En Floride, la justice a utilisé les services de l’entreprise Cellebrite pour percer les défenses d’un iPhone 6, impliqué dans une procédure judiciaire. Alors que l’État avait accepté de payer les frais, le FBI est intervenu pour prendre en charge l’opération, dans une affaire qui ne concerne pourtant ni le trafic de drogue, ni le terrorisme.

Bien que le cas rappelle le massacre de San Bernardino et le grand choc entre Apple et FBI, le procès est tout autre. Personnalité de la téléréalité, Hencha Voigt et son ancien amant, Wesley Victor, sont accusés de sextorsion envers Julieanna Goddard, plus connue sous le pseudonyme YesJulz. Le couple possédait a priori des vidéos intimes qu’ils menaçaient de révéler. La victime devait payer 18 000 dollars pour éviter l’humiliation.

Au cours de l’enquête, l’iPhone 6 de Hencha Voigt a été analysé. Son code PIN lui a été réclamé mais, invoquant le Cinquième Amendement de la Constitution américaine – qui permet de ne pas témoigner contre soi-même – elle a refusé. Le détective Sergio Campos a alors demandé au juge chargé de l’affaire, Alberto Milian, de passer par les services de Cellebrite, spécialisée dans le perçage des défenses électroniques dans ce type d’affaire. Jusqu’à ce que le FBI intervienne.

Réminiscences de l’opposition entre Apple et le FBI

Dans une procédure n’ayant rien à voir avec le terrorisme ou le trafic de drogue, l’agence américaine a en effet proposé de s’impliquer en réglant la note de Cellebrite. Le FBI et l’entreprise (basée en Israël mais possédant des locaux dans le New Jersey) sont de vieux alliés.

On ne sait évidemment pas ce que l’iPhone 6 a subi, mais ses défenses ont bien été percées. Les données ont été obtenues l’enquête poursuivant son cours. Ce qui ne peut que rappeler l’affaire San Bernardino, dans laquelle l’iPhone 5c du terroriste avait été retrouvé. Le FBI n’arrivant pas à entrer dans le smartphone et risquant l’effacement des données, il s’était tourné vers Apple, débutant ainsi une grande saga qui avait duré plusieurs semaines.

La ligne de défense d’Apple était nette : puisque le code PIN fait partie intégrante de la clé de chiffrement des données et qu’il n’existe aucun moyen de l’extraire de l’appareil, déchiffrer son contenu est impossible. Le FBI a haussé le ton, préparant d’ailleurs un combat devant un tribunal, mais Apple ne voulait rien savoir. Puis, brusquement, l’agence fédérale a déclaré ne plus avoir besoin de l’entreprise : une faille de sécurité avait été achetée (plus de 1,3 million de dollars), Cellebrite étant d’ailleurs suspectée dans un premier temps. Renversement alors de la situation, Apple ayant couru après le FBI pour obtenir les détails de cette brèche, qu’elle souhaitait boucher. La société a cependant vite déposé les armes.

Cette fois cependant, on ne sait pas combien le FBI a déboursé, le montant de la facture n'ayant pas été indiqué.

Mystère autour de la technique utilisée

Comment a procédé Cellebrite ? Aucune indication technique n’a été fournie. On sait techniquement que le « NAND mirroring » peut produire de bons résultats, mais ce n’est pas la voie retenue par le FBI pour l’iPhone 5c, alors qu’un chercheur avait a priori réussi à récupérer des informations par ce biais. Dans le cas de l’iPhone 6, le mystère reste entier.

L’explication la plus simple est que Cellebrite possède une ou plusieurs failles de sécurité inconnues d’Apple, qui lui permettent de contourner les défenses d’iOS pour accéder aux données. Si tel est le cas, c’est un nouvel exemple d'utilisation de vulnérabilités cachées des éditeurs, soit par des pirates pour répandre des malwares, soit par des agences gouvernementales pour les enquêtes et renseignements, aidées par des entreprises dont leur collecte est l’activité commerciale.

Que Cellebrite ait trouvé elle-même ces brèches ou les aient achetées, ce véritable arsenal prouve sa « valeur » chaque fois que les forces de l’ordre y font appel. Aux États-Unis tout particulièrement, il existe un important débat autour de la validation des failles, processus au cours duquel elles sont analysées pour connaître leur destin. Si elles ne sont pas jugées utiles (il existe de multiples critères), leurs détails sont communiqués à l’éditeur concerné. Mais pour 9 % d’entre elles, elles sont stockées en vue d’une utilisation ultérieure.

Il ne s’agit bien sûr que du cas américain, qui ne tient pas compte du travail entrepris par les entreprises ou les pirates. Le fonctionnement de ce petit monde est particulièrement flou et aucune loi ne punit le stockage des failles. Si Zerodium peut dépenser 1,5 million de dollars pour acquérir une faille 0-day dans iOS 10, c’est qu’elle est certaine de rentabiliser l’investissement. Les éditeurs, pendant ce temps, ne peuvent que regarder ce commerce sans recours autre que de demander poliment.

Vers une implication plus fréquente du FBI ?

Outre l’implication de Cellebrite, celle du FBI a de quoi poser bien des questions. L’agence fédérale américaine est loin du périmètre plus courant dans lequel elle intervient, mais c’est potentiellement la tâche confiée à Cellebrite qui l’a attirée.

Difficile de connaître les motivations réelles du FBI. Le Bureau souhaite potentiellement être un interlocuteur privilégié pour tout ce qui touche au décryptage des appareils impliqués dans des enquêtes. Ce mouvement pourrait représenter une volonté gouvernementale de s’impliquer davantage dans des affaires plus courantes, dès qu’un chiffrement un peu trop résistant est détecté.

En outre, l’affaire braque les projecteurs sur une question juridique qui n’a jamais jusqu’à présent trouvé de réponse aux États-Unis : une personne incriminée peut-elle réellement invoquer le Cinquième Amendement de la Constitution américaine quand son mot de passe lui est demandé ? La plupart des tribunaux ont estimé que c’était bien le cas, mais d’autres pas.

La réponse à cette question peut sembler évidente, mais il est probable qu’elle finira par remonter un jour jusqu’à la Cour suprême pour être tranchée de manière plus formelle, établissant alors une puissante jurisprudence. Une réponse qui aurait peut-être pu être donnée si l’affrontement avec Apple ne s’était pas si soudainement arrêté. Il était alors évident que l’entreprise de Cupertino avait prévu de se battre bec et ongles, et la procédure aurait pu remonter jusqu’à la plus haute juridiction du pays.