Dossier – Comment nos appels sont espionnés : un expert nous explique ce qui se passe réellement

Entre surveillance des États, espionnage de groupes criminels et protection des citoyens… où se situe la frontière ? Sommes-nous suffisamment protégés en France et en Europe ?

La France et plus généralement l’Europe proposent un ensemble de lois qui protègent le citoyen d’un abus d’origine gouvernementale. Un policier ne peut pas, de lui même, décider d’espionner telle ou telle personne sans raison valable. Seul un juge peut autoriser une mise sur écoute. Il y a eu quelques incidents (par exemple, en 2019, un policier a été soupçonné d’avoir utilisé des outils spécifiques de manière illégale pour géolocaliser sa compagne) mais sur ce sujet, les forces de l’ordre européennes sont elle-mêmes surveillées de manière à ce que les abus soient au pire aisément détectables.

Cependant, par définition, les lois ne vont pas faire peur aux groupes criminels ou aux autorités des autres pays, qui peuvent mettre en place leurs propres systèmes d’espionnage en Europe. En 2013, l’affaire Snowden a permisde se rendre compte que les communicatiosn européennes étaient largement surveillées par la NSA via le programme Boundless Informant. Face à ce type d’attaque ou face aux attaques d’un groupe classé APT, il est plus difficile de se protéger.

Lire aussi Créez votre serveur de jeux avec une infrastructure bare metal dédiée

Pour quelqu’un qui n’est pas expert, particulier ou petite entreprise : qu’est-ce qu’on peut faire, concrètement, pour éviter que nos appels soient espionnés ?

Selon la sagesse populaire, la course entre celui qui pirate et celui qui protège est toujours gagnée par celui qui pirate. Mais la sagesse populaire oublie un peu trop rapidement les progrès technologiques de ces dernières années, et notamment les avancées dans le domaine de la cryptographie.

Si les systèmes de chiffrement qui étaient utilisés il y a 30 ans étaient limités (autant par des raisons légales que par des raisons techniques), ce n’est plus le cas aujourd’hui, et nous avons accès à des méthodes de chiffrement extrêmement solides. « Casser » AES128, l’un des algorithmes de chiffrement les plus utilisés, nécessite presque autant d’opérations qu’il y a d’atome dans l’univers.

Chaque opération nécessitant nécessairement un temps non nul, une telle attaque est à l’heure actuelle impossible à mettre en oeuvre. Même les avancées récentes dans le domaine de l’informatique quantique sont encore impraticables pour le « casser » et elles le resteront encore pendant des années. Ajoutons aussi que ces méthodes de chiffrement ne cessent de s’améliorer, avec par exemple l’introduction récente d’algorithmes qui sont résistants même aux attaques effectuées via des ordinateurs quantiques (on parle de cryptographie post-quantique).

Lire aussi Jouer sans le stress du banquier

L’utilisation de systèmes de messages chiffrés mettant en oeuvre ces algorithmes permettent de se protéger efficacement des écoutes – trop efficacement même pour certains, puisque ces techniques rendent impossible même les écoutes légales. Couplées à des méthodes de validation des points d’accès afin d’authentifier clairement le matériel que vous utilisez, on peut raisonnablement estimer qu’un niveau de sécurité suffisant est atteignable, même pour un ordinateur ou un smartphone connecté à l’Internet.

Ces technologies qui forment la base de ce qu’on appelle ZTNA (zero-trust network architecture) sont utilisables dès aujourd’hui via par exemple des systèmes E2EE (end-to-end encryption) utilisés par de nombreuses applications de communication, et des technologies complémentaires sont en cours de déploiement (utilisation du protocole RCS en remplacement des protocoles utilisés pour envoyer/recevoir des SMS).

Reste SS7, qui est aujourd’hui la plus grande faiblesse des réseaux téléphoniques. Ce protocole est difficile à remplacer, parce qu’il permet l’interconnexion de tous les opérateurs au niveau mondial. Mais des protocoles de remplacement sont la aussi en cours de déploiement. Par exemple, l’une des variantes du protocole 5G utilise une version sécurisée du protocole HTTP en lieu et place de SS7. Petit à petit, les normes évoluent, et SS7 perd du terrain. De plus, certaines des vulnérabilités de ce protocole sont maintenant compensées par des outils qui, s’ils n’empêchent pas l’utilisation des failles, permettent d’identifier les acteurs malveillant qui les utilisent, de manière à leur bloquer l’accès au réseau SS7.

Lire aussi Ce drone de combat n’a besoin ni de pilote ni de piste : sa nouvelle IA pourrait bien changer toutes les règles

Au final, même si on ne peut pas se protéger d’absolument toutes les menaces qui existent aujourd’hui, des gestes simples permettent quand même de s’assurer une protection acceptable contre l’espionnage, en utilisant par exemple des systèmes de communication chiffrés de type EEE, ou en adoptant simplement une bonne hygiène d’utilisation de son smartphone (utilisation d’un code PIN à l’allumage, mots de passe avec un bon niveau de sécurité, utilisation de clés de sécurité type FIDO pour une authentification à multiples facteurs…). Dans la grande majorité des cas, ces simples précautions seront suffisantes. Pour les utilisateurs qui sont plus à risque de par leur métier ou pour d’autres raisons, il faudra renforcer ces précautions par d’autres actions, comme l’utilisation de systèmes de communication durcis contre le piratage ou l’activation de fonctionnalités spécialisées de certains smartphones, tel que le mode Lockdown d’Apple.