La NSA a ses pions un peu partout. On la sait en mesure d'espionner tout internet, on la sait capable d'indexer les sites non indexés, on la sait capable de vous mettre sur écoute... mais on ne savait pas encore qu'elle avait volé les clés de cryptage de millions de cartes SIM. Grâce à ces clés, selon Gemalto qui a subi ce vol, la NSA peut tout simplement écouter tout ce que vous dites. Et quand on dit "tout", on pense vraiment "tout".
Cartes SIM piratées : Gemalto ciblé par la NSA
Encore une fois c'est Edward Snowden, à l'origine de Wikileaks et du scandale PRISM, qui dévoile des documents. Publiés par The Intercept, ils montrent que la NSA et le GCHQ, les renseignements britanniques, s'en sont pris au leader français des cartes SIM, Gemalto. Mauvaise nouvelle pour le groupe qui se dit un leader dans la sécurité informatique.
Selon les documents dévoilés par The Intercept plusieurs millions de clés de chiffrage ont été dérobées. Ces clés, qui permettent de chiffrer les conversations entre les interlocuteurs et rendent la carte SIM unique, permettent de déchiffrer ces mêmes conversations. Aucune difficulté pour la NSA de vous espionner et d'écouter tout ce que vous dites comme si elle y était.
Et surtout pas besoin de placer un micro caché dans votre téléphone... il suffit à l'agence de capter le signal...
La sécurité très négligée dans le transfert de ces clés
Le souci, avec cette affaire, est que la NSA n'a pas infiltré les serveurs de Gemalto... elle a tout simplement espionné les employés du groupe. Entre 2010 et 2011 (mais peut-être encore aujourd'hui), la NSA n'a fait qu'intercepter des transferts de fichier très mal protégés.
Les clés étaient, selon les documents de Snowden, partagées via des serveurs avec un cryptage minimum voire sans cryptage aucun. Malgré leur importance, les clés voyageaient dans des e-mails ou des serveurs FTP. La NSA n'avait donc aucun problème à les intercepter.
Mais que Gemalto se rassure (et que les utilisateurs ne se rassurent pas) : d'autres groupes produisant des cartes SIM ont également été ciblés. Et il est impossible de chiffrer le nombre de clés volées.