Vault 7: Que peut faire ou ne pas faire la CIA?

Les documents publiés par Wikileaks donnent à penser que la CIA recourt à des pratiques d’espionnage similaires à celles de la NSA. En réalité, elles seraient plus modérées qu’il n’y paraît. C’est ainsi que les TV intelligentes ne seraient pas abusées à distance à des fins d’espionnage. Voici une analyse de ce que nous savons à présent.

Wikileaks ne nous rend pas la vie facile. Actuellement, l’organisation a mis en ligne un tas d’extraits de documents, dont il est bien malaisé de savoir si leur contenu est correct. Plusieurs experts en sécurité du Wall Street Journal indiquent cependant que le contenu leur semble authentique. Edward Snowden réagit lui aussi de cette manière. Quant à la Maison Blanche et à la CIA, elles ne font aucun commentaire.

TV Samsung: pas à distance

A présent, on a eu droit à quelques nuances à propos des documents divulgués, qui devraient vous rassurer quelque peu. C’est ainsi que le blog de sécurité Erratasec fait observer que le piratage des TV Samsung TV ne peut se faire que par le port USB. Cela signifie que la CIA ne peut mettre votre appareil sur écoute que si l’un de ses collaborateurs pénètre par infraction dans votre habitation, et que cela ne peut donc se faire massivement. Selon ce même blog, le piratage des voitures ne pourrait pas non plus se faire à distance.

Appli Signal: pas piratée, mais pas non plus forcément sûre

Dans certains médias, on annonce un peu vite que la CIA est capable d’espionner des applis sécurisées telles Signal avec ses outils numériques. C’est faux dans la mesure où la sécurité de Signal ne peut être contournée. Mais avec les outils dont dispose la CIA pour pirater Android et iOS, des informations de l’appli peuvent, il est vrai, être interceptées. En résumé: c’est certes possible, mais dans ce cas, c’est votre téléphone qui serait en cause et non Signal.

Failles ‘zero day’: pas conservées, mais bien utilisées

Une autre confusion porte sur la ‘collecte’ de failles ‘zero day’ (inconnues). Littéralement, cela ne tient pas la route, parce que l’organisation ne disposerait alors que de brèches qu’elle utiliserait activement. Or la CIA paie des pirates pour découvrir des failles. Mais cela ne se ferait pas dans le but de les utiliser ultérieurement. Et c’est logique car une fois qu’une faille est découverte par quelqu’un d’autre, elle est colmatée par le fabricant, ce qui fait que ce genre de brèche ‘zero day’ ne serait plus utilisable.

Par contre, le Wall Street Journal annonce que le service de renseignements disposerait bien d’une bibliothèque d’éléments logiciels malfaisants qu’il aurait trouvés dans la pratique. Il s’agit ici notamment de maliciels, mais aussi de technologies d’acteurs commerciaux et de sources étrangères.

Pas un espionnage de masse

Errata Security fait aussi observer que la CIA ne se livre pas à de la surveillance massive comme le fait la NSA. Le service vise en première instance des cibles spécifiques à espionner. Cela signifie que le risque est très faible que vous en soyez la victime. Il est quand même intéressant de savoir, si sous êtes espionné un jour par les autorités américaines, que la boîte à malices de la CIA contient pas mal de trucs plus complexes que de simples jumelles ou un miroir sans tain.