AgrandirBrian Smithson / Flickr
La police aux Pays-Bas a déclaré avoir déchiffré plus de 258 000 personnes messages envoyés via IronChat, une application facturée comme fournissant de bout en bout cryptage qui a été approuvé par le fuiteer de la National Security Agency Edward Snowden. Mise à jour: Par un représentant à la American Civil Liberties Union, Snowden a déclaré qu’il n’avait jamais entendu parler de l’application jusqu’à récemment et ne l’a jamais endossée.
Dans un communiqué publié mardi, la police néerlandaise a annoncé que des officiers réalisé une «percée dans l’interception et le décryptage de �communication cryptée» dans le cadre d’une enquête sur le blanchiment d’argent. Selon la déclaration, les messages cryptés ont été envoyés par IronChat, une application qui s’exécute sur un appareil coûtant des milliers de dollars dollars et ne pouvait envoyer que des messages texte.
�Les criminels pensaient pouvoir communiquer en toute sécurité avec les soi-disant téléphones cryptés qui utilisaient l’application IronChat, “le mardi déclaration a déclaré. �Des experts de la police de l’est des Pays-Bas ont réussi à avoir accès à cette communication. En conséquence, le la police a été en mesure de regarder en direct la communication entre criminels pendant un certain temps. ”
Blackbox-security.com, le site vendant IronChat et IronPhone, Snowden a déclaré: «J’utilise PGP pour dire bonjour, j’utilise IronChat (OTR) pour avoir une conversation sérieuse “, selon Web les archives. Dans un courrier électronique envoyé après la publication de ce message, Ben Wizner, directeur du projet Discours, confidentialité et technologie de l’ACLU, a écrit: “Edward me dit qu’il n’a jamais entendu parler de, et certainement jamais approuvé, cette application. ”
Lorsque la fin de bout en bout n’est pas
La police a déclaré que leur opération avait commencé après avoir reçu un mot Un homme de la municipalité orientale de Lingewaard a vendu des téléphones cryptographiques � les criminels. Depuis lors, la police a été en mesure de lire 258 000 messages qui ont fourni des informations importantes. Un 46 ans homme qui possédait le service téléphonique crypto et un partenaire âgé de 52 ans ont été arrêtés sous des accusations de blanchiment d’argent et de participation à une organisation criminelle.
Les informations fournies dans les messages interceptés ont permis La police ferme un laboratoire de drogue à Enschede et confisque armes automatiques, de grandes quantités de MDMA et de cocaïne, et 90 000 euros en espèces. La police a déclaré avoir également appris l’existence d’un prochain représailles prévues par un suspect.
Ce n’est pas la première fois que les forces de l’ordre néerlandaises s’exécutent cryptage utilisé par les réseaux criminels organisés. En 2016, selon Carte mère, la police aux Pays-Bas a arrêté un homme accusé de vente de smartphones PGP personnalisés après la confiscation des serveurs qui ont envoyé messages cryptés.
La déclaration de mardi ne dit pas comment les enquêteurs ont pu décrypter les communications IronChat. Alors que la police a dit qu’ils étaient capable de découvrir le serveur utilisé pour envoyer les messages cryptés et éventuellement le déconnecter, cela seul ne devrait pas suffire à lire communications vraiment cryptées de bout en bout.
L’application Signal, par exemple, chiffre les messages à l’aide du clé publique du destinataire avant de quitter le périphérique de l’expéditeur. Comme un En conséquence, les messages qui passent par les serveurs centraux de Signal peuvent être déchiffré que par la clé privée du destinataire, qui est stockée uniquement sur les appareils individuels des destinataires. En cas d’application de la loi a pris le contrôle du serveur, ils seraient incapables de lire le contenu des messages sans mettre à jour substantiellement l’application Signal et en attente de cibles pour installer la mise à jour. Même alors, ils serait capable de lire uniquement les messages envoyés après la mise à jour installée. Les messages précédents resteraient illisibles.
Vulnérabilités possibles
Frank Groenewegen, chercheur à la société de sécurité néerlandaise Fox-IT, spéculé il y avait une erreur dans le système IronChat qui a permis la police à briser le cryptage.
“A mon avis, c’est l’option la plus probable”, a-t-il déclaré à The Telegraaf. “Si le cryptage est correctement appliqué, personne ne peut le faire n’importe quoi pour rendre un message visible, mais cela dépend parfois d’un virgule qui ne va pas quelque part. Ensuite, vous pouvez mettre 15 serrures sur un coffre-fort porte, mais si les charnières se desserrent et que la porte tombe, vous entrer.”
Un article publié par le radiodiffuseur public néerlandais NOS a déclaré qu’une version de l’application IronChat sur laquelle elle a enquêté a subi diverses faiblesses potentiellement graves. Clé parmi eux: les messages d’avertissement qui avertissait les utilisateurs lorsque les clés de chiffrement de leurs contacts changés étaient faciles à oublier car ils ont été fournis dans une police beaucoup plus petit que le reste de la conversation. Alors que les clés cryptographiques changent souvent pour des raisons légitimes, comme lorsque quelqu’un obtient un nouveau téléphone, une nouvelle clé peut également être un signe qu’un tiers tente pour intercepter les communications en les cryptant avec une clé contrôles.
�Que la police ait effectivement agi de la sorte n’est pas connu », a écrit le journaliste NOS Joost Schellevis. �Cependant, un policier Le porte-parole a confirmé mardi soir que le serveur qui était utilisé pour échanger des messages a été piraté. Comment est-ce arrivé? inconnu.”
L’application IronChat, a rapporté Schellevis, a également échoué � vérifier automatiquement si le serveur utilisé pour échanger des messages avec les autres utilisateurs était le bon. Un bouton de panique, qui était censé permettre aux utilisateurs de supprimer instantanément les messages, était également pratiquement inutile, dit l’article citant un tweet de privacy chercheur Floor Terra.
