La CIA ne va pas pirater votre MacBook ou votre iPhone (mais la comm’ de Wikileaks fonctionne)

Dans la nuit, Wikileaks a dévoilé la deuxième partie de son archive Vault 7. Plusieurs experts se sont déjà interrogés sur la pertinence et l’efficacité réelle des méthodes et des outils dévoilés dans la première partie de l’opération, arguant qu’ils étaient anciens et prouvaient simplement que l’une des agences d’espionnage les plus sophistiquées du monde savait prendre le contrôle d’un smartphone ou d’une télé quand un agent en avait un accès physique. Rien d’étonnant, malgré une montagne de problèmes soulevés par ces documents évoqués sur ces pages il y a quelques semaines.

Aujourd’hui, la deuxième partie du leak ne devrait pas vous affoler outre-mesure. Wikileaks y va à grand renforts de buzzwords, mais la vérité est loin d’être catastrophique. Le document nommé Dark Matter concerne en effet les MacBook et les iPhone. Il affirme qu’aux moyens d’outils informatiques nommés avec malice (Sonic Screwdriver, par exemple), la CIA peut prendre le contrôle d’un MacBook tout en se rendant particulièrement invisible pour l’utilisateur. Une sorte d’outil ultime qui permet à l’agence de surveiller une cible sans qu’elle soit au courant.

Mais il y a plusieurs mais qui, malheureusement, feront moins les gros titres. D’abord, malgré le nom de Sonic Screwdriver faisant référence à l’outil du bon Docteur dans la série anglaise bien connue, le système employé par la CIA n’a rien de magique. Il s’agit bien plutôt d’une clef USB chargée avec des programmes qui peuvent s’exécuter sur un MacBook pour en prendre le contrôle. Il faut donc que l’agent de la CIA ait un accès physique à un ordinateur pour les installer et suffisamment de temps pour que son opération soit menée à bien et passe inaperçue — autant dire, une opération qui n’est pas faite à la chaîne. Et l’espionnage de masse n’est d’ailleurs pas la mission de la CIA, comme nous l’avons rappelé lors des premières révélations.

Si cela ne suffisait pas, on peut en remettre une couche : les outils dévoilés dans le document Dark Matter ont plus de 7 ans. Il y a 7 ans, nous étions en 2010 et le monde était différent — Snowden n’avait pas encore eu lieu et des termes comme « protection des données personnelles » ou « chiffrement » étaient des habitudes pour les technophiles, mais des mots en langue étrangère pour le grand public. Depuis, même s’il reste un long chemin à parcourir, bien des efforts ont été faits pour sécuriser les machines que nous utilisons — MacBook et iPhone inclus (vous pourrez retrouver des informations sur le chiffrement d’un iPhone ici). Aucune chance qu’un seul de ces outils utilisés par la CIA il y a fort longtemps fonctionne encore.

Aucune chance qu’un seul de ces outils utilisés par la CIA il y a fort longtemps fonctionne encore

Apple s’est d’ailleurs fendu d’un commentaire au sujet des révélations de Wikileaks : « La vulnérabilité présente sur les iPhone et décrite dans le document affectait les iPhone 3G et a été corrigée en 2009 à la sortie du 3GS. […] Les vulnérabilités concernant les Mac ont été corrigées en 2013 ». L’entreprise de Cupertino a ajouté qu’elle n’avait pas négocié avec Wikileaks pour obtenir des informations qui compromettraient des systèmes actuels avant une publication et qu’elle avait demandé à Wikileaks de passer par le circuit traditionnel pour faire remonter une faille de sécurité. Pour l’instant, Apple n’a reçu aucun document de la part de l’organisation de Julian Assange par ce biais.

La CIA met en danger le grand public en ne communiquant pas sur les failles de sécurité

Loin de nous l’idée d’être complètement naïfs : la CIA sait probablement, aujourd’hui, exploiter des failles de sécurité dites 0-day, gardées secrètes, et ce pour une grande variété d’appareils grand public. Et c’est pour cela qu’elle met en danger le grand public — c’est le problème fondamental de ces révélations : en ne communiquant pas sur ces failles, la CIA laisse l’opportunité à d’autres organisations, étatiques ou non, de les exploiter. Mais des espions qui espionnent, voilà qui ne devrait surprendre personne. Une telle opération demandant un accès physique à l’ordinateur d’une cible ne se fait pas en un tournemain et il est difficile d’imaginer des agents de la CIA prendre un risque sur des cibles qui ne seraient pas importantes.

Cette deuxième partie des révélations de Vault 7 nous conforte d’autant plus dans l’idée que la machine Wikileaks, autrefois bien huilée, s’est enrayée et suit désormais un agenda politique qui n’est plus dicté par les exigences de transparence. Les communiqués de Wikileaks seront repris sans être décortiqués, comme s’il s’agissait d’une agence de presse traditionnelle. Et, copiés et recopiés, ils finiront pas devenir une sorte de contre-vérité. Même l’AFP, si rigoureuse et professionnelle dans son métier, diffuse ce matin une dépêche qui, si elle n’est pas fausse, tord la réalité.

Une dépêche qui ne manquera d’être reprise en chœur et qui, dans l’esprit de nombreux lecteurs, sonnera comme un « la CIA peut contrôler mon laptop acheté dans un Apple Store avant même que je déchire son blister ». La communication de Wikileaks fonctionne donc à merveille et, pour faire place à une paranoïa déstabilisatrice, masque les véritables problèmes liées aux failles de sécurité non dévoilées.