Comment votre smartphone peut être une arme de guerre

Atlantico : Un smartphone a été récemment utilisé comme "intelligence artificielle" d'un drone devenu autonome grâce à lui. Connaissez-vous d'autres usages de ce type ?

Frédéric Mouffle : Concernant "l’intelligence artificielle", plusieurs expériences - plus ou moins récentes -  traitent de ce sujet et sont concrètement parvenues à des résultats assez impressionnants. Osamu Hasegawa a présenté en 2014 son robot SOINN Self-Organizing Incrémental Neural Network (réseau neuronal incrémental auto-organisé) qui a la particularité de pouvoir générer un "raisonnement" très proche de celui que pourrait produire un être humain. Ce système lui permet d’accumuler et d’utiliser des connaissances, mais aussi de déduire la  façon dont il doit agir dans différents cas de figure. Dans ce cas précis, nous parlons bien "d’intelligence artificielle", au sens propre.

Le champ d’application est vaste et l’engouement pour l’intelligence artificielle reste cependant limité dans la définition exacte du terme employé. "L’intelligence artificielle" suscite l’engouement et reste un objet de fantasme depuis des décennies. Ceci n’est donc pas nouveau. Tout dans sa concrétisation n’est que programmes, câblage et usage de matériel. Un smartphone est un terminal informatique qui dispose de nombreux équipement embarqués, tels que des gyroscopes, des puces GPS, un système wifi, un capteur vidéo, des capteurs de mouvements, etc. Ce qui donne lieu à une multitude de possibilités en termes de développement. Le système "Androïd" à la particularité d’être "ouvert" à l’installation de n’importe quelle application, contrairement à l’iphone ou il est nécessaire de procéder à une modification interne de l’OS, pour pouvoir installer des applications non labellisées par Apple. Pour cette raison, Android est une plateforme privilégiée pour le développement d’application.

Le Smartphone quant à lui est capable de piloter n’importe quelle machine via son réseau wifi ou Bluetooth et de réaliser des actions programmées, en tenant compte de son environnement.

Plusieurs projets sont à l’étude. Des scientifiques de l’Université Queen Mary ont par exemple développé une application capable de réaliser des tours de cartes, comme pourrait le faire un humain. Plus récemment, un drone chargé de drogue a été retrouvé après s’être craché au Mexique... Ce qui peut laisser penser que la livraison de drogue est possible par drones interposés et pourquoi pas – sur lechemin retour – de le charger d’une enveloppe de billet. Le tout piloté à distance ou avec un plan de vol "automatique", pré intégré, préalablement programmé, et prenant en compte la météo, le vent, le temps de vol restant de l’appareil…

Plusieurs applications peuvent être considérées comme malveillantes si elles sont détournées de leur utilisation initiale prévue par leconstructeur. Par exemple : un smartphone à 100 euros pièce + une carte prépayée, glissé dans un véhicule peut ainsi devenir une balise de "géolocalisation", ou un dispositif d’écoute "environnemental". Ou encore, il peut permettre de diffamer autrui ou de diffuser de l’information par mail, le tout sans être tractable…

Le smartphone pourrait-il révolutionner l'armement ? Qu'apporte-t-il de nouveau ?

Le smartphone est un véritable terminal informatique miniaturisé, les applications possibles sont presque sans limites. Nous pouvons d’ores et déjà, depuis notre Smartphone, administrer un serveur à distance, piloter un aéronef, diffuser des flux vidéos en direct, envoyer des positions GPS, communiquer de façon sécurisée via une connexion VPN, etc. Mais celui-ci embarque un système d’exploitation et un protocole de communication, ce qui a comme conséquence de le rendre potentiellement vulnérable. Les systèmes  "iOS" et "Androïd"  dépendent directement des Américains, ce qui  génère une vulnérabilité supplémentaire si on les utilise pour traiter des informations sensibles, pire encore : des informations stratégiques… La solution serait d’avoir un système d’exploitation "maison" et ne pas utiliser les moyens de communication sans fils, tels que le wifi ou le Bluetooth. Mais je ne sais pas si c’est au programme…

Fin 2011, une affaire de piratage par l’Iran d’un drone furtif américain démontre la vulnérabilité de l’informatique à tous les niveaux. Et même de l’informatique "embarquée".

Dernièrement, Samy kamkar, chercheur en sécurité informatique nous a fait la démonstration d’une prise de contrôle d’un drone en plein vol. La technique employée n’est pas nouvelle. En effet, chacun a déjà entendu parler des piratages de point d’accès wifi, où les pirates se font passer pour le point d’accès wifi disponibles en "libre accès" (dans les gares, aéroports, McDonald). Le but final étant  d’y récupérer le "trafic réseau" et d’identifier des "login" et autres "mots de passe" utilisés par ceux qui se seront connecté au point d’accès pirate.

La technique employée est la même, mais à quelques nuances près. Le matériel utilisé ici est relativement rudimentaire et très peu onéreux. Un Raspberry Pi (nano-ordinateur à processeur ARM), avec sa carte mémoire, une carte wifi longue portée, une carte 4G pour remonter les informations, une batterie et un peu de "savoir-faire" pour programmer le tout et y installer les applicatifs, permettra de réaliser sans encombres, des opérations de détournements d’appareil de la cible. Une fois le dispositif embarqué sur le drone de l’attaquant, celui-ci peut prendre son envol et identifier les appareils volants à proximité, les forcer à se connecter à son point d’accès pour prendre le contrôle total de l’appareil. Le remplacement du Raspberry pi par un smartphone n’est pas insurmontable, c’est juste une question de coût.

Une société israélienne (Zimperium) propose une application sous Android capable de scanner les machines et téléphones connectés à un réseau (hôtels, gares, etc..) afin de rechercher des cibles vulnérables, lancer des attaques, pratiquer à des interceptions vocales (man in the middle), mais aussi de "sniffer" tout ce qui se passe sur le réseau, et d’en extraire d’éventuels mots de passe. Le tout depuis un simple Smartphone et depuis sa chambre d’hôtel, ou à l’extérieur si la portée du réseau est suffisamment puissante.

L’assistance à distance sur mobile est en plein essor, encore une fois, une utilisation frauduleuse peut avoir de très lourdes conséquences. Le mobile reste une vulnérabilité indiscutable pour une utilisation liée à l’armement.

Quels en sont les dangers ?

La téléphonie mobile connectée représente une vulnérabilité pour les opérations sensibles. Toutes les semaines, les publications de failles se multiplient notamment sur les systèmes d’exploitation Androïd et iOS, les principaux acteurs du marché. La dernière en date concerne 1 milliard de téléphones sous Android (Google), qui n’a visiblement pas l’intention de corriger cette faille, indiquant que l’opération de correction pourrait créer elle-même une faille encore plus importante… Autre sujet, le blackphone, mis au point pour être utilisé par les gouvernements et autres personnalités exposées. Réputé inviolable, une faille a pourtant été découverte il y a peu - comblée depuis - permettant via un SMS de récupérer des informations et d’y exécuter un code malveillant. Le Smartphone représente une vulnérabilité importante pour son utilisateur. Les attaques sur les mobiles augmentent de façon exponentielle. Selon l’éditeur de solutions antivirales "Kaspersky Lab", entre août 2013 et mars 2014, le nombre d'attaques par mois a été presque décuplé et est passé de 69 000 en août 2013 à 644 000 en mars 2014.

A cela, il faut rajouter les failles liées aux liaisons sans fils qui restent quoi qu’on en dise, très vulnérables. Cela dit il faut relativiser car de bonnes pratiques limitent considérablement les risques de se faire pirater son téléphone. Le grand public se pose souvent la question qui est de savoir si on peut pirater les téléphones mobiles à distance ? La réponse est non, si l’utilisateur ne se laisse pas avoir par les nombreux "SMS" et "mails toxiques" que nous avons tous déjà reçu (réponse à un mail, à un SMS, installation d’une application non officielle). Impossible non plus si l’on ne se connecte pas a des points d’accès publics (gares, aéroports, etc.). Seuls les gouvernements ont la capacité d’intercepter les flux de données des téléphones mobiles, mais via l’usage d’équipements étroitement réglementés que seuls les services spécialisés peuvent acquérir. La solution passe donc par le développement spécifique d’un smartphone et de son système d’exploitation.

Est-ce à la portée de n'importe qui ?

Sur internet, il est possible de trouver des tutoriels très précis permettant la mise en œuvre d’à peu près tout et n’importe quoi… Il faut bien entendu posséder la maîtrise de certaines compétences technique, et savoir de quoi on parle. Pour autant, tout ceci  est accessible au plus grand nombre. Celui qui a le désir d’apprendre, dispose de toutes les sources nécessaires en ligne, sur internet. Encore faut-il savoir bien les rechercher pour et être en capacité de dénicher les techniques à fort pouvoir de nuisances.

Si vous n’avez pas la compétence, d’autres vous propose des solutions « clés en main », livrées à domicile, tout a fait légalement. Il est ainsi possible de faire appel à des ressources à l’étranger. La génération Z, des 15-35 ans est nés avec l’émergence des technologies de l’internet. Certains d’entre eux ont développé de sérieuses capacités à apprendre de nouvelles techniques. Les moyens de communication modernes on mit à porter de la main, les compétences nécessaires et suffisantes pour « utiliser » et « exploiter » toutes les failles connues. Cependant, lorsque l’on passe du côté « recherche et développement », de nouvelles techniques de hacking, très peu de personnes ont de réelles capacités pour pouvoir innover en la matière.