ProtonMail : alerte aux failles dans la messagerie « anti-NSA »

Chiffré de bout en bout, hébergé en Suisse, calé sur les révélations d’Edward Snowden concernant les opérations de cyber-espionnage menées par les agences de renseignement : le système de messagerie « ultra-sécurisé » ProtonMail semblait presque invulnérable.

Un chercheur en sécurité allemand du nom de Thomas Roth a démontré le contraire… avec une simple injection JavaScript. Il a utilisé le mode développeur du navigateur Web Google Chrome pour éditer un message sortant et y intégrer du code malveillant qui s’exécutait ensuite sur la machine du destinataire lorsque celui-ci ouvrait le site protonmail.ch.

Ces expérimentations, Thomas Roth les a menées sur une ancienne version bêta de ProtonMail, sortie en l’occurrence au mois de mai. C’est tout du moins ce qu’assure l’éditeur du logiciel, qui a consulté la vidéo publiée par le chercheur. Une version que confirme l’intéressé. « Je leur avais communiqué des informations sur cette faille en mai« , déclare-t-il au Register. Et d’ajouter : « Il m’a semblé bon de communiquer sur cet incident [au sujet duquel] les équipes de ProtonMail n’ont jamais averti les utilisateurs« . Il conclut : « Des correctifs ont été appliqués, mais on ne m’a même pas prévenu… alors même que le succès d’un tel service repose sur une relation de confiance entre les parties« .

ProtonMail a effectivement pris des mesures et confirme aujourd’hui que « toutes les vulnérabilités » signalées par Thomas Roth appartiennent au passé. Ce qui sous-entend que le chercheur allemand avait bel et bien trouvé d’autres brèches. Notamment une de type « Cross-Site Request Forgery » (CSRF) permettant de contourner les mécanismes d’authentification en faisant réaliser à la victime des actions à son insu – généralement des requêtes HTTP. Dans le cas présent, il s’agissait de modifier les signatures en bas des e-mails… et d’y intégrer, par exemple, du code malveillant.

Encore au stade de la bêta*, ProtonMail s’appuie sur des mécanismes de (dé)chiffrement côté client, dans le navigateur, avant l’envoi et la réception des messages. Cette implémentation est d’autant plus difficile à réaliser qu’il faut y coupler la dimension d’analyse anti-malware, mais elle permet de créer un service plus robuste que la plupart des offres existantes.

Autre argument de ProtonMail : la localisation des serveurs en Suisse, un pays où les lois régissant la confidentialité sont très contraignantes. Il s’agit a priori d’un avantage face à des services comme Lavabit – aujourd’hui fermé – et la Dark Alliance Mail, qui, en choisissant un autre lieu d’implantation, ont eu affaire aux autorités américaines. Ces dernières leur ont demandé de livrer les clés de chiffrement au nom de la loi.

* A l’origine de ProtonMail, on retrouve une douzaine d’étudiants du MIT et un doctorant de Harvard ayant travaillé pour le CERN. Le service est accessible gratuitement, mais une contribution de 5 dollars par mois est demandée aux utilisateurs intensifs. Il n’y a aucun module complémentaire à installer : pour lire un message délivré par ProtonMail, les utilisateurs de Yahoo, Gmail et autres reçoivent un lien à ouvrir sur leur navigateur et, après authentification, ils peuvent accéder au contenu.

—— A voir aussi ——
Quiz ITespresso.fr : que savez-vous à propos du W3C ?