Le cryptage conçu pour les radios de la police et de l'armée peut être facilement piraté

Il y a deux ans, des chercheurs aux Pays-Bas ont découvert une porte dérobée intentionnelle dans un algorithme de cryptage intégré aux radios utilisées par les infrastructures critiques – ainsi que par la police, les agences de renseignement et les forces militaires du monde entier – qui rendait toute communication sécurisée avec l’algorithme vulnérable aux écoutes clandestines.

Lorsque les chercheurs ont révélé publiquement le problème en 2023, l'Institut européen des normes de télécommunications (ETSI), qui a développé l'algorithme, a conseillé à toute personne l'utilisant pour des communications sensibles de déployer une solution de cryptage de bout en bout par-dessus l'algorithme défectueux pour renforcer la sécurité de ses communications.

Mais les mêmes chercheurs ont maintenant découvert qu'au moins une implémentation de la solution de chiffrement de bout en bout approuvée par l'ETSI présente un problème similaire, la rendant tout aussi vulnérable aux écoutes clandestines. L'algorithme de chiffrement utilisé pour l'appareil examiné utilise une clé de 128 bits, mais celle-ci est compressée à 56 bits avant de chiffrer le trafic, ce qui la rend plus facile à pirater. On ignore qui utilise cette implémentation de l'algorithme de chiffrement de bout en bout, ni si les utilisateurs d'appareils dotés de ce chiffrement sont conscients de la vulnérabilité de sécurité.

Le chiffrement de bout en bout étudié par les chercheurs, coûteux à déployer, est le plus souvent utilisé dans les radios des forces de l'ordre, des forces spéciales et des équipes militaires et de renseignement secrètes impliquées dans des missions de sécurité nationale et nécessitant donc un niveau de sécurité supplémentaire. Cependant, l'approbation de cet algorithme par l'ETSI il y a deux ans pour pallier les failles découvertes dans son algorithme de chiffrement de bas niveau suggère qu'il pourrait être utilisé plus largement aujourd'hui qu'à l'époque.

En 2023, Carlo Meijer, Wouter Bokslag et Jos Wetzels, de l'entreprise de sécurité Midnight Blue , basée aux Pays-Bas, ont découvert des vulnérabilités dans les algorithmes de chiffrement de la norme radio européenne TETRA (Terrestrial Trunked Radio), créée par l'ETSI. Cette norme est intégrée aux systèmes radio de Motorola, Damm, Sepura et d'autres entreprises depuis les années 1990. Ces failles sont restées inconnues du public jusqu'à leur divulgation, l'ETSI ayant refusé pendant des décennies de laisser quiconque examiner ces algorithmes propriétaires. Le chiffrement de bout en bout récemment examiné par les chercheurs est conçu pour fonctionner sur les algorithmes de chiffrement TETRA.

Les chercheurs n'ont découvert le problème de chiffrement de bout en bout (E2EE) qu'après avoir extrait et rétroconçu l'algorithme E2EE utilisé dans une radio fabriquée par Sepura. Ils prévoient de présenter leurs résultats aujourd'hui lors de la conférence sur la sécurité BlackHat à Las Vegas.

Contactée à ce sujet, l'ETSI a indiqué que le chiffrement de bout en bout utilisé avec les radios TETRA ne faisait pas partie de la norme ETSI et n'avait pas été créé par l'organisation. Il avait été produit par le groupe de sécurité et de prévention de la fraude (SFPG) de la Critical Communications Association (TCCA). Cependant, l'ETSI et la TCCA collaborent étroitement et regroupent de nombreuses personnes. Brian Murgatroyd, ancien président de l'organisme technique de l'ETSI responsable de la norme TETRA et du groupe de la TCCA ayant développé la solution E2EE, a écrit dans un courriel au nom de l'ETSI et de la TCCA que le chiffrement de bout en bout n'était pas inclus dans la norme ETSI « car, à l'époque, on considérait que l'E2EE ne serait utilisé que par des groupes gouvernementaux pour des raisons de sécurité nationale, et ces groupes ont souvent des besoins de sécurité spécifiques. »

Pour cette raison, Murgatroyd a noté que les acheteurs de radios basées sur TETRA sont libres de déployer d'autres solutions pour le cryptage de bout en bout sur leurs radios, mais il reconnaît que celle produite par le TCCA et approuvée par l'ETSI « est largement utilisée pour autant que nous puissions le dire ».

Bien que les dispositifs radio TETRA ne soient pas utilisés par la police et l'armée aux États-Unis, la majorité des forces de police du monde entier en font usage. Parmi elles, on trouve les forces de police de Belgique et des pays scandinaves, ainsi que des pays d'Europe de l'Est comme la Serbie, la Moldavie, la Bulgarie et la Macédoine, et celles du Moyen-Orient comme l'Iran, l'Irak, le Liban et la Syrie. Les ministères de la Défense bulgare, kazakh et syrien les utilisent également, tout comme l'agence de contre-espionnage militaire polonaise, les forces de défense finlandaises, ainsi que les services de renseignement libanais et saoudiens. On ignore toutefois combien d'entre eux déploient également un déchiffrement de bout en bout avec leurs radios.

La norme TETRA comprend quatre algorithmes de chiffrement : TEA1, TEA2, TEA3 et TEA4. Ces algorithmes peuvent être utilisés par les fabricants de radios dans différents produits, selon le client et l'usage visés. Leur niveau de sécurité varie selon que les radios sont vendues en Europe ou hors d'Europe. TEA2, par exemple, est réservé aux radios utilisées par la police, les services d'urgence, l'armée et les services de renseignement en Europe. TEA3 est disponible pour les radios de la police et des services d'urgence utilisées hors d'Europe, mais uniquement dans les pays considérés comme « amicaux » avec l'UE. Seul TEA1 est disponible pour les radios utilisées par les agences de sécurité publique, les services de police et les militaires dans les pays considérés comme non amicaux avec l'Europe, comme l'Iran. Il est également utilisé dans les infrastructures critiques aux États-Unis et dans d'autres pays pour la communication intermachine dans les environnements de contrôle industriel tels que les pipelines, les chemins de fer et les réseaux électriques.

Les quatre algorithmes de chiffrement TETRA utilisent des clés de 80 bits pour sécuriser les communications. Mais des chercheurs néerlandais ont révélé en 2023 que TEA1 possède une fonctionnalité permettant de réduire sa clé à seulement 32 bits, ce qui leur a permis de la déchiffrer en moins d'une minute.

Dans le cas du chiffrement de bout en bout (E2EE), les chercheurs ont constaté que l'implémentation examinée utilise une clé plus sécurisée que celles utilisées dans les algorithmes TETRA, mais réduite à 56 bits, ce qui permettrait potentiellement de déchiffrer les communications vocales et de données. Ils ont également découvert une seconde vulnérabilité qui permettrait d'envoyer des messages frauduleux ou de reproduire des messages légitimes afin de diffuser de fausses informations ou de semer la confusion parmi le personnel utilisant les radios.

Selon les chercheurs, la possibilité d'injecter du trafic vocal et de rejouer des messages affecte tous les utilisateurs du système de chiffrement de bout en bout TCCA. Ils affirment que cela résulte de failles dans la conception du protocole E2EE TCCA plutôt que d'une implémentation particulière. Ils précisent également que des utilisateurs finaux des forces de l'ordre leur ont confirmé que cette faille se trouvait dans des radios produites par d'autres fournisseurs que Sepura.

Mais les chercheurs affirment que seul un sous-ensemble d'utilisateurs de chiffrement de bout en bout est probablement affecté par la vulnérabilité à clé réduite, car cela dépend de la manière dont le chiffrement a été mis en œuvre dans les radios vendues dans différents pays.

Murgatroyd, de l'ETSI, a déclaré en 2023 que la clé TEA1 avait été réduite afin de respecter les contrôles à l'exportation pour le chiffrement vendu à des clients hors d'Europe. Il a précisé qu'à l'époque de la création de l'algorithme, une clé avec 32 bits d'entropie était considérée comme sûre pour la plupart des utilisations. Les progrès de la puissance de calcul la rendent désormais moins sûre. Ainsi, lorsque les chercheurs néerlandais ont exposé la clé réduite il y a deux ans, l'ETSI a recommandé aux clients utilisant TEA1 de déployer la solution de chiffrement de bout en bout de TCCA par-dessus.

Mais Murgatroyd a expliqué que l'algorithme de chiffrement de bout en bout conçu par TCCA est différent. Il ne précise pas la longueur de clé que les radios doivent utiliser, car les gouvernements qui utilisent ce chiffrement de bout en bout appliquent leurs propres « règles de sécurité spécifiques et souvent propriétaires » aux appareils qu'ils utilisent. Ils peuvent donc personnaliser l'algorithme de chiffrement TCCA de leurs appareils en collaborant avec leur fournisseur radio pour sélectionner « l'algorithme de chiffrement, la gestion des clés, etc. » qui leur conviennent, mais seulement dans une certaine mesure.

« Le choix de l'algorithme de chiffrement et de la clé est fait entre le fournisseur et le client, et l'ETSI n'a aucun droit de regard sur cette sélection, ni connaissance des algorithmes et des longueurs de clé utilisés dans chaque système », a-t-il déclaré. Il a toutefois ajouté que les fabricants et les clients de radios « devront toujours respecter les réglementations en matière de contrôle des exportations ».

Les chercheurs affirment ne pas pouvoir vérifier que le chiffrement de bout en bout de la TCCA ne spécifie pas de longueur de clé, car la documentation de la TCCA décrivant la solution est protégée par un accord de confidentialité et fournie uniquement aux fournisseurs de radios. Ils notent toutefois que le système de chiffrement de bout en bout utilise un numéro d'« identifiant d'algorithme », indiquant ainsi l'algorithme spécifique utilisé pour le chiffrement de bout en bout. Ces identifiants ne sont pas spécifiques à un fournisseur, précisent les chercheurs, ce qui suggère qu'ils font référence à différentes variantes de clés produites par la TCCA. Autrement dit, la TCCA fournit des spécifications pour les algorithmes utilisant une clé de 126 ou 56 bits, et les fournisseurs de radios peuvent configurer leurs appareils pour utiliser l'une ou l'autre de ces variantes, selon les contrôles à l'exportation en vigueur dans le pays acheteur.

On ignore si les utilisateurs savent que leurs radios pourraient être affectées par cette vulnérabilité. Les chercheurs ont découvert un bulletin confidentiel de Sepura datant de 2006, divulgué en ligne , qui mentionne que « la longueur de la clé de trafic… est soumise à la réglementation sur le contrôle des exportations et que, par conséquent, le [système de chiffrement de l'appareil] sera configuré en usine pour prendre en charge des longueurs de clé de 128, 64 ou 56 bits ». Cependant, on ignore ce que reçoivent les clients de Sepura, ni si les autres fabricants dont les radios utilisent une clé réduite les informent de l'utilisation d'un algorithme à clé réduite.

« Certains fabricants mentionnent cela dans leurs brochures ; d’autres n’en parlent que dans leurs communications internes, et d’autres encore n’en parlent pas du tout », explique Wetzels. Il précise qu’ils ont mené des recherches open source approfondies pour examiner la documentation des fournisseurs et « n’ont trouvé aucun signe clair d’affaiblissement communiqué aux utilisateurs finaux. Ainsi, même si… il y a bien quelques mentions d’un affaiblissement de l’algorithme, celui-ci n’est pas totalement transparent. »

Sepura n'a pas répondu à une demande de renseignements de WIRED.

Mais Murgatroyd affirme que, comme les clients gouvernementaux qui ont choisi d'utiliser la solution E2EE de TCCA doivent connaître la sécurité de leurs appareils, ils sont susceptibles de savoir si leurs systèmes utilisent une clé réduite.

« Étant donné que le chiffrement de bout en bout est principalement utilisé pour les communications gouvernementales, nous nous attendons à ce que les agences gouvernementales de sécurité nationale concernées soient pleinement conscientes des capacités de leurs systèmes de chiffrement de bout en bout et puissent conseiller leurs utilisateurs de manière appropriée », a écrit Murgatroyd dans son e-mail.

Wetzels est toutefois sceptique à ce sujet. « Nous considérons qu'il est hautement improbable que les gouvernements non occidentaux soient prêts à dépenser des millions de dollars s'ils savent qu'ils ne bénéficieront que de 56 bits de sécurité », dit-il.