Les simulateurs de sites cellulaires (CSS), également connus sous le nom d'IMSI Catchers et Stingrays, sont un outil que les forces de l'ordre et les gouvernements utilisent pour suivre l'emplacement des téléphones, intercepter ou interrompre les communications, espionner les gouvernements étrangers ou même installer des logiciels malveillants . Les simulateurs de sites cellulaires sont également utilisés par les criminels pour envoyer du spam et commettre des fraudes . Nous avons déjà écrit sur les implications du CSS en matière de confidentialité, notant qu'une tactique courante consiste à tromper votre téléphone pour qu'il se connecte à une fausse tour de téléphonie cellulaire 2G. Aux États-Unis, tous les principaux opérateurs, à l'exception de T-Mobile, ont désactivé leur réseau 2G et 3G . 1
Mais de nombreux pays en dehors des États-Unis n’ont pas encore pris de mesures pour désactiver leurs réseaux 2G, et il existe encore des zones où la 2G est la seule option pour les connexions cellulaires. Malheureusement, presque tous les téléphones prennent toujours en charge la 2G, même ceux vendus dans des pays comme les États-Unis, où les opérateurs n'utilisent plus ce protocole obsolète. C'est une source de préoccupation ; Même si tous les réseaux 2G étaient fermés demain, le fait que les téléphones puissent toujours se connecter aux réseaux 2G les rend vulnérables. Les changements à venir sur iOS et Android pourraient protéger les utilisateurs contre les fausses attaques de stations de base. Voyons donc comment ils fonctionneront.
En 2021, Google a publié une fonctionnalité facultative pour Android permettant de désactiver la possibilité de se connecter aux sites cellulaires 2G. Nous avions applaudi cette fonctionnalité à l'époque . Mais nous avons également suggéré que d’autres sociétés pourraient faire davantage pour se protéger contre les simulateurs de sites cellulaires, notamment Apple et Samsung, qui n’avaient pas apporté de changements similaires. Cette année, d'autres améliorations sont apportées.
Les efforts de Google pour prévenir les attaques CSS
Plus tôt cette année, Google a annoncé un autre nouveau paramètre de sécurité mobile pour Android. Ce nouveau paramètre permet aux utilisateurs d' empêcher leur téléphone d'utiliser un « chiffre nul » lors de l'établissement d'une connexion avec une tour de téléphonie cellulaire. Dans un réseau bien configuré, chaque connexion avec une tour de téléphonie cellulaire est authentifiée et cryptée à l'aide d'un chiffrement symétrique, avec une clé cryptographique générée par la carte SIM du téléphone et la tour à laquelle il se connecte. Cependant, lorsque le chiffrement nul est utilisé, les communications sont envoyées en clair et non cryptées. Les chiffrements nuls sont utiles pour des tâches telles que les tests de réseau, où un ingénieur peut avoir besoin de voir le contenu des paquets circulant sur le réseau. Les chiffres nuls sont également essentiels pour les appels d'urgence où la connectivité est la priorité numéro un, même si quelqu'un n'a pas de carte SIM installée. Malheureusement, les fausses stations de base peuvent également tirer parti des chiffres nuls pour intercepter le trafic des téléphones, comme les messages SMS, les appels et le trafic Internet non crypté.
En activant ce nouveau paramètre, les utilisateurs peuvent empêcher leur connexion à la tour de téléphonie cellulaire d'utiliser un chiffrement nul (sauf en cas d'appel aux services d'urgence si nécessaire), garantissant ainsi que leur connexion à la tour de téléphonie cellulaire est toujours cryptée.
Nous sommes ravis de voir Google consacrer davantage de ressources pour offrir aux utilisateurs d'Android des outils leur permettant de se protéger contre les fausses stations de base. Malheureusement, ce paramètre n'a pas encore été publié dans Android Vanilla et il ne sera disponible que sur les téléphones plus récents fonctionnant sous Android 14 ou supérieur , 2 mais nous espérons que les fabricants tiers, en particulier ceux qui fabriquent des téléphones Android à moindre coût, apporteront ce changement. à leurs téléphones également.
Apple prend des mesures pour résoudre le CSS pour la première fois
Apple a également finalement pris des mesures pour protéger les utilisateurs contre les simulateurs de sites cellulaires après avoir été invité à le faire par l'EFF et la communauté plus large de la confidentialité et de la sécurité. Apple a annoncé que dans iOS 17, sorti le 18 septembre, les iPhones ne se connecteront pas aux tours mobiles 2G non sécurisées s'ils sont placés en mode verrouillage . Comme son nom l'indique, le mode verrouillage est un paramètre initialement publié dans iOS 16 qui verrouille plusieurs fonctionnalités pour les personnes craignant d'être attaquées par des logiciels espions mercenaires ou d'autres attaques au niveau de l'État-nation. Ce sera un grand pas en avant vers la protection des utilisateurs iOS contre les fausses attaques de stations de base, qui ont été utilisées comme vecteur pour installer des logiciels espions tels que Pegasus .
Nous sommes ravis de voir Apple prendre des mesures actives pour bloquer les fausses stations de base et espérons qu'elle prendra davantage de mesures à l'avenir, comme la désactivation des chiffrements nuls, comme l'a fait Google.
Samsung continue de prendre du retard
Tous les grands fabricants de téléphones ne prennent pas au sérieux le problème des fausses stations de base. Jusqu'à présent, Samsung n'a pris aucune mesure pour inclure la bascule 2G depuis Android Vanilla, et n'a pas non plus indiqué qu'il prévoyait de le faire dans un avenir proche. Les fournisseurs de matériel modifient souvent fortement Android avant de le distribuer sur leurs téléphones. Ainsi, même si le paramètre est disponible dans le projet Android Open Source, Samsung a jusqu'à présent choisi de ne pas le rendre disponible sur leurs téléphones. Samsung n'a pas non plus réussi à protéger ses utilisateurs plus tôt cette année lorsque, pendant des mois, il n'a pris aucune mesure contre une fausse version de l'application Signal contenant des logiciels espions hébergés dans la boutique d'applications Samsung. Ces inaction suggèrent que Samsung considère la sécurité et la confidentialité de ses utilisateurs comme une réflexion secondaire. Les personnes soucieuses de la sécurité et de la confidentialité de leurs appareils mobiles devraient fortement envisager d’utiliser d’autres matériels.
Recommandations
Nous applaudissons les changements introduits par Google et Apple avec leur dernière série de mises à jour. Les simulateurs de sites cellulaires continuent de poser un problème de confidentialité et de sécurité partout dans le monde, et il est bon que les fabricants de systèmes d'exploitation mobiles commencent à prendre le problème au sérieux.
Nous recommandons aux utilisateurs iOS préoccupés par les fausses attaques de stations de base d'activer le mode de verrouillage en prévision des nouvelles protections d'iOS 17. Les utilisateurs d'Android possédant au moins un Pixel 6 ou un téléphone Android plus récent doivent désactiver la 2G et désactiver les chiffrements nuls dès que leur le téléphone le prend en charge.
Cet article est une traduction automatique d’un post publié sur le site d’Electronic Frontier Foundation à l’URL https://www.eff.org/deeplinks/2023/09/apple-and-google-are-introducing-new-ways-defeat-cell-site-simulators-it-enough le Wed, 13 Sep 2023 17:16:54 +0000.