, cela ne risque pas de chang­er de sitôt, car ce n’est pas finan­cière­ment intéres­sant pour les opéra­teurs », explique-t-il à Poly­tech­nique Insights. Par con­séquent, la sit­u­a­tion pour­rait même s’empirer à l’avenir : « S’il n’est pas pos­si­ble de recon­stru­ire ces archi­tec­tures à par­tir de zéro, dans un mod­èle qui repose moins sur la con­fi­ance aux opéra­teurs, nous devons cor­riger les lacunes con­nues. Cer­taines peu­vent être faciles à répar­er, notam­ment par l’utilisation de solu­tions de pro­tec­tion de bout en bout, mais pas d’autres. Il n’y aura jamais de solu­tions par­faites. »

Propos recueillis par Isabelle Dumé