- La télévision d’État iranienne a exhorté mardi après-midi les citoyens à supprimer WhatsApp de leurs smartphones, affirmant que l’application collectait des informations sur les utilisateurs pour les transmettre à Israël, sans toutefois fournir de preuves concrètes
- WhatsApp a rejeté ces accusations comme de fausses informations et s’est dit préoccupé par le fait qu’elles puissent servir de prétexte au blocage du service au moment où les gens en ont le plus besoin
- Le service utilise le chiffrement de bout en bout, ce qui empêche tout fournisseur intermédiaire de lire les messages, et WhatsApp affirme ne pas suivre la localisation précise, ne pas conserver de journaux sur les correspondants, ne pas surveiller les messages privés ni fournir des informations en masse aux gouvernements
- Gregory Falco, expert en cybersécurité à Cornell University, estime qu’il a été démontré que les métadonnées non chiffrées suffisent à déduire des informations sur la manière dont l’application est utilisée
- L’Iran a bloqué plusieurs plateformes de réseaux sociaux, mais de nombreux utilisateurs ont contourné ces restrictions via des proxies et des VPN, et WhatsApp ainsi que Google Play, interdits en 2022, ont été de nouveau autorisés à la fin de l’an dernier
L’appel de la télévision d’État à supprimer l’application, sans fondement étayé
- La télévision d’État iranienne a exhorté mardi après-midi les citoyens à supprimer WhatsApp de leurs smartphones
- Elle a affirmé que WhatsApp collectait des informations sur les utilisateurs pour les transmettre à Israël, sans présenter de preuves concrètes à l’appui
La réponse de WhatsApp et l’architecture de chiffrement
- WhatsApp a qualifié ce reportage de fausse information et s’est dit préoccupé par le fait qu’il puisse servir de justification pour bloquer le service au moment où les gens en ont le plus besoin
- Le service utilise le chiffrement de bout en bout
- Les fournisseurs de services intermédiaires ne peuvent pas lire les messages
- Les messages sont brouillés pour n’être visibles que par l’expéditeur et le destinataire, et même si un tiers les intercepte, il ne voit qu’un contenu impossible à déchiffrer sans la clé
- WhatsApp a précisé les points suivants au sujet de son traitement des données
- L’entreprise ne suit pas la localisation précise des utilisateurs
- Elle ne conserve pas de journaux indiquant qui envoie des messages à qui
- Elle ne surveille pas les messages privés échangés entre les personnes
- Elle ne fournit pas d’informations en masse à quelque gouvernement que ce soit
Les métadonnées qui subsistent en dehors du chiffrement
- Gregory Falco, professeur assistant en ingénierie à Cornell University et expert en cybersécurité, a déclaré qu’il a été démontré qu’il est possible d’exploiter les métadonnées non chiffrées de WhatsApp
- Selon lui, ces métadonnées permettent de déduire des informations sur la manière dont les gens utilisent l’application, ce qui explique pourquoi certains utilisateurs hésitent à utiliser WhatsApp
Souveraineté des données et emplacement de l’infrastructure
- Falco souligne également la question de la souveraineté des données
- Le datacenter qui héberge les données WhatsApp d’un pays donné ne se trouve pas nécessairement dans ce pays
- Il estime par exemple qu’il est tout à fait possible que les données WhatsApp de l’Iran ne soient pas hébergées en Iran
- Selon lui, chaque État devrait conserver ses données sur son territoire et les traiter sur place avec ses propres algorithmes
- Il ajoute qu’il devient de plus en plus difficile de faire confiance au réseau mondial des infrastructures de données
Les services détenus par Meta et l’historique du blocage en Iran
- WhatsApp appartient à Meta Platforms, maison mère de Facebook et Instagram
- L’Iran bloque depuis des années l’accès à plusieurs plateformes de réseaux sociaux, mais de nombreux utilisateurs y accèdent via des proxies et des VPN
- En 2022, le pays a interdit WhatsApp et Google Play pendant les vastes manifestations antigouvernementales déclenchées après la mort d’une femme détenue par la police des mœurs
- Cette interdiction a été levée à la fin de l’an dernier
- WhatsApp figurait, avec Instagram et Telegram, parmi les applications de messagerie les plus populaires en Iran
1 commentaires
Avis de Hacker News
Ce qui est le plus intéressant dans le communiqué de Meta, c’est le choix des mots
Ils disent : « Nous ne suivons pas la position exacte des utilisateurs, nous ne conservons pas de journaux indiquant qui échange des messages avec qui, et nous ne suivons pas les messages privés que les gens s’envoient », puis ajoutent qu’ils ne fournissent à aucun gouvernement des informations en masse
Je ne sais pas exactement quel gouvernement avait quels droits d’accès, si cela reposait sur des mandats, de quels pays il s’agissait, ni où passait la frontière entre de véritables terroristes et la répression de journalistes
Mais les exports en masse existaient bel et bien, et le fait qu’ils mentent à ce sujet pousse à imaginer le pire
Dans le cadre normal de la fourniture du service, WhatsApp ne stocke pas les messages livrés ni les journaux de transaction des messages livrés, et les messages non livrés sont supprimés de ses serveurs au bout de 30 jours
Mais il est également indiqué que, si WhatsApp estime de bonne foi que cela est nécessaire pour assurer la sécurité des utilisateurs, détecter, enquêter sur ou empêcher des activités illégales, répondre à des procédures légales ou à des demandes gouvernementales, ou faire appliquer ses conditions et politiques, l’entreprise peut collecter, utiliser, conserver et partager des informations sur les utilisateurs, ce qui peut inclure des informations sur la manière dont certains utilisateurs interagissent avec d’autres utilisateurs sur le service
Cette formulation contredit l’affirmation selon laquelle ils ne conservent pas de journaux indiquant qui échange des messages avec qui
Il est au contraire plus plausible de supposer qu’elle suit tout avec une grande précision et mène aussi des attaques de l’homme du milieu (MITM) sur les messages. D’autant plus maintenant qu’elle y ajoute même de la publicité
« Nous ne conservons pas de journaux indiquant qui échange des messages avec qui… »
« Nous ne conservons pas de journaux indiquant qui échange des messages avec qui… »
« Nous ne conservons pas de journaux indiquant que tout le monde échange des messages avec qui… », etc.
Il y a beaucoup de spéculations peu étayées selon lesquelles WhatsApp mènerait des attaques de l’homme du milieu sur des discussions chiffrées de bout en bout, mais le chemin le plus probable pour un accès gouvernemental est déjà public
WhatsApp pousse fortement les utilisateurs à sauvegarder leurs discussions sur iCloud ou Google Drive. Ces sauvegardes ne sont pas chiffrées par défaut, ou du moins elles le sont avec une clé connue de Meta, et la plupart des utilisateurs conservent les réglages par défaut
C’est pareil pour iMessage. Si « iCloud Backup » et « iMessage in the cloud » sont activés, alors, tant que « Advanced Data Protection » ne l’est pas aussi, les messages reçus sont téléversés chez Apple avec une clé à laquelle Apple peut accéder. Et là encore, ce n’est pas le réglage par défaut
Les utilisateurs peuvent sortir des réglages par défaut, mais pour qu’une conversation soit réellement privée, les deux parties doivent le faire. Si elles sont motivées à ce point, autant utiliser déjà Signal
Ça se tient. Israël semble avoir utilisé les métadonnées WhatsApp pour cibler des Palestiniens à Gaza : https://www.972mag.com/lavender-ai-israeli-army-gaza/
D’après le passage cité, la solution est l’intelligence artificielle, et le livre contient un bref guide pour créer une « machine à cibler » similaire à Lavender, fondée sur l’intelligence artificielle et des algorithmes de machine learning
Parmi les exemples de « centaines » ou de « milliers » de caractéristiques pouvant augmenter le score d’une personne figurent le fait d’être dans le même groupe WhatsApp que des militants connus, de changer de téléphone portable tous les quelques mois ou de changer souvent d’adresse
Israël n’a même pas besoin que WhatsApp soit installé
L’Unit 8200[1] de Tsahal pourrait probablement pirater la plupart des téléphones en Iran, et sinon il existe des entreprises privées de spyware comme NSO Group[2][3]
[1] https://en.wikipedia.org/wiki/Unit_8200
[2] https://en.wikipedia.org/wiki/NSO_Group
[3] https://mepc.org/commentaries/israeli-cyber-companies-overvi...
J’ai fait de la rétro-ingénierie sur OMA DM, les mises à jour/accès FOTA, ainsi que sur des binaires préinstallés par certains opérateurs américains sur des téléphones ou modems pour l’accès à distance
Malgré tout, l’idée qu’on puisse rendre cela invisible pour les opérateurs mobiles du pays ciblé me paraît difficile à accepter
« Par hasard », le prince héritier légitime en exil, issu de la dynastie Pahlavi, revient sur les réseaux sociaux en disant que le régime iranien actuel va s’effondrer
En ligne, beaucoup de gens discutent de la manière dont le régime actuel est en train de tomber, et beaucoup se réjouiraient de voir disparaître ces hommes barbus qui gouvernent selon la charia
Ce que les fanatiques religieux au sommet de cet État islamique veulent le moins, c’est que les Iraniens profitent eux-mêmes de cette occasion pour renverser le régime
Le vrai sens de « supprimez WhatsApp pour ne pas aider Israël à vous localiser » ressemble plutôt à « ne partagez pas les vidéos où le prince héritier promet une vie sans châtiments liés à la charia »
Il y a de bonnes raisons de croire que beaucoup d’apps occidentales ont des backdoors, et que des pays comme l’Iran pourraient se voir fournir des backdoors spécifiques via les app stores.
C’est la même chose pour les technologies automobiles et les caméras. Si vous travaillez dans un service de renseignement, c’est littéralement l’outil rêvé. Parce que cela rend possible une surveillance en temps réel de la rue, qui était auparavant extrêmement difficile.
Je ne sais pas combien de fois j’ai eu besoin de photos récentes d’une rue ou d’une maison à quelques kilomètres. Avec des caméras de voiture à 360°, on peut suivre quelqu’un et voir des changements datant de quelques minutes.
Je ne comprends pas pourquoi ces pays ne bloquent pas ce genre de fonctions, ou n’imposent pas qu’elles puissent être complètement désactivées.
Mon intuition comme mon expérience pratique me disent que c’est vrai dans une certaine mesure, mais je me demande comment les gens distinguent les théories du complot des conjectures légitimes.
Il est surprenant que les inquiétudes du régime iranien se concentrent sur l’idée que WhatsApp partagerait des informations avec Israël. Il est beaucoup plus probable que le Mossad exploite des vulnérabilités zero-day de WhatsApp pour obtenir des informations, plutôt que WhatsApp ne les partage activement.
Il pourrait y avoir un autre mécanisme. Par exemple Google Drive, ou un autre type de malware.
Depuis les révélations de Snowden en 2011, dans un monde où la NSA et la CIA truffent de bugs tout ce qui va du matériel au firmware, il est difficile d’être sûr.
Je ne sais pas si les affirmations de l’Iran sont vraies, mais honnêtement, j’ai toujours été mal à l’aise avec ce que ces apps enregistrent réellement. Le chiffrement de bout en bout est excellent, mais il ne protège pas les métadonnées.
Le vrai problème, c’est que nous en sommes encore aux suppositions. Y a-t-il quelqu’un qui puisse vraiment parler de ce sujet avec certitude ?
La communication de WhatsApp sur le « chiffrement de bout en bout » peut être vraie, mais cela veut aussi dire qu’ils ne font pas d’autres choses positives qu’ils pourraient faire pour la vie privée et l’intérêt des consommateurs.
Quelqu’un en Iran peut-il en parler ? Comment les citoyens sur place perçoivent-ils WhatsApp ?
Ils étaient bloqués depuis des années, et WhatsApp avait été débloqué il y a quelques mois, mais il a été rebloqué après l’attaque israélienne.
Je ne pense pas que beaucoup d’Iraniens croient ce que dit le régime, ni même s’en soucient. Une minorité de partisans du régime peut y croire, mais ils n’utilisaient probablement déjà pas WhatsApp au départ.
Cela dit, le régime lui-même semble vraiment y croire. Par exemple, il y a aussi eu des informations selon lesquelles de hauts responsables n’auraient désormais plus le droit d’utiliser des appareils électroniques connectés à Internet, comme des téléphones portables.
Les principaux réseaux sociaux et plateformes de messagerie sont tous compromis et utilisés comme outils de surveillance, donc le gouvernement iranien n’a pas complètement tort.
Une grande partie du terrain ressemble à l’Afghanistan. Les alliances islamiques tribales résistent bien à la perte du pouvoir central. Il y a aussi d’immenses frontières montagneuses poreuses avec au moins deux pays susceptibles de fermer les yeux sur certains groupes armés islamistes.
Je comprends que tout le monde veuille croire à une supériorité aérienne totale et à une campagne de décapitation du leadership, et croire que WhatsApp pourrait séparer le régime de ses 52 vierges. Mais c’est une campagne de propagande.
La propagande initiale ne sert qu’à fabriquer le consentement assez longtemps pour que les citoyens aient les pieds dans le sang et ne puissent plus faire marche arrière. Nous sommes en train de nous faire avoir.