L’utilisation par les enquêteurs d’un identifiant d’appareil Windows peu connu pour éliminer un cybercriminel présumé a soulevé des problèmes de confidentialité et de transparence concernant la télémétrie Microsoft.
Une plainte pénale récemment publiée contre Peter Stokes, un membre présumé du groupe de cybercriminalité Scattered Spider, révèle des détails jusqu’alors inédits sur la télémétrie Windows.
Microsoft n’a jamais vraiment eu la réputation d’être axé sur la confidentialité, mais la plainte révèle le rôle important joué par le Global Device Identifier (GDID) de Microsoft, un identifiant persistant lié à une installation Windows, dans cette affaire.
« Microsoft ne surveillait pas ngrok ; il surveillait l’appareil, et les enquêteurs ont fait le lien », explique Dray Agha, directeur principal des opérations de sécurité chez Huntress, une société de détection et de réponse gérée.
Pourtant, l’acte d’accusation a suscité de nombreuses questions de la part de la communauté technologique au sens large et des défenseurs de la vie privée concernant les pratiques de collecte de données de Microsoft autour du GDID, peu connu et peu documenté.
GDID : Maillon d’une chaîne de preuves ou preuve irréfutable ?
Le GDID est un identifiant unique qui est automatiquement attribué et lié à une seule installation de Windows et qui reste cohérent dans toutes les mises à jour de Windows, bien que la réinstallation de Windows crée un nouveau GDID. L’ID est envoyé aux serveurs Microsoft dans le cadre de la capture télémétrique de divers services et applications liés à Microsoft, dont certains sont regroupés dans Windows.
Selon l’acte d’accusation, les archives de Microsoft ont montré que l’appareil Windows lié au GDID de Stokes a visité une page d’inscription à ngrok, un service utilisé pour exposer en toute sécurité les serveurs de développement locaux à Internet. Les enregistrements auraient également montré que l’appareil Windows associé au GDID de Stokes accédait à des sites Web via les serveurs proxy Tzulo et visitait ensuite le site Web de l’entreprise victime.
Les détails de cette activité qui auraient été collectés par Microsoft et liés à l’appareil Windows de Stokes ont soulevé d’importantes inquiétudes parmi les utilisateurs de Windows et la communauté de la confidentialité des données.
Mais comme le souligne Benson Varghese, avocat pénaliste du cabinet d’avocats américain Varghese Summersett, la plainte pénale est un document de cause probable plutôt qu’une piste d’audit technique.
Everett Lupton, avocat pénaliste au sein du cabinet d’avocats américain Slaughter & Lupton, souligne également la nature techniquement ambiguë de l’acte d’accusation.
Lupton poursuit : « Il est également possible que Microsoft ne détenait pas un historique de navigation complet. Les enquêteurs auraient pu corréler les appareils Microsoft, l’horodatage et les enregistrements IP avec des enregistrements distincts obtenus de ngrok et Tzulo. Cela ne ressort pas clairement du libellé de la plainte. «
Si les enregistrements proviennent d’Edge, SmartScreen, Defender, des services de compte Microsoft, des rapports d’erreur ou d’un autre composant Microsoft, les implications juridiques et en matière de confidentialité soulevées autour du GDID passent de la conservation persistante de l’activité associée à un utilisateur individuel à celles qui résultent de la corrélation de sources d’informations disparates.
« Si Microsoft disposait simplement d’horodatages, d’adresses IP, d’identifiants d’appareil ou de télémétrie de sécurité que les procureurs ont ensuite corrélé avec les journaux ngrok et Tzulo, cela serait différent du fait que Microsoft conserve l’historique de navigation », selon Varghese. « Le langage des plaintes est trop vague pour y répondre avec assurance. »
D’après Agha de Huntress, les enquêteurs « ont probablement corrélé les journaux d’accès assignés à comparaître de Ngrok et Tzulo avec la télémétrie Windows standard ».
« L’acte d’accusation donne l’impression d’une simple base de données, mais en réalité, les enquêteurs ont assemblé des sources de données disparates après coup », dit-il.
La confidentialité a ses limites
L’affaire met en évidence les limites en matière de confidentialité des technologies améliorant la confidentialité telles que les réseaux privés virtuels (VPN) et Tor, qui servent à masquer la source et la destination du trafic Internet grâce à l’utilisation de proxys et de relais.
« Des outils comme Tor et les VPN masquent les adresses IP, mais les identifiants persistants comme le GDID sont intégrés au système d’exploitation lui-même », explique Agha. « Si un appareil « téléphone » régulièrement à Microsoft pour des mises à jour ou une synchronisation alors qu’il est connecté à un proxy, il diffuse son identifiant unique à partir de cette adresse IP masquée. »
Agha ajoute : « Cela marque effectivement le proxy avec un appareil connu, supprimant ainsi l’anonymat que l’outil de confidentialité était censé fournir ; la sécurité opérationnelle s’arrête souvent au niveau de la couche réseau. »
Varghese ajoute : « Cette affaire montre pourquoi la télémétrie des points finaux est souvent plus précieuse pour les enquêteurs que les journaux réseau. Si les données ont été collectées avant que quiconque connaisse le nom du suspect, les outils de confidentialité utilisés ultérieurement n’auront peut-être pas beaucoup d’importance. »
Attraper un suspect Scattered Spider est une victoire évidente pour les forces de l’ordre, mais cela révèle que chaque utilisateur Windows standard génère un enregistrement tout aussi durable et consultable bien avant que quiconque ne soit un suspect.
« Le fait qu’un identifiant d’appareil persistant puisse être interrogé par les forces de l’ordre pour démasquer les utilisateurs soulève des questions légitimes et sous-discutées sur les périodes de conservation des données de Microsoft, l’absence d’une option de désinscription claire pour le GDID et les implications plus larges en matière de confidentialité pour les utilisateurs quotidiens », conclut Agha.
Les entreprises technologiques peuvent être tenues de fournir des enregistrements de compte et d’appareil lorsqu’elles sont accompagnées d’assignations à comparaître, de mandats ou d’ordonnances judiciaires valides. « Cependant, les utilisateurs peuvent encore être surpris qu’un seul identifiant persistant puisse aider à relier l’activité entre différentes adresses IP et services », conclut Lupton.
Le problème plus large de la confidentialité est la transparence.
« Les gens doivent être clairement informés quand des identifiants d’appareil persistants sont utilisés, quelles activités peuvent y être liées, combien de temps les données sont conservées et comment ils peuvent réduire la collecte de ces informations », selon Lupton. « Le fait que ces dossiers puissent aider à enquêter sur des crimes graves n’élimine pas la nécessité de mesures de protection significatives de la vie privée et d’une surveillance juridique appropriée. »
