Le jeu de cache-cache entre les fabricants de téléphones intelligents et les entreprises qui cherchent à défaire le système de sécurité des smartphones au profit des gouvernements a pris une autre tournure le vendredi dernier. Ces entreprises ne se gênent plus en parlant de leur expertise en matière de piratage des smartphones à un moment où la protection de la vie privée est au centre de nombreux débats à l’échelle mondiale. Cellebrite, a annoncé fièrement, dans un tweet vendredi après-midi, UFED Premium, la nouvelle version de son produit connu sous le nom d'UFED (Universal Forensic Extraction Device), un dispositif universel d'extraction de données médico-légale. Cellebrite est une société israélienne qui fabrique des dispositifs d’extraction, de transfert et d’analyse de données pour les smartphones et autres appareils mobiles, et qui collabore avec les organismes d’application de la loi. La filiale du japonais Sun Corporation, a dit vendredi que cette nouvelle mise à jour de son outil peut maintenant déverrouiller n'importe quel périphérique iOS sur lequel les autorités peuvent mettre la main, y compris ceux qui utilisent iOS 12.3, sorti il y a tout juste un mois. UFED Premium serait également capable d’extraire des fichiers de nombreux téléphones Android récents, dont le Samsung Galaxy S9.
En février 2018, l’entreprise avait annoncé sa capacité à pouvoir déverrouiller tous les dispositifs Apple qui tournent sous iOS 5 à 11. Mais l’annonce avait été faite discrètement de sorte qu’il a fallu des fuites pour que Forbes puisse enfin publier l’information. Mais cette fois-ci, c’est avec une annonce marketing que Cellebrite a annoncé ces nouvelles capacité de piratage des smartphones iOS et Android, marquant ainsi une nouvelle étape dans la course à la mise au point des outils de contournement des systèmes de sécurité des smartphones. Cellebrite a écrit sur son site Web :
« Outrepasser ou déterminer des verrous et effectuer une extraction complète du système de fichiers sur n'importe quel périphérique iOS, ou une extraction physique ou une extraction complète du système de fichiers (Chiffrement basé sur les fichiers) sur de nombreux périphériques Android haut de gamme, pour obtenir beaucoup plus de données que ce qui est possible par des extractions logiques et autres moyens classiques ».
La société a également écrit dans le fil Twitter de son produit UFED : « Cellebrite est fière de présenter #UFED Premium ! Une solution exclusive pour les forces de l'ordre pour déverrouiller et extraire les données de tous les appareils iOS et Android haut de gamme ». Selon Wired, aucune de ces entreprises travaillant avec qu’un organisme d'application de la loi n'a fait auparavant publiquement des déclarations aussi générales au sujet de tels produits.
C’est le mot de passe de l’utilisateur qui chiffre les données d’un iPhone. Si le code est trouvé par un attaquant, alors les données sont déchiffrées sur l’appareil et il peut alors avoir accès aux messages, photos et autres applications qui ne demanderaient pas de mot de passe. C’est la même procédure sur les smartphones Android qui procèdent à un chiffrement des données, comme ceux de Samsung que Cellebrite affirme pouvoir résolu.
Pour rappel, Apple s’est opposé en 2016 à une requête de la police fédérale américaine pour déverrouiller un iPhone lié à l’attentat de San Bernardino, en refusant d’implanter une porte dérobée dans son logiciel pour faciliter le travail du FBI. Apple craignait que des acteurs malicieux exploitent la situation pour rendre vulnérables les appareils de millions d'utilisateurs. Mais en mars 2016, le FBI avait annoncé avoir réussi à entrer dans l’iPhone appartenant à l’un des auteurs de l’attentat et avait confirmé qu’il voulait abandonner les poursuites contre Apple.
Deux ans après, la société Grayshift a trouvé un moyen très onéreux de contourner le chiffrement des iPhones : la solution de déchiffrement GrayKey. La petite boîte de 4x4 pouces avec deux câbles de connexion compatibles avec l’iPhone pouvait apparemment déverrouiller un iPhone dans environ deux heures si le propriétaire a utilisé un code d'accès à quatre chiffres et trois jours ou plus si un code d'accès à six chiffres a été utilisé. GrayKey était disponible en deux versions : une version de 15 000 dollars qui nécessitait une connectivité en ligne et permettait 300 déblocages et une version hors ligne de 30 000 dollars qui pouvait pirater autant d'iPhone que le client souhaite.
GrayKey était utilisé par les services de police aux Etats-Unis, mais en octobre 2018, Apple a trouvé une solution pour bloquer complètement GrayKey, après qu’il soit devenu populaire parmi les forces de police américaines. Par ailleurs, selon un expert en sécurité iOS, Grayshift aurait commencé récemment à travailler sur un outil qui peut déverrouiller les appareils Android aussi, selon un rapport de Forbes publié plus tôt cette semaine. Pendant ce temps, Cellebrite aurait mis au point une nouvelle solution qui peut déverrouiller les téléphones chiffrés iOS et Android, et l’a annoncé avec beaucoup de solennité.
Selon Dan Guido, éminent chercheur dans le domaine de la sécurité iOS et fondateur de la société de sécurité américaine Trail of Bits, Cellebrite possédait déjà probablement la capacité de déverrouiller des dispositifs iOS 12.3 avant cette annonce. « Il est bien compris que c'est le métier dans lequel Cellebrite travaille ». « Ce n'était qu'une question de temps avant qu'ils résolvent le problème, et qu'ils en parlent aux gens, ce qui est ce que nous voyons maintenant », a-t-il ajouté. Selon Sarah Edwards, chercheuse en criminalistique pour le groupe de formation en sécurité du SANS Institute, « Cela permettra aux enquêteurs d'avoir accès à des dispositifs plus récents et mis à jour auxquels ils n'avaient pas accès auparavant ».
Dans la présentation de son service, il apparait clairement que Cellebrite compte vendre son dispositif aux forces de l’ordre, précisant qu’il permettra de « retrouver des preuves qui pourront mener à une arrestation ». En effet, Cellebrite est une entreprise soutenue financièrement et dans ses projets de recherche en sécurité par de nombreux gouvernements et agences de renseignement, selon Wired.
Cette nouvelle annonce pose non seulement un véritable problème pour les utilisateurs d’iPhone qui pensaient que toutes leurs communications étaient totalement sécurisées, mais aussi pour Apple, qui a investi énormément dans la sécurisation de ses appareils grand public et qui a promis un environnement totalement sain sur le plan de vie privée, chiffrement des fichiers et des communications, collectes de données, puce matérielle pour assurer la sécurité de son OS.
Guido a suggéré d’éventuelles raisons qui auraient poussé Cellebrite a annoncé son outil de piratage avec faste. Pour Guido les récentes publicités autour de pirates gouvernementaux encore plus agressifs comme le groupe NSO – qui ont pu, par exemple, briser WhatsApp avec un simple appel téléphonique – ont peut-être donné à Cellebrite le sentiment qu'il est libre de parler de ses techniques relativement intimes. « Nous sommes en 2019. Je suis un peu surpris qu'il ait fallu autant de temps pour que quelqu'un se mette à parler ouvertement de ce projet », ajoute Guido.
Une autre raison a été suggérée par Matthew Hickey, le fondateur de la société de sécurité Hacker House, qui est bien au courant des offres des produits de Cellebrite. Selon lui, c’est la concurrence avec Grayshift, une société fondée par un ancien membre du personnel de sécurité d'Apple dont les appareils GrayKey ont parfois été en mesure de casser des iPhones que Cellebrite ne pouvait pas, a peut-être aussi encouragé l'approche plus publique de la société. « Je pense qu'ils essaient de mordre dans le marché de GrayKey. Ils essaient de reconquérir certains de ces clients », a-t-il dit.
UFED Premium sera vendue comme un outil « sur site », comme l’a été une option de Graykey, d’après Vice, pour permettre aux forces de l'ordre d’être plus autonomes et efficaces. Mais cette autonomie est aussi source d’inquiétude parce qu’elle augmente aussi le risque que Cellebrite perde le contrôle de ses techniques de déverrouillage de pointe, ou qu'elles tombent entre les mains de criminels ou de gouvernements répressifs.
Toutefois le géant de Cupertino a annoncé lors du WWDC une nouvelle version de son système d'exploitation mobile, iOS 13, qui devrait être lancé en septembre et qui devrait prendre en compte les faiblesses exploitées en ce moment par Grayshift et Cellebrite. Avec ce début de lancement public d’un outil de piratage des smartphones, ce n’est pas pour maintenant la fin du jeu du chat et de la souris dans lequel sont embarqués les fabricants de téléphones intelligents qui conçoivent des systèmes de sécurité pour leurs appareils et les entreprises qui cherchent à les briser, laissant les utilisateurs à la merci des criminels et des gouvernements répressifs.
Source : Cellebrite.com, Tweet de Cellebrite
Et vous ?
Que pensez-vous de UFED Premium ? Et de la manière dont Cellebrite l’a annoncé ? Que pensez-vous de la vente officielle de cet outil aux forces de l’ordre ? Lire aussi
Le FBI a officiellement réussi à contourner la sécurité de l'iPhone du terroriste de San Bernardino, sans l'aide d'Apple Une entreprise israélienne annonce sa capacité à déverrouiller tous les dispositifs Apple, qui tournent sous iOS 5 à 11 Deux compagnies vendent des outils capables de contourner les mécanismes de sécurité de l'iPhone, et les forces de l'ordre s'empressent de les acheter Apple aurait réussi à bloquer complètement GrayKey, l'outil de piratage de mot de passe de la police dans iOS 12, avec une solution mystérieuse