Le géant du Web a récemment révélé une campagne de piratage qui s’appuyait sur 11 failles zero-day.
Il s’agissait en fait d’une opération pilotée par « un allié des États-Unis » qui ciblait des terroristes.
Cette affaire est un véritable cas de conscience.
Il y a dix jours, les chercheurs en sécurité de Google Project Zero ont révélé une opération de piratage particulièrement sophistiquée qui, en l’espace de neuf mois, s’est appuyée sur 11 failles zero-day dans Windows, Android et iOS.
Un tel arsenal pointe évidemment vers un acteur gouvernemental, mais Google n’a donné aucune indication à ce sujet.
D’après des sources du MIT Technology Review, cet acteur serait « un allié des États-Unis » et l’opération avait pour mission de piéger des terroristes.
Or, Google était très certainement au courant, car le géant du Web dispose également d’une entité d’analyse des menaces (« threat analysis ») dont le but est d’identifier les groupes de pirates et de formaliser une attribution.
Selon un expert interrogé par MIT Technology Review, les opérations des gouvernements occidentaux seraient reconnaissables.
« Il y a certaines spécificités dans les opérations occidentales qui n’existent pas chez d’autres groupes (…) Et cela se voit dans le code », estime cet expert.
Autrement dit, Google devait savoir qui se cachait derrière cette opération et qui était la cible. Il devait donc connaître la nature particulière de cette campagne de piratage.
La question qui se pose : fallait-il la dévoiler ou non ? La philosophie de Project Zero est de rendre Internet plus sûr en révélant un maximum de failles de sécurité, quelque soit leur origine.
Comme il y a toujours le risque que ces failles tombent dans de mauvaises mains, corriger une faille le plus rapidement possible serait toujours le bon choix.
Mais du point de vue d’un gouvernement, révéler une telle opération peut compromettre la réussite de cette mission et, potentiellement, mettre des vies en danger.
Sur le plan éthique, la réponse n’est donc pas aussi simple et cette affaire provoque des remous, au sein de Google et des gouvernements occidentaux.
Des analyses très sélectives
Il n’est pas rare, en effet, que les chercheurs en sécurité occidentaux ferment les yeux quand ils tombent sur des opérations réalisées par des « amis ».
Il n’a échappé à personne que les groupes de pirates étatiques analysés par FireEye, Crowdstrike et consorts sont généralement ceux de la Russie, de la Chine, de l’Iran ou de la Corée du Nord.
Les pirates de gouvernements occidentaux sont plus rarement mentionnés. Il suffit de consulter l’onglet « NATO » du document « APT Groups and Operations », de Florian Roth, pour voir qu’il est nettement moins fourni.
Les opérations fameuses, comme Stuxnet et Duqu, y figurent, tout comme le groupe « Animal Farm » qui serait lié à la DGSE française.
Il n’est finalement pas très surprenant que les chercheurs en sécurité qui ont révélé le plus d’opérations occidentales soient ceux de l’entreprise russe Kaspersky.
Celle-ci avait dévoilé l’arsenal du groupe « Equation », attribué à la NSA, et ruiné l’opération anti-Daesh « Slingshot » pilotée par l’armée américaine.
Au regard de cet historique, la révélation de Google est donc plutôt étonnante. Le géant du Web a peut-être estimé qu’avec 11 failles zero-day, l’acteur gouvernemental sous-jacent avait poussé le bouchon vraiment trop loin.
Source : MIT Technology Review
