Huawei: les Américains affirment avoir les preuves de l'installation de portes dérobées, Réactions à la publication du 12/02/2020

[Lionel]

Dans une interview donnée au Wall Street Journal, Robert O'Brien, conseiller américain à la sécurité nationale, a affirmé avoir les preuves de la présence de portes dérobées dans les produits commercialisés par Huawei.
La société aurait commencé dès 2009 dans des équipements 4G et pas cessé depuis. Les éléments de preuve n'ont pas été communiqués, mais ils l'auraient été à des pays amis pour les avertir des dangers.

Pour Huawei, ces portes dérobées sont partout obligatoires et ses techniciens ne peuvent y accéder sans l'accord des opérateurs, ce dont les autorités américaines doutent grandement.

Lien vers le billet original

[iAPX]

Le fond de l'affaire ne sont d'ailleurs pas vraiment les équipements réseau Huawei, mais certains des équipements au sein du réseau, les Intercepteurs de communication, stockant messages et communications vocales avec des accès obligatoires pour les "forces de l'ordre".
Ces équipements expliquent d'ailleurs pourquoi la topologie fonctionnelle des réseaux 5G est centralisée ou au moins organisé autour de points locaux ou régionaux au lieu d'être décentralisé comme prévu (et possible): pour pouvoir capturer tous les échanges, sans limitation...

Accéder à une borne ou des équipements réseau réel n'apporterait pas énormément à un ennemi, alors qu'accéder à ces équipements-là (les Intercepteurs) permet de récolter les mêmes informations que les agences US.
Elle-même ayant très probablement (99,99% sûr) des accès dérobés sur les mêmes types d'équipements d'origine US et vendus à tout un chacun!

Le fond est alors de se demander si intercepter toutes les communications (vocales ou messages) n'était pas ouvrir une boîte de Pandore, puisqu'alors si on y a soit-même accès, on ne sait pas qui d'autre y a accès.
C'est un problème maintenant généralisé comme on le voit au quotidien, un nouveau monde!

Finalement, des outils comme Signal ou des services comme ProtonMail pourraient se révéler avoir été instrumentalisés par les mêmes ayant vendu de la Crypto "sûre" à un grand nombre de gouvernements: je conseille de ne pas se fier à leur prétendue sécurité, surtout sur la durée...

[hellomorld]

Finalement, des outils comme Signal ou des services comme ProtonMail pourraient se révéler avoir été instrumentalisés par les mêmes ayant vendu de la Crypto "sûre" à un grand nombre de gouvernements: je conseille de ne pas se fier à leur prétendue sécurité, surtout sur la durée...

Alors on va revenir au bon vieux rot13 pour protéger ses correspondances

[iAPX]

Finalement, des outils comme Signal ou des services comme ProtonMail pourraient se révéler avoir été instrumentalisés par les mêmes ayant vendu de la Crypto "sûre" à un grand nombre de gouvernements: je conseille de ne pas se fier à leur prétendue sécurité, surtout sur la durée...

Alors on va revenir au bon vieux rot13 pour protéger ses correspondances

Je vois que tu connais les meilleurs Cipher sur le bout des ongles

Un exemple très récent, sur une App Mobile que j'ai analysé (Analyse Statique + Dynamique), je me suis aperçu que le mot-de-passe de l'utilisateur était transmis à la fois au service connecté derrière mais aussi à des trackers sous une forme aberrante: un sha1 du mot-passe reproduit 2 fois, sha1(passe + passe).
J'étais scié, car ça signifie quatres choses:

1. un débile profond se pense plus intelligent que les autres, ou simplement ignore tout des bases de la cryptographie (Occam)
2. ce débile profond est au cœur de leurs développements
3. tout le code de l'app est vraiment douteux à partir de ce moment-là, cherchons les constructions à risques
4. le code backend qui dialogue avec l'App Mobile a probablement elle aussi des grosses failles

Ce message a été modifié par iAPX - 14 Feb 2020, 21:21.