Pour ralentir la progression de la propagation du Covid-19, le gouvernement envisage de mettre à disposition des Français une application de traçage numérique baptisée "Stop Covid". Cette application exploiterait notamment la technologie Bluetooth des smartphones pour échanger des pseudonymes fournis avec l’application téléchargée. Selon l’INRIA qui porte la contribution française au développement de cette application, ces pseudonymes permettraient de mémoriser l’historique des contacts pour chaque téléphone tout en tout en protégeant la vie privée de ses utilisateurs.
Le Bluetooth est loin toutefois de faire l’unanimité parmi les professionnels de la sécurité numérique. Ils reprochent à cette technologie de réseaux sans-fil son manque de robustesse en matière de cybersécurité. Et l’un des organismes les plus en pointe en la matière a alerté régulièrement sur le danger potentiel à son utilisation depuis des années: l’ANSSI, l’agence nationale de la sécurité des systèmes d’information.
Le Bluetooth, une source de menaces Selon L'ANSSI
Dans ses différentes notes diffusées sur son site et notamment dans ses recommandations sur le nomadisme numérique publiées en novembre 2018, l’agence émet la recommandation suivante : "désactiver les services qui ne sont pas nécessaires d’un point de vue métier et qui sont potentiellement sources de menaces, comme la géolocalisation, le Bluetooth, le NFC 6, etc. " Pas de chance! Car pour être efficace, la future application Stop Covid nécessiterait d’avoir le Bluetooth activé en permanence pour partager les informations de contacts de manière anonyme à n’importe quel moment dès lors que deux smartphones sont suffisamment proches.
La menace est toujours d’actualité, comme le rappelle un collectif de chercheurs qui alerte sur les dangers intrinsèques d’une application de traçage de contacts de type Stop Covid. Ces 15 chercheurs, spécialistes en cryptographie, sécurité ou droit des technologies, dont une grande partie est issue des rangs de l’INRIA, ont publié le 21 avril une analyse de risques à destination des non-spécialistes intitulée "Le traçage anonyme, dangereux oxymore".
Parmi les risques identifiés, l’activation du Bluetooth. "Son utilisation peut en effet ouvrir des failles de sécurité qui exploiteraient des bugs dans le système Bluetooth du téléphone. Concrètement, l'attaque Blueborne publiée en 2017 permettait justement de prendre le contrôle de nombreux équipements (ordinateurs, téléphone, ...) en exploitant ce type de bug. Si certains téléphones n'ont pas été mis à jour depuis 2017, activer le Bluetooth pourrait être très dangereux !" alertent-ils.
Une technologie pas suffisamMent sécurisée
Il faut dire que le ver était dans le fruit dès le début de la conception du Bluetooth. Cette technologie de communication radio à courte portée développée en 1994 par le suédois Ericsson a été faite pour prendre en compte les contraintes des téléphones mobiles. Destinée à intégrer des centaines de millions d’appareils, il fallait donc qu’elle soit peu coûteuse et facile d’utilisation. "Le Bluetooth repose sur un socle ancien de normes. Ce n’est pas en l’état actuel un protocole associé à une bonne qualité en termes de sécurité. L’objectif à l’origine était d’être une technologie ouverte par nature, afin de permettre à un objet de se connecter très facilement à courte distance et sans intervention de l’utilisateur. Le Bluetooth n’a pas été sécurisé dès l’origine pour les niveaux d’exigence actuels", souligne Loïc Guézo, expert en cybersécurité et secrétaire général du Clusif, le club de la sécurité de l'information français.
Le principal problème est des plus classiques en matière de sécurité : les terminaux ne sont pas mis à jour. Ainsi, certains smartphones sont équipés de vieilles versions Bluetooth - on en est à la cinquième génération - qui ne bénéficient pas des derniers correctifs en matière de cybersécurité. "Certains terminaux soit par ce qu’ils sont trop anciens, soit par ce qu’il s’agit de terminaux d’entrée de gamme, ne peuvent pas bénéficier des dernières mises à jour", explique David Legeay, co-fondateur de la société Sylink, fournisseur de solutions de cybersécurité.
Attaque par saturation
Dès lors, des personnes malveillantes peuvent profiter des failles de sécurité du logiciel Bluetooth. Sans faire appel à des outils illégaux mais en détournant simplement des outils professionnels qui permettent de réaliser notamment des audits de sécurité et des tests d’intrusions. "Certains de ces outils sont même accessibles gratuitement sur le net", indique David Legeay.
Dès lors il devient possible de voler les contacts du smartphone piraté, et même d’en prendre le contrôle. Dès 2007, l’ANSSI rappelait les types d’attaques possibles en exploitant le Bluetooth. Parmi elles, le Bluesarfing qui permet à un utilisateur malintentionné de télécharger arbitrairement depuis l’équipement Bluetooth vulnérable un ou plusieurs fichiers. Ou pire encore le Bluebug, qui permet d’exécuter des commandes et de prendre le contrôle total d’un terminal compromis. Si évidemment certaines failles de sécurité ont été corrigées depuis 2007, certains experts estiment que ce type d’attaques est toujours possible sur des terminaux non mis à jour en termes de sécurité.
De nouveaux scénarios d’attaques par Bluetooth sont envisageables dans le cadre d’une application comme Stop Covid. Surtout que la communauté des pirates est de nouveau très active sur ce protocole. "Après l’avoir délaissé, les pirates affichent un nouvel intérêt pour le Bluetooth depuis qu’il s’est imposé comme le protocole standard dans des nouveaux usages comme la connexion du smartphone aux équipements de la voiture ou pour accompagner l'essor de nouveaux équipements comme les assistants vocaux à domicile", alerte Loïc Guézo.
Détournement du signal Bluetooth
Typiquement, le protocole peut donner lieu à des attaques par saturation. Via un équipement ad hoc, un pirate malveillant peut décider de bombarder de sollicitations Bluetooth un appareil voisin jusqu’à l’épuisement de sa batterie et donc le rendre inopérant. "On peut également détourner ce signal Bluetooth pour générer de fausses informations sur la réalité des contacts de proximité. En augmentant ou diminuant la puissance du signal, donc sa portée, l’ appareil peut laisser croire qu’il a été en contact proche avec de nombreux individus … sans les avoir réellement approchés. Ou au contraire, en limitant ses chances d’établir une connexion avec un autre appareil, un individu peut faire croire qu’il ne s’est approché de personne et passer sous les radars", explique Loïc Guézo.
L'expert du Clusif évoque également l'utilisation possible d'équipements de sonde, pour suivre frauduleusement l’évolution virologique des populations ou encore d’appareil "parasite" pour volontairement disséminer un signal de contamination au sein d’une population ciblée.
Pour convaincre les Française d’adopter massivement l’application Stop Covid, Cédric O, le secrétaire d'Etat chargé du Numérique est conscient qu’il faudra réduire au maximum les risques de sécurité informatique liées à son usage. Il s’appuie pour cela sur les équipes scientifiques de l’INRIA en charge du développement de l’application et de l’expertise de l’ANSSI. A noter qu’aucun de ces acteurs n’a trouvé la disponibilité de répondre à nos questions sur les éventuelles failles de sécurité liées à l’usage de la technologie Bluetooth.
