Les vulnérabilités de Yealink démontrent qu’en UCC, la sécurité est importante

Pour le meilleur ou pour le pire, la collecte de données est une chose à laquelle beaucoup d’entre nous se sont habitués. Qu’il s’agisse de cookies sur les pages Web ou de suivi des termes de recherche, notre activité sur Internet est surveillée dans une certaine mesure, au point d’être acceptée par tous.

Cela dit, même si nous sommes habitués à ce niveau de suivi sur le Web, nous serions choqués d’apprendre qu’un suivi similaire est effectué sur les systèmes téléphoniques d’entreprise. Après tout, il est très inhabituel que les téléphones de bureau recueillent activement des données sur nous, notamment parce que, dans la plupart des entreprises, les appels vocaux sont le lieu d’échange de connaissances très confidentielles.

Que se passe-t-il s’il s’avère que votre système téléphonique permet de vous écouter activement ? 

Pire encore, que se passe-t-il si vous ne pouvez même pas savoir avec certitude qui se trouve à l’autre bout de la ligne ?

Préoccupations sur la sécurité de Yealink

Ces questions sont d’autant plus pertinentes pour les propriétaires d’entreprises qu’un rapport troublant concernant les téléphones du fournisseur chinois Yealink, notamment ses appareils T54W, a suscité des inquiétudes quant à la confidentialité et à la sécurité du matériel de l’entreprise.

Le 28 septembre de l’année dernière, le sénateur américain Chris Van Hollen (D-Md) a adressé une lettre au ministère américain du commerce faisant référence à un rapport réalisé par la société de conseil Chain Security. Dans ce rapport, Chain Security a relevé de nombreuses failles de sécurité dans les appareils Yealink, ainsi que de nombreuses fonctionnalités qui semblent recueillir intentionnellement les données des clients.

Plus inquiétant encore, le rapport de Chain Security conclut qu’il est « fort probable » que Yealink partage les informations de ses clients directement avec le gouvernement chinois, notamment par le biais de son hardware.

Cette collecte de données semble se produire principalement par la façon dont les téléphones Yealink s’interfacent avec les réseaux et les PC des entreprises. En effet, les appareils Yealink utilisent une plateforme de gestion des appareils (DMP) pour se connecter aux programmes exécutés sur le PC. Dans la plupart des cas, cela est parfaitement normal pour la grande majorité du hardware VoIP qui se connecte à un système basé sur un PC.

Ce qui est beaucoup moins normal, et même carrément alarmant, c’est le fait que le DMP (Data Management Plateform) de Yealink est alors capable d’enregistrer les appels vocaux et même de suivre l’historique web sur ce PC connecté – dans les deux cas à l’insu de l’utilisateur final.

Composants potentiels de Tracking

Selon le rapport de Chain Security, le DMP de Yealink « collecte et conserve l’IP du réseau étendu » de l’appareil de l’utilisateur final et peut enregistrer tout le trafic Web des appareils qui y sont connectés. Cela s’ajoute à la manière dont le DMP collecte les enregistrements d’appels effectués soit sur le téléphone, soit sur les appareils qui y sont connectés.

Tout cela mérite d’être souligné, notamment parce que le DMP de Yealink peut être exploité par un employé à distance de Yealink, qui peut utiliser la plateforme pour accéder à toutes les données collectées, qu’il s’agisse d’adresses IP, de trafic web ou d’enregistrements d’appels complets.

Plus inquiétant encore, en utilisant le DMP de Yealink, les employés à distance de Yealink peuvent activer l’enregistrement d’un appel actif  à volonté et conserver l’enregistrement par la suite.

Cet accès ne semble pas non plus être utilisé par Yealink de manière occasionnelle. Chain Security note également que pendant les « opérations normales », les téléphones Yealink communiquent avec les serveurs AliCloud contrôlés par la Chine, ce qui suggère un contrôle et une interception potentiels du type décrit ci-dessus.

Métaphoriquement parlant, il ne s’agit peut-être pas d’un véritable incendie, mais l’activité de surveillance combinée au contact avec le serveur fait certainement beaucoup de fumée. (Les choses deviennent encore plus suspectes si l’on considère les liens directs et établis de longue date de Yealink avec le gouvernement chinois et leur partage continu de données, rapporte également Chain Security).

Problèmes de sécurité plus généraux

Au-delà de ces problèmes, les appareils Yealink en question semblent présenter des failles de sécurité tout simplement évidentes, susceptibles de compromettre l’ensemble du serveur d’une entreprise. 

Chain Security souligne que les téléphones Yealink sont « préconfigurés pour accepter les informations d’identification pour la connexion et l’accès à l’appareil de 187 autorités de certification numérique « de confiance ». » En d’autres termes, totalement inconnus de l’utilisateur final, les appareils Yealink peuvent être accessibles par un nombre incroyable d’entités supplémentaires, ce qui signifie que si l’un de ces utilisateurs est compromis, il aura facilement accès aux réseaux des utilisateurs finaux de Yealink. 

Mais les hackers n’ont peut-être même pas besoin d’être une autorité « de confiance » de toute façon. L’accès inconnu à l’appareil est rendu encore plus difficile par son incapacité à se protéger contre les tentatives de connexion par brute force, ce qui signifie que les hackers sont tout à fait capables d’y accéder simplement en devinant les combinaisons nom d’utilisateur/mot de passe.

Comme si ces facteurs n’étaient pas suffisants, les appareils Yealink ne disposent pas de signatures numériques standard pour authentifier les modifications valides du micrologiciel. Par conséquent, si des acteurs externes obtiennent l’accès aux téléphones, ils peuvent instantanément écraser le logiciel actuel sur ceux-ci, à condition que le nouveau firmware soit compatible avec le matériel.

Cela signifie qu’un hacker peut facilement installer un micrologiciel qui surveille non seulement ce qui est enregistré sur le téléphone Yealink (en utilisant la collecte de données susmentionnée qu’il effectue), mais également l’activité sur l’ensemble du réseau de l’entreprise.

La ligne de fond des appareils Yealink

Nous nous retrouvons donc avec un téléphone capable d’enregistrer les appels, l’adresse IP et l’activité web – à tout moment et à l’insu de l’utilisateur final – et de communiquer ces données ailleurs. 

S’il est facile, voire proactif, de supposer que les données aboutiront chez Yealink ou même au gouvernement chinois, il est tout aussi possible que des agents totalement inconnus puissent exploiter les vulnérabilités de ces téléphones à leurs propres fins. Dans tous les cas, le résultat est loin d’être souhaitable pour toute entreprise.

De l’avis général, même à une époque où la collecte de données est prévisible, l’architecture de sécurité des téléphones Yealink permet une surveillance beaucoup plus importante que ce qu’une entreprise devrait accepter.

Des conclusions importantes

Bien que cela doit certainement servir d’avertissement pour toute personne intéressée par les téléphones Yealink en particulier, nous pouvons également tirer des conclusions plus larges en matière de sécurité.

Il faut d’abord noter qu’il serait ridicule d’utiliser cet exemple pour jeter le doute sur tout le hardware produit en Chine ; après tout, un très grand nombre d’appareils sont produits en Chine et sont loin de présenter ces problèmes.

Les questions les plus importantes sont celles de la sécurité et de la confiance en général. Comme le montre cet exemple, le matériel de communication a un potentiel incroyable d’intrusion dans votre vie privée, jusqu’à agir comme un dispositif de surveillance secret sur votre bureau.

Pour assurer votre sécurité, il est essentiel que vous puissiez faire confiance au fabricant des appareils VoIP. Le fournisseur doit être en mesure de démontrer non seulement l’efficacité de ses mesures de sécurité, mais aussi sa volonté de renoncer à son propre contrôle des appareils en dehors de l’application des mises à jour logicielles nécessaires.

Lorsque vous envisagez de faire appel à un nouveau fournisseur, il y a donc de nombreuses questions importantes à poser : par exemple, que vous dit votre fournisseur sur les paramètres de sécurité de son matériel ? Quel rôle le fournisseur joue-t-il dans la gestion de l’appareil après sa commercialisation ? Quels liens votre fournisseur entretient-il avec d’autres entités qui pourraient vouloir obtenir des informations sur votre entreprise ?

Avant tout, si un fournisseur conserve des éléments tels que l’accès permanent au DMP, il faut immédiatement tirer la sonnette d’alarme. Les capacités de contrôle à distance de cette manière sont, au mieux, une mauvaise conception de la sécurité, au pire, des tentatives actives d’exploration des données. 

Pour assurer la sécurité totale de votre entreprise, il est essentiel de peser ces facteurs comme tous les autres points de sécurité. Si vous ne pouvez pas faire confiance à votre fournisseur pour protéger votre vie privée, à quoi sert-il en tant que partenaire technologique ? Et s’il est évident qu’il partage des données avec un gouvernement impliqué dans la guerre de l’information, la situation devient encore plus problématique.

Lorsque vous évaluez vos options en matière de hardware ne vous contentez donc pas de considérer la sécurité en termes généraux. Il est tout aussi important de se demander dans quelle mesure vous pouvez faire confiance au fournisseur pour assurer votre sécurité ou, plus important encore, si le fournisseur lui-même constitue une menace potentielle pour la sécurité.

Pour voir comment Wildix conçoit la sécurité dans ses systèmes UCC, consultez notre livre blanc gratuit.

Pour plus de mises à jour sur la sécurité dans l’industrie UCC, abonnez-vous pour recevoir notre magazine gratuitement !