C’est un merveilleux pied de nez que Moxie Marlinspike, créateur de la messagerie Signal, vient de faire à Cellebrite. Cette société, spécialisée dans « l’extraction de données » de smartphones, s’est récemment félicitée de pouvoir collecter les données de Signal. Pour M. Marlinspike, c’était visiblement un casus belli, car il vient de publier une note de blog très acide dans laquelle il révèle l’existence de failles critiques dans les solutions d’extraction de Cellebrite. Celles-ci, rappelons-le, sont surtout utilisées par les forces de l’ordre pour collecter des preuves et des indices dans les terminaux mobiles de suspects.
L’arroseur arrosé
Ainsi, les modules de captation et de collecte intègrent des codes parfois très obsolètes et ne seraient que faiblement protégés vis-à-vis de données mal formatées. Ce qui ouvre la porte à des dépassements de mémoire et autres joyeusetés. « Nous avons constaté qu’il était possible d’exécuter du code arbitraire sur une machine Cellebrite simplement en incluant un fichier spécialement formaté, mais par ailleurs inoffensif, dans n’importe quelle application d’un appareil qui est ensuite branché sur Cellebrite et analysé. Il n’y a pratiquement aucune limite sur le code qui peut être exécuté », explique Moxie Marlinspike, qui fournit également une vidéo de démonstration.
Cette exécution de code arbitraire pourrait créer une sacrée pagaille dans les analyses fournies par les outils de Cellebrite, de sorte à totalement mettre en cause leur intégrité. Ce qui serait évidemment un gros problème dans le cadre de procédures judiciaires. Un brin taquin, Moxie Marlinspike se dit d’accord pour révéler à Cellebrite les dessous techniques de ces failles, mais seulement si « Cellebrite fait la même chose pour les failles qu’il utilise » dans ses produits pour réaliser l’extraction de données. Ce qui n’arrivera donc jamais.
En attendant, le cryptographe annonce, de façon détournée et ironique, qu’il va utiliser ces failles dans Signal. Ainsi, des fichiers seront « périodiquement » placés dans l’espace de stockage de la messagerie. Ils n’interagiront pas avec le logiciel, mais « ils sont beaux et l’esthétique est importante dans un logiciel ». « Nous avons plusieurs versions différentes de fichiers qui nous semblent esthétiquement agréables et nous allons les utiliser au fur et à mesure », souligne Moxie Marlinspike.
A découvrir aussi en vidéo :
L’homme profite également de l’occasion pour envoyer un tacle juridique. Dans sa note de blog, il révèle l’utilisation par Cellebrite de fichiers DLL créés par Apple. « Il nous semble peu probable qu’Apple ait accordé à Cellebrite une licence pour redistribuer et incorporer des DLL Apple dans son propre produit, ce qui pourrait donc présenter un risque juridique pour Cellebrite et ses utilisateurs. » Et bim !
Source: Signal
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
