huyghe.fr - Le site de François-Bernard Huyghe
OK
 Sur Twitter : @huyghefb
 Comprendre les conflits : une nouvelle polémologie
 Terrorisme
 Affrontements, stratégies et images
 Information, pouvoir et usage : l'infostratégie
 Intelligence économique : du savoir à l'influence
 Pouvoirs et information
 Transmission et communication : la médiologie
 Médiologie au présent
 Médiologie de l'histoire
 Divers
 Textes à télécharger
 Huyghe Infostratégie Sarl
Information, pouvoir et usage : l'infostratégie > Intelligence économique : du savoir à l'influence
Cybercrime II
Quel terminal ?

Le cybercrime est souvent associé à l’ordinateur, or, il se pourrait bien qu’il ait trouvé une nouvelle cible et un nouveau vecteur : le téléphone mobile ;

Par contraste avec l’ordinateur que chacun sait menacé par les hackers, le téléphone mobile rassure : il est petit, familier, convivial, et ne demande pas de compétence technique particulière comme un logiciel complexe… C’est à la fois un instrument de communication personnelle, un média, une mémoire, une télécommande. Il sert à tout et ne fait vraiment pas peur.


- Certes, on sait qu’il existe un marché des GSM bidouillés malgré leurs puces et leurs codes d’utilisateur. On a lu comment la police a pu localiser les terroristes par leur téléphone. Il est parfois question de téléphones mobiles qui appelleraient des numéros surtaxés à l’insu de leur propriétaire, d’où des factures très surprenantes.

Mais, à ce stade, et même si la presse spécialisée est unanime à tirer le signal d’alarme, l’inquiétude ne se répand guère et l’utilisateur moyen se sent peu concerné.

. Quelques virus sans grand dommage, quelques affaires de divulgations de données ne suffisent pas à toucher vraiment l’opinion. Est-ce une raison pour croire qu’il en sera toujours ainsi ?

Dans la mesure où les téléphones mobiles tendent à intégrer les fonctions d’un ordinateur, il n’y a aucune raison de principe qu’ils ne puissent souffrir des mêmes maux qu’un PC.

Les nouveaux téléphones cellulaires ont des systèmes d’exploitation comme Symbian ou Windows, se connectent à Internet, utilisent des protocoles de communication sans fil, emploient des logiciels, des mises à jour et des anti-virus, servent à entreposer des adresses ou des données. Bref, ils sont des ordinateurs.

Pour toute « boîte noire » qui reçoit des données numériques (désormais sous des formes de plus en plus diverses), en mémorise et en traite certaines et en émet d’autres, le danger peut donc résulter :

- De ce qui y est introduit clandestinement (par exemple un virus)

- De ce qui y est prélevé ou « compromis » (par exemple des données personnelles)

- De ce qui lui est commandé à l’insu de son propriétaire (par exemple d’appeler un certain numéro)

- De ce qu’il révèle (par exemple la localisation géographique de son propriétaire).


Or, ceux-ci font l’objet de plusieurs types de délits ou d’agressions.

- Le téléphone mobile peut recevoir du contenu diffusé ou recherché, des messages propagés un-vers-tous (télévision, vidéo sur demande, musique) et des messages un-vers-un (MMS ou SSM p.e.). Cela en fait une cible virtuelle pour des contenus nuisibles diffusés en masse ou ciblés.

- Par ailleurs, il est, par définition, physiquement transporté partout, donc facile à voler (ou à perdre ou à détruire). Comme les cartes USB, les ordinateurs portables, les PDA, …, les mobiles peuvent abriter des informations stratégiques, que leur possesseur n’as pas sauvegardées (et peu ou pas cryptées) ou des données personnelles dont la perte ou la compromission peut être dramatique. Sans entrer dans les détails techniques, un appareil dont la carte SIM, (subscriber identity module qui permet d’identifier le possesseur d’un téléphone par son identité internationale de souscripteur de mobile) est « cassée » représente un danger. La seconde protection offerte par l’IMEI (International Mobile Equipment Identity) qui, lui, identifie l’appareil lui-même et permet de bloquer un mobile volé auprès de tous les opérateurs repose lui aussi sur un code. Tout code est menacé par les progrès de la cryptanalyse.

- Les téléphones mobiles sont à la fois très répandus et très personnels. Ils permettent des attaques triviales et très généralisées ou des opérations « haut de gamme » très ciblées. Il peut être intéressant d’inventer une méthode pour voler quelques cents avec des milliers d’utilisateurs qui ne porteront pas forcément plainte si on leur a fait faire un appel surtaxé ou s’ils ont reçu une publicité non désirée. Mais il peut être plus rentable, dans le cadre d’une opération de guerre économique, de prendre les commandes du mobile d’un cadre supérieur ou d’un ingénieur de haut niveau. Voire de transformer son mobile en micro qui interceptera ses conversations, même lorsqu’il ne téléphone pas.

- Plus le monde des mobiles et celui d’Internet convergent (par exemple avec le protocole IP pour le 3G), plus ce qui est valable pour le second devient vrai pour le premier : potentiellement le Smartphone ou assimilé peut susciter les mêmes usages d’agression et de prédation que les ordinateurs connectés par Internet. Mais le principe de la passerelle fonctionne dans les deux sens : les possesseurs de mobile peuvent passer sur Internet par leur réseau GSM, mais aussi pratiquer le VOIP (Voice over Internet Protocol ou téléphonie IP). Cela leur permet de téléphoner sur Internet à moindre coût et avec un débit bien supérieur à celui des relais de leur opérateur Pour le moment, cela demande des appareils sophistiqués capables téléphoner par Internet dans une zone couverte par Wifi, et de rebasculer sur le réseau classique dès que le premier n’est plus opératoire. Les problèmes de Bluetooth peuvent se reproduire avec le Wifi (Wireless Fidelity) qui n’est après tout qu’une technologie radio plus puissante et a une réputation de « passoire ». Il faudra donc suivre le dossier avec ses développements ultérieurs comme Wimax.

- Les services des mobiles sont surtout distribués par des opérateurs qui constituent des points de passage obligatoires. Ce facteur peut être favorable à la défense (contrôle plus facile) comme exploitable pour l’attaque (pourquoi ne pas s’en prendre à ces nœuds des réseaux ?). Des attaquants ont su détourner à la volée les accès réseaux des opérateurs de téléphonie mobiles pour s'approprier les mots de passe pour des informations confidentielles. Une externalisation de certaines fonctions - messages, sécurité, mémoire - sur des serveurs ne fait que reporter le problème chez eux. Qui peut garantir qu’ils sont à l’abri d’une attaque ou très sophistiquée par des programmes malicieux ou, au contraire, très brutale (intrusion dans leurs locaux, menaces contre des employés pour leur faire dire un mot de passe, …) ?
- Toute émission ou réception passant par un port, et chaque application en supposant un, le téléphone mobile implique autant de portes d’entrée de la forteresse.
Au total, l’équation vulnérabilités, plus partage ouvert (open share), plus faiblesse (ou absence) des mots de passe, plus confiance (ou inconscience) des utilisateurs est redoutable. Toute complexité et toute ouverture se paient en terme de sécurité.
- Le développement des attaques virales sur des systèmes ouverts sera sans doute proportionnel au succès des mobiles de 3° génération et ultérieure, comme à celui de systèmes et applicatifs qui tendront à une situation dominante. La standardisation (des systèmes, des applications…) ne peut que favoriser l’agression en la rendant plus rentable, les attaques sur le réseau se développant parallèlement
- L’intérêt économique des activités délictueuses sera, lui, à la mesure de la valeur des contenus échangés, de la rentabilité des attaques sur des cibles étendues, mais aussi d’offensives très ciblées. Certains téléphones mobiles à haute valeur de contenu sont des cavernes d’Ali Baba pour qui en trouve le sésame :espionnage économique ou autres délits, escroquerie, chantage.
- Il est vraisemblable que le crime organisé s’intéressera à ce secteur prometteur d’autant plus que l’on verra circuler sur les réseaux des mobiles outre des flux de messages, de musiques, de vidéo, de télévision, de données, de logiciels, de commandes à distance…, de l’argent sous forme de télépaiements. Sans oublier les problèmes de droits commerciaux (copies illégales, accès sans abonnement, questions de téléchargement gratuit) ou de contenus illicites (protection des enfants…) .

Voir aussi 1,
3

 Sur les interceptions : le rapport du DRMCC
 Imprimer cette page