Il y a plus de 15 ans que Free a lancé son réseau Wi-Fi communautaire. Les abonnés Freebox pouvaient partager une partie de leur connexion en échange d’un accès sur les box d’autres clients lors d‘un déplacement. On en parle au passé, car le service est arrêté depuis le 1er octobre pour les clients Free Mobile. C’était déjà le cas pour les clients Freebox depuis 2021.

Free n’est pas le seul à couper les vannes : entre 2021 et 2023, les trois autres opérateurs ont également mis fin à leur réseau Wi-Fi communautaire. Il faut dire que les utilisateurs s’en servaient de toute façon de moins en moins. Entre la quantité de Go dans les forfaits mobiles qui ne fait quasiment qu’augmenter au fil du temps, et la couverture qui s’améliore (comme les débits), passer en Wi-Fi ne représentait plus le même intérêt.

Pas besoin d’IMSI-catcher, l’IMSI est diffusé en clair !

Mais dans le cas de Free, l’histoire a un arrière-gout un peu particulier : celui d’une faille de sécurité. Elle a été révélée par Flavien Ruffel alias 7h30th3r0n3, « hacker éthique » et pentester (expert qui fait des tests d’intrusion) selon son profil LinkedIn. Dans un billet de blog, il détaille « la vulnérabilité qui a tué FreeWifi_Secure ».

Contacté, Free nous confirme bien l’arrêt de FreeWifi_Secure et le justifie par les bonnes performances de son réseau 4G et 5G. L’opérateur n’a par contre pas souhaité répondre à nos questions concernant les informations relevées par Flavien Ruffel. La suite de cet article se base donc exclusivement sur l’analyse de l’expert en cybersécurité.

Dans son histoire, il explique avoir découvert une brèche en testant son Evil-M5 – « un outil innovant développé pour le piratage éthique et l’exploration des réseaux WiFi », selon ses dires – à proximité de sa Freebox. Problème, les smartphones « diffusent leur IMSI en clair lors de l’authentification EAP-SIM ».

IMSI pour International Mobile Subscriber Identity est un numéro unique « attribué à chaque mobile ayant accès au réseau cellulaire », explique Frédéric Launay de l’université de Poitiers. L’IMSI comprend trois parties :

• « MCC : Mobile Country Code permet de désigner le pays dans lequel est situé l’opérateur.
• MNC : Mobile Network Code permet de spécifier l’opérateur dans un pays.
• MSIN : Mobile Subscriber Identification Number, identifie de manière unique un client de l’opérateur »

« Un grave problème de confidentialité »

Aucune attaque particulière n’est nécessaire, il suffit d’être proche de la Freebox et « d’écouter » pour récupérer les IMSI des smartphones à proximité qui veulent se connecter. Pour Flavien Ruffel, c’est « un grave problème de confidentialité permettant le suivi, la corrélation entre IMSI et utilisateur et même une exploitation potentielle via des protocoles de télécommunications comme SS7 ».

En examinant les trames à l’aide de WireShark (logiciel libre pour faire de l’analyse de paquet), il en a remarqué une en particulier contenant son numéro IMSI au complet et en clair : 20815XXXXXXXXXX@wlan.mnc015.mcc208.3gppnetwork.org. Après des tests complémentaires, il confirme que ce n’était pas un cas isolé.

Fin du FreeWifi = fin du problème

Le hacker éthique a alors contacté Free, qui aurait rapidement répondu et reconnu le problème, précisant au passage que la faille était déjà connue en interne. Free n’a pas souhaité non plus nous répondre sur ce point.

L’opérateur lui aurait alors demandé « de retarder la divulgation publique afin qu’il puisse d’abord déployer un programme mondial pour désactiver FreeWifi_Secure sur les appareils concernés », explique-t-il. Ce qu’il a fait, son but n’étant pas d’exposer des données avant que le souci ne soit corrigé.

Le réseau FreeWifi_Secure n’était déjà plus diffusé par les Freebox Delta, Pop et Ultra, mais c’était encore le cas d’anciennes Freebox. Il n’en reste pas moins que, selon le chercheur, « d’innombrables IMSI ont pu être capturés en silence dans l’espace public, sans que les utilisateurs ne le sachent jamais ».

Fermer complétement le réseau Freewifi_Secure règle dans tous les cas définitivement le problème.