Les Secrets de Saint Pierre

 

NSA, la liste des protocoles cassés et résistants révélée par Snowden

 

Clubic du 29 décembre 2014

 

Romain Heuillard

 

Edward Snowden a révélé ce week-end à quel point certains protocoles de chiffrement sont faciles à casser par la NSA.

Le lanceur d'alerte Edward Snowden a partagé un nouveau lot de documents top secrets avec le Spiegel. De nouvelles révélations en découlent, et en particulier une liste des protocoles les plus sécurisés aux yeux de la NSA.

« L'omniprésence de chiffrement sur Internet est une menace majeure dans la capacité de la NSA à poursuivre ses services secrets en ligne et à déjouer les malwares adverses, » indique pour commencer un premier document top secret. Ce qui pose problème à la NSA, c'est la difficulté à repérer les renseignements sensibles. « Il y a 20 ans, seuls les gouvernements ou les cibles importantes mettaient en œuvre le chiffrement. Des communications chiffrées avaient de grandes chances de contenir des renseignements, » poursuit le document.

Mais contrairement à ce qu'on pourrait espérer, ce n'est pas vraiment son incapacité à déchiffrer les données qui pose problème à la NSA. Le Guardian et le New York Times ont déjà révélé l'année dernière l'existence du programme Bullrun, avec lequel les services secrets américains ont cassé quelques unes des technologies de chiffrement les plus utilisées sur Internet.

Les nouveaux documents du Spiegel permettent quant à eux d'établir la liste des technologies de chiffrement par niveaux de complexité, de « trivial » à « catastrophique ».

 

HTTPS, VPN sont vains

 

Tracer la provenance d'un document sur Internet est ainsi trivial. Enregistrer une conversation Facebook est une mission « mineure ». Quant au service de messagerie sécurisée Mail.ru, le déchiffrement des emails envoyés par son biais ne présente qu'une difficulté « modérée ». Ces trois premiers niveaux ne posent pas vraiment de problème à la NSA.

Des protocoles largement répandus et réputés sécurisés ne le sont pas. C'est tout particulièrement le cas du HTTPS, avec chiffrement SSL ou TLS, qui s'est récemment démocratisé sur un grand nombre de services en ligne. Les connexions VPN, qu'elles utilisent le protocole PPTP ou IPsec, sont facilement démasquées par la NSA. L'agence américaine et son homologue britannique surveillent ainsi des millions et des millions de connexions jugées sécurisées chaque jour.

 

Tor et PGP résistent

 

Certaines technologies lui donnent un peu plus de fil à tordre, sans toutefois l'arrêter. Déchiffrer des emails envoyés via Zoho, des messages échangés par le biais du protocole Off-the-Record Messaging (OTR) ou encore surveiller les utilisateurs de Tor sont qualifiés de « majeur ». Mais en combinant plusieurs de ces technologies, la NSA « perd presque entièrement une vision des communications ». L'utilitaire TrueCrypt, dont le développement a d'ailleurs brusquement cessé, supposément en raison de pressions d'agences gouvernementales, est classé au même niveau.

Plusieurs technologies sont considérées catastrophiques par la NSA. C'est le cas du jeune protocole de chiffrement de voix sur IP et de messagerie mobile ZRTP, qu'on doit notamment au même auteur que PGP (modestement appelé Pretty Good Privacy). Ce dernier, largement utilisé pour sécuriser des échanges par email, résiste plus de vingt ans après sa conception, en 1991. Comme le souligne le Spiegel, PGP est un protocole open source, ce qui rend bien plus difficile l'insertion d'une porte dérobée (backdoor) ; même si par le passé des erreurs grossières ont été introduites à des technologies open source et sont passées inaperçues pendant des années, au point d'éveiller des soupçons de complot.

Les documents publiés hier datent de 2012. La NSA a peut-être progressé ces deux ou trois dernières années. Mais on peut malgré tout tirer plusieurs enseignements de ces nouvelles révélations. La première, c'est que des solutions comme HTTPS ou les VPN ne protègent que partiellement les internautes. Elles protègent d'interceptions massives par des pirates du dimanche, mais certainement pas d'espionnages ciblés d'agences de renseignements. La seconde, c'est que les solutions open source sont vraisemblablement les moins vulnérables, dans la mesure de leur niveau de sécurisation. La troisième enfin, c'est que certains protocoles permettent à ceux qui tiennent à garder des données confidentielles même auprès des gouvernement le peuvent probablement encore, mais qu'ils attirent ainsi l'attention, puisqu'ils doivent recourir à des protocoles assez peu répandus.