NSA : la liste des protocoles cassés et résistants révélée par Snowden

Edward Snowden a révélé ce week-end à quel point certains protocoles de chiffrement sont faciles à casser par la NSA.

Le lanceur d'alerte Edward Snowden a partagé un nouveau lot de documents top secrets avec le Spiegel. De nouvelles révélations en découlent, et en particulier une liste des protocoles les plus sécurisés aux yeux de la NSA.

« L'omniprésence de chiffrement sur Internet est une menace majeure dans la capacité de la NSA à poursuivre ses services secrets en ligne et à déjouer les malwares adverses, » indique pour commencer un premier document top secret. Ce qui pose problème à la NSA, c'est la difficulté à repérer les renseignements sensibles. « Il y a 20 ans, seuls les gouvernements ou les cibles importantes mettaient en œuvre le chiffrement. Des communications chiffrées avaient de grandes chances de contenir des renseignements, » poursuit le document.

Mais contrairement à ce qu'on pourrait espérer, ce n'est pas vraiment son incapacité à déchiffrer les données qui pose problème à la NSA. Le Guardian et le New York Times ont déjà révélé l'année dernière l'existence du programme Bullrun, avec lequel les services secrets américains ont cassé quelques unes des technologies de chiffrement les plus utilisées sur Internet.

Les nouveaux documents du Spiegel permettent quant à eux d'établir la liste des technologies de chiffrement par niveaux de complexité, de « trivial » à « catastrophique ».

012C000002868978-photo-logo-nsa.jpg

HTTPS, VPN sont vains

Tracer la provenance d'un document sur Internet est ainsi trivial. Enregistrer une conversation Facebook est une mission « mineure ». Quant au service de messagerie sécurisée Mail.ru, le déchiffrement des emails envoyés par son biais ne présente qu'une difficulté « modérée ». Ces trois premiers niveaux ne posent pas vraiment de problème à la NSA.

Des protocoles largement répandus et réputés sécurisés ne le sont pas. C'est tout particulièrement le cas du HTTPS, avec chiffrement SSL ou TLS, qui s'est récemment démocratisé sur un grand nombre de services en ligne. Les connexions VPN, qu'elles utilisent le protocole PPTP ou IPsec, sont facilement démasquées par la NSA. L'agence américaine et son homologue britannique surveillent ainsi des millions et des millions de connexions jugées sécurisées chaque jour.

Tor et PGP résistent

Certaines technologies lui donnent un peu plus de fil à tordre, sans toutefois l'arrêter. Déchiffrer des emails envoyés via Zoho, des messages échangés par le biais du protocole Off-the-Record Messaging (OTR) ou encore surveiller les utilisateurs de Tor sont qualifiés de « majeur ». Mais en combinant plusieurs de ces technologies, la NSA « perd presque entièrement une vision des communications ». L'utilitaire TrueCrypt, dont le développement a d'ailleurs brusquement cessé, supposément en raison de pressions d'agences gouvernementales, est classé au même niveau.

Plusieurs technologies sont considérées catastrophiques par la NSA. C'est le cas du jeune protocole de chiffrement de voix sur IP et de messagerie mobile ZRTP, qu'on doit notamment au même auteur que PGP (modestement appelé Pretty Good Privacy). Ce dernier, largement utilisé pour sécuriser des échanges par email, résiste plus de vingt ans après sa conception, en 1991. Comme le souligne le Spiegel, PGP est un protocole open source, ce qui rend bien plus difficile l'insertion d'une porte dérobée (backdoor) ; même si par le passé des erreurs grossières ont été introduites à des technologies open source et sont passées inaperçues pendant des années, au point d'éveiller des soupçons de complot.

0190000007832743-photo-nsa-spiegel.jpg

Les documents publiés hier datent de 2012. La NSA a peut-être progressé ces deux ou trois dernières années. Mais on peut malgré tout tirer plusieurs enseignements de ces nouvelles révélations. La première, c'est que des solutions comme HTTPS ou les VPN ne protègent que partiellement les internautes. Elles protègent d'interceptions massives par des pirates du dimanche, mais certainement pas d'espionnages ciblés d'agences de renseignements. La seconde, c'est que les solutions open source sont vraisemblablement les moins vulnérables, dans la mesure de leur niveau de sécurisation. La troisième enfin, c'est que certains protocoles permettent à ceux qui tiennent à garder des données confidentielles même auprès des gouvernement le peuvent probablement encore, mais qu'ils attirent ainsi l'attention, puisqu'ils doivent recourir à des protocoles assez peu répandus.

Contenus relatifs
Modifié le 01/06/2018 à 15h36
Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
0
0

Actualités récentes

L'Alliance FIDO dévoile une nouvelle norme pour sécuriser l'Internet des objets
Apple : comment suivre la Keynote en direct à partir de 19H ?
Notre sélection des meilleurs Hack'n slash en attendant Diablo IV (2021)
Forfait mobile : deux offres 5 Go à prix mini chez RED by SFR et B&You
Vente flash : le PC portable tactile Lenovo IdeaPad Flex est 280€ moins cher
Le smartphone Realme 7 avec son écran 90 Hz est disponible à 179€ chez Cdiscount
Square Enix rejoint la liste des participants à l'E3 2021
Bon plan : le SSD Crucial X8 1To chute de prix chez Amazon
De grands noms de l'immobilier réunis autour d'un label international pour les immeubles intelligents
Konami dépose les marques Castlevania et Metal Gear Rising au Japon
Haut de page