Cellebrite, une entreprise israélienne qui vend des dispositifs de déverrouillage de smartphones aux gouvernements et aux services de police du monde entier, vient d’être humiliée.
Mercredi, le fondateur de l’application de chat crypté Signal a annoncé qu’il avait mis la main sur un dispositif de déverrouillage de smartphone de Cellebrite et a découvert que la technologie regorge de failles logicielles exploitables.
L’appareil Cellebrite, appelé le UFED, est si vulnérable que la machine peut être manipulée si elle scanne un fichier spécialement configuré sur un smartphone, affirme la fondatrice de Signal, Moxie Marlinspike. Par conséquent, toute preuve que l’UFED tire pour les enquêteurs de la police peut être remise en question.
Crédit: Signal / Cellebrite
«Par exemple, en incluant un fichier spécialement formaté mais par ailleurs inoffensif dans une application sur un appareil qui est ensuite analysé par Cellebrite, il est possible d’exécuter du code qui modifie non seulement le rapport Cellebrite créé dans cette analyse, mais aussi tous les rapports Cellebrite générés précédents et futurs de tous les appareils précédemment scannés et de tous les futurs appareils scannés de manière arbitraire », Marlinspike a écrit dans un article de blog.
Les modifications peuvent être implémentées sans changements d’horodatage détectables ou échecs dans les valeurs numériques. «Toute application peut contenir un tel fichier, et tant que Cellebrite n’est pas en mesure de réparer avec précision toutes les vulnérabilités de son logiciel avec une confiance extrêmement élevée, le seul remède dont dispose un utilisateur de Cellebrite est de ne pas analyser les appareils», a-t-il ajouté.
Pour illustrer les failles, l’article de blog de Marlinspike contient une vidéo montrant un iPhone trompant l’appareil UFED de Cellebrite pour publier un message créé par un pirate informatique.
Fait intéressant, il implique ensuite que Signal lui-même ajoute des fichiers spécialement formatés à l’application de messagerie capable de brouiller la technologie de Cellebrite.
«Dans des actualités totalement indépendantes, les prochaines versions de Signal récupéreront périodiquement des fichiers à placer dans le stockage des applications», a-t-il écrit. «Ces fichiers ne sont jamais utilisés pour quoi que ce soit à l’intérieur de Signal et n’interagissent jamais avec le logiciel ou les données Signal, mais ils sont beaux et l’esthétique est importante dans le logiciel.»
Recommandé par nos rédacteurs
Cependant, Cellebrite minimise les failles alléguées. « Cellebrite s’engage à protéger l’intégrité des données de nos clients, et nous auditons et mettons continuellement à jour nos logiciels afin d’équiper nos clients des meilleures solutions d’intelligence numérique disponibles », a déclaré la société dans un communiqué sans donner plus de détails.
Un mystère est de savoir comment le fondateur de Signal a exactement mis la main sur un appareil Cellebrite UFED. Selon Marlinspike, l’appareil est tombé d’un camion, qui a atterri par hasard juste devant lui alors qu’il se promenait.
Nous sommes à peu près sûrs que Marlinspike essaie de dissimuler sa véritable source. En attendant, le fondateur de Signal a écrit qu’il était prêt à divulguer toutes les failles qu’il a trouvées dans la technologie de l’entreprise – mais seulement s’ils font de même et révèlent comment Cellebrite extrait les données des smartphones verrouillés. En décembre, Cellebrite a écrit le sien article de blog sur la façon dont l’entreprise a aidé les forces de l’ordre à accéder aux données de l’application Signal sur les smartphones confisqués.
