Le cyber-hubris de l'administration Trump

La cybersécurité a aidé à élire Donald Trump. Pendant la campagne présidentielle, les pirates ont dévoilé tous les secrets des démocrates et les ont dissimulés à la vue de tous, tandis qu'Hillary Clinton a été critiquée pour avoir utilisé un serveur non sécurisé pour son courrier électronique personnel. Les communications des républicains, quant à elles, sont restées à l'abri des regards du public.

Mais le succès peut engendrer l'orgueil, et il y a des tendances inquiétantes dans les premiers jours de l'administration Trump. Personne n'a piraté Trump, mais il agit comme personne ne le peut.

Pourquoi personne ne devrait utiliser un Galaxy S3

Selon le New York Times , le président Trump utilise toujours son ancien téléphone Android pour tweeter. Selon Android Central, cela pourrait être un Samsung Galaxy S3.

Le S3 est sujet au pire bug Android jamais découvert, Stagefright. Soigné sous Android 5.1.1, Stagefright permet aux pirates d’obtenir un accès complet à votre téléphone avec des messages MMS spécialement conçus. Il n’ya pas eu une tonne de piratages liés à Stagefright confirmés aux États-Unis, mais la plupart d’entre nous n’avons pas une cible aussi importante que le président des États-Unis. Le Galaxy S3 n’a jamais bénéficié d’une mise à niveau supérieure à Android 4.3. C'est terriblement peu sûr.

Bien sûr, ce n'est pas parce qu'il utilise un Galaxy S3 pour tweeter qu'il accède à des données classifiées. Toutefois, des vulnérabilités de code arbitraires telles que Stagefright peuvent, par exemple, activer le microphone d'un téléphone pour l'utiliser comme périphérique espion, même si le téléphone n'a pas accès à un élément plus sensible qu'un compte Twitter public.

À propos de ces comptes de messagerie

Selon Wired et Newsweek, des membres influents de la Maison Blanche, tels que Sean Spicer et Jared Kushner, gèrent des comptes de messagerie sur des serveurs RNC; et, pendant un moment, le compte Twitter officiel de POTUS a été redirigé vers un compte Gmail. En outre, Spicer semble avoir tweeté au hasard des choses qui ressemblaient à des mots de passe.

Garder les courriels sur des serveurs non gouvernementaux peut être un bon moyen de les garder à l'abri des regards du public, tant que vos serveurs sont sécurisés. (Vous souvenez-vous de tous les emails supprimés de Hillary Clinton?) Bien sûr, ces serveurs ne sont souvent pas sécurisés. (Vous vous souvenez de tous ces courriels Wikileaked DNC?)

Dans tous les cas, ce n’est pas une bonne idée pour les responsables gouvernementaux de confier la sécurité de leurs informations à des fournisseurs de courrier électronique grand public. Bien que Trump, bien connu, n’utilise pas le courrier électronique - pour le rendre aussi sécurisé que possible -, les membres du personnel pourraient toujours envoyer des messages contenant des informations qu’ils préféreraient ne pas mettre entre les mains de gouvernements étrangers.

La bonne nouvelle est que le personnel semble s’adapter. Aujourd'hui, l'adresse de réinitialisation du mot de passe du compte Twitter POTUS est passée de Gmail à une adresse de la Maison Blanche. J'espère que c'est un signe de la façon dont les choses sont nettoyées dans les coulisses.

Mais les mots de passe tweetés présentent une autre vulnérabilité: il semble que peu de communications de la Maison Blanche soient en cours de modification ou de double vérification avant leur diffusion.

Trump doit-il s'inquiéter?

Le fonctionnement de Trump a été béni dans le domaine de la sécurité de l'information. Même lorsque le RNC a été piraté, les informations n’ont pas été divulguées de manière à nuire à l’organisation. Il serait donc logique que le président estime que son opération est imprenable.

La question est de savoir quand et si des forces adverses compétentes attaqueront la Maison-Blanche lors d'un cyberespionnage. Ceux-ci pourraient être un gouvernement étranger, tel que la Chine, essayant de collecter secrètement des données pour prédire et anticiper les mouvements de Trump, ou des pirates justiciers essayant d'embarrasser l'administration en publiant des pièces de jeu montrant comment la politique est faite.

Nous n'avons pas encore vu cela se produire mais, allez, ça fait seulement une semaine. Trump personnellement ne se soucie peut-être pas beaucoup des détails de la cybersécurité, mais son personnel doit se montrer discret et continuer à verrouiller son hygeine électronique. Le destin du monde est réellement en jeu.