Mot de passe, minuscules, majuscules et caractères spéciaux ?

Mot de passe, minuscules, majuscules et caractères spéciaux ?

Lors d’une Cryptoparty, une question sur la composition d’un mot de passe m’a était posée, la personne m’expliquait que l’informaticien de son boulot lui avait confirmé qu’un mot de passe de 15 caractères en minuscules était robuste, et que l’ajout de majuscule et/ou des caractères spéciaux ne servirait à rien.

J’ai répondu que cela était faux, et pour que le mot de passe soit le plus complexe possible il faut obligatoirement ajouter des majuscules et des caractères spéciaux.

En fait, nous avons raisons tous les deux, et ce fut une erreur de ma part de dire que l’informaticien avait tord.

Oui un mot de passe de 15 caractères tout en minuscule est un mot de passe robuste à l’heure actuelle, même si l’ajout des majuscules et des caractères spéciaux le rendent beaucoup plus complexe.

Plus c’est long plus c’est bon

Plus le mot de passe est long, moins il a besoin d’être d’être complexe, une chaîne aléatoire de caractère minuscule suffit, j’ai fais moi même des calcules avec mon ordinateur doté d’un processeur core i5.

L’attaque d’un mot de passe par Brute force est basé sur les mathématiques des « Permutations avec Répétition »

Si nous gardons notre exemple avec un mot de passe de 15 caractères

Cas N° 1 – Si il est composé uniquement de minuscule, il existe environ 3.7×1030 (3.7 Dekillion) de combinaisons possibles
Cas N° 2 – Si il est composé de minuscule et majuscule, il existe environ 14*1060 (14 Icosillion) de combinaisons possibles
Cas N° 3 – Si il est composé de minuscule, majuscule et de 18 caractères spéciaux, il existe environ 21*1081 (21 Icosiheptillion) de combinaisons possibles
Cas N° 4 – Si il est composé de minuscules, majuscules, chiffres et de 18 caractères spéciaux, il existe environ 1220*1090 (1220 Triacontillion) de combinaisons possibles

En sachant qu’un ordinateur de maison (Le mien en occurrence) avec un processeur de base (i5) combiné à un script de génération de combinaisons qui utilise les permutations avec Répétition, peut faire environ 256*1020 (256 Hexillion) de combinaisons/minute[1].

Il faut plus de 28209 ans pour tester toutes les combinaisons du premier cas, et a plus de 110*1033 année pour le Cas N° 2

Mais la période se réduit considérablement avec les superordinateurs, dont le plus puissant à l’heure actuel est le TaihuLight, il est 4,6 million de fois plus performant que notre petit i5.
En faisant un calcule grossier, il faut environ 2 jours et demi pour tester toutes les combinaisons du cas 1. Je vous rassure, tout le monde n’a pas de superordinateur sous la main.

Mais pour le cas n° 2, c’est a dire un mot de passe de 15 caractères, constitué de majuscules et minuscules on passe à 8,63*1030 années

Et cela n’est pas tous, dans les 4 cas que nous avons vu, nous connaissons le nombre de caractère, c’est a dire 15, imaginez vous, alors, le nombre de combinaisons possibles si le nombre de caractère était inconnu ?

Cela démontre bien qu’il est impossible, à l’heure actuelle, de casser un mot de passe de 15 caractères[2], même si celui-ci n’est constitué que de minuscules pour de « simple mortel » comme nous, mais que cela reste possible pour un superordinateur (2,5 jours)

Ce petit exemple démontre bien l’importance d’ajouter à ses mots de passe les majuscules, les chiffres et les caractères spéciaux.

Mais ce qu’il faut également retenir, c’est qu’il ne faut jamais donner les caractéristiques de son mot de passe, c’est à dire sa longueur et le type de caractères dont il est composé. Car en donnant ces deux informations, vous réduisez drastiquement le nombre de combinaisons possibles pour le casser, et cela est d’autant plus vrais si ce dernier fait moins de 10 caractères.

Je vous recommande de lire mon précédent article sur le gestion des mots de passe


[1]Théoriquement, le core i5 a une “puissance” d’environ 20 GigaFlops, alors que TaihuLight a lui une puissance de 93 pétaflops

[2]Ici je parles uniquement de mot de passe dont les caractères ont étaient générés aléatoirement, et non de mot de passe constitué de “mot” du dictionnaire ou du quotidien

Comment trouver le mot de passe d’un ZIP avec fcrackzip

Comment trouver le mot de passe d’un ZIP avec fcrackzip

Un fichier zip demande un mot de passe que vous n’avez pas ? fcrackzip est votre ami 🙂

Il arrive, souvent, de tomber sur des fichiers ZIP dont l’ouverture se fait via un mot de passe, et c’est très frustrant de tomber sur ce type de fichier si vous avez pas LE fameux sésame.

fcrackzip est un petit utilitaire libre, puissant et très facile à utiliser, il est développé et maintenu par Marc Lehmann. L’attaque du fichier ZIP peut se faire soit via un dictionnaire ou par brute force.

L’installation est très simple avec un simple apt-get

1
apt-get install fcrackzip

Vous pouvez aussi télécharger les fichiers sources et compiler vous même.

l’utilisation se fait selon la syntaxe suivante

1
fcrackzip option fichier.zip

Voici les options indispensables que vous devez connaître (toutes les options)

-h : Vous donne la version et l’aide
-v : Mode verbeux
-b : En mode Brute Force. Il tentera toutes les combinaisons possibles selon vos spécifications.
-D : utilisation d’un dictionnaire. Dans ce cas, on utilise un fichier qui doit contenir un mot de passe par ligne et doit être classé par ordre alphabétique
-c : nous spécifions les caractères à utiliser lors du brute-force, cela peut être une ou une combinaison de ce qui suit :

  • a = tous les caractères minuscules [a-z]
  • A = tous les caractères majuscules [A-Z]
  • 1 = tous les caractères numériques [0-9]
  • ! = inclure les caractères suivant [!:$%&/()=?{[]}+*~#]
  • : = inclure un ou plusieurs caractères spécifiques.

Pour utiliser fcrackzip avec un dictionnaire de mots, il faut utiliser l’option -D (–dictionary)

1
fcrackzip -D -p listeMots.txt monFichier.zip

Il va de soit qu’il faut un dictionnaire de bonne qualité, complet et assez bien fourni pour que cela fonctionne.

Pour l’utiliser en mode Brute-Force, il faut bien choisir les types de caractères et la longueur des mots de passe que nous voulons utiliser, plus vous mettez de type caractère plus l’attaque sera longue. il est de même si le nombre de caractère d’un mot de passe est élevé.
Il ne faut pas oublier l’option -b pour brute-force

Exemples de syntaxes

Tous les exemples si dessous sont en mode verbeux (-v) et test de dézip (-u pour unzip)

1
fcrackzip -b -c aaaaa -v -u monFichier.zip
1
fcrackzip -b -c a -v -u -l 5 monFichier.zip

Ces deux syntaxes sont identiques, ici seuls les mots de passe de 5 caractères en minuscules seront testés

1
fcrackzip -b -c aA -v -u -l 3-6 monFichier.zip

Les mots de passe entre 3 et 6 caractères contenant des minuscules et majuscules seront testés

1
fcrackzip -b -c aA1 -v -u -l 3-6 monFichier.zip

Les mots de passe entre 3 et 6 caractères contenant des minuscules, majuscules et chiffres seront testés

1
fcrackzip -b -c aA1! -v -u -l 3-6 monFichier.zip

Les mots de passe entre 3 et 6 caractères contenant des minuscules, majuscules, chiffres et les caractères spéciaux [!:$%&/()=?{[]}+*~#] seront testés

1
fcrackzip -b -c aA:.? -v -u -l 3-6 monFichier.zip

Les mots de passe entre 3 et 6 caractères contenant des minuscules, majuscules et caractères spéciaux “.” et “?” seront testés

Dès fois en vidéo c’est plus parlant : tuto vidéo

Voilà, à vous de jouer maintenant

Comment je suis devenue invisible

Comment je suis devenue invisible

anonymous
anonymous
Hier soir France 4 a diffusé l’excellent documentaire « comment je suis devenue invisible » de la journaliste et réalisatrice Alexandra Ranz.

Ce documentaire retrace les étapes suivis par la journaliste pour disparaître numériquement, chose très très compliqué à faire de nos jours, sans se couper du monde.
Le cheminement de la réalisatrice est logique et minutieux, en commençant par l’hygiène numérique en passant par la téléphonie et en finissant pas la reconnaissance faciale. Tout un parcours où il faut à chaque étape faire des sacrifices et des compromis allant des fois jusqu’à l’extrême.

Comment je suis devenue invisible
Comment je suis devenue invisible

C’est au cours d’un café vie privée à Versailles que j’ai rencontré Alexandria où elle m’a expliqué le concept de son documentaire « Comment je suis devenue invisible », et j’ai de suite adhéré au projet malgré mes réticences vis-à-vis des médias, car nous (Le collectif café vie privée) avons déjà eu affaire à « Envoyé spéciale » et nous étions très déçus par le résultat ou l’absence de résultat.

Mais cette fois c’est différant, car dans « Comment je suis devenue invisible » Alexandra à bien cerné les problématiques engendrés par la collecte massive des données personnelles via le numérique et la difficulté d’y échapper sans tombé dans le sensationnel ou le buzz à tous prix. Aujourd’hui il fait partie de ma vidéothèque taguée “Surveillance” à coté de celle taguée “Q” 😛

Pour ma part ce fut une première d’apparaître dans un documentaire TV aussi complet, au côté de Richard Stallman, Karsten Nohl et bien d’autre!! la classe (lool)

En tous cas je vous recommande vivement « Comment je suis devenue invisible » vous pouvez ainsi faire votre propre opinion via le replay

Erreur de communication avec gpg-agent dans Enigmail

Erreur de communication avec gpg-agent dans Enigmail

Il y a deux trois jours en lançant mon Thunderbird, un message d’erreur s’est affiché m’indiquant que ce dernier avait rencontré des problèmes avec gpg-agent. “erreur de communication avec gpg-agent”

Voici le message en entier

GnuPG a rapporté une erreur de communication avec gpg-agent (un composant de GnuPG).

Ceci est une erreur d’installation ou de configuration qui empêche Enigmail de fonctionner correctement et qui ne peut pas être corrigée automatiquement.

Nous vous conseillons vivement de consulter notre page de support sur notre site internet à l’adresse https://enigmail.net/faq.

En effet il était impossible d’envoyer des messages chiffrés et/ou signés, la lecture et le déchiffrement des messages eux fonctionne bien.

En cherchant un peu sur le web, j’ai découvert que ce problème vient du fait que certaines versions de Gnome Keyring détournent la connexion à l’agent GPG – gpg-agent- (ils interceptent toutes les communications entre gpg ou gpgsm et gpg-agent) en définissant la variable d’environnement GPG_AGENT_INFO pour qu’elle pointe vers le processus Gnome Keyring. ce dernier filtre alors toute communication avec gpg-agent.

Solution de l’erreur de communication avec gpg-agent

Il existe plusieurs solutions à cette erreur de communication avec gpg-agent, mais la plus simple à mettre en œuvre est la suivante:

créez un répertoire “autostart” dans le répertoire .config (il n’est pas nécessaire d’être connecté en root)

1
mkdir -p ~/.config/autostart

Copiez le fichier “/etc/xdg/autostart/gnome-keyring-gpg.desktop” dans ce répertoire

1
cp /etc/xdg/autostart/gnome-keyring-gpg.desktop ~/.config/autostart/.

Éditez ce fichier avec votre éditeur de texte préféré, pour ma part c’est vi

1
vi ~/.config/autostart/gnome-keyring-gpg.desktop

Et ajoutez la ligne suivant à la fin du fichier

1
X-GNOME-Autostart-enabled=false

Redémarrer la machine pour que la nouvelle config soit prise en compte.

Pour moi cette solution a réglé le problème, si ce n’est pas le cas pour vous, une autre solution propose d’ajouter les lignes ci-dessous en plus de la précédente.

1
2
Hidden=true
NoDisplay=false

[MAJ le 21/04/2016]

Solution pour Debian 8

Dans le cas Icedove (Thunderbird sur Debian)

– Ouvrir Icedove/Thunderbird
– Supprimer Enigmail dans les Plugins/Add-ons puis fermer Icedove/Thunderbird
– Ouvrir le gestionnaire de paquets Synaptic, rechercher enigmail, l’installer selon la procédure habituelle
– Relancer Icedove

Merci (Khrys)

Cet article vous a aidé ? n’hésitez pas à le partager !! 😛

Disque dur RAW : récupération des données

Disque dur RAW : récupération des données

Ce billet et plus un retour d’expérience qu’un tutoriel.

J’avais besoin pour mon serveur maison d’ajouter un disque dur pour tester un script d’analyse de données, et en fouillant dans mon bazar, j’ai trouvé un ancien disque SATA de 500Go, exactement ce dont j’ai besoin. En le branchant sur une machine sous Ubuntu pour prendre connaissance de son contenu, paffff impossible de le monter :

1
Error mounting /dev/sdb1 at /media/: Command-line `mount -t "ntfs" –o

J’avais beau tester toutes les commandes habituelles ; Testdisk, fsck, SMART etc.. Mais rien à faire, en fouillant un peu sur le net, j’ai lu sur un forum, que si le disque dur est en NTFS, les outils les plus adaptés pour le réparer seront sur Windows 0_o, j’étais sceptique, mais vu que sur Linux je n’arrivais pas à résoudre le problème, et que le seul tuto trouvé sur unbuntu-fr utilisé une VM Windows, je me suis dis pourquoi pas.

De ce pas j’ai rebooté ma machine sur Windows, et en effet le disque dur se monte bien, mais une fenêtre s’ouvre en me demandant de formater le disque, ce que je ne voulais pas faire.

Et c’est en allant sur la gestion des « disques durs » que j’ai vu le tag RAW sur le disque

Disque dur RAW
Disque dur RAW

Disque dur RAW c’est quoi 

Un disque dur en RAW est un disque dont les données sont inaccessibles pour Windows (Linux aussi dans mon cas), la cause de ce problème peut être divers ;  corruption du système de fichier (FS), attaque de virus ou trojan

Une fois le disque dur interne ou externe est en mode « RAW », vous ne serez plus en mesure d’accéder aux partitions et de ce fait ni à votre ordinateur. Le seul correctif proposé par Windows est formatage, mais dans ce cas vous prenez le risque d’effacer définitivement vos données.

Que faire alors ?

Testdisk, pourtant privilégié pour résoudre ce problème n’a rien donné, que ce soit sur Windows ou Linux. Même constat pour les autres applications dont certaines sont très exotiques et que j’ai testé uniquement sur une machine virtuelle pour parer à une éventuelle casse.

GetDataBack le sauveur.

Parmi tous les logiciels testés, seul GetDataback et plus précisément GetDataBack for NTFS m’a donné satisfaction, j’ai pu, avec ce logiciel, visualiser l’ensemble des données présent dans le disque dur  RAW, après quelques heures d’analyse.

Dans mon cas il n’y avait rien d’intéressant, à part deux ou trois photos que je veux récupérer, mais pour les copier il fallait une licence GetDataBack, chose que je n’ai pas bien évidement.

Je me suis dit alors que si GetDataBack a pu accéder aux données du disque dur RAW, un outil comme « chkdsk » qui est nativement installé sur Windows peu le faire.

Et en effet, c’était le cas, et voici comment faire :

Quand vous branchez votre disque dur RAW, retenez la lettre de montage, dans mon cas c’est la lettre “I” (i)

Montage disque
Montage disque

Puis lancez  l’ « Invite de commande »  Windows comme suite : cliquez sur démarrer –> tapez « cmd » dans le champ de recherche.

Invite de commandes
Invite de commandes

Puis tapez les commande suivantes :

1
chkdsk I: /F

I = a la lettre de montage de mon disque dur

L’analyse peut durer un sacrée moment, plus de 10 heure dans mon cas, mais l’attente est récompensée par un disque dur qui fonctionne comme au premier jour.

Une dernière chose, mais vu que vous êtes arrivé là vous devez en être conscient, n’oubliez jamais de sauvegarder vos données :), c’est l’une des bases d’une bonne hygiène numérique.

Solution firmware: failed to load brcm/bcm43xx-0.fw sur Debian 8

Solution firmware: failed to load brcm/bcm43xx-0.fw sur Debian 8

failed to load brcm/bcm43xx-0.fw

Lors d’une nouvelle installation de Debian 8 sur un pc portable, il m’était impossible de me connecter en Wifi, ce dernier ne trouvant aucun réseau actif.
En cherchant un peu dans les logs de démarrage avec “dmesg” j’ai trouvé que c’est le firmware de la carte wifi qui était absent.

1
failed to load brcm/bcm/bcm43xx-0.fw (-2)

Ce firmware n’étant pas libre, et donc non disponible dans les dépôts Debian par défaut lors d’une installation standard.

résoudre le problème failed to load brcm/bcm43xx-0.fw

Apparemment, en cherchant sur le net, je me suis rendu compte que je n’étais pas le seul à rencontrer ce bug, ce qui est rassurant en même temps :P. Mais la solution la plus claire que j’ai pu trouver est celle du Wiki de Debian

Et donc, pour résoudre ce problème “failed to load brcm/bcm43xx-0.fw” il nous faut ajouter le dépôt “nom-free” à la source liste de Debian, pour cela ouvrez le fichier /etc/apt/sources.list avec votre éditeur de texte préféré, pour moi c’est vi

1
vi /etc/apt/sources.list

puis ajouter la ligne suivant à la fin de ce fichier

1
deb http://http.debian.net/debian/ jessie main contrib non-free

faite une mise-à-jour de la liste des dépôts

1
apt-get update

Puis installez les paquets linux-headers appropriés et broadcom-sta-dkms, cela installera aussi le paquet recommandé wireless-tools.

1
apt-get install linux-headers-$(uname -r|sed 's,[^-]*-[^-]*-,,') broadcom-sta-dkms

DKMS compilera le module wl adapté à votre système.

Maintenant pour éviter les conflits, il faut décharger les modules qui peuvent nous compliquer l’installation

1
modprobe -r b44 b43 b43legacy ssb brcmsmac

On charge le module wl

1
modprobe wl

Rebooter le système pour une prise en charge des modification apportée

1
reboot

Et le tour est joué :)!! Je capte à nouveau les réseaux wifis disponibles.

Vous pouvez trouver la liste des périphériques pris en charge par le module wl dans le lien du wiki de Debian donné plus haut.

Café vie privée à l’Atelier Numérique de Versailles

Café vie privée à l’Atelier Numérique de Versailles

coucou,

Les cafés “vie privée” sortent de Paris et sa proche ceinture pour atterrir dans les Yvelines, et plus exactement à Versailles.
Je vous donne donc, rendez-vous le samedi 17 octobre pour une café vie privée/Chifrfêtte/crypto-Partye à l’Atelier Numérique de Versailles

Atelier Numérique de Versailles
8 rue Saint Simon
Versailles, 78000 France

Café vie privée

Pour rappel, les chiffrofêtes, café vie privée, ou CryptoParty sont des événements grand public pour vulgariser le chiffrement et la protection de données personnelles, ainsi qu’avoir une hygiène numérique efficace, via des discussions et/ou échange et l’utilisation d’outils appropriés.
Amener vos PC, smartphones ou autre.

N’hésiter

BIND DNS : query (cache) ‘*/IN’ denied

BIND DNS : query (cache) ‘*/IN’ denied

Ce matin en regardant les logs de mon serveur nouvellement réinstallé, je vois des milliers de lignes liées à BIND DNS :

1
2
3
4
5
...
09-Oct-2015 22:23:29.076 client 74.125.181.49#32935: query (cache) 'www.site.fr/A/IN' denied
09-Oct-2015 22:23:29.086 client 74.125.181.54#38723: query (cache) 'www.site.fr/A/IN' denied
09-Oct-2015 22:23:39.833 client 62.34.202.138#51968: query (cache) 'www.site.fr/A/IN' denied
...

Dans un premier temps, je pensais à une attaque du mon serveur, mais en cherchant bien sur le net, je n’étais pas le seul a être touché par ce problème lié à BIND9 les fameux “Faille DOS DNS”.
Et c’est bien ce que m’a confirmé l’outil dnstop, outil de monitoring de requêtes DNS, avec la commande

1
dnstop eth0

Dans mon cas, le serveur BIND DNS refuse bien les requêtes, d’où la mention “denied”, donc même si cela engendrait des kilomètres de ligne dans les fichiers logs, le serveur n’en souffre pas.

Oui mais comment faire pour bloquer tous ce raffut bind dns ?

J’ai pensé alors à fail2ban qui est un formidable outil pour bannir les IP trop encombrantes.
Mais cela s’avère une très mauvaise solution, car en général dans ce type d’attaques, les IP sont celles des victimes voir même de moteurs de recherche, et non celles des assaillants.
Bannir l’IP d’un moteur de recherche, ce n’est jamais bon.

Sécuriser sont serveur BIND DNS

Ce qu’il faut vérifier dans un premier temps, c’est si le serveur BIND DNS n’est pas récursif.

Avec la commande suivante

1
dig @IP_DU_SERVEUR SOA fr.

Si vous voyez dans les flags la mention “ra”, c’est que le serveur est récursif. (ra = recursion available)
Attention, vous devez faire ce test depuis l’extérieur de votre réseau local.

1
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

Pour corriger cela il faut ajouter à la fin du fichier de configuration de BIND les lignes suivantes

1
vi /etc/bind/named.conf.options

ajoutez

1
allow-recursion { 127.0.0.1; IP_DU_SERVEUR;};

Ce qui limite l’utilisation de BIND DNS au serveur lui même.

Ensuite ajoutez la ligne

1
allow-query-cache { 127.0.0.1; IP_DU_SERVEUR;};

Et cela pour interdire l’utilisation du cache de notre serveur
Ajoutez enfin

1
2
additional-from-cache no;
recursion no;

redémarrer bind pour la prise en compte des modifications

1
/etc/init.d/bind9 restart

Ref. Blog de bortzmeyer, Système Linux

Chiffrofête chez Mozilla Paris

Un évenement Chiffrofête est de retour pour une nouvelle édition et cette fois elle se déroule dans les locaux de Mozilla à Paris.

Chiffrofête c’est quoi ?

Chiffrofête, café vie privée, ou CryptoParty sont des événements grand public pour vulgariser le chiffrement et la protection de données personnelles, ainsi qu’avoir une hygiène numérique efficace, via des discussions et/ou échange et l’utilisation d’outils appropriés.

Donc venez nombreux à cette édition, elle est gratuite et libre évidemment.
Si vous en avez la possibilité, apportez votre ordinateur portable pour suivre les différents ateliers proposés lors de cette Chiffrofêt.
Et pour rendre le moment plus convivial, apportez quelques gourmandises salées ou sucrées si possible.

La Chiffrofêt se déroule dans les locaux de Mozilla Europe boulevard Montmartre à Paris qui à ouvert ses portes il y à un peu moins de deux ans.

N’hésitez pas à venir me voir si vous êtes présent, c’est toujours un plaisir de rencontrer les lecteurs du blog.

Ateliers généralement proposés

  • Surfe anonyme avec TOR
  • TrueCrypt : création de conteneur chiffré et/ou caché.
  • Keepass : Votre trousseau chiffré unique pour tous vos mots de passe
  • GPG : Thunderbird et Enigmail, création et gestion des clefs, réseau de confiance…
  • Les extensions FireFox et le traking sur internet
  • Crypto avancée : installation et configuration d’un serveur de fichiers chiffré et distribué (TAHOE-LAFS, Luks et autres), liste de diffusion chiffrée sur serveur chiffré…

Rendez-vous donc le samedi 14 mars 2015 de 14h00 à 18h00 dans les locaux de Mozilla Paris, 16 boulevard Montmartre, Paris.

Piratage de cartes SIM par la NSA et GCHQ

Piratage de cartes SIM par la NSA et GCHQ

Les dernières révélations d’Edward Snowden démontrent encore une fois que les services secrets américains et britanniques ne reculent devant rien pour la récolte de données à grande échelle.

Piratage de cartes SIM directement chez le fournisseur

Piratage de cartes SIM Schéma d'une diapositive top-secret GCHQ.
Schéma d’une diapositive top-secret GCHQ.
Après le piratage des Framework des disques durs divulgué par Kaspersky, des nouveaux documents Snowden démontrent que l’Agence nationale de sécurité américaine (NSA) et son équivalent britannique le GCHQ se sont introduits dans les systèmes de GEMALTO société néerlandais, leader mondial de fabrication de carte SIM et fournisseur dans plus de 85 pays dans le monde. Le piratage de cartes SIM consistait à voler des clés de chiffrement qui leur permettaient de surveiller secrètement les appels vocaux et transmission de données.

Selon les documents révélé par « The Intercept », site américain lancé par Glenn Greenwald, journaliste à l’origine des révélations Snowden, démontre que ce piratage donné à ces agences la possibilité de surveiller secrètement une grande partie des communications cellulaires dans le monde « sans que la compagnie de téléphone et les autorités du pays soient au courant » explique le site « Le GCHQ, avec le support de la NSA, a puisé dans les communications privées d’ingénieurs et d’autres salariés du groupe dans de multiples pays et Il est impossible de savoir combien ont été volées par la NSA et le GCHQ, mais le nombre est sidérant » explique « The Intercept »

Ces révélations démontrent aussi que l’utilisation de téléphone ancienne génération ne protéger en rien de l’espionnage massif comme il était bon de le croire, car aujourd’hui l’utilisation de la technologie mobile est forcément non sécurisé.

Ce piratage de cartes SIM via GEMALTO dont le projet avait pour nom “DaPino GAMMA” fut possible grâce à une unité spéciale de la NSA « Mobile Handset Exploitation Team (MHET) » formée pour cibler les vulnérabilités dans les téléphones cellulaires selon les documents Snowden.