Ce qu’il faut savoir pour comprendre pourquoi la 5G est un vrai enjeu pour notre cybersécurité

Atlantico : Alors que la guerre qui oppose les Etats-Unis et le constructeur Huawei concernant la 5G fait rage, il est utile de comparer ce standard à la 4G et à la 3G. Quelles sont les différences entre ces différents standards en termes de sécurité ?

Jannik Dreier : La question de Huawei est une question qui se pose pour tous les standards, car une porte dérobée peut compromettre la sécurité dans tous les réseaux d’aujourd’hui. La raison est simple : dans leur architecture, on fait confiance à l’opérateur et ses équipements matériels. Cela est bien connu : Vodafone a accusé Huawei d’avoir utilisé une porte dérobée déjà dans le passé, entre 2009 et 2011, en Italie, longtemps avant la 5G.

Sinon, il y a eu effectivement des améliorations pour la 5G. Par exemple, dans la 3G et 4G, il est très facile de savoir quels téléphones sont présents à proximité juste en écoutant les messages entre téléphones et antennes du réseau, car l’identifiant unique (appelé IMSI) est envoyé sans aucune protection. Il y a des appareils dédiés pour cela, appelés « IMSI-catcher ». Dans la 5G, grâce à une protection supplémentaire, une attaque tellement simple n’est plus possible. En revanche, nous avons démontré récemment qu'avec une attaque légèrement plus compliquée on est toujours capable de détecter la présence d’un téléphone ciblé.

Peut-on dire que la 5G est une technologie qui est moins risquée en termes de sécurité des données ?

Cette question est trop large pour donner une réponse précise : comme expliqué précédemment, il y a eu des améliorations, mais toutes les failles ne sont pas corrigées. De plus, il y a plein de questions de sécurité différentes, avec des réponses différentes : le secret des données transmises, l’authentification des téléphones et du réseau, la protection de la vie privée des utilisateurs, la sécurité logicielle des téléphones et équipements réseau, etc.

Quels sont selon vous les points essentiels qu'il faudrait améliorer pour que la question de la sécurité ne se pose plus sous ce standard, si c'est possible ?

Je ne pense pas qu’on puisse donner une seule réponse qui corrigera toutes les problèmes de sécurité. La 5G est un système très complexe, qui peut être attaqué avec des moyens très variés et à différents endroits. En dehors des failles connues et pour lesquelles on connaît également très souvent des corrections, il y a aussi des interrogations sur les hypothèses de confiance faites par le standard, qui peuvent être mises en cause, comme dans le cas de Huawei. En même temps, proposer un standard sans aucune hypothèse de confiance paraît difficilement réalisable, cela sera du moins très coûteux, et donc pas intéressant pour les opérateurs : malheureusement, dans la pratique, la sécurité est toujours un compromis entre coût et protection apportée.