Photo © Patrick Semansky / AP / PC

Le 27 août 2011, alors qu’Ali Borhani essaie de consulter son compte Gmail, un message lui signale un problème de sécurité. Inquiet, cet Iranien partage sa découverte dans un forum de Google, craignant qu’un pirate informatique ait tenté d’intercepter ses communications.

Trois jours plus tard, la compagnie hollandaise DigiNotar, une des nombreuses entreprises responsables d’émettre des certificats électroniques qui authentifient et assurent la sécurité de nombreux sites Web, avoue avoir été piratée un mois plus tôt. Durant cette attaque, les pirates avaient dérobé des centaines de certificats, chacun correspondant à un site Web, dont un utilisé dans l’attaque contre Gmail. Ali Borhani l’a évité de justesse, mais d’autres Iraniens ont pu être victime de cette interception.

L’Agence nationale de la sécurité des États-Unis (NSA) pourrait utiliser une technique semblable afin d’intercepter des communications, selon José M. Fernandez, professeur à l’École polytechnique de Montréal et spécialiste de la sécurité informatique. Les dernières révélations du Guardian, début septembre, ont montré que la NSA s’attaquait à la cryptographie protégeant une grande partie de nos transactions en ligne et courriels.

Comment la NSA peut-elle intercepter les communications électroniques malgré l’utilisation d’algorithmes de cryptage, alors qu’il n’existe aucun ordinateur suffisamment puissant pour défaire ces algorithmes ? En les contournant, explique José M. Fernandez. La sécurité sur Internet, signale-t-il, repose sur le concept d’infrastructure à clé publique (ICP).

Pour contrer toute tentative de fraude, les navigateurs Web (Chrome, Mozilla, Safari…) vérifient l’authenticité des sites à chaque connexion du visiteur. Pour cela, ils se basent sur un certificat, un document électronique qui indique un nom de domaine (amazon.com, par exemple), et sur une clé publique qu’emploie le navigateur pour chiffrer ses communications avec ce site Web.

« Un pirate pourrait prétendre détenir le certificat de Gmail, d’où l’importance de l’autorité de certification (AC), qui est un peu le commissaire à l’assermentation sur Internet », explique le professeur Fernandez.

L’autorité de certification — VeriSign, GeoTrust, ou la défunte DigiNotar par exemple — est responsable de délivrer ces certificats en apposant sa signature électronique, une fois qu’elle a vérifié que le demandeur est bien propriétaire du domaine indiqué.

Mais comment s’assurer que la signature est bien celle d’une AC ?

« Les navigateurs sont distribués avec des certificats racines autosignés, générés par les AC », précise le professeur Fernandez.

Le navigateur compare la signature incluse dans les certificats racines avec celle fournie par le certificat du site Web pour s’assurer de l’authenticité de ce dernier.

Mais l’ICP n’est pas imperméable au pouvoir de la NSA.

« Si je force VeriSign à me donner sa clé privée [et secrète], je peux délivrer des certificats et donc intercepter les communications et les déchiffrer », explique José Fernandez.

Apple et Mozilla pourraient aussi être forcés d’inclure un certificat racine de la NSA dans leur navigateur (Safari et Firefox).

« La cryptographie, les maths sont bonnes, mais l’appareil de confiance par-dessus, lui, est cassé : il est contournable, parce qu’il n’est pas réglementé », déplore le professeur.

« C’est un peu le Far West », conclut-il. L’utilisation des certificats volés de DigiNotar pour intercepter certaines communications iraniennes en est la preuve.

La NSA peut également intercepter les communications en s’attaquant directement aux ordinateurs, qui sont vulnérables sur les plans technologique et politique.

« Je n’ai pas besoin de casser la cryptographie si je suis capable d’envoyer quelqu’un avec un costard noir et des lunettes fumées chez Gmail pour dire : “Vous allez installer ceci sur votre machine” », ajoute José Fernandez.

Troisième possibilité pour la NSA : exploiter les vulnérabilités dans les logiciels de cryptage.

Et cela, malgré le fait que ces algorithmes ont été étudiés par les mathématiciens et les informaticiens les plus brillants de la planète, car le passage des théories mathématiques au code lui-même est périlleux.

« C’est là qu’on a souvent une série d’erreurs de programmation ou d’implémentation qui font que, même si l’algorithme lui-même est sécuritaire, il y a des failles qui sont exploitables », explique le professeur Fernandez.

Le 19 septembre dernier, la société RSA Security, un des leaders dans le domaine de la sécurité informatique, a mis en garde ses développeurs contre les possibles conséquences de l’intervention de la NSA dans le choix des standards internationaux de cryptage. La société leur a recommandé de changer de générateurs de nombres pseudoaléatoires, de peur que ceux-ci ne créent des clés prévisibles et constituent ainsi une faille majeure de sécurité.

Même si la NSA a monopolisé l’attention ces derniers mois, les vulnérabilités dont elle a pu tirer parti sont exploitables par d’autres.

« N’importe quelle agence de renseignement est capable de faire la même chose », insiste José Fernandez.

Cet article Comment la NSA intercepte-t-elle les communications? est apparu en premier sur L'actualité.

Consultez la source sur Lactualite.com: Comment la NSA intercepte-t-elle les communications