L'expert en sécurité Karsten Nohl qui avait déjà présenté la gigantesque faille des périphériques USB permettant l'installation de malwares revient avec de mauvaises nouvelles pour les opérateurs télécom, et plus encore : pour les utilisateurs de mobiles.
Selon ce dernier ( la faille a également été confirmée par la société Sternraute), le protocole SS7 de signalisation et de libération d'appel utilisé par une foule d'opérateurs à travers le monde affiche une faille permettant à des tiers d'intercepter des appels, messages ainsi que données de géolocalisation.
Le protocole est largement utilisé pour permettre à l'utilisateur de basculer automatiquement d'un réseau à l'autre sans coupure lors de ses appels, ou lorsqu'il se déplace.
Deux méthodes ont été rapidement présentées pour permettre de mettre en place un système d'écoute par des hackers. La première est de type Man in the middle, le pirate se positionnant comme intermédiaire entre les deux interlocuteurs en piratant la fonctionnalité de renvoi d'appel. La seconde est la captation de données directement au travers des ondes radio, il suffit pour le hacker de collecter les données puis d'abuser de la faille dans le protocole SS7 pour récupérer une clé de chiffrement temporaire chez l'opérateur pour déchiffrer l'intégralité du trafic intercepté.
Le Washington Post indique qu'une démonstration a été faite, Karsten Nohl aurait ainsi pu déchiffrer un message envoyé par un sénateur allemand qui s'est prêté à l'exercice.
La faille devrait être largement mise en avant lors de la Chaos Communication Congress qui se tiendra à Hambourd du 27 au 30 décembre prochain.
Selon le Washington Post, cette faille est connue depuis plusieurs années, elle serait même exploitée à large échelle par diverses agences de renseignement, mais il s'agissait principalement de récupérer des données de géolocalisation et non d'accéder aux appels et SMS échangés.
En outre, la société française P1 Security avait déjà abordé la faille du protocole SS7 lors de la conférence Hackito Ergo Sum cet été à Paris, elle reviendra sur le sujet lors du CCC cette fin d'année.
