Firefox, le FBI veut cacher une vulnérabilité Zero Day ?

Un chercheur de « the International Computer Science Institute » est à l’origine d’une question autour du navigateur Firefox. Il ne serait pas impossible que l’application de Mozilla cache une faille dite Zero Day. Il s’agirait d’une véritable aubaine pour le FBI qui se bat actuellement devant les tribunaux américains pour garder le secret.

Firefox, le navigateur Tor à l’origine du problème

Tout a commencé en 2015. Le FBI a réussi à saisir un serveur Web proposant de la pédopornographie. La distribution et la possession de pornographie infantile sont criminelles dans presque tous les pays européens et aux Etats Unis. Ce portail n’était pas au grand jour mais accessible au travers du “Web sombre”.

A l’époque le FBI a expliqué, sans entrer dans les détails, l’usage d’une NIT (network investigative technique) pour détecter et localiser l’emplacement des utilisateurs qui ont accédé et affiché sur le site en question. Un total de 137 citoyens américains a été identifié. L’un d’entre eux Jay Michaud a nié les allégations du FBI. Ses avocats ont demandé à l’agence de fournir un accès à ses outils prouvant les faits incriminant leur client.

L’accès à ce type de contenu caché demande l’usage de certaines technologies particulières comme un navigateur Tor et pour beaucoup, il est logique que le FBI a exploité « quelque chose » présent dans cet outil pour localiser les 137 suspects.

Firefox et Tor sont liés.

Le navigateur Tor n’est pas vraiment un navigateur autonome. Il est le fruit d’un projet. Il se base sur une version du navigateur Firefox dite ESR (Extended Support Release) avec l’ajouter d’une technologie chiffrée.

Monsieur Weaver, chercheur à l’institut « the International Computer Science » explique

 «le navigateur Tor est tout simplement le navigateur Firefox s’exécutant dans un mode « hardened ». Cela signifie que si certaines medias des États Unis et les avocats de Jay Michaud ont raison, le FBI profite d’une vulnérabilité du navigateur Tor. Elle devient automatiquement une vulnérabilité de Firefox ».

Nous parlons ici d’une faille Zero Day. Il s’agit d’une vulnérabilité n’ayant fait l’objet d’aucune publication ou n’ayant aucun correctif connu. Si son existence est prouvée, il n’y a pour le moment aucune protection possible, qu’elle soit palliative ou définitive. Firefox est issu d’un projet open source. Ceci implique que toutes les vulnérabilités sont rendues publiques après avoir été « patchées ».