- La télévision d’État iranienne a recommandé à la population de supprimer WhatsApp
- Le gouvernement iranien a affirmé que WhatsApp fournissait des informations sur les utilisateurs à Israël, sans présenter de preuves concrètes
- WhatsApp a nié ces accusations en mettant en avant le chiffrement de bout en bout
- Des experts ont pointé l’exposition de métadonnées non chiffrées et les problèmes de souveraineté des données
- En Iran, bien qu’une politique officielle de blocage des réseaux sociaux existe, l’usage de contournements via VPN se poursuit
Contexte de la demande du gouvernement iranien de supprimer WhatsApp
- La télévision d’État iranienne a exhorté les citoyens à supprimer l’application WhatsApp de leur smartphone
- Le gouvernement a soupçonné WhatsApp de collecter des données d’utilisateurs et de les transférer vers Israël, mais n’a rendu publique aucune preuve concrète étayant cette accusation
Position de WhatsApp et contexte technique
- WhatsApp a déclaré craindre que « ces faux signalements puissent servir de prétexte pour bloquer le service à un moment où la population en a besoin »
- L’entreprise a souligné qu’avec le chiffrement de bout en bout (end-to-end encryption), ni WhatsApp ni le fournisseur de service ne peuvent lire les messages
- Elle a expliqué qu’elle ne trace ni n’enregistre la localisation précise, l’historique complet d’usage de la messagerie ou le contenu des messages privés, et qu’elle ne fournit pas d’informations en masse aux gouvernements
- Le chiffrement de bout en bout est une méthode qui rend impossible le déchiffrement des messages par quiconque autre que l’expéditeur et le destinataire, de sorte qu’un tiers n’y verrait qu’un texte chiffré sans signification
Avis d’experts techniques
- Le professeur Gregory Falco de Cornell University a indiqué qu’il est possible d’analyser les métadonnées qui ne sont pas chiffrées sur WhatsApp
- L’analyse de ces métadonnées comporte un risque d’exposition de certaines données, comme les habitudes d’utilisation de l’application
- Un autre enjeu concerne la souveraineté des données. Les centres de données de WhatsApp peuvent ne pas être situés dans le pays concerné ; par exemple, les données WhatsApp d’Iran pourraient ne pas être stockées en Iran
- Il a souligné que « les pays devraient stocker leurs données sur leur propre territoire et les traiter directement avec leurs propres algorithmes afin de réduire les problèmes de confiance envers les réseaux mondiaux »
Situation de l’accès aux réseaux sociaux en Iran
- WhatsApp appartient à Meta Platforms (maison mère de Facebook et Instagram)
- L’Iran bloque depuis plusieurs années diverses plateformes de réseaux sociaux, mais une grande partie de la population continue d’y accéder en contournant les restrictions via des serveurs proxy, des VPN, etc.
- Pendant les grandes manifestations de 2022, l’accès à WhatsApp et à Google Play avait été bloqué, avant une levée du blocage fin 2023
- Avec Instagram et Telegram, WhatsApp était l’une des applications de messagerie les plus populaires en Iran
1 commentaires
Avis Hacker News
Ce qui me paraît le plus intéressant, c’est le jeu sur les mots dans la déclaration officielle de Meta. « Nous ne suivons pas la position exacte des utilisateurs, nous ne tenons pas de journal indiquant avec qui tous les utilisateurs échangent des messages, et nous ne suivons pas les messages privés entre utilisateurs. Nous ne fournissons pas d’informations en masse aux gouvernements. » Cette formulation m’a frappé.
Quand on décortique leurs mots, on a l’impression qu’en réalité ils suivent tout de même la localisation approximative, conservent aussi des journaux sur les messages de groupe, et fournissent certaines informations lorsqu’un gouvernement en fait la demande.
Il se trouve que je connais quelqu’un qui travaille réellement chez Meta. Certaines personnes là-bas faisaient partie d’équipes qui développaient des outils permettant d’exporter de gros volumes de données à la demande des gouvernements. Je ne sais pas exactement quels gouvernements avaient accès à quoi, ni si c’était vraiment destiné à traquer des terroristes ou plutôt à persécuter des journalistes. Mais les exportations massives existaient bel et bien, ce qui rend d’autant plus suspect le fait de le nier publiquement.
À propos de la phrase « nous ne tenons pas de journal indiquant avec qui tout le monde échange des messages » : si l’on cite la FAQ de WhatsApp, les messages ne sont pas conservés sur les serveurs une fois remis, dans le cadre normal du service, et les messages non remis sont supprimés après 30 jours. Mais la politique de confidentialité de WhatsApp indique aussi que des informations peuvent être collectées, conservées et partagées si cela est jugé nécessaire pour la sécurité des utilisateurs, la lutte contre les activités illégales, les obligations légales, les demandes gouvernementales ou l’application des règles. Cela inclut aussi « des informations sur la manière dont certains utilisateurs interagissent entre eux au sein du service ». Autrement dit, contrairement à l’affirmation officielle, il existe bien une contradiction puisqu’ils peuvent aussi conserver des journaux sur qui échange avec qui.
Cette entreprise a déjà été prise auparavant à installer un écouteur localhost sur Android afin de faire du suivi web, même en mode privé. J’aurais plutôt tendance à supposer qu’en réalité cette société suit tout avec une grande précision, et qu’à l’avenir elle finira même par faire du MITM sur le contenu des messages. Le fait qu’ils aient récemment commencé à y injecter de la publicité rend cela encore plus plausible.
Je ne vois pas cela de manière si complotiste. Dire qu’ils ne suivent pas la position « exacte » signifie, si l’IP est enregistrée, qu’ils ne peuvent pas prétendre ne stocker aucune information de localisation. La phrase « nous ne tenons pas de journal indiquant qui échange avec qui » ressemble à une affirmation assez forte. Quant à « nous ne suivons pas les messages privés », j’imagine que, pour les comptes professionnels, l’absence de chiffrement e2e ou l’accès par plusieurs personnes fait souvent partie du design. Enfin, « nous ne fournissons pas d’informations en masse aux gouvernements » peut en pratique simplement vouloir dire qu’ils les remettent par lots séparés quand il y a un mandat ou une demande légale. Au final, WhatsApp ressemble à du « e2e, mais pour tout le reste un SaaS tout à fait classique ». Si vous avez vraiment besoin de confidentialité, utilisez Signal.
J’ai l’impression que tout cela relève surtout d’une manœuvre de survie d’un régime en crise, au bord de l’effondrement — au moins sur le plan militaire. Cela peut traduire une inquiétude face au fait que des militants anti-régime s’organisent sur WhatsApp, et une tentative de les pousser vers d’autres canaux plus faciles à surveiller. Si l’Iran savait depuis longtemps que Meta faisait ce genre de choses, pourquoi ne recommander la suppression que maintenant ? S’il s’agissait d’un problème de sécurité aussi grave, une réaction immédiate serait la norme. Et s’ils ne s’en sont rendu compte que récemment, il est tout aussi difficile d’imaginer comment ils auraient découvert cela en plein chaos d’une campagne de bombardements généralisée. Le timing paraît très suspect.
Il y a aussi un message implicite de mobilisation nationale, en imposant un cadre d’« ennemi public ». Un dictateur veut faire croire à la population qu’Israël ou les États-Unis ne sont pas seulement ses ennemis à lui, mais ceux du peuple tout entier.
Ou alors il y a le point de vue selon lequel ils sont acculés à faire n’importe quoi pour survivre après avoir été attaqués par un État tiers (Israël), soutenu par les États-Unis, dans une guerre où ils ont été entraînés injustement. Les États-Unis auraient aidé l’attaque israélienne même pendant les négociations ; dans ce contexte, comment faire confiance à une application d’une entreprise américaine comme Meta ?
Je pense que c’est la vraie raison. La direction a été en pratique neutralisée ou a pris la fuite, et même les principales figures encore en vie se cachent dans des bunkers. C’est précisément le genre de moment où certains disent qu’une insurrection devient possible. Les Kurdes et d’autres groupes ont déjà commencé à se préparer.
Les spéculations complotistes selon lesquelles WhatsApp ferait du MITM sur des chats chiffrés de bout en bout manquent de fondement. En pratique, les voies d’accès gouvernementales sont bien plus évidentes. WhatsApp pousse fortement les utilisateurs à sauvegarder leurs conversations sur iCloud ou Google Drive. Ces sauvegardes ne sont généralement pas chiffrées par défaut, ou alors elles sont chiffrées avec des clés auxquelles Meta a accès. La plupart des utilisateurs gardent les réglages par défaut. Il en va de même pour iMessage : si les sauvegardes iCloud et le cloud sont activés, tous les messages sont envoyés avec des clés auxquelles Apple peut accéder. Pour renforcer réellement la sécurité d’une conversation, il faut que les deux utilisateurs s’écartent des paramètres par défaut ; et si la motivation est suffisante, ils peuvent utiliser Signal.
Il existe des cas réels où Israël a utilisé les métadonnées de WhatsApp pour cibler des Palestiniens. Selon cet article, une « machine à cibler » fondée sur l’IA et le machine learning a été mise en place. Par exemple, si un groupe WhatsApp comprend un militant armé identifié, ou si quelqu’un change régulièrement de téléphone et d’adresse, le risque de ciblage augmente. Les métadonnées seules peuvent suffire à désigner une cible.
Israël n’a même pas besoin que WhatsApp soit installé. L’Unité 8200 de l’IDF peut pirater la plupart des téléphones portables en Iran. Et si ce n’est pas le cas, des produits de sociétés privées de spyware comme NSO Group peuvent largement suffire. Présentation de l’Unité 8200, informations sur NSO Group, aperçu des entreprises cyber israéliennes
Selon un collègue iranien, presque tous les ordinateurs utilisent la même version piratée de Windows XP, traduite en persan. Il est donc extrêmement facile de les exposer à des vulnérabilités de sécurité.
Je me pose des questions sur la manière d’envoyer à grande échelle des SMS non autorisés et « invisibles » sur les réseaux d’un autre pays. Je sais qu’il existe OMA DM, les mises à jour FOTA, ou encore des binaires d’accès à distance préinstallés par des opérateurs américains, mais un déploiement massif et furtif reste techniquement difficile. D’après mon expérience en rétro-ingénierie, l’opérateur cellulaire du pays ciblé finirait malgré tout par le détecter.
Je pense en réalité que c’est un prétexte mis en avant par le régime iranien actuel pour rallier la population et prévenir un coup d’État. Ces temps-ci, l’héritier du trône iranien (la dynastie Pahlavi) est actif sur les réseaux sociaux et diffuse activement des messages promettant l’effondrement du régime et la liberté. En ligne, les rumeurs et les espoirs de chute du régime sont déjà omniprésents. Ce que les dirigeants craignent le plus, c’est que la population profite d’un moment comme celui-ci pour les renverser. En ce sens, le message « supprimez WhatsApp pour qu’Israël ne puisse pas vous trouver » contient aussi un sous-entendu : « ne partagez pas les messages de liberté du roi ».
Mais ne supprimez pas Signal ; il pourrait peut-être même y avoir un salon stratégique caché qui s’y ouvre.
Dans cette controverse, ce qui m’a surpris, c’est que le régime iranien semble surtout inquiet d’un partage d’informations avec Israël ; personnellement, je trouve plus réaliste l’idée que des 0-day de WhatsApp puissent être exploités par le Mossad ou d’autres acteurs.
Je ne sais pas si les affirmations iraniennes sont vraies, mais en pratique il y a toujours un malaise latent quant à ce que ces applications enregistrent réellement. Le chiffrement de bout en bout protège le contenu, mais pas les métadonnées. Le vrai problème, c’est que nous sommes tous réduits à des suppositions. Je me demande bien qui peut avoir une véritable certitude là-dessus.
S’il y a des citoyens iraniens ici, je serais curieux de savoir quel est le sentiment local à propos de WhatsApp.
Avis d’une personne originaire d’Iran : la plupart des gens en Iran utilisent Telegram ou WhatsApp. Les deux applications sont bloquées depuis longtemps et ne sont accessibles qu’avec un VPN. Récemment, juste après les attaques israéliennes, WhatsApp a de nouveau été bloqué. La majorité des citoyens iraniens semblent ne pas accorder beaucoup d’importance aux affirmations du régime, et seules de très rares personnes favorables au pouvoir y croient vraiment. En revanche, le cœur du régime se méfie fortement de la technologie, au point d’avoir récemment interdit aux hauts responsables d’utiliser des appareils électroniques connectés à Internet.
Il existe aussi des alternatives locales. Les Iraniens utilisent des protocoles de bridge reliant plusieurs messageries entre elles, comme Message Exchange Bus.
Si, il y a 50 ans, quelqu’un avait dit : « nous allons mettre en place un réseau mondial de surveillance et faire en plus payer les personnes surveillées », personne ne l’aurait cru. Et pourtant, c’est exactement ce qui se passe aujourd’hui avec les téléphones portables.