Facebook aide le FBI à pirater un pédophile

Photo of author
Écrit par Agnès Michaud

Sécuriser et protéger nos connexions : Connexions familiales / Connexions internet

Ma page Facebook

11 Juin 2020 : La presse américaine révèle que Facebook a versé des sommes à six chiffres à une société de cybersécurité pour développer un outil de piratage que Facebook a ensuite remis au FBI en 2017 (source).


Comment Facebook a participé à la traque d’un pédophile

Les faits

A l’époque, Facebook et les forces de l’ordre avaient passé des années à traquer un Californien, qui se faisait appelé Brian Kil. L’homme, dont le vrai nom était Buster Hernandez, utilisait Facebook pour harceler et extorquer des adolescentes, les forçant à envoyer des photos d’elles nues, les menaçant de les tuer et d’assassiner leurs amis.

L’outil de piratage s’appuyait sur une faille inconnue – également appelée « zero-day » parce qu’elle est inconnue même des développeurs – dans le lecteur vidéo du système d’exploitation Tails (pourtant réputé inviolable).

L’exploitation d’une faille de Tails

Tails est basé sur Linux et demeure utilisé par :

  • des journalistes
  • des dissidents
  • des militants des droits de l’homme
  • et des utilisateurs soucieux de leur sécurité dans le monde entier

La caractéristique principale de Tails est que tout le trafic internet passe par Tor, un réseau qui crypte et anonymise les connexions, masquant la véritable adresse IP de ses utilisateurs.

Mais comment un système d’exploitation centré sur la vie privée a-t-il pu se faire pirater par une alliance entre Facebook et le FBI ?

Tails OS lui-même espionné
Tails OS lui-même espionné

Pourquoi Tails n’a pas été averti ?

L’exploit financé par Facebook a permis aux agents du FBI d’identifier la véritable adresse IP de l’utilisateur, ce qui leur a ensuite permis d’identifier Brian Kil comme étant Hernandez.

→ Voir Comment trouver l’adresse IP d’un utilisateur Instagram ?

Techniquement parlant, ce piratage aurait pu être utilisé contre des militants et d’autres personnes sensibles par les forces de l’ordre ou un gouvernement autoritaire. Où est la limite ?

Facebook n’avait pas informé Tails de l’exploit, et a décidé qu’il était acceptable de l’utiliser parce que Tails corrigerait tôt ou tard l’exploit dans le cadre d’une mise à jour sans rapport.

Mais les développeurs de Tails, ainsi que les experts en matière de confidentialité et de sécurité, s’accordent à dire que, mise à jour ou non, Facebook aurait dû alerter Tails une fois l’opération du FBI terminée.

Trois ans plus tard ce n’est toujours pas le cas, et les développeurs de Tails, ainsi que les fabricants du lecteur multimédia GNOME Videos, déclarent avoir découvert tout cela grâce à la presse.

Selon eux, la seule façon pour Tails de s’assurer que chaque aspect du « zero-day » est déjà réglé, c’est de connaître tous les détails du « zero-day ».

A noter

L'application mSpy s'installe dans un téléphone pour le suivre complètement à distance :
  • Surveillance complète : Accès aux appels, messages, emails, applications, et historique de navigation.
  • Mode furtif : Fonctionne en arrière-plan sans être détecté.
  • Vous recevez ce qui est écrit sur les réseaux sociaux.
mSpy (iOS et Android)

Tails a déclaré que ni Facebook, ni le FBI, ni la société de cybersécurité engagée par Facebook, n’ont contacté les développeurs – même après qu’ils aient demandé une explication.

Espionnage piratage


Les développeurs de GNOME eux aussi laissés dans l’ignorance

Fallait-il informer les fabricants des logiciels concernés ?

GNOME n’était pas au courant de cette histoire auparavant, et n’est pas en mesure de deviner quelle vulnérabilité a pu être exploitée.

GNOME, développant un environnement de bureau open source et un lecteur vidéo, a inclus ses logiciels dans plusieurs distributions Linux telles qu’Ubuntu.

Le porte-parole de GNOME a déclaré que même si un patch a corrigé la faille, de nombreuses personnes peuvent encore utiliser leurs logiciels dans une version non corrigée. La sécurité des utilisateurs respectueux de la loi est compromise lorsque de telles vulnérabilités ne sont pas révélées en temps utile.

Facebook a déclaré avoir fait un effort pour contacter Tails la semaine dernière, et avoir eu la confirmation du FBI que cette technique ne serait utilisée que pour cette affaire.

Mais plusieurs questions se posent :

  • L’outil de piratage financé par Facebook est-il utilisé dans d’autres cas ?

  • Est-il toujours en possession du FBI ?

  • A-t-il été soumis à un processus gouvernemental ?

  • La faille doit-elle restée secrète ?

  • Fallait-il informer les fabricants des logiciels concernés ?

Les développeurs de Tails et du lecteur vidéo GNOME, ciblés par Facebook et le FBI dans le cadre d’une opération visant à attraper un prédateur d’enfants, sont toujours dans l’ignorance de la manière dont les fédéraux ont piraté le logiciel.

Tails en Français
Tails en Français

La faille sur laquelle reposait l’exploit a-t-elle vraiment été corrigée?

Lorsqu’il a aidé à son développement et l’a financé, Facebook a pensé que la faille allait être corrigée dans une prochaine version. Facebook a donc décidé de ne pas alerter les développeurs de Tails, selon un ancien employé de Facebook.

Comment localiser quelqu'un via son numéro de téléphone ?

Scannero utilise le numéro de téléphone d'un appareil pour le suivre avec précision. Cette fonctionnalité n'est pas courante, car d'autres services nécessiteraient des données d'identification supplémentaires pour fonctionner.
Ce qui est le plus impressionnant à propos de Scannero est sa simplicité.
  1. Lorsque vous avez besoin de suivre un appareil, il vous suffit de connaître son numéro de téléphone
  2. Entrez le numéro de téléphone dans Scannero
  3. Lorsque vous faites cela, Scannero envoie un texto contenant un lien de suivi
  4. Lorsque le destinataire lit le message et clique sur le lien, vous pouvez commencer le suivi en temps réel presque immédiatement

Mais la question n’est peut-être pas bien formulée.

  • Facebook
  • le FBI
  • la société de cybersécurité

…auraient-ils dû alerter Tails et GNOME après que Buster Hernandez ait été mis en sécurité derrière les barreaux ?

Selon la majorité des experts en matière de vie privée et de sécurité, la réponse est oui.

En fait, beaucoup pensent que Facebook n’aurait pas dû s’impliquer dans la fabrication et le paiement de l’outil de piratage.

En faisant ça, Facebook s’est payé les faveurs du FBI mais a rendu le monde moins sûr pour les personnes qui ont besoin d’anonymat pour survivre.

Facebook Bug Bounty

Facebook pense avoir le droit de commander la création de logiciels malveillants contre une autre entité logicielle

Le problème, c’est que les gouvernements ne prennent pas les bonnes décisions lorsqu’il s’agit de vulnérabilités, et mettre ce genre de décision entre les mains de Facebook est incroyablement effrayant.

  • Qu’y avait-il dans ce contrat?
  • S’agissait-il d’une licence d’utilisation unique contre ce seul acteur?
  • Facebook l’a-t-il simplement remis au FBI en se disant « Maintenant, c’est leur responsabilité »?

Il reste difficile de comprendre comment Facebook a pensé qu’il serait acceptable d’aider le FBI à pirater un pédophile, alors que la justice poursuit le fabricant de logiciels espions NSO Group pour avoir utilisé WhatsApp dans le but de pirater des cibles.

Ce logiciel sait déjà utiliser Whatsapp et les réseaux sociaux pour lire leurs messages

L’hypocrisie semble flagrante. En attendant, si vous souhaitez dissimuler votre adresse IP et votre identité des yeux de votre fournisseur d’accès internet, la seule solution est d’utiliser un VPN no-log soucieux de ne garder aucun enregistrement. Tor ne m’inspire plus confiance.

NordVPN est vraiment le meilleur des VPN

Même Edward Snowden émet des doutes sur Tails et Tor :

1 réflexion au sujet de « Facebook aide le FBI à pirater un pédophile »

  1. Tor je n’arrive plus à lui faire confiance, c’est trop médiatisé. J’ai l’impression que Tor est comme un « drapeau rouge » qui attire les regardes au lien de les repousser… Un VPN privé c’est bien mais il faut choisir la bonne boîte.

    Ce qui me gêne dans cette affaire, c’est que le FBI a refusé de commenter les questions posées par les journalistes pour savoir si l’exploit a été utilisé dans d’autres enquêtes.

    Répondre

Laisser un commentaire