Des clés de cryptage de cartes SIM massivement volées par la NSA et les services britanniques.

Jean-Pierre Hourdeau

News

le 21/02/2015 à 23h50

Tweeter

La masse de documents confidentiels dérobés par Edward Snowden continue d'apporter de nouvelles  révélations. L'entreprise franco-hollandaise  Gemalto (1), le plus gros fabricant de cartes SIM au monde, s'est fait dérober des clés de chiffrement par la NSA et la GCHQ, les agences de renseignement britannique et américaine.

Selon le site « The Intercept », les agences de renseignement américaine (NSA) et britannique (GCHQ) ont piraté la société  Gemalto, le plus gros fabricant de cartes SIM au monde (1), afin d'espionner des communications téléphoniques. Une opération qui a eu lieu entre 2010 et 2011.

Les renseignements britanniques, avec l'appui de la NSA, auraient ainsi dérobé une quantité «sidérante» de clés de chiffrement de cartes SIM.

Ces clés servent à protéger les communications des utilisateurs de portables :

Ainsi, une personne interceptant une conversation téléphonique mais ne disposant pas de la clé de chiffrement ne peut écouter la conversation sans passer par des attaques informatiques complexes.

En revanche, avec les clés, les services de renseignement peuvent écouter des lignes téléphoniques sans aucune autorisation. Les écoutes internationales sont également simplifiées.

Gemalto dispose de plus de 40 usines dans 85 pays qui produisent près de deux milliards de cartes SIM par an. En France, il les fournit notamment à l'opérateur Orange.

Les clés de chiffrementsont produites en masse en même temps que les cartes SIM et envoyées aux opérateurs par différents canaux.

Mais Gemalto conçoit et commercialise également des puces sécurisées pour cartes bancaires, pour les cartes d'identité et permis de conduire de plusieurs pays, dont l'Afrique du Sud et les Pays-Bas, ou encore les passeports biométriques de la Belgique.

Aujourd'hui, Gemalto produit aussi des passeports aux États-Unis et des cartes bancaires.

Le ciblage des employés français de Gemalto :

Le fabricant a appris l'existence de ce programme par «The Intercept » et continue d'enquêter.

«Nous ne pouvons, pour l'instant, vérifier les découvertes publiées et n'avions pas connaissance des opérations conduites par ces agences», a expliqué Gemalto  dans un communiqué.

«Nous prenons ces informations très au sérieux et allons développer  toutes les ressources nécessaires pour enquêter sur ces techniques sophistiquées et comprendre pleinement leur étendue», a ajouté le fabricant.

L'équipe spéciale chargée de l'espionnage des conversations téléphoniques est le « Mobile Handset Exploitation Team » (MHET), composée d'agents de la NSA et du GCHQ.

Elle a été formée en avril 2010 ; l'opération ciblant Gemalto a été nommée «Dapino  Gamma».

En 2011, le GCHQ a lancé une autre opération nommée «Highland Fling» et ciblant spécifiquement les employés français et polonais de Gemalto.

Les renseignements britanniques cherchaient à pénétrer les systèmes français en particulier.

Pour voler les clés de chiffrement, le GCHQ a piraté les comptes Facebook et les boites mail de nombreux employés de Gemalto, mais aussi d'opérateurs.

Les renseignements britanniques se sont servis du logiciel X-Keyscore produit par la NSA, pour pirater ces communications.

En surveillant ces « employés-clé », ils ont cherché les moyens les plus efficaces d'intercepter les clés de chiffrement des cartes SIM lorsqu'elles transitaient jusqu'à l'opérateur.

Dans un communiqué, Gemalto a indiqué qu'elle prenait très au sérieux les révélations de The Intercept.

« Nous allons consacrer toutes les ressources nécessaires pour comprendre la portée de ces techniques sophistiquées utilisées pour intercepter les données sur les cartes SIM », a indiqué Gemalto, qui considère dans un communiqué que la cible de l'attaque dévoilée par The Intercept  n'était pas Gemalto en tant que telle :  

Il s'agirait plutôt d'une tentative pour « atteindre le plus grand nombre de téléphones portables possible dans le but de surveiller les communications mobiles sans l'accord des opérateurs et des usagers ».

Un piratage « institutionnel » très élaboré !

Le piratage et le vol des clés se sont faits à l'insu de l'entreprise, par le biais d'une procédure relativement classique mais particulièrement élaborée.

Les agents du GCHQ ont tout d'abord effectué un repérage en ligne pour tenter d'identifier des personnes importantes dans l'organigramme de Gemalto, pouvant avoir accès aux clés de chiffrement.

L'agence britannique a alors fait appel à son partenaire américain, et à son programme XKeyscore, pour pirater les courriels et les comptes Facebook de ces personnes.

 Les clés de chiffrement convoitées par les services britanniques et américains sont en effet souvent transmises aux clients de Gemalto par le biais de courriels sécurisés par ce protocole.

« Le GCHQ, avec le support de la NSA, a puisé dans les communications privées » d'ingénieurs et d'autres salariés du groupe « dans de multiples pays », pour parvenir à dérober ces clés, indique « The Intercept ».

« Il est impossible de savoir combien  ont été volées par la NSA et le GCHQ, mais le nombre est sidérant», ajoute-t-il.

La NSA, par exemple, était déjà capable en 2009 de « traiter entre 12 et 22 millions de clés par seconde », pour pouvoir les utiliser plus tard au besoin afin d'écouter des conversations ou intercepter des mails.

Ces révélations pourraient compliquer les relations entre le gouvernement français et les Etats-Unis, alors qu'en début de semaine le gouvernement a annoncé un très important partenariat avec le fabricant américain d'équipements de télécom Cisco.

A noter que de précédents documents révélés par Edward Snowden avaient montré l'an dernier que la NSA avait développé des logiciels malveillants spécifiquement pour surveiller les informations transitant par les machines Cisco.

(1)           Focus sur Gemalto : une histoire mouvementée.

Gemalto est une entreprise multinationale, de droit néerlandais, spécialisée dans le secteur de la sécurité numérique.

Avec son siège social à Amsterdam, elle dispose de filiales dans 43 pays et emploie plus de 10 000 salariés travaillant dans 74 bureaux, 15 sites de production et 14 centres de recherche et développement4.

A l’origine : l'entreprise française Gemplus, fondée en 1988 et spécialiste mondiale de la fabrication de cartes à puce.

En 1988, six ingénieurs, dont Marc Lassus, futur directeur de Gemplus, Daniel Legal et Philippe Maes, quittent Thomson-CSF pour tenter l'aventure de la carte à puce.

Grâce à 100 millions de Francs d'aides publiques et d'importantes commandes de France Telecom pour ses cartes téléphoniques, ils fondent l'entreprise Gem qui connaît une forte croissance (40 % par an).

En 1996, Gemplus développe le premier lecteur portable de cartes capable de traiter des données à partir d'une matrice de diodes associée à une optique, fabriquée par Motorola, et du système d'exploitation Oros.

Le savoir-faire de Gemplus intéresse grandement les services américains. En 2000, Marc Lassus accepte l'entrée de Texas Pacific Group (TPG) dans le capital de son entreprise à hauteur de 26 %, payés 550 millions de dollars.

Lassus pensait que TPG allait l'aider à conquérir le marché américain et à entrer en Bourse.

TPG obtient en échange le droit de nommer la majorité des membres du conseil d'administration et de transférer le siège de l'entreprise au Luxembourg, la société s'appelant désormais Gemplus international. Progressivement, la plupart des fondateurs historiques de Gemplus quittent l'entreprise,

TPG est alors soupçonné d'opérer pour le compte des services secrets américains.

Le 19 décembre 2002, suite à des péripéties assez rocambolesques, Marc Lassus, ancien président fondateur de Gemplus, démissionne du conseil d'administration.

En juin 2006, la société luxembourgeoise Gemplus International fusionne avec la néerlandaise Axalto.(Cette société étant issue de la partie Sema, fabricant des cartes à puces, de la société Schlumberger).

Le nouvel ensemble est baptisé Gemalto  va devenir un acteur majeur du secteur de la sécurité numérique.

En 2009, l’État français rachète 8 % de Gemalto via le Fonds stratégique d'investissement, devenant l'actionnaire principal du groupe.

Mais il est alors trop tard pour empêcher les Américains d'obtenir les technologies de cryptologie de la carte à puce, comme en témoigne le fait que TPG a revendu ses actions l'année suivante.

Entre 2006 et 2012, Gemalto va procéder à une série d’acquisitions.

Plus récemment, en août 2014, Gemalto acquiert SafeNet, une entreprise américaine de sécurité informatique pour 890 millions de dollars.