La National Security Agency (NSA) des États-Unis réduit les efforts d'une enquête du Congrès visant à déterminer si elle continue de placer des prétendues portes dérobées dans les produits technologiques commerciaux. Selon les critiques, cette pratique controversée porte préjudice à la fois à l'industrie américaine et à la sécurité nationale.La NSA cherche depuis longtemps des accords avec des entreprises technologiques en vertu desquelles ces entreprises créeraient un accès spécial pour l'agence d'espionnage dans leurs produits, selon les révélations de l'ancien sous-traitant de la NSA Edward Snowden et des rapports relayés par la presse américaine.
Ces prétendues portes dérobées permettent à la NSA et à d'autres agences de scanner de grandes quantités de trafic sans mandat. Les défenseurs de cette pratique affirment que cette pratique a facilité la collecte de renseignements vitaux dans d'autres pays, y compris l'interception de communications terroristes.
Après les divulgations d’Edward Snowden, l'agence a développé de nouvelles règles dans l’optique de réduire les risques d'exposition et de compromission, ont déclaré à Reuters trois anciens responsables du renseignement. Mais les assistants du sénateur Ron Wyden, un démocrate de premier plan au sein de la commission du renseignement du Sénat, affirment que la NSA a refusé de fournir ne serait-ce que l'essentiel de ces nouvelles lignes directrices.
« Les portes dérobées soi-disant secrètes sur les technologies de chiffrement sont une menace pour la sécurité nationale et la sécurité de nos familles - ce n'est qu'une question de temps avant que des hackers ou des criminels étrangers ne les exploitent de manière à nuire à la sécurité nationale américaine », a déclaré Wyden. « Le gouvernement ne devrait jouer aucun rôle dans la mise en place de portes dérobées secrètes dans la technologie de chiffrement utilisée par les Américains. »
La NSA a refusé de dire en quoi consiste les mises à jour ses politiques sur l'obtention d'un accès spécial aux produits commerciaux. Les responsables de la NSA ont déclaré que l'agence avait rétabli la confiance avec le secteur privé grâce à des mesures telles que des avertissements sur les failles logicielles.
« À la NSA, il est courant d’évaluer en permanence les processus pour identifier et déterminer les meilleures pratiques », a déclaré Anne Neuberger, qui est à la tête de la direction de la cybersécurité de la NSA, déjà âgée d’un an. « Nous ne partageons ni sur les processus ni sur des procédures spécifiques ».
Trois anciens hauts responsables de l'agence de renseignement ont déclaré à Reuters que la NSA exige désormais qu'avant d’installer une porte dérobée, l'agence doit peser les retombées potentielles et diffuser une sorte d'avertissement si la porte dérobée venait à être découverte et manipulée par des « adversaires ».
La quête continue d'accès caché survient alors que les gouvernements des États-Unis, du Royaume-Uni, d’Australie et d'ailleurs cherchent des lois qui obligeraient les entreprises technologiques à laisser les gouvernements voir le trafic non chiffré. Les défenseurs du chiffrement fort affirment que les efforts parfois bâclés de la NSA pour installer des portes dérobées dans des produits commerciaux montrent les dangers de telles exigences.
Les détracteurs des pratiques de la NSA estiment qu'elles créent des cibles pour les « adversaires », sapent la confiance dans la technologie américaine et compromettent les efforts visant à persuader les alliés de rejeter la technologie chinoise qui pourrait être utilisée pour l'espionnage, car les équipements américains peuvent également être utilisés à de telles fins.
Dans au moins un cas, un adversaire étranger a pu profiter d'une porte dérobée qui a été placée par le renseignement américain, selon Juniper Networks Inc, qui a déclaré en 2015 que son équipement avait été compromis. Dans une déclaration précédemment non rapportée aux membres du Congrès en juillet vue par Reuters, Juniper a déclaré qu'un gouvernement national anonyme s’était servi du mécanisme créé par la NSA. La NSA a déclaré aux membres du personnel de Wyden en 2018 qu'il y avait un rapport sur les « leçons apprises » sur l'incident de Juniper et d'autres, selon le porte-parole de Wyden, Keith Chu.
« La NSA affirme maintenant qu'elle ne peut pas localiser ce document », a déclaré Chu à Reuters.
La NSA aurait soudoyé RSA Security afin que celle-ci puisse fragiliser ses algorithmes de chiffrement
La NSA a recherché de nombreux moyens pour accéder à des équipements, parfois en concluant des accords commerciaux pour inciter les entreprises à insérer des portes dérobées, et dans d'autres cas en manipulant les normes (notamment en définissant des processus afin que les entreprises adoptent sans le savoir des logiciels que les experts de la NSA peuvent casser), selon des rapports de la presse américaine.
En 2013, ces stratégies ont fait couler beaucoup d’encre lorsque Snowden a divulgué des documents y faisant référence.
Les entreprises technologiques qui ont ensuite été exposées pour avoir conclu des accords qui permettaient un accès par porte dérobée, y compris le pionnier de la sécurité RSA, ont perdu leur crédibilité et leurs clients. D'autres entreprises américaines ont perdu des affaires à l'étranger, les clients se méfiant de la portée de la NSA.
Tout cela a suscité un examen de la politique de la Maison Blanche.
« Il y avait des espèces de processus "d’apprentissage de leçons" » a déclaré l'ancien coordinateur de la cybersécurité de la Maison Blanche Michael Daniel, qui conseillait le président de l'époque, Barack Obama, lorsque Snowden a divulgué les fichiers relatifs à l’espionnage. Une commission spéciale nommée par Obama a déclaré que le gouvernement ne devrait jamais « subvertir » ou « affaiblir » les produits technologiques ou compromettre les normes.
La Maison Blanche n'a pas publiquement adopté cette recommandation, mais a plutôt renforcé les procédures d'examen pour déterminer s'il faut utiliser les failles logicielles récemment découvertes pour les cyberopérations offensives ou les corriger pour améliorer la défense, ont déclaré Daniel et d'autres.
Les contrats secrets du gouvernement pour un accès spécial aux données sont restés en dehors de l'examen officiel.
« La NSA avait des contrats avec des entreprises à tous les niveaux pour les aider, mais cela relève du secret défense », a déclaré un avocat de la communauté du renseignement.
L’exemple le plus frappant des risques inhérents à l’approche de la NSA concernait un composant du système de chiffrement appelé Dual Elliptic Curve, ou Dual EC. L'agence de renseignement a travaillé avec le département du commerce pour faire accepter la technologie en tant que norme mondiale, mais les cryptographes ont montré plus tard que la NSA pouvait exploiter Dual EC pour accéder aux données chiffrées.
Un rapport datant de 2013 affirme que la NSA aurait soudoyé RSA Security afin que celle-ci puisse fragiliser ses algorithmes de chiffrement. À l’époque, RSA Security était à l’origine de plusieurs solutions de chiffrement RSA populaires utilisées par un nombre important d’entreprises. Selon Reuters, qui a cité deux sources proches du dossier, la NSA aurait payé 10 millions de dollars à RSA Security, afin que l’entreprise introduise une porte dérobée dans l’algorithme de chiffrement utilisé par sa solution BSafe.
RSA a déclaré publiquement qu'elle n'aurait pas sciemment installé une porte dérobée, mais sa réputation a été ternie et la société a été vendue.
Juniper Networks a reconnu avoir installé Dual EC dans le cadre d'une « exigence du client »
Deux ans plus tard, en 2015, c’est Juniper Networks qui a été en période trouble via Dual EC. Fin 2015, le fabricant de commutateurs Internet a révélé avoir détecté un code malveillant dans certains produits pare-feu. Les chercheurs ont déterminé plus tard que les hackers avaient transformé les pare-feu en leur propre outil d'espionnage en modifiant la version Juniper de Dual EC.
Juniper a peu parlé de l'incident. Mais la société a reconnu en 2016 qu'elle avait installé Dual EC dans le cadre d'une « exigence du client », selon un message jusque-là non divulgué vu par Reuters. Des chercheurs sont persuadés que le client en question était une agence gouvernementale américaine, car seuls les États-Unis sont connus pour avoir insisté sur le Dual EC ailleurs.
Juniper n'a jamais identifié le client et a refusé de commenter cette histoire.
De même, l'entreprise n'a jamais identifié les hackers. Mais deux personnes proches de l'affaire ont déclaré à Reuters que les enquêteurs avaient conclu que le gouvernement chinois était derrière cela. Ils ont refusé de donner des détails sur les preuves qui leur permettaient de faire une telle affirmation.
Le gouvernement chinois a longtemps nié toute implication dans le piratage de quelque nature que ce soit. Dans une déclaration à Reuters, le ministère chinois des Affaires étrangères a déclaré que le cyberespace est « hautement virtuel et difficile à retracer. Il est extrêmement irresponsable de porter des accusations d'attaques sans preuves complètes et concluantes. Dans le même temps, nous avons également remarqué que le rapport mentionnait que c'était l'agence de renseignement américaine - la National Security Agency - qui avait créé cette technologie de porte dérobée ».
Des entreprises technologiques anxieuses à l’idée de travailler secrètement avec le gouvernement
Wyden reste déterminé à découvrir exactement ce qui s'est passé avec Juniper et ce qui a changé depuis, alors que les guerres du chiffrement s'intensifient.
En juillet, dans des réponses inédites aux questions de Wyden et de ses alliés au Congrès, Juniper a déclaré qu'une nation non identifiée était censée être derrière le piratage de son code de pare-feu, mais qu'elle n'avait jamais cherché à savoir pourquoi elle avait installé Dual EC en premier lieu.
« Nous comprenons qu'il existe un débat politique vigoureux sur l'opportunité et la manière de fournir au gouvernement un accès au contenu chiffré », a déclaré l’entreprise dans une lettre datant de juillet. « Juniper n'insère pas et n'insérera pas de portes dérobées dans ses produits et nous nous opposons à toute législation imposant des portes dérobées. »
Un ancien haut responsable de la NSA a déclaré à Reuters que de nombreuses entreprises technologiques restaient inquiètes à l'idée de travailler secrètement avec le gouvernement. Mais les efforts des agences se poursuivent, a déclaré la personne, car l'accès spécial fourni par une porte dérobée est considéré comme trop précieux pour être abandonné.
Source : Reuters
Et vous ?
Qu'en pensez-vous ? Êtes-vous surpris par ces allégations ?Voir aussi :
RSA Security aurait reçu 10 millions de dollars de la NSA pour introduire un backdoor dans ses algorithmes. La société apporte un démenti La NSA aurait demandé l'intégration d'un backdoor dans Linux Espionnage : la NSA a effectivement demandé l'intégration d'un backdoor dans Linux, selon Linus Torvalds Le programme de surveillance téléphonique de la NSA est inconstitutionnel et coûteux, il n'a pas empêché une seule attaque terroriste d'après un juge fédéral Amazon a nommé à son conseil d'administration l'ancien chef de la NSA qui a supervisé la surveillance de masse dénoncée par Edward Snowden Comment réduire les risques liés au suivi de la localisation ? La NSA répond en partageant quelques conseils 
.