La NSA siphonne aussi les fibres optiques de Google et Yahoo!

En décembre 2012, la NSA a intercepté plus de 180 millions de données circulant entre les datacenters de Google et de Yahoo!, allant de métadonnées sur des emails, à des éléments de texte ou des documents audio ou vidéo. Cet exploit n’est pas lié au désormais célèbre programme de surveillance « Prism ». C’est une conséquence d’un autre programme encore plus secret. Baptisé « Muscular », il vient d’être dévoilé par le Washington Post, sur la base de documents d’Edward Snowden.

Contrairement à « Prism », qui contraint les géants du web de manière légale à donner un accès à leurs serveurs, « Muscular » collecterait les données de Google et Yahoo! en toute clandestinité, sans consentement de leur part, ni contrôle par une autorité juridictionnelle. Pourquoi ? Parce que ce programme se déroule exclusivement en dehors du territoire des Etats-Unis, et qu’il n’est donc pas soumis à la loi FISA, qui encadre les interceptions de Prism.

La faille du cloud computing

Concrètement, la NSA s’introduit de force – et avec l’aide de son homologue britannique GCHQ – dans les réseaux fibres optiques qui interconnectent les différents centres de données de Google et de Yahoo!. Les agents secrets anglo-saxons utilisent ainsi une faille dans l’architecture cloud. Pour pouvoir proposer partout leurs services avec le même niveau de qualité, Google et Yahoo! dupliquent et synchronisent les données de leurs clients dans de nombreux datacenters répartis dans le monde entier.

Ces datacenters sont reliés par des fibres optiques, appartenant aux deux sociétés ou louées à des tiers. Le problème, c’est que les données qui circulent entre les datacenters ne sont généralement pas chiffrées, comme le souligne de manière narquoise une slide de la NSA. Selon le Washington Post, Google a commencé à chiffrer les échanges au sein de son réseau de datacenters seulement à partir de septembre dernier. Chez Yahoo!, le chiffrement interne à son cloud ne semble pas à l’ordre du jour.

Il n’est pas clair, en revanche, à quel endroit précis les données sont captées. Depuis un nœud d’échange Internet ? Avec l’aide d’un opérateur télécoms consentant ? Au travers une station d’atterrissage de fibre sous-marine ? Dans un centre de colocation mutualisé ? Les possibilités sont nombreuses. Il est certain que le GCHQ est, dans ce contexte, un allié précieux, car le Royaume-Uni est non seulement un passage obligé pour un grand nombre de câbles sous-marins, c’est également la patrie d’un certain nombre d’opérateurs backbone, qui tissent des réseaux fibre optique un peu partout sur la planète.

La NSA dément

Dans un communiqué, Yahoo! explique avoir mis en place « des contrôles très stricts pour protéger la sécurité de nos centres d’hébergement de données » et ne pas avoir « donné accès à ces centres ni à la NSA ni à aucune autre agence gouvernementale ». Contactés par l’AFP, la NSA et Google n’avaient pas réagi dans l’immédiat. Selon le Washington Post, Google ont assuré n’avoir jamais autorisé un tel accès aux données de leurs utilisateurs. Le chef de la NSA, le général Keith Alexander, interrogé sur les allégations du Washington Post lors d’une conférence à Washington, a assuré ne pas être au courant de leur publication, tout en déclarant qu’elles lui semblaient incorrectes. « A ma connaissance, une telle activité n’a jamais eu lieu », a-t-il assuré. « En juin, il y avait déjà eu cette allégation selon laquelle la NSA s’introduisait dans les serveurs de Yahoo! et Google, mais c’est faux », a-t-il ajouté. La NSA a accès à des données « sur ordre de justice » et « ne s’introduirait pas de force dans des centres de stockage de données », a-t-il aussi déclaré.