Vous utilisez WhatsApp, Signal ou Threema ? Sachez que s'ils sont suffisamment motivés, des hackers peuvent déterminer votre position à l'aide d'un simple message envoyé sur l'une de ces applications. C'est ce que l'on apprend d'une étude publiée le 19 octobre dernier par des chercheurs en sécurité. Le document présente en détail une vulnérabilité identifiée sur les trois applications de messagerie instantanée. Cette vulnérabilité permet en l'état de deviner l'emplacement d'un utilisateur cible par le biais d'un calcul faisant en quelque sorte office de triangulation.
Les accusés de réception au centre du jeu
Comme le rapportent nos confrères de 01Net, le procédé employé par les pirates est relativement simple, du moins sur le papier. Ces derniers envoient un message à la victime et calculent le temps que met le service à afficher la notification indiquant que le message a bien été distribué. Le reste de l'exploit se base sur les standards employés tant par les réseaux internet mobiles que les serveurs des applications de messagerie. Ces normes permettent de prédire les délais de transmission en fonction de la position de l'utilisateur.
Forts de cette « base de travail », les hackers peuvent alors affiner leur recherche en calculant l'emplacement des serveurs, puis les délais en fonction de ces emplacements. Pour aboutir à un résultat probant, il faut toutefois un long travail préliminaire avec de nombreux essais, souligne 01Net. En cas de succès, le pays de la cible, sa ville, voire son quartier, peuvent être localisés… mais avec plus ou moins de précision en fonction des plateformes : 82 % pour Signal, 80 % pour Threema et 74 % pour WhatsApp.
Une vulnérabilité de moindre importance ?
Gênante pour des applications qui mettent autant en avant leur dimension sécurisée et leur chiffrement, cette découverte reste néanmoins difficile à exploiter efficacement. Plusieurs méthodes permettent par ailleurs de réduire à néant les efforts des pirates. La première est bien évidemment l'utilisation d’un VPN, mais on peut aussi imaginer le déploiement d'un retard aléatoire pour l'envoi de l'accusé de réception sur les applications concernées. Cette parade simple à mettre en œuvre, et d'ores et déjà évoquée par Threema, permettrait de fausser complètement les calculs d'éventuels hackers.
Threema explique par ailleurs que la vulnérabilité découverte est en réalité peu susceptible d'être exploitée avec succès puisque le temps d'envoi des notifications peut déjà être décalé dans le cadre d'une utilisation normale du service, notamment lorsque l'application n'est pas ouverte et que l'envoi se fait en arrière-plan.
