Une étude présentée à Black Hat USA 2024 révèle comment le système de positionnement Wi-Fi d’Apple permet de suivre des personnes et des mouvements militaires à l’échelle mondiale

La conférence Black Hat USA 2024 a été le théâtre de l’une des révélations les plus inquiétantes de l’année en matière de cybersécurité et de vie privée. Le chercheur Erik Rye, accompagné d’une équipe de l’Université du Maryland, a prouvé que le système de positionnement Wi-Fi (WPS) d’Apple peut être exploité pour créer un réseau de surveillance massive à l’échelle mondiale, sans que les utilisateurs en soient conscients.

Le fonctionnement de ces systèmes est simple et bien connu : chaque appareil mobile avec Wi-Fi actif détecte les réseaux à proximité et envoie des informations à leur sujet (adresse MAC ou BSSID, nom du réseau, intensité du signal et localisation GPS) aux serveurs de géants technologiques comme Apple, Google ou Microsoft. Ces bases de données permettent la géolocalisation en intérieur, mais l’étude démontre qu’elles peuvent également être utilisées à des fins beaucoup plus sombres.

D’une API ouverte à l’espionnage mondial

L’équipe de Rye a découvert que l’API d’Apple permettait des requêtes massives sans authentification ni limites strictes. Cela signifiait que n’importe qui, d’un cybercriminel à un état étranger, pouvait consulter la position de millions de réseaux Wi-Fi et, avec cela, suivre les mouvements de personnes et de dispositifs.

Au cours d’un an de recherche, l’équipe a recueilli plus de 2 milliards de BSSIDs, construisant une carte extrêmement détaillée des dispositifs et des emplacements dans le monde entier. De plus, l’API renvoyait des données sur jusqu’à 400 points d’accès à proximité par requête, multipliant ainsi la capacité de collecte.

Menaces réelles et usages dangereux

Le rapport présenté inclut des exemples pratiques démontrant comment ce système peut être utilisé :

• Espionnage militaire et suivi dans des zones de conflit : Les mouvements militaires et civils en Ukraine et à Gaza ont été suivis sans intervention physique, simplement par le biais du suivi des points d’accès Wi-Fi.
• Sous surveillance après des catastrophes : La disparition soudaine de réseaux Wi-Fi après les incendies de Maui a permis d’évaluer l’ampleur de la catastrophe et de suivre les évacuations.
• Suivi de personnes spécifiques : Un dispositif connecté en permanence à un réseau Wi-Fi peut devenir une balise mobile, pouvant être surveillée en temps réel.

Le rapport met également en garde contre la possibilité que des entreprises ou des gouvernements construisent des bases de données similaires par le biais de techniques comme le wardriving, sans avoir besoin d’accéder aux APIs officielles.

Impact mondial et manque de régulation

La base de données collectée par l’équipe de Rye couvre des régions densément peuplées et reflète des schémas globaux. L’exception est la Chine, où les restrictions légales empêchent la publication de données géographiques sensibles, démontrant que le contrôle étatique peut limiter l’exploitation de ces techniques.

Parmi les fabricants les plus touchés figurent TP-Link, Huawei et Vantiva, mais le cas le plus préoccupant est celui de Starlink. Les routeurs satellitaires utilisés par les forces ukrainiennes ont été suivis avec précision, ce qui pourrait avoir compromis des opérations militaires critiques.

La réponse d’Apple et des mesures insuffisantes

Après la publication de l’étude, Apple a mis en œuvre certains correctifs : restrictions par IP, option de désinscription volontaire et randomisation partielle des BSSIDs. Cependant, les chercheurs s’accordent à dire que ces mesures ne résolvent pas le problème fondamental.

Erik Rye avertit : « Le principal risque est que tout acteur malveillant, sans permissions spéciales, peut cartographier les mouvements de millions de personnes et d’actifs critiques sans être détecté ».

Comment se protéger ?

Le rapport recommande aux fabricants :

• De restreindre considérablement l’accès à leurs APIs.
• De supprimer les réponses renvoyant des données supplémentaires sur les réseaux voisins.
• D’implémenter la randomisation obligatoire des BSSIDs sur tous les routeurs, chose que des entreprises comme SpaceX ont déjà commencé à déployer pour leur réseau Starlink.

Aux utilisateurs, il est conseillé d’éviter l’utilisation prolongée d’un même routeur à différents endroits et, dans la mesure du possible, de choisir des dispositifs permettant de masquer ou de changer l’adresse MAC.

La surveillance passive qui passe inaperçue

Le cas exposé par Rye confirme ce que des experts en cybersécurité alertent depuis des années : la géolocalisation passive via le Wi-Fi est une forme de surveillance de masse qui ne nécessite ni autorisation, ni consentement, ni GPS.

Dans un monde où la connectivité est omniprésente, cette vulnérabilité représente une menace pour la vie privée individuelle, la sécurité nationale et la souveraineté technologique des pays.

Un débat qui ne fait que commencer

La présentation à Black Hat a déclenché un débat au sein de la communauté technologique et de cybersécurité sur la mesure dans laquelle des géants technologiques comme Apple ou Google doivent être tenus responsables de l’exploitation involontaire de leurs infrastructures à des fins d’espionnage.

Pour l’instant, les données continuent de circuler et les méthodes pour les exploiter restent actives. La question qui reste en suspens est : sera-t-il nécessaire d’une régulation internationale pour freiner cette menace ?

Références :