Trois chercheurs néerlandais de la société de sécurité Midnight Blue ont découvert des vulnérabilités dans Tetra, une norme importante pour les communications radio. Signale cela Actualités RTL et de Volkskrant Lundi. La technologie est utilisée dans plus d’une centaine de pays pour contrôler les infrastructures critiques, telles que les réseaux énergétiques, les gazoducs et les trains.
Aux Pays-Bas, le port de Rotterdam, les sociétés de transport public GVB, RET et HTM et divers aéroports utilisent Tetra, entre autres. C2000, le système de communication utilisé par la police, les pompiers, les services d’ambulance et certaines parties du ministère de la Défense, est également basé sur Tetra. Le système de communication est vérifié quotidiennement plus de 80 000 secouristes utilisés, dans le travail quotidien mais aussi lors d’incidents majeurs et de catastrophes.
Jos Wetzels (33 ans), Carlo Meijer (34 ans) et Wouter Bokslag (35 ans) ont passé plus d’un an à rechercher les vulnérabilités de la technologie. Au cours de leur recherche le trio a réussi à intercepter le trafic radio et à identifier les téléphones portables de la police, par exemple.
Porte dérobée consciente
Les chercheurs ont également découvert une «porte dérobée» dans l’un des quatre algorithmes Tetra. La cryptographie s’est avérée beaucoup plus faible qu’il n’y paraissait, de sorte que le cryptage n’a pas pu être déchiffré en quelques années, mais en quelques minutes. Cette porte dérobée a été trouvée dans TEA1, qui est utilisé, entre autres, par le port de Rotterdam, les stations à haute tension et les gazoducs, mais aussi par les services de renseignement et les militaires des pays d’Europe de l’Est, du Moyen-Orient et d’Asie. Les enquêteurs supposent que la porte dérobée a été construite exprès pour permettre l’écoute clandestine par la police et les services de renseignement.
Bart Jacobs, professeur de sécurité informatique à l’université Radboud, s’y oppose de Volkskrant que Tetra est un “vieux truc” et aurait dû être remplacé il y a longtemps. Il a également critiqué les parties vitales aux Pays-Bas, qui, selon lui, auraient dû être plus critiques dans leur confiance dans les équipements Tetra.
On ne sait pas si les pirates ont exploité la vulnérabilité. Les vulnérabilités ont été signalées par les chercheurs au National Cyber Security Center (NCSC) en décembre 2021, qui a ensuite informé le gouvernement national et d’autres organisations vitales et conseillé quoi faire à propos de cette vulnérabilité. Le NCSC n’a pas pu être joint pour commenter lundi.
Avec la collaboration de Rik Wassens.