Institutions — 14 August 2020 (42nd Legislature, 1st Session)

CI 2020-08-14

Quebec — Committees

Donc, M.

Sarrazin, bienvenue. Bon matin. Merci d'être avec nous. Alors, je vous laisse

la parole pour 10 minutes, et, après ça, nous aurons un échange

avec les membres de la commission. Alors, la parole est à vous.

Sarrazin (Claude A.) : Merci beaucoup. Bien, écoutez, je vous

remercie de m'avoir invité pour cette

analyse. Je suis fondamentalement un

enquêteur. Depuis plus de 30 ans, je travaille dans le domaine des

enquêtes et j'ai développé une

spécialité au point de vue de ce qui s'appelle la cybercriminalité. Cette

perspective-là m'a permis d'élaborer certaines façons de faire ou de

développer une approche quant à la protection des informations par la suite. Je l'enseigne également à l'UQAM, à l'École des sciences de la gestion, au

niveau de la maîtrise, dans un cours que je désigne, non officiellement,

Cybercrime 201.

Donc, si vous

me permettez, j'ai un court préambule sur l'analyse, un peu, de la situation.

Un associé de recherche principal au

Citizen Lab de l'Université de Toronto, Christopher Parsons, mentionne un seuil

de 65 % à 80 %

d'utilisation de l'application pour que

celle-ci ait un impact majeur sur la propagation du virus. Cependant, il faut

prendre en compte que ce n'est pas

100 % de la population qui possède un téléphone intelligent. Donc, afin

d'obtenir un seuil d'utilisation de près de 60 % de la population, il faut qu'une grande majorité des

utilisateurs de téléphones intelligents utilisent l'application de

notification de contacts.

Le fait que l'application canadienne

COVID Alert ne fonctionne que sur les appareils intelligents utilisant les

systèmes Apple ou Android de fabrication

récente, avec mise à jour du système d'exploitation, soulève une

importante préoccupation. En effet, les communautés les plus à risque et qui

bénéficieraient le plus de l'utilisation d'une telle application se trouveront

donc à être celles qui n'y ont pas accès. Il s'agit des communautés les plus

démunies, des personnes sans domicile fixe,

des enfants et des personnes âgées. En effet, il n'y a aucune étude empirique

indiquant qu'une application de suivi de contacts serait efficace pour

lutter contre la pandémie si ce n'est pas la grande majorité de la population

qui l'utilise. Et, si, de ce fait, la grande majorité le fait, ceci pourrait

amener un intérêt renouvelé d'autres types d'utilisateurs, ce qui m'amène à ma

propre spécialité, le cybercrime.

Il importe de

souligner que le modus operandi des cybercriminels ne correspond pas à celui

des criminels traditionnels. Ces derniers

cherchent généralement une cible potentielle avant de définir leur plan. Les

cybercriminels, dans bien des cas,

identifient les vulnérabilités pour par la suite commettre un délit. Les

cybercriminels collaborent généralement à distance avec un réseau, selon leur spécialité et leur capacité à

exploiter les failles. Ils ne cherchent pas l'opportunité, ils la créent. Comme démontré dans les dernières années, les

nouvelles technologies comportent souvent d'importantes vulnérabilités. Par contre,

les vulnérabilités Bluetooth sont rarement discutées, et c'est la

base du système qui est mis de l'avant par le fédéral.

Bien

qu'il soit vrai que l'utilisation du Bluetooth soit moins intrusive que la technologie de géolocalisation et ne collecte

pas directement de données personnelles, elle comporte des vulnérabilités permettant à certains cybercriminels d'avoir accès à ces données. Il appert que le Bluetooth soit réputé pour

n'être détectable que sur de courtes distances et qu'il soit difficile d'en extraire des informations. Cependant,

il n'est pas impossible, pour des pirates informatiques, d'utiliser le

«reverse engineering» pour obtenir l'accès aux données d'un tiers en utilisant

les failles de sécurité.

Certains

outils ont été développés afin d'obtenir accès aux échanges entre les appareils

utilisant Bluetooth, tels qu'un téléphone

et une paire d'écouteurs, permettant ainsi à une tierce personne d'écouter une

conversation téléphonique. En effet, il est possible d'étendre la portée

de détection d'un appareil Bluetooth en utilisant d'autres appareils ou des

balises Bluetooth. Des vulnérabilités Bluetooth connues portent le nom de

BlueBorne. Cette collection de failles permettait à des pirates informatiques

d'installer des «malware» et d'effectuer des attaques sur les autres appareils

en utilisant le Bluetooth.

qu'on appelle le «Bluetooth Mesh Networking» rend cette vulnérabilité encore

plus grave puisque les pirates pourraient sauter d'un appareil à l'autre

facilement avec BlueBorne. L'attaquant commence par détecter un appareil Bluetooth à proximité avant d'identifier son adresse

MAC. Cette dernière lui permet d'identifier le système d'exploitation de

l'appareil et d'ajuster son attaque avant de la déployer.

autre vulnérabilité connue est

BleedingBits, des puces électroniques

installées dans plusieurs types d'appareils. Celles-ci permettaient des attaques sans même que l'attaquant ne soit

jumelé avec l'appareil en question. Donc, on n'attaque pas directement

la fonctionnalité Bluetooth, mais bien le hardware, si on veut, qui permet

l'utilisation de Bluetooth.

Certaines vulnérabilités

permettent d'obtenir la clé d'encryption utilisée par un appareil et de

l'utiliser afin d'obtenir des données et de falsifier certaines informations.

Des chercheurs en sécurité de l'Université de Boston, notamment, ont découvert

qu'ils pouvaient identifier les appareils utilisés lors d'une connexion par

technologie Bluetooth malgré que les

identifiants étaient cryptés par l'appareil. De plus, lorsque le niveau de

sécurité Bluetooth n'est pas maximal, certaines informations sont

échangées sans encryption entre les différents appareils, ce qui accroît les

risques puisque l'information n'a pas à être

hackée, mais elle peut plutôt être déduite à partir de l'information

interceptée par un tiers.

sécurité standard de la technologie Bluetooth inclut deux étapes

d'authentification, soit «legacy authentification procedure» et «secure authentication procedure». Celles-ci utilisent une clé

d'encryption. Ces mesures sont supposées empêcher les attaques par usurpation, aussi appelées BIAS, «Bluetooth

Impersonation Attacks». Une équipe de chercheurs européens provenant d'Oxford et de l'école polytechnique de Lausanne a

démontré que même la technologie la plus récente de Bluetooth était vulnérable à ce type d'attaque. Cette équipe a

attaqué différents types d'appareils possédant des puces électroniques des systèmes d'exploitation

différents les uns des autres afin de démontrer que ceux-ci ne sont pas à

l'abri des attaques par Bluetooth.

Bien

que BlueBorne et Bleedingbits soient les vulnérabilités les plus connues et

qu'elles aient été corrigées, elles ne sont

pas les seules qui ont été détectées. Effectivement, en février dernier,

BlueFrag, une nouvelle vulnérabilité critique, a été détectée. Celle-ci a également été corrigée peu de

temps après sa détection, mais elle démontre que de nouvelles mises à jour des systèmes d'exploitation des appareils

électroniques peuvent toujours introduire de nouvelles vulnérabilités.

En effet, Niels Schweisshelm, directeur du

programme HackerOne, estime que le Bluetooth et ses futures utilisations ne

seront jamais à l'abri de nouvelles failles.

Pour

le chercheur Jan Ruge, de la Technische Universität Darmstadt, le meilleur

moyen de se protéger contre des attaques

utilisant le Bluetooth est de désactiver celui-ci lorsqu'il n'est pas en

utilisation. Cette méthode de sécurité, bien entendu, irait à l'encontre

de toute utilisation d'un système de traçage.

contre, comme l'application Alerte COVID utilise le Bluetooth, il serait

nécessaire de laisser le Bluetooth de l'appareil

activé en tout temps, ce qui accroît les risques d'exploitation d'une faille.

Et, à partir du moment que les fraudeurs potentiels

démontrent un intérêt pour cette technologie-là et que le seuil d'utilisation

dépasse le 60 %, on accroît considérablement le risque.

Il faut être d'autant plus vigilant avec les

appareils mobiles fournis par l'employeur afin de ne pas mettre à risque

le système également de l'employeur, parce qu'à travers ces différentes attaques là ce

n'est pas nécessairement l'individu qui l'utilise qui peut être ciblé, mais bien l'employeur où il y a une

connexion avec l'appareil de l'employé en question. Qu'en est-il

également des outils utilisés par certains employeurs pour

contrôler l'utilisation de leur matériel? De plus, est-ce que ceux-ci

pourraient être tentés d'accéder aux informations personnelles à d'autres fins?

est important de noter que nous n'avons pas présentement accès à tous les

détails concernant les protocoles de sécurité et le niveau d'encryption

utilisé présentement par les outils proposés. De plus, Stas Protassov,

cofondateur et président de la technologie

d'Acronis, émet une mise en garde puisqu'il croit que certaines applications

malveillantes imitant l'application officielle pourraient être mises en

circulation.

est donc primordial que seule l'application officielle soit téléchargée afin

d'assurer la confidentialité des données personnelles des utilisateurs. On l'a vu pendant le COVID, il y a

beaucoup de fraudeurs qui ont profité, comme ils le font généralement, de cette situation-là pour leur

permettre d'avoir un motif, justement, d'effectuer des attaques. On l'a

vu notamment dans le cas du PCU.

conclusion, le succès d'une application de notification des contacts ou de

suivi de contacts dépend en grande

partie

de la confiance du public envers la fiabilité de l'outil et du gouvernement ou

de l'organisme qui le met en oeuvre. Il est primordial de ne pas

sacrifier le droit à la vie privée et la sécurité pour un outil technologique

dont les bienfaits ne sont pas garantis.

toutefois, une application est utilisée afin de protéger les données

personnelles, celle-ci devrait être analysée localement dans le

téléphone de l'usager et, idéalement, ne pas centraliser l'ensemble de ces

données-là. Si une application plus

intrusive était utilisée et que les données des usagers étaient stockées dans

un serveur localisé, il est certain que

plusieurs réseaux criminels seraient intéressés à accéder à ces

informations-là. On l'a vu, on l'a su, la concentration d'une grande

quantité de données attire de nombreuses attaques.

Et puis,

puisque l'application proposée par le gouvernement canadien n'est pas

accessible à tous, et si on la rend disponible aux versions antérieures

des systèmes d'opération pour pouvoir aller chercher un maximum d'utilisateurs,

nous courrons donc le risque de nous rendre

collectivement vulnérables à une autre forme de virus qui est très

intrusive et qui pourrait nous amener de Charybde en Scylla.

Le Président (M.

Bachand) : Merci beaucoup pour votre présentation. On débute la

période d'échange. Mme la députée de Jean-Talon, s'il vous plaît.

Mme Boutin : Bonjour, M. Sarrazin.

Merci beaucoup de votre présence. C'est vraiment très apprécié, là. La cyberdéfense, ça m'intéresse particulièrement, là.

Je dois vous avouer, je suis très au fait qu'il y a eu plusieurs...

Bien, il y a plusieurs attaques en tout

temps dans le monde... plusieurs institutions. Puis je ne veux pas faire peur

aux gens qui nous écoutent, là. Il y

a des mesures qui sont en place pour contrer ça. Même le gouvernement a

renforcé ses mesures dans la dernière année, parce qu'on était assez

conscients de ça.

Là, on parle

de quelque chose de très différent, puis je trouve intéressant... parce que ça

parle de nos appareils directement. Moi-même, j'ai quelques inquiétudes

parce que je suis une utilisatrice de beaucoup d'applications. Mon Bluetooth est activé en tout temps, mon wifi. Je

suis probablement une des personnes les plus à risque ici, dans la

salle, pour vrai, puis, en le disant, bien, peut-être qu'il y a des pirates qui

vont attaquer mon téléphone cel

Document details

Collection	Quebec — Committees
Citation	CI 2020-08-14
Type	committee
Volume / chapter	fr travaux parlementaires commissions ci 42 1 journal debats CI 200814.html
Language	en
Format	html
Source	PROVINCIAL
Identifier	e770fad6736cd77713cc2a357f31236203400fd4

Source file is stored in the law ingest library (html).