Le Royaume-Uni, allié de la NSA, pirate Gemalto
Le Royaume-Uni, allié de la NSA, pirate Gemalto: Les systèmes internes du groupe franco-néerlandais Gemalto ont été hackés par une équipe conjointe de la NSA et du GCHQ, son homologue – et compère en piraterie – britannique, selon des documents dévoilés par Edward Snowden et analysés par The Intercept. Objectif de cette attaque : voler les clefs de cryptage utilisées pour protéger la confidentialité des échanges téléphoniques, tant voix que données. Selon le document mis en ligne, le piratage de Gemalto, qui produit 2 milliards de cartes SIM par an pour 450 opérateurs mobiles dans le monde (dont Orange et SFR), remonte à 2010. Le nombre de clefs dérobées n’est pas précisé.
image: http://www.silicon.fr/wp-content/uploads/2015/02/Herve-Schauer-270x370.jpg
L’affaire est jugée crédible par les deux experts que nous avons interrogés : Hervé Schauer, directeur général de HSC (aujourd’hui dans le giron de Deloitte) et associé Deloitte, et Gérôme Billois, senior manager en gestion des risques et sécurité chez Solucom, un cabinet de conseil intervenant surtout auprès des grandes entreprises. Pour le premier, « reste à savoir quelles clés ont été extraites. Il faut se rappeler que la SIM contrôle non seulement l’authentification
et le chiffrement des communications, mais aussi les opérations de maintenance de base (mise à jour de firmware par exemple) et dans certains cas des accès au stockages de l’OS « de loisir » du téléphone ». Le second voit dans cette énième révélation la confirmation de « la logique de la NSA : pratiquer une surveillance de masse pour détecter des cibles et non cibler d’emblée les individus à surveiller ».
Le vol des clefs de chiffrement donne, sur le papier du moins, aux services secrets la possibilité d’intercepter les communications mobiles sans avoir besoin de demander l’assistance des opérateurs ou de gouvernements étrangers. Le tout sans laisser la moindre trace sur les réseaux. « Avoir accès à la base de clefs, c’est mettre plus ou moins K.O. le chiffrement sur les réseaux mobiles », assure Matthew Green, un spécialiste de la cryptographie du Johns Hopkins Information Security Institute, interrogé par nos confrères. Et d’expliquer que, depuis la 3G, les algorithmes de chiffrement utilisés dans la téléphonie mobile ne sont plus si simples à casser, même pour des services d’espionnage. D’où l’intérêt de la NSA, et de ses alliés britanniques, pour les bases de clefs d’un Gemalto, leader mondial du secteur. Ce sont en effet les cartes SIM qui portent les clefs permettant de crypter la communication entre l’abonné et son opérateur, ce dernier étant en possession des doubles de ces sésames.
« Nous contrôlons l’ensemble de leur réseau »
Selon The Intercept, l’infiltration du réseau de Gemalto serait à l’origine l’œuvre du GCHQ, qui n’aurait donc pas hésité, une fois encore, à se tourner sciemment contre des intérêts européens. La méthode reposerait au départ sur l’espionnage des communications privées (mails et comptes Facebook) de salariés Gemalto ainsi que de salariés d’opérateurs non identifiés. Via l’outil de recherche X-Keyscore (couvrant au moins 150 services Internet dont les messageries Yahoo ou Google). Objectif de cette première étape : identifier les personnes ayant accès au système générateur de clefs. Ce repérage aurait ensuite permis d’infecter plusieurs systèmes à l’intérieur du réseau de l’entreprise. « Nous pensons que nous contrôlons l’ensemble de leur réseau », écrit même l’auteur d’un des slides transmis par le lanceur d’alertes réfugié en Russie.
Selon le média en ligne créé par le journaliste Glenn Greenwald, ces opérations sont l’œuvre du Mobile Handset Exploitation Team (MHET), une équipe formée par la NSA et le GCHQ en 2010 afin de pirater les communications sur téléphones mobiles. Cette entité cible en particulier les fabricants de cartes SIM et les opérateurs télécoms. Les deux services de renseignement ont d’ailleurs mis en œuvre d’autres méthodes pour récupérer les clefs de chiffrement des SIM. Exploitant notamment les faiblesses lors de leur transfert entre le producteur des SIM et les opérateurs. Des transferts effectués souvent par mail ou via FTP, avec des méthodes de chiffrement insuffisamment protectrices voire sans chiffrement du tout.
« S’introduire au sein du siège français » de Gemalto
Malheureusement ce n’est pas une surprise pour Hervé Schauer : « Il faut se rappeler des cas de RSA, ou de Diginotar, acteurs de confiance, dont l’infrastructure s’est révélée, après compromission, remarquablement trouée. Les leçons ne sont pas apprises. Par exemple : le principal problème de Diginotar était l’absence de traçabilité au niveau des HSM (Module Matériel de Sécurité, NDLR). Or combien de HSM aujourd’hui possèdent des journaux externes actifs ? Bref, les acteurs à privilèges ne sont pas protégés à la hauteur de la confiance qui leur est faite. Les services de renseignement seraient idiots de ne pas en profiter. »
Si Gemalto n’est pas le seul producteur de SIM ciblé (le document dérobé par Edward Snowden mentionne qu’une opération similaire était programmée contre l’Allemand Giesecke & Devrient), le piratage du leader mondial sur ce marché, via une opération nommée DAPINO GAMMA, visait en particulier à « s’introduire au sein du siège français » afin « d’accéder jusqu’aux bases de données cœur ». Rappelons que si la société est officiellement immatriculée aux Pays-Bas, le cœur de ses opérations réside bien dans l’Hexagone.
En savoir plus sur http://www.silicon.fr
