La société se spécialise désormais dans la sécurisation des objets connectés, des voitures aux caméras, en passant par les ascenseurs. Kudelski vient aussi de lancer un système de chiffrement des communications via smartphone. Reportage dans ses laboratoires de Cheseaux-sur-Lausanne
Des champs au sud des bâtiments, non loin à l’est, une zone de villas en bordure de forêt. Le visiteur peine à croire, en arrivant à Cheseaux-sur-Lausanne, qu’il est sur le point d’entrer dans la place forte de Kudelski. La multinationale, historiquement connue pour ses enregistreurs audio, puis ses solutions de télévision payante, mise désormais sur un nouveau créneau: la cybersécurité. Mais également la sécurisation des objets connectés. Fin novembre, le groupe vaudois a ainsi lancé, avec le fabricant allemand Sennheiser, une oreillette pour chiffrer les conversations téléphoniques.
Dans son bureau, Jean-Michel Puiatti tient dans la main un smartphone et une petite puce de quelques millimètres de côté. «Nous sommes parvenus à installer un système de chiffrement directement dans le silicium. C’est le moyen le plus avancé pour sécuriser les communications vocales et texte», explique le responsable de l’unité Internet des objets au sein de Kudelski. Mais les applications WhatsApp, Telegram ou Signal ne fournissent-elles pas déjà un chiffrement de bout en bout? «En investissant un millier de francs, vous pouvez extraire les clés de chiffrement de la mémoire du téléphone et récupérer le flux de communication encrypté. C’est encore plus facile sur un téléphone Android en y installant un logiciel malveillant», assure-t-il.
Piratage de téléphone
Quelques minutes plus tard, l’un de ses collègues effectue une démonstration d’interception sur une application de chiffrement des communications bien connue. «Installez l’application sur votre iPhone et appelez-moi», dit-il. Je m’exécute et je l’appelle. Trente secondes plus tard, il me fait entendre notre conversation, piratée et enregistrée, sur un ordinateur. «Il a suffi que vous appeliez un téléphone Android piraté pour que l’appel soit intercepté», précise-t-il.
Nous nous adressons aux représentants de gouvernements ou de responsables de multinationales qui cherchent une solution parfaitement sûre
Jean-Michel Puiatti
responsable de l’unité Internet des objets
Kudelski a ainsi développé une puce sécurisée offrant une «entropie de chiffrement symétrique» extrêmement élevée de 768 bits – alors qu'en général, des clés de 256 bits sont utilisées. Celle-ci s’intègre sous la forme d’une carte SD dans les smartphones Android, au travers de l’interface MicroSD, et dans les iPhone au travers d’une coque de sécurité. Ce nouveau produit vient d’être lancé sous sa marque White Noise. Une oreillette hautement sécurisée, développée en collaboration avec Sennheiser et commercialisée par Kudelski, a été lancée en même temps. Aucun prix n’est divulgué, mais il s’agirait d’un système d’abonnement pour les entreprises accessible à toutes les bourses, selon la société. «Nous nous adressons aux représentants de gouvernements ou de responsables de multinationales qui cherchent une solution parfaitement sûre», précise Jean-Michel Puiatti. Les communications sont ainsi chiffrées dès l’oreillette. Et pour que toute la conversation soit chiffrée, il faut que les deux interlocuteurs en soient équipés.
Sécuriser des voitures
Kudelski ne veut pas se contenter de sécuriser les smartphones. Il ambitionne que ses puces soient utilisées dans l’ensemble de l’écosystème des objets connectés, pour sécuriser des voitures, des ascenseurs, des imprimantes, des caméras, ou encore des smart meters (compteurs intelligents). «Notre expertise dans la sécurisation des contenus télévisuels, notre activité de base, nous a été extrêmement précieuse pour entrer sur ce nouveau marché, poursuit Jean-Michel Puiatti. Nous avons commencé par une petite équipe à tester la sécurité de systèmes de plusieurs clients potentiels. Nous avons pu ensuite passer de la phase de consultant à celle de fournisseur de solutions.»
Ainsi, une centaine d’ingénieurs travaillent déjà à Cheseaux pour la nouvelle unité dédiée à la sécurisation de l’Internet des objets. Cette unité découle aussi de la création, en 2012, de Kudelski Security, la division cybersécurité du groupe. Aux Etats-Unis, et notamment à Phoenix (Arizona), environ 300 employés sont actifs dans ce domaine. N’y a-t-il pas le risque de migrer l’ensemble du personnel aux Etats-Unis? «Absolument pas, le site de Cheseaux est et restera à l’avenir le centre de compétence principal en matière de recherche et développement en sécurité, ceci en raison de la qualité de nos équipes et de l’excellence des ingénieurs que l’on trouve dans la région. Le développement américain s’inscrit en complémentarité au site de Cheseaux, en permettant d’avoir une meilleure proximité avec le premier marché de sécurité au monde», assure Jean-Michel Puiatti.
Tests de vulnérabilités
Dans une salle avoisinante, Jean-Michel Puiatti se lance dans une autre démonstration. En quelques minutes, il montre comment une simple caméra de surveillance intérieure peut être piratée, en affichant sur un écran de contrôle une situation normale, alors qu’il y a en fait un intrus dans la maison. «La plupart des fabricants de matériel connecté n’ont pas intégré la dimension sécurité lors de la conception et les utilisateurs négligent très souvent de mettre à jour leurs machines. Nos puces sécurisées pourraient leur être utiles. Nous sommes d’ailleurs en discussion avec des villes pour sécuriser l’ensemble de leur parc de caméras.» Juste à côté, sur des étagères, trônent des dizaines de caméras, babyphones ou enceintes connectées. «Nous testons de nombreux appareils pour détecter leurs vulnérabilités», précise Jean-Michel Puiatti.
Kudelski, ce sont plusieurs mondes d’apparence très différents qui se côtoient. Un peu plus loin, dans une petite salle, un ingénieur s’active au milieu de smartphones éventrés, de disques durs en morceaux et d’ordinateurs démontés. Depuis dix ans, ce spécialiste en forensique dissèque tout type d’appareils. «Nous sommes mandatés tant par des entreprises que par des gouvernements pour analyser des éléments de preuve, explique-t-il. Il peut par exemple s’agir d’ausculter un ordinateur piraté pour rechercher l’auteur du forfait, de manière très rapide et en faisant attention à ne détruire aucun élément de preuve.» Par exemple, dans un autre registre, l’équipe de Kudelski Security a aussi été chargée par les forces de l’ordre d’identifier des pirates informatiques qui avaient contrefait des distributeurs d’argent.
Avec la police sud-américaine
En Amérique du Nord et latine, la petite équipe forensique s’engage aussi parfois sur le terrain. «Il nous arrive d’accompagner, à leur demande, des officiers de police lors de raids dans des bâtiments, lorsqu’il faut immédiatement trouver des preuves numériques de délits. Très souvent, nous disposons d’une expertise que les pouvoirs publics ne peuvent mobiliser en très peu de temps.» Kudelski analyse des smartphones, mais «les iPhone deviennent de plus en plus difficiles à pénétrer», sourit le spécialiste.
Pour «craquer» un code ou entrer dans le système informatique d’un pirate, il y a bien sûr la méthode logicielle, affirme le responsable. Mais il y a aussi la méthode physique
Il faut ensuite prendre la voiture afin d’aller visiter un autre bâtiment du site de Cheseaux. «Le laboratoire d’évaluation de sécurité a été conçu pour aller au plus profond des attaques de pirates, en utilisant des appareils très perfectionnés pour comprendre leurs techniques», explique le responsable du laboratoire. De part et d’autre du couloir vitré, l’on distingue de grands appareils – «certaines valent plus d’un million de francs, l’investissement est important», poursuit le spécialiste. «Pour «craquer» un code ou entrer dans le système informatique d’un pirate, il y a bien sûr la méthode logicielle, affirme le responsable. Mais il y a aussi la méthode physique. L’une de nos machines utilise par exemple le plasma pour analyser, couche par couche, des circuits informatiques. L’acide est aussi utilisé pour accéder au silicium, tout comme des microscopes à balayage électronique extrêmement puissant.»
Utilisation de lasers
Cela permet par exemple d’extraire des données directement de la puce, de détecter d’éventuels points d’entrée cachés (backdoors). Des lasers sont également utilisés pour injecter des fautes dans les systèmes afin d’identifier si l’appareil est vulnérable à des attaques complexes. Ces équipements – tout comme les vingt-cinq ans d’expérience du groupe à tester les produits électroniques les plus sophistiqués – sont uniques en Suisse, et peu commun dans le monde, affirme la société.
Anouch Seydtaghia