Pour 1000€, cette société vendait tout le nécessaire pour échanger discrètement entre criminels

Ce jeudi, les autorités judiciaires de plusieurs pays européens ont annoncé le démantèlement d’Encrochat, un réseau de communication cryptées qui promettait “de simplifier le processus d’encryption pour l’utilisateur final”. Jusque là, cela ressemble à s’y méprendre à des tas d’autres services de messagerie cryptée comme Telegram. Sauf que l’utilisateur final en question présentait un profil un peu particulier : dans les faits, le réseau était utilisé presque exclusivement par des personnes “se livrant à des activités criminelles”, d’après les autorités françaises et néerlandaises. Une affaire de grande ampleur, certes, mais pour nous autres férus de technologie, il s’agit aussi d’une occasion d’en apprendre plus sur les méthodes étonnamment élaborées dont les malfrats peuvent se servir pour rester cachés.

Le réseau promettait à ses utilisateurs un appareil “intraçable”, garant d’un anonymat “parfait” même en cas d’ennuis avec la justice. Pour un prix tout de même conséquent (1000€ pour l’appareil et jusqu’à 1500€ pour six mois d’abonnement), tout criminel pouvait s’offrir un téléphone modifié, ou plutôt carrément désossé pour assurer une confidentialité parfaite.

Comment EncroChat protégeait-il ses utilisateurs ?

Avant toute chose, la société qui gérait le service commençait par retirer consciencieusement les micros, puces GPS et les caméras pour faire du smartphone un véritable vaisseau fantôme. Le système d’exploitation de l’appareil (il pouvait s’agir d’un Android ou d’un Blackberry)  était ensuite modifié pour y ajouter une surcouche cachée, où se situait le coeur d’EncroChat. Cette version de l’OS était également amputée d’un tas de fonctionnalités pensées spécialement pour la connectivité, et qui pourraient constituer des surfaces d’attaque potentielles comme Android Debug Bridge ou le mode de récupération. Même les associations entre le compte du client et les cartes SIM étaient apparemment complètement bloquées, et l’entreprise utilisait pour cela un algorithme issu de sa cuisine interne.

L’accès à la partie chiffrée se faisait à l’aide d’une paire de clés RSA. Ce système basé sur la complémentarité entre deux clés publiques et privées rend l’accès nettement plus difficile à une tierce personne. Une fois ce compartiment caché déverrouillé, l’utilisateur pouvait communiquer de façon cryptée dans plus de 120 pays du monde, avec une clé de cryptage différente pour chaque contact qui ajoutait encore une couche de protection supplémentaire.

Pourquoi était-il si prisé des criminels ?

Mais ce qui a apparemment particulièrement fait tiquer la police, c’est la multitude de fonctionnalités qui semblent conçues spécialement pour se débarrasser de messages compromettants en cas d’ennuis avec les autorités. Par exemple, un utilisateur pouvait effacer l’intégralité des données du téléphone en une fraction de seconde, soit automatiquement après plusieurs mots de passe erronés, soit grâce à un second code PIN secret. Il était même possible de le faire à distance et de restaurer l’intégralité des données par la suite, ce qui implique forcément un stockage de la part de l’entreprise et donc une forme de complicité. De plus, le système offrait même la possibilité de faire s’autodétruire ses propres messages sur autre appareil après un compte à rebours, de façon à ce qu’il ne laisse aucune trace chez un éventuel complice peu prudent. Sans préciser de quelle manière, l’appareil effectuait également une vérification au démarrage pour s’assurer que personne d’autre n’avait accédé au téléphone, auquel cas celui-ci se bloquait définitivement.

S’il ne s’agit évidemment pas de cautionner les agissements d’EncroChat, qui semblait effectivement avoir basé tout son business model sur la protection de criminels, on ne peut qu’être impressionné par l’infrastructure et la débauche de moyens techniques que l’entreprise a mis à disposition de ses clients. Ce qui est sûr, c’est que l’on espère retrouver un jour un tel package de fonctionnalités au service de la confidentialité, mais avec des intentions vertueuses et au service du citoyen lambda !

[amazon box=”B07GVR5ZXY”]

🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.