{"id":31944,"date":"2019-10-31T21:44:09","date_gmt":"2019-10-31T18:44:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu\/"},"modified":"2019-10-31T21:44:09","modified_gmt":"2019-10-31T18:44:09","slug":"kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kogda-shifrovanie-ne-pomozhet-rasskazyvaem-pro-fizicheskij-dostup-k-ustrojstvu","title":{"rendered":"Quand le chiffrement ne suffit pas : parlons d'acc\u00e8s physique \u00e0 l'appareil","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En f\u00e9vrier, nous avons publi\u00e9 un article intitul\u00e9 \u00ab Pas que par VPN. Guide sur la fa\u00e7on de vous prot\u00e9ger et de prot\u00e9ger vos donn\u00e9es \u00bb. Un des commentaires<\/a><\/noindex> nous a incit\u00e9s \u00e0 r\u00e9diger une suite \u00e0 cet article. Cette partie est une source d'information autonome, mais nous vous recommandons tout de m\u00eame de consulter les deux publications.<\/p>\n

Le nouvel article traite de la s\u00e9curit\u00e9 des donn\u00e9es (correspondance, photos, vid\u00e9os, tout \u00e7a) dans les messageries et des appareils eux-m\u00eames utilis\u00e9s pour interagir avec les applications.<\/a><\/noindex><\/p>\n

Messageries<\/h3>\n

\n Telegram<\/b><\/p>\n

D\u00e9j\u00e0 en octobre 2018, Nathaniel Sachi, \u00e9tudiant en premi\u00e8re ann\u00e9e au Wake Technical College, a r\u00e9ussi \u00e0 d\u00e9couvrir que le messager Telegram conserve les messages et les fichiers multim\u00e9dias sur le disque local de l'ordinateur en clair.<\/p>\n

L'\u00e9tudiant a pu acc\u00e9der \u00e0 sa propre correspondance, y compris des textes et des images. Pour cela, il a \u00e9tudi\u00e9 les bases de donn\u00e9es de l'application stock\u00e9es sur le disque dur. Il s'est av\u00e9r\u00e9 que les donn\u00e9es \u00e9taient difficiles \u00e0 lire, mais non crypt\u00e9es. Et il est possible d'y acc\u00e9der m\u00eame si l'utilisateur a d\u00e9fini un mot de passe pour l'application.<\/p>\n

Les donn\u00e9es obtenues contenaient des noms et des num\u00e9ros de t\u00e9l\u00e9phone des interlocuteurs, qui pouvaient \u00eatre mis en correspondance si n\u00e9cessaire. Les informations des chats priv\u00e9s sont \u00e9galement conserv\u00e9es en clair.<\/p>\n

Plus tard, Durov a d\u00e9clar\u00e9 que ce n'\u00e9tait pas un probl\u00e8me, car si un attaquant a acc\u00e8s \u00e0 l'ordinateur de l'utilisateur, il pourra obtenir les cl\u00e9s de cryptage et d\u00e9coder sans probl\u00e8me toute la correspondance. Mais de nombreux experts en s\u00e9curit\u00e9 de l'information affirment que cela reste s\u00e9rieux.<\/p>\n

\r\n \"Lire\r\n
<\/div>\r\n <\/div><\/center>
\nDe plus, Telegram s'est av\u00e9r\u00e9 vuln\u00e9rable \u00e0 une attaque d'extraction de cl\u00e9s, ce qui a d\u00e9couvert<\/noindex> un utilisateur de Habr. Le code local du mot de passe, quelle que soit sa longueur et sa complexit\u00e9, peut \u00eatre pirat\u00e9.<\/p>\n

WhatsApp<\/b><\/p>\n

Autant que l'on sache, ce messager conserve \u00e9galement les donn\u00e9es sur le disque de l'ordinateur en clair. Par cons\u00e9quent, si un attaquant a acc\u00e8s \u00e0 l'appareil de l'utilisateur, toutes les donn\u00e9es sont \u00e9galement accessibles.<\/p>\n

Mais il existe un probl\u00e8me plus global. Actuellement, toutes les sauvegardes de WhatsApp install\u00e9es sur des appareils fonctionnant sous Android OS sont stock\u00e9es sur Google Drive, ce dont Google et Facebook se sont entendu l'ann\u00e9e derni\u00e8re. Cependant, les sauvegardes de la correspondance, des fichiers multim\u00e9dias, etc. sont stock\u00e9es en clair<\/a><\/noindex>. Autant que l'on peut le juger, les agents des forces de l'ordre aux \u00c9tats-Unis ont acc\u00e8s \u00e0 Google Drive<\/a><\/noindex>, il existe donc une probabilit\u00e9 que les forces de l'ordre puissent consulter toutes les donn\u00e9es enregistr\u00e9es.<\/p>\n

Il est possible de crypter des donn\u00e9es, mais aucune des deux entreprises ne le fait. Peut-\u00eatre simplement parce que les sauvegardes non crypt\u00e9es peuvent \u00eatre facilement transf\u00e9r\u00e9es et utilis\u00e9es par les utilisateurs eux-m\u00eames. Il est probable qu'il n'y ait pas de cryptage non pas parce que cela serait techniquement difficile \u00e0 r\u00e9aliser : au contraire, prot\u00e9ger les sauvegardes peut \u00eatre fait sans difficult\u00e9. Le probl\u00e8me est que Google a ses raisons de collaborer avec WhatsApp \u2014 une entreprise qui, pr\u00e9sum\u00e9ment, analyse les donn\u00e9es stock\u00e9es sur les serveurs Google Drive<\/a><\/noindex> et les utilise pour afficher des publicit\u00e9s personnalis\u00e9es. Si Facebook d\u00e9cidait soudainement d'introduire le cryptage pour les sauvegardes de WhatsApp, Google perdrait imm\u00e9diatement tout int\u00e9r\u00eat pour ce partenariat, se privant ainsi d'une pr\u00e9cieuse source de donn\u00e9es sur les pr\u00e9f\u00e9rences des utilisateurs de WhatsApp. Cela n'est bien s\u00fbr qu'une supposition, mais elle est tr\u00e8s probable dans le monde du marketing high-tech. <\/p>\n

En ce qui concerne WhatsApp pour iOS, les sauvegardes sont stock\u00e9es dans le cloud iCloud. Mais ici aussi, les informations sont conserv\u00e9es en clair, comme indiqu\u00e9 dans les param\u00e8tres de l'application. Seule la soci\u00e9t\u00e9 sait si Apple analyse ces donn\u00e9es ou non. Il est vrai que les Cupertinoens n'ont pas de r\u00e9seau publicitaire, comme Google, il est donc raisonnable de penser que la probabilit\u00e9 qu'ils analysent les donn\u00e9es personnelles des utilisateurs de WhatsApp est consid\u00e9rablement plus faible. <\/p>\n

Tout ce qui a \u00e9t\u00e9 dit peut \u00eatre formul\u00e9 de la mani\u00e8re suivante : oui, votre correspondance sur WhatsApp n'est pas uniquement accessible par vous.<\/p>\n

TikTok et d'autres messageries<\/b><\/p>\n

Ce service d'\u00e9change de courtes vid\u00e9os a pu devenir tr\u00e8s vite populaire. Les d\u00e9veloppeurs promettaient d'assurer la s\u00e9curit\u00e9 totale des donn\u00e9es de leurs utilisateurs. Il s'est av\u00e9r\u00e9 que le service utilisait ces donn\u00e9es sans en informer les utilisateurs. Pire encore : le service collectait des donn\u00e9es personnelles d'enfants de moins de 13 ans sans le consentement des parents. Les informations personnelles des mineurs \u2014 noms, e-mails, num\u00e9ros de t\u00e9l\u00e9phone, photos et vid\u00e9os se retrouvaient accessibles au public.<\/p>\n

Service a \u00e9t\u00e9 condamn\u00e9<\/a><\/noindex> \u00e0 plusieurs millions de dollars, les r\u00e9gulateurs ont \u00e9galement exig\u00e9 la suppression de toutes les vid\u00e9os enregistr\u00e9es par des enfants de moins de 13 ans. TikTok a ob\u00e9i. N\u00e9anmoins, d'autres messageries et services utilisent les donn\u00e9es personnelles \u00e0 leurs fins, il est donc impossible d'\u00eatre s\u00fbr de leur s\u00e9curit\u00e9.<\/p>\n

Cette liste peut se poursuivre ind\u00e9finiment \u2014 la plupart des messageries pr\u00e9sentent une vuln\u00e9rabilit\u00e9 ou une autre, permettant aux malfaiteurs d'\u00e9couter les utilisateurs.un excellent exemple<\/a><\/noindex> \u2014 Viber, bien que tout semble maintenant corrig\u00e9) ou pour voler leurs donn\u00e9es. De plus, presque toutes les applications du top 5 stockent les donn\u00e9es des utilisateurs de mani\u00e8re non s\u00e9curis\u00e9e sur le disque dur de l'ordinateur ou dans la m\u00e9moire du t\u00e9l\u00e9phone. Et ce, sans mentionner les agences de renseignement de diff\u00e9rents pays, qui peuvent avoir acc\u00e8s aux donn\u00e9es des utilisateurs gr\u00e2ce \u00e0 la l\u00e9gislation. Skype, VKontakte, TamTam et d'autres fournissent toute information sur n'importe quel utilisateur \u00e0 la demande des autorit\u00e9s (par exemple, en Russie).<\/p>\n

Une bonne protection au niveau du protocole ? Pas de probl\u00e8me, nous cassons l'appareil<\/h3>\n

\nIl y a quelques ann\u00e9es un conflit a \u00e9clat\u00e9<\/a><\/noindex> entre Apple et le gouvernement des \u00c9tats-Unis. La corporation refusait de d\u00e9verrouiller un smartphone chiffr\u00e9 li\u00e9 \u00e0 une affaire de terrorisme dans la ville de San Bernardino. \u00c0 l'\u00e9poque, cela semblait \u00eatre un vrai probl\u00e8me : les donn\u00e9es \u00e9taient bien prot\u00e9g\u00e9es, et pirater le smartphone \u00e9tait soit impossible, soit tr\u00e8s difficile.<\/p>\n

Maintenant, la situation est diff\u00e9rente. Par exemple, la soci\u00e9t\u00e9 isra\u00e9lienne Cellebrite vend \u00e0 des entit\u00e9s juridiques de Russie et d'autres pays un ensemble logiciel et mat\u00e9riel qui permet de pirater tous les mod\u00e8les d'iPhone et d'Android. L'ann\u00e9e derni\u00e8re, un brochure publicitaire a \u00e9t\u00e9 publi\u00e9e<\/a><\/noindex> avec des informations relativement d\u00e9taill\u00e9es \u00e0 ce sujet.<\/p>\n

\"Quand
\nLe d\u00e9tective criminel de Magadan, Popov, pirate un smartphone en utilisant la m\u00eame technologie que le Federal Bureau of Investigation des \u00c9tats-Unis. Source : BBC<\/i><\/p>\n

L'appareil co\u00fbte relativement peu cher selon les crit\u00e8res de l'\u00c9tat. Pour UFED Touch2, le bureau principal de S.K.R. de Volgograd a pay\u00e9 800 000 roubles, celui de Khabarovsk \u2014 1,2 million de roubles. En 2017, Alexandre Bastrykin, le chef du comit\u00e9 d'enqu\u00eate de la F\u00e9d\u00e9ration de Russie, a confirm\u00e9 que son d\u00e9partement utilise des solutions<\/noindex> de la soci\u00e9t\u00e9 isra\u00e9lienne. <\/p>\n

La banque Sberbank ach\u00e8te \u00e9galement de tels dispositifs \u2014 cependant, pas pour mener des enqu\u00eates, mais pour lutter contre les virus sur les appareils sous Android. \u00ab En cas de suspicion d'infection des appareils mobiles par un code malveillant inconnu et apr\u00e8s avoir obtenu le consentement obligatoire des propri\u00e9taires des t\u00e9l\u00e9phones infect\u00e9s, une analyse sera r\u00e9alis\u00e9e pour rechercher de nouveaux virus apparaissant et se modifiant en permanence \u00e0 l'aide de divers outils, y compris l'utilisation de UFED Touch2 \u00bb, \u2014 a d\u00e9clar\u00e9<\/a><\/noindex> dans la soci\u00e9t\u00e9.<\/p>\n

Les Am\u00e9ricains disposent \u00e9galement de technologies permettant de pirater n'importe quel smartphone. La soci\u00e9t\u00e9 Grayshift promet de pirater 300 smartphones pour 15 000 dollars am\u00e9ricains (c'est 50 $ par unit\u00e9 contre 1500 $ pour Cellbrite).<\/p>\n

Il est tout \u00e0 fait probable que des dispositifs similaires existent \u00e9galement parmi les cybercriminels. Ces appareils sont en constante am\u00e9lioration \u2014 leur taille diminue et leurs performances augmentent.<\/p>\n

Actuellement, nous parlons de t\u00e9l\u00e9phones relativement connus de grands fabricants qui se soucient de prot\u00e9ger les donn\u00e9es de leurs utilisateurs. En revanche, s'il s'agit de soci\u00e9t\u00e9s moins importantes ou d'organisations sans nom, dans ce cas, les donn\u00e9es sont extraites sans probl\u00e8me. Le mode HS-USB fonctionne m\u00eame dans les cas o\u00f9 le chargeur est verrouill\u00e9. Les modes de service sont g\u00e9n\u00e9ralement des \u00ab voies d'acc\u00e8s clandestines \u00bb \u00e0 travers lesquelles on peut extraire des donn\u00e9es. Sinon, on peut se connecter \u00e0 un port JTAG ou carr\u00e9ment retirer la puce eMMC pour l'ins\u00e9rer dans un adaptateur bon march\u00e9. Si les donn\u00e9es ne sont pas chiffr\u00e9es, on peut tout extraire du t\u00e9l\u00e9phone. On peut extraire<\/a><\/noindex> tout, y compris les jetons d'authentification qui donnent acc\u00e8s aux stockages en cloud et \u00e0 d'autres services.<\/p>\n

Si quelqu'un a un acc\u00e8s personnel \u00e0 un smartphone contenant des informations importantes, il est possible de le pirater si on le souhaite, quoi que disent les fabricants.<\/p>\n

Il est clair que tout ce qui a \u00e9t\u00e9 dit concerne non seulement les smartphones, mais aussi les ordinateurs portables fonctionnant sur diff\u00e9rents syst\u00e8mes d'exploitation. Si l'on ne recourt pas \u00e0 des mesures de protection avanc\u00e9es et se contente de m\u00e9thodes ordinaires comme un mot de passe et un identifiant, les donn\u00e9es resteront en danger. Un hacker exp\u00e9riment\u00e9, en ayant un acc\u00e8s physique \u00e0 l'appareil, pourra obtenir pratiquement n'importe quelle information \u2014 ce n'est qu'une question de temps.<\/p>\n

Que faire donc?<\/h3>\n

\nSur Habr, la question de la s\u00e9curit\u00e9 des donn\u00e9es sur les appareils personnels a \u00e9t\u00e9 abord\u00e9e plusieurs fois, donc nous n'allons pas r\u00e9inventer la roue. Nous indiquerons seulement les principales m\u00e9thodes qui r\u00e9duisent la probabilit\u00e9 que des tiers acc\u00e8dent \u00e0 vos donn\u00e9es :<\/p>\n