Apple et Google tentent d’arrêter les simulateurs de sites cellulaires malveillants pour mieux protéger les utilisateurs

Un pas dans la bonne direction vers la sécurité des utilisateurs

Dans le contexte: Les simulateurs de sites cellulaires (CSS), parfois appelés raies pastenagues ou capteurs IMSI, sont des outils que les forces de l’ordre et les gouvernements utilisent pour diverses tâches justifiées, notamment le suivi de la localisation des téléphones, l’interception des communications, l’espionnage et l’installation de logiciels malveillants. Malheureusement, les criminels peuvent également utiliser des simulateurs de sites cellulaires.

L’utilisation d’un CSS implique de créer une fausse tour de téléphonie cellulaire 2G et d’inciter le téléphone cible à se connecter. Tous les grands opérateurs aux États-Unis, à l’exception de T-Mobile, ont désactivé leurs réseaux 2G et 3G, bien que T-Mobile prévoit de le faire en avril 2024.

Cependant, tous les appareils cellulaires peuvent se connecter aux tours 2G et 3G car de nombreux pays disposent encore de réseaux 2G actifs. Certains pays en développement s’appuient uniquement sur l’ancienne norme. Par conséquent, les fabricants choisissent de ne pas supprimer cette fonctionnalité, car cela pourrait laisser une partie de leur base d’utilisateurs sans service.

En 2021, Google a publié une fonctionnalité facultative pour les appareils Android permettant de désactiver la possibilité de se connecter aux réseaux 2G. Cependant, presque tous les fabricants tiers d’Android n’implémentent pas cette fonctionnalité. Le plus notable est Samsung, qui n’envisage pas d’activer cette fonction. Apple a également négligé la question ces dernières années. Cependant, iOS 17 introduit le mode verrouillage, qui empêche les iPhones de se connecter à des tours 2G non sécurisées.

Les mesures de protection de Google contre les attaques CSS vont encore plus loin en empêchant l’appareil d’utiliser des « chiffrements nuls ». Habituellement, les connexions avec les tours de téléphonie cellulaire sont entièrement cryptées avec un « chiffre symétrique », mais les chiffrements nuls ne sont pas du tout cryptés. Ils sont généralement utilisés par les techniciens effectuant des tests de réseau. Les téléphones génèrent également des chiffres nuls pour les appels au 911 si la carte SIM est endommagée ou manquante. Malheureusement, comme les données ne sont pas chiffrées avec un chiffre nul, un pirate de l’air utilisant un stingray peut tirer parti des chiffrements nuls et intercepter toutes les données de l’appareil connecté, telles que les messages, les appels et le trafic Internet.

Sauf si vous avez spécifiquement besoin d’une connectivité 2G, il peut être judicieux de désactiver la fonctionnalité si votre appareil le permet. Les utilisateurs sur iOS voudront peut-être envisager d’activer le mode de verrouillage. Cependant, le mode verrouillage fait bien plus que simplement bloquer les connexions 2G. Il a été conçu pour protéger les journalistes, les représentants du gouvernement et d’autres cibles de premier plan susceptibles d’être victimes d’attaques parrainées par l’État. Vous devrez donc peut-être décider si les restrictions supplémentaires en valent la peine.

Quant aux utilisateurs d’Android, seuls ceux qui utilisent un Pixel 6 ou plus récent peuvent désactiver les services 2G. Jusqu’à ce que les fabricants Android tiers profitent des mesures de Google, les autres appareils Android resteront vulnérables aux attaques CSS.