Selon de nouveaux documents d’Edward Snowden, la NSA tente depuis des années de percer les défenses du réseau Tor. Elle n’y parvient que de manière très partielle, mais elle a réussi à plusieurs reprises à découvrir l’identité de personnes recherchées. Des informations qui montrent que l’agence américaine est sur tous les fronts, mais également que Tor tient souvent ses promesses de sécurisation et d’anonymisation.

Crédits : frederic.jacobs, licence Creative Commons

Anonymat et pêche à l'information 

Tor est régulièrement mis en avant pour sa capacité à rendre anonymes les communications. Il s’agit d’un réseau entièrement décentralisé, organisé en couches, d’où son nom : The Onion Router. Chaque machine présente sur le réseau est un nœud dans un grand maillage. Au sein de ce dernier, toutes les informations sont chiffrées et rebondissent de nœud en nœud pour échapper aux analyses de trafic du réseau.

Le 16 septembre dernier, nous abordions déjà la sécurité du réseau Tor puisque le FBI utilisait certaines faiblesses pour mener ses enquêtes. Dans le cas du bureau d’enquêtes, il s’agissait de trouver les personnes fréquentant assidument des sites pédopornographiques. Il était alors apparu que le FBI se servait en particulier de failles dans le navigateur Firefox, utilisé pour composer un package distribué par les auteurs du projet Tor.

La NSA, comme le FBI 

De nouveaux documents émanant d’Edward Snowden mettent en avant des techniques similaires utilisées par la NSA. L’agence américaine de la sécurité nationale se penche sur le réseau décentralisé depuis maintenant sept ans pour tenter d’en percer les protections. Mais bien qu’elle ait enregistré plusieurs succès dans ce domaine, elle considère que le réseau est particulièrement bien protégé du fait de son caractère décentralisé et de son fonctionnement.

Selon The Guardian, la NSA et le GCHQ, son équivalent anglais, travaillent ainsi depuis des années à s’infiltrer dans le réseau Tor. Dans la grande majorité des cas cependant, ces tentatives ne concernent que des personnes bien précises et ne se font qu’au prix d’un travail acharné réclamant de grandes ressources. Plusieurs documents internes abordent cette difficulté élevée et décrivent par exemple Tor comme le « roi de l’anonymat hautement sécurisé et à faible latence ». Il s’agit même parfois d’un aveu d’impuissance : « Nous ne serons jamais capables de "désanonymiser" tous les utilisateurs du réseau Tor en même temps ».

Les failles de Firefox, un véritable trésor 

Ce n’est pourtant pas faute de varier les techniques pour y parvenir. Le Washington Post par exemple aborde une technique déjà utilisée pour les protocoles de sécurité : tenter de faire évoluer le projet dans une direction qui arrange aussi bien la NSA que le GCHQ. Mais les méthodes les plus efficaces reposent sur l’exploitation des failles de sécurité de Firefox, à la manière du FBI. L’une des techniques, qui porte le doux nom de « EgotisticalGiraffe », se concentre sur cet aspect et a montré son efficacité durant la période où le navigateur était affecté par une faille dans le composant ECMAScript for XML (E4X).

Toujours selon le Washington Post, c’est grâce à cette technique que plusieurs personnes ont pu être retrouvées dans le cadre d’enquêtes, ou encore un membre d’Al-Qaeda qui opérait dans la vaste péninsule arabe. Les failles peuvent en outre être exploitées de plusieurs manières, notamment pour réorienter les utilisateurs vers de faux sites, voire pour provoquer l’installation arbitraire de malwares. La méthode se révèle alors efficace quand la faille permet d’exécuter du code JavaScript. Enfin, et comme on peut s’en douter, la NSA possède plusieurs machines inscrites au réseau Tor et agissant donc comme des relais.

Exploiter tout ce qui peut l'être 

Il faut noter que la NSA dispose d’une infrastructure lourde et puissante, quand bien même celle-ci peut échouer dans ses tentatives d’infiltrer le réseau Tor. Sous le nom de code « FoxAcid » par exemple, se cache un véritable chef d’orchestre de l’exploitation de failles. Il s’agit en fait de machines sous Windows 2003 Server, placées directement sur les grands axes de télécommunications (backbones) et comportant de très nombreux scripts en Perl pour parer à une multitude de situations. Elles ne sont d’ailleurs pas utilisées que dans le cas de Tor.

À travers les articles du Guardian et du Washington Post, on apprend ainsi que plusieurs composants entourent la traque aux informations. Mjolnir par exemple semble capable de surveiller les rebonds effectués par les paquets quand ils transitent à travers le réseau Tor. Mullenize, de son côté, peut marquer un trafic pour le suivre à la trace et fournir, dans une certaine mesure, les utilisateurs par qui il a transité.

Discrétion 

La NSA devra cependant toujours rester prudente dans le ciblage et son champ d’action. Les autorités américaines ont ainsi pu faire fermer Silk Road, un gigantesque réseau d’échanges et de reventes de marchandises interdites telles que la cocaïne. Des questions se sont posées sur la manière dont elles avaient procédé, faisant craindre une série de failles inconnues et donc non documentées. Roger Dingledine, président du projet Tor, avait ainsi indiqué au Guardian en fin de semaine dernière que la NSA pourrait toujours trouver des failles ou infecter des machines suspectes, mais que si un travail d’identification trop vaste était mené sur Tor, quelqu’un s’en apercevrait forcément.

Dans tous les cas, l’agence américaine ne renonce jamais. Ainsi, à chaque nouvelle version de Firefox, une équipe est chargée d’en retrouver des failles potentielles. Le jeu du chat et de la souris n’est pas prêt de se terminer.