Comment les pirates informatiques chinois du « Salt Typhoon » ont fait irruption dans les télécommunications américaines

L'auteur de Diplomat, Mercy Kuo, engage régulièrement des experts en la matière, des praticiens politiques et des penseurs stratégiques du monde entier pour leurs diverses perspectives sur la politique asiatique des États-Unis. Cette conversation avec Jonathan Pelson – conseiller sur la concurrence technologique avec la Chine et la sécurité nationale et auteur de « Wireless Wars : China's Dangerous Domination of 5G and How We're Fighting Back » (2021) – est la 438e dans « The Trans-Pacific View ». Série Insight.

Expliquez comment le groupe de piratage chinois Salt Typhoon a compromis les cybersystèmes de Verizon, AT&T et Lumen Technologies.

Si quelqu’un se demande comment un piratage de nos opérateurs de télécommunications peut affecter sa vie, réfléchissez à ceci : de nouveaux renseignements suggèrent que la Chine a ciblé les téléphones des candidats Trump et Vance, ainsi que le personnel de campagne du vice-président Harris. Les implications en matière de sécurité nationale devraient être évidentes.

Il s'agit d'un cas inhabituel, en raison du rôle joué par la CALEA (Loi sur l'assistance aux communications pour l'application de la loi) et les lois fédérales qui lui ont succédé. Imaginez si le gouvernement fédéral disait à chaque foyer et entreprise du pays qu’il pouvait sécuriser ses locaux aussi bien qu’il le souhaitait – pênes dormants, vidéosurveillance, alarmes, etc. – mais qu’il devait créer une option de contournement unique permettant au gouvernement d’entrer inaperçu. C’est le cas aujourd’hui dans les communications. Malgré toute la sécurité déployée par nos prestataires de services et leurs clients, le gouvernement fédéral est autorisé, sur décision de justice, à accéder aux communications de toute personne ou entreprise dans le pays. Et le système est délibérément conçu pour empêcher le sujet de cette surveillance de savoir qu'il a été violé.

Nous avons créé un passe-partout qui ouvre tous les réseaux de notre pays. Je me souviens de la phrase : « Ne forgez jamais une épée si puissante que vous ne la donneriez pas à votre pire ennemi. » La Chine possède désormais cette épée.

Il est également inquiétant que les normes sur la manière dont les transporteurs maintiennent l’intégrité de cette « porte dérobée » ne soient pas là où elles devraient être, ce qui rend les violations plus probables.

Examinez le niveau de dommages résultant de la pénétration.

J'adhère à la théorie du « un cafard ». Si vous allumez les lumières et voyez un cafard courir sous le réfrigérateur, cela ne veut pas dire que votre appartement n'a qu'un seul cafard.

Il est désormais prouvé que le piratage de Salt Typhoon s'étend au-delà de ces trois sociétés, à d'autres fournisseurs de services américains et à des sociétés situées dans d'autres parties du monde, notamment en Asie du Sud-Est. Mais AT&T et Verizon représentent la grande majorité de la connectivité du pays, et Lumen est le leader de la fourniture de services à large bande.

Sur le plan intérieur, la Chine a peut-être pu accéder à des informations sur des technologies exclusives provenant d’entreprises américaines, une pratique qui dure depuis des années, et cela pourrait bien n’être qu’une autre version plus réussie de cette pratique.

Mais le plus grand souci est que la Chine aurait pu recueillir des données sur les personnes faisant l’objet d’une surveillance ou d’une enquête pour activité criminelle ou espionnage ; En vertu de la FISA (Foreign Intelligence Surveillance Act), le gouvernement américain effectue une surveillance approfondie des communications des espions connus ou présumés. Si la Chine avait accès à ce programme, cela représenterait une énorme brèche pour la communauté du contre-espionnage américain. La Chine saurait qui était surveillée, ce qui avait été appris et (peut-être plus important encore) qui opérait encore à l’insu des communautés américaines du renseignement et des forces de l’ordre.

Enfin, il y a une nouvelle prise de conscience selon laquelle nos réseaux peuvent être complètement infiltrés par un adversaire. J'ai soutenu dans « Wireless Wars » que le véritable danger d'une compromission du réseau ne réside pas seulement dans la coupure des communications, mais aussi dans les services qui en dépendent : fonctionnement des usines, fourniture de soins médicaux, production et transport d'électricité, tout ce qui la civilisation doit fonctionner.

Si vous n’aimez pas que Google ou Facebook contrôlent nos communications, vous n’aimerez pas que le Parti communiste chinois le fasse.

Identifiez les vulnérabilités ciblées par Salt Typhoon dans les réseaux haut débit américains.

Il existe deux domaines de vulnérabilité ; l’un est le problème typique avec les appareils ou les logiciels. Selon certaines informations, une partie du programme incluait des attaques contre les serveurs Cisco. Cela ne serait pas surprenant, étant donné le rôle central que joue Cisco dans la création d'Internet, et la Chine s'efforce depuis longtemps de violer la propriété intellectuelle de Cisco et de déchiffrer ses protocoles de sécurité.

Mais la situation unique ici concerne cette « porte dérobée » que toutes les entreprises de communication sont obligées par le gouvernement fédéral d'inclure dans leurs réseaux. La justification est compréhensible ; Les forces de l'ordre et les agences de renseignement veulent pouvoir accéder aux communications privées si elles soupçonnent qu'un crime est en train d'être commis. L’existence d’une telle concentration d’activités sous un seul programme technique et juridique crée une énorme opportunité d’échec à grande échelle. Le gouvernement a tendance à privilégier des systèmes « à sécurité intégrée » qui sont essentiels mais extrêmement bien sécurisés. Le problème est que lorsque cette sécurité est violée, vous pouvez avoir des conséquences catastrophiques.

Analyser l’efficacité de la loi sur l’assistance aux communications pour l’application de la loi.

Du point de vue du renseignement et de l’application de la loi, la loi s’est révélée très efficace. Quelle agence ne voudrait pas garantir un accès aux communications privées de chaque suspect ?

Mais la loi CALEA (et la FISA associée) n'oblige pas seulement les opérateurs à rendre leurs communications disponibles, elle oblige également les opérateurs à garantir la confidentialité et la sécurité des interceptions ; c'est-à-dire qu'ils doivent s'assurer que les conversations, e-mails et autres communications interceptés sont conservés en toute sécurité par le transporteur.

C'est bien beau de formuler cette exigence, mais les opérateurs n'ont jamais été parfaits pour sécuriser leurs propres réseaux, notamment contre les acteurs étatiques. La création même de ces portes dérobées rend leur travail beaucoup plus difficile et rend les coûts d’un échec encore plus élevés. Si un mauvais acteur peut accéder aux portes dérobées obligatoires, il a tout.

Évaluez comment les agences gouvernementales américaines et les télécommunications peuvent prévenir de futures failles en matière de cybersécurité.

Il y a quelques domaines qui doivent être corrigés. L’une des clés consiste à s’éloigner des systèmes « à sécurité intégrée » et à se concentrer sur des systèmes « à échec sécurisé ». Les réseaux doivent être conçus de manière à ce que les dommages ne soient pas catastrophiques lorsqu'une faille inévitable se produit.

Bien entendu, les transporteurs privés et les équipementiers doivent améliorer leur jeu. La sécurité a toujours été secondaire par rapport aux revenus et aux bénéfices, ce qui est logique pour les entreprises qui souhaitent obtenir des rendements pour leurs actionnaires, mais les lois doivent définir des normes plus élevées et imposer le respect de pratiques de sécurité plus strictes. Par exemple, voyons « le chiffrement par défaut » devenir le modèle.

Enfin, nous devons reconnaître qu’aucune défense ne peut protéger contre tous les acteurs étatiques. Un argument solide peut être avancé selon lequel le gouvernement fédéral doit cesser d’exiger que les opérateurs laissent leurs réseaux ouverts à l’interception légale. Certaines entreprises, comme Apple, privilégient la sécurité des clients plutôt que l'accès du gouvernement. Cela peut frustrer les agences gouvernementales, qui soulignent qu’un certain degré de pouvoir de marché anticoncurrentiel peut accompagner de telles pratiques, mais cela protège également le pays contre le risque d’une fermeture complète de tous les services en réseau. Fermer cette porte dérobée représenterait un prix élevé à payer en termes de contre-espionnage, et cela augmenterait le risque de pratiques anticoncurrentielles, mais cela pourrait être nécessaire.