WhatsApp: Un Danger Invisible au Coeur de la Sécurité Numérique
En mars dernier, l’équipe de sécurité de WhatsApp a lancé un avertissement interne à leurs collègues : malgré le puissant cryptage du logiciel, les utilisateurs restaient vulnérables à une forme dangereuse de surveillance gouvernementale. Selon une évaluation de la menace obtenue par The Intercept, le contenu des conversations entre les 2 milliards d’utilisateurs de l’application reste sécurisé.
Cependant, les agences gouvernementales, selon les ingénieurs, parviennent à « contourner notre cryptage » pour déterminer quels utilisateurs communiquent entre eux, les membres de groupes privés et peut-être même leurs emplacements.
Cette vulnérabilité repose sur l’analyse du trafic, une technique de surveillance des réseaux vieille de plusieurs décennies, et s’appuie sur la surveillance du trafic Internet à une échelle nationale massive. Le document indique clairement que WhatsApp n’est pas la seule plateforme de messagerie susceptible d’être exploitée. Mais il plaide pour que Meta, propriétaire de WhatsApp, décide rapidement s’il faut privilégier les fonctionnalités de son application de chat ou la sécurité d’un segment petit mais vulnérable de ses utilisateurs.
« WhatsApp doit atténuer l’exploitation continue des vulnérabilités de l’analyse du trafic qui permettent aux États-nations de déterminer qui parle à qui », recommande l’évaluation. « Nos utilisateurs à risque ont besoin de protections robustes et viables contre l’analyse du trafic. »
Dans le contexte de la guerre en cours à Gaza, cet avertissement a soulevé une possibilité inquiétante parmi certains employés de Meta. Le personnel de WhatsApp a spéculé qu’Israël pourrait exploiter cette vulnérabilité dans le cadre de son programme de surveillance des Palestiniens, alors que la surveillance numérique aide à décider qui tuer à travers la bande de Gaza, ont confié quatre employés à The Intercept.
« WhatsApp n’a pas de portes dérobées et nous n’avons aucune preuve de vulnérabilités dans le fonctionnement de WhatsApp », a déclaré la porte-parole de Meta, Christina LoNigro. Bien que l’évaluation décrive les « vulnérabilités » comme « continues » et mentionne spécifiquement WhatsApp 17 fois, LoNigro a déclaré que le document ne reflète pas une vulnérabilité de WhatsApp, mais est plutôt « théorique » et non unique à WhatsApp. Elle n’a pas répondu lorsque interrogée si la société avait enquêté sur une possible exploitation de cette vulnérabilité par Israël.
La Surveillance des Métadonnées : Une Menace pour la Vie Privée
Bien que le contenu des communications sur WhatsApp soit illisible, l’évaluation montre comment les gouvernements peuvent utiliser leur accès à l’infrastructure Internet pour surveiller quand et où les communications chiffrées se produisent, comme observer un facteur transportant une enveloppe scellée. Cette vue sur le trafic Internet national suffit à faire des inférences puissantes sur les individus qui conversent entre eux, même si le contenu de leurs conversations reste un mystère. « Même en supposant que le cryptage de WhatsApp soit inviolable », indique l’évaluation, « les attaques continues de ‘collecter et corréler’ briseraient encore notre modèle de confidentialité prévu. »
L’évaluation de la menace WhatsApp ne décrit pas d’instances spécifiques où cette méthode a été déployée par des acteurs étatiques. Mais elle cite des rapports détaillés du New York Times et d’Amnesty International montrant comment des pays du monde entier espionnent l’utilisation des applications de chat chiffrées, y compris WhatsApp, en utilisant les mêmes techniques.
À mesure que la guerre est de plus en plus informatisée, les métadonnées — informations sur qui, quand et où les conversations ont lieu — ont acquis une valeur immense pour les agences de renseignement, militaires et de police du monde entier. « Nous tuons des gens sur la base des métadonnées », a une fois dit de façon tristement célèbre Michael Hayden, ancien chef de la NSA.
Mais même des analyses infondées de métadonnées peuvent être mortelles, selon Matthew Green, professeur de cryptographie à l’Université Johns Hopkins. « Ces corrélations de métadonnées sont exactement cela : des corrélations. Leur précision peut être très bonne ou même juste bonne. Mais elles peuvent aussi être médiocres », a déclaré Green. « La nature de ces systèmes est qu’ils vont tuer des innocents et personne ne saura même pourquoi. »
L’Impact de la Surveillance Digitale sur les Conflits
Ce n’est qu’en avril, avec la publication d’un exposé sur l’approche centrée sur les données d’Israël en matière de guerre, que l’évaluation de la menace WhatsApp est devenue un point de tension au sein de Meta. Un rapport conjoint de +972 Magazine et Local Call a révélé le mois dernier que l’armée israélienne utilise un système logiciel appelé Lavender pour autoriser automatiquement les assassinats de Palestiniens à Gaza. Exploitant un vaste pool de données sur les 2,3 millions d’habitants de la bande, Lavender attribue algorithmique un score à « presque chaque personne à Gaza, de 1 à 100, exprimant la probabilité qu’elle soit militante », selon le rapport citant six officiers des renseignements israéliens. « Une personne trouvée avec plusieurs caractéristiques incriminantes atteindra un score élevé et deviendra ainsi automatiquement une cible potentielle pour l’assassinat. » Lire l’article complet ici.
L’utilisation de WhatsApp figure parmi les nombreuses caractéristiques personnelles et comportements numériques que l’armée israélienne utilise pour marquer les Palestiniens pour la mort. L’armée israélienne n’a pas répondu à une demande de commentaire, mais a déclaré au Guardian le mois dernier qu’elle « n’utilise pas un système d’intelligence artificielle qui identifie les opérateurs terroristes ou essaie de prédire si une personne est un terroriste. »
L’armée a affirmé que Lavender « est simplement une base de données dont le but est de croiser les sources de renseignement, afin de produire des couches d’information à jour sur les opérateurs militaires des organisations terroristes. Ce n’est pas une liste d’opérateurs militaires confirmés éligibles à l’attaque».
L’évaluation interne de WhatsApp indique que les enjeux sont élevés : « L’inspection et l’analyse du trafic réseau sont complètement invisibles pour nous, mais elles révèlent les connexions entre nos utilisateurs : qui est dans un groupe ensemble, qui envoie des messages à qui et (le plus difficile à cacher) qui appelle qui. » L’analyse note qu’un gouvernement peut facilement savoir quand une personne utilise WhatsApp, en partie parce que les données doivent passer par les serveurs identifiables de Meta. Une agence gouvernementale peut ensuite démasquer des utilisateurs spécifiques de WhatsApp en traçant leur adresse IP, un numéro unique attribué à chaque appareil connecté, à leur compte de fournisseur de services Internet ou de téléphonie cellulaire.
La Réponse de WhatsApp et les Défis de la Sécurité
L’équipe de sécurité interne de WhatsApp a identifié plusieurs exemples de la façon dont une observation astucieuse des données chiffrées peut déjouer les protections de confidentialité de l’application, une technique connue sous le nom d’attaque de corrélation. Dans un exemple, un utilisateur de WhatsApp envoie un message à un groupe, ce qui entraîne une rafale de données de la même taille exacte envoyée à l’appareil de chaque membre du groupe. Une autre attaque de corrélation implique de mesurer le délai entre l’envoi et la réception des messages WhatsApp entre deux parties — suffisamment de données, croit l’entreprise, « pour inférer la distance et éventuellement l’emplacement de chaque destinataire ».
L’avertissement interne note que ces attaques nécessitent que tous les membres d’un groupe WhatsApp ou les deux côtés d’une conversation soient sur le même réseau et dans le même pays ou « juridiction de traité », une référence possible à l’alliance de renseignement Five Eyes entre les États-Unis, l’Australie, le Canada, le Royaume-Uni et la Nouvelle-Zélande. Bien que la bande de Gaza ait ses propres télécommunications opérées par les Palestiniens, son accès à Internet passe finalement par des câbles à fibre optique israéliens soumis à la surveillance de l’État israélien. Bien que la note suggère que les utilisateurs dans les « démocraties bien fonctionnelles avec un processus judiciaire et des lois sur la vie privée solides » peuvent être moins vulnérables, elle souligne également l’utilisation par la NSA de ces techniques de surveillance des télécommunications sur le sol américain.
« Les services de messagerie d’aujourd’hui n’ont pas été conçus pour cacher ces métadonnées à un adversaire qui peut voir tous les côtés de la connexion », a déclaré Green, le professeur de cryptographie, à The Intercept. « Protéger le contenu n’est que la moitié de la bataille. Qui vous communiquez [avec] et quand est l’autre moitié. » L’évaluation révèle que WhatsApp est conscient de cette menace depuis l’année dernière et note que les mêmes techniques de surveillance fonctionnent contre d’autres applications concurrentes. « Presque toutes les principales applications de messagerie et outils de communication n’incluent pas les attaques d’analyse du trafic dans leurs modèles de menace », a déclaré Donncha Ó Cearbhaill, responsable du Security Lab d’Amnesty International, à The Intercept. « Bien que les chercheurs sachent que ces attaques sont techniquement possibles, il était une question ouverte de savoir si de telles attaques seraient pratiques ou fiables à grande échelle, comme pour un pays entier. »
L’évaluation souligne que les ingénieurs de WhatsApp comprennent la gravité du problème, mais aussi à quel point il peut être difficile de convaincre leur entreprise de le résoudre. Le fait que ces techniques de dé-anonymisation aient été si bien documentées et débattues dans la littérature académique, a expliqué Green, est une fonction de la difficulté « incroyablement difficile » de les neutraliser pour une entreprise comme Meta. « C’est un compromis direct entre performance et réactivité d’une part, et confidentialité de l’autre », a-t-il dit.
Interrogée sur les mesures prises par l’entreprise pour renforcer l’application contre l’analyse du trafic, la porte-parole de Meta a déclaré à The Intercept : « Nous avons un historique prouvé de traitement des problèmes que nous identifions et avons travaillé pour tenir les mauvais acteurs responsables. Nous avons les meilleurs ingénieurs du monde qui cherchent de manière proactive à renforcer davantage nos systèmes contre toute menace future et nous continuerons de le faire. »
L’évaluation de la menace WhatsApp note que renforcer la sécurité a un coût pour une application qui se targue d’avoir une grande popularité. Il sera difficile de mieux protéger les utilisateurs contre les attaques de corrélation sans rendre l’application moins performante de certaines manières, explique le document. Pour un géant coté en bourse comme Meta, protéger les utilisateurs à risque se heurtera au mandat de l’entreprise axé sur le profit de rendre son logiciel aussi accessible et largement utilisé que possible. « Meta a la mauvaise habitude de ne pas répondre aux problèmes avant qu’ils ne deviennent accablants », a déclaré une source de Meta à The Intercept, citant l’inaction de l’entreprise lorsque Facebook a été utilisé pour inciter à la violence pendant le génocide des Rohingyas au Myanmar. « La tension sera toujours entre la part de marché, la domination du marché, se concentrer sur la plus grande population de personnes plutôt que sur une petite quantité de personnes [qui] pourraient être gravement blessées. »
Le rapport avertit que l’ajout d’un délai artificiel aux messages pour brouiller les tentatives de géolocalisation de l’expéditeur et du destinataire des données, par exemple, ralentira l’application pour l’ensemble de ses 2 milliards d’utilisateurs — la plupart n’auront jamais à s’inquiéter de l’espionnage des agences de renseignement. Faire en sorte que l’application transmette un flux régulier de données factices pour camoufler les conversations réelles, une autre idée évoquée dans l’évaluation, pourrait déjouer les gouvernements espions. Mais cela pourrait aussi avoir l’effet inverse de réduire la durée de vie de la batterie et d’augmenter les factures de données mobiles coûteuses. Pour le personnel de sécurité de WhatsApp, la bonne approche est claire. « La sécurité de WhatsApp ne peut pas résoudre seule l’analyse du trafic », indique l’évaluation. « Nous devons d’abord tous convenir de mener ce combat et fonctionner comme une seule équipe pour construire des protections pour ces utilisateurs à risque ciblés. C’est ici que le caoutchouc rencontre la route lorsqu’il s’agit de concilier le principe global de confidentialité du produit de WhatsApp et les priorités individuelles de l’équipe. »
Le mémo suggère que WhatsApp pourrait adopter un mode de sécurité renforcé pour les utilisateurs à risque, similaire au « mode de verrouillage » d’Apple pour iOS. Mais même ce réglage supplémentaire pourrait accidentellement mettre en danger les utilisateurs à Gaza ou ailleurs, selon Green. « Les personnes qui activent cette fonctionnalité pourraient également se démarquer comme un pouce endolori », a-t-il dit. « Ce qui pourrait à son tour informer une décision de ciblage. Vraiment malheureux si la personne qui le fait est un enfant. »
Pour lire l’article original, visitez The Intercept.
Soyez le premier à commenter