Pourquoi WhatsApp ne sera jamais sécurisé

Le monde semble choqué par le fait que WhatsApp a transformé tout téléphone en logiciel espion. Tout sur votre téléphone, y compris les photos, les courriels et les textes, était accessible aux attaquants simplement parce que vous aviez WhatsApp installé. Explication de Pavel Durov, fondateur de la messagerie Telegram.

L’année dernière, WhatsApp a dû reconnaître que son problème était très similaire: un simple appel vidéo était tout ce dont un pirate avait besoin pour accéder à l’intégralité des données de votre téléphone [1] .

Chaque fois que WhatsApp doit corriger une vulnérabilité critique dans son application, une nouvelle semble apparaître à sa place. Tous leurs problèmes de sécurité conviennent parfaitement à la surveillance, et ressemblent beaucoup à des portes dérobées (backdoor).

Un chercheur en sécurité ne peut pas vérifier le code source de Whatsapp. Contrôler s’il y a des portes dérobées dans son code. WhatsApp ne publie pas son code source. Ils font exactement le contraire: WhatsApp masque délibérément les fichiers binaires pour s’assurer que personne ne soit en mesure de les étudier.

WhatsApp et sa société mère Facebook peuvent même être amenés à implémenter des backdoors – via des processus secrets tels que ceux réclamés par le FBI [3]. Il n’est pas facile de lancer une application de communication aux États-Unis. Une semaine aux États-Unis, en 2016, a valu 3 tentatives d’infiltration du matériel d’employés de Telegram par le FBI [4] [5] .

Imaginez ce que 10 années dans cet environnement peuvent entraîner pour une société aux États-Unis.

Backdoor

Je comprends que les agences de sécurité justifient d’installer des portes dérobées pour combattre le terrorisme, les pédophiles, les professionnels de la déstabilisation. Le problème ? Criminels et gouvernements autoritaires peuvent s’y pencher aussi. Il n’est pas étonnant que les dictateurs semblent aimer WhatsApp.

Son manque de sécurité leur permet d’espionner leur propre peuple. Voilà pourquoi WhatsApp continue d’être librement disponible dans des pays comme la Russie ou l’Iran. Pour rappel,  Telegram y est interdit par les autorités [6]. Au Sri Lanka, après les attentats du 21 avril, les réseaux sociaux mis hors-services [6b].

Telegram en réponse directe à la pression personnelle exercée par les autorités russes. À cette époque, en 2012, WhatsApp transférait encore des messages en texte brut. Non seulement les gouvernements ou les pirates, mais aussi les opérateurs de téléphonie mobile et les administrateurs wifi avaient accès à tous les textes WhatsApp [7] [8] .

Plus tard, WhatsApp a ajouté un chiffrement, qui s’est rapidement révélé être un stratagème marketing: la clé pour déchiffrer les messages était disponible pour au moins plusieurs gouvernements… y compris la Russie [9].

Chiffrement

Il y a 3 ans, WhatsApp a annoncé la mise en œuvre d’un chiffrement de bout en bout.

Cela coïncide avec une demande insistante pour sauvegarder les discussions dans le « cloud ». Lors de cette opération, WhatsApp n’explique pas à ses utilisateurs que, lors de la sauvegarde, les messages n’ont plu de chiffrement de bout en bout. Ils deviennent accessibles aux pirates et aux espions.

Les personnes suffisamment résilientes pour ne pas craquer face aux fenêtres permanentes leur demandant de sauvegarder leurs discussions dans « Le Nuage » peuvent toujours être identifiées via un certain nombre d’astuces : l’accès aux sauvegardes de leurs contacts aux modifications de clé de chiffrement invisibles [9b] .

Les métadonnées générées par les utilisateurs de WhatsApp.

Les journaux décrivant les identités des personnes en discussions [10] . En plus de cela, vous avez un mélange de vulnérabilités critiques qui se succèdent.

L’année dernière, les fondateurs de WhatsApp ont quitté la société en raison d’inquiétudes concernant la confidentialité des utilisateurs [15].

Définitivement liés par un silence contractuel. Ils ne peuvent pas discuter en coulisses sans risquer de perdre leur fortune et leur liberté. Ils ont admis, cependant, qu' »ils avaient vendu la vie privée de leurs utilisateurs » [16] . (Merci à Yousse)

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. Gendarme réserviste - Lieutenant-Colonel (RC) ComCyberGend. Fondateur du Service Veille ZATAZ : https://www.veillezataz.com En savoir plus : https://www.damienbancal.fr

Articles connexes

Laisser un commentaire

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.