Chine : une faille de sécurité a exposé les systèmes de surveillance des villes

Cette information ne vous aura pas échappée : la Chine a implémenté des nouvelles technologies partout là où elle pouvait le faire. Publiquement, l’objectif est de rendre ses villes plus intelligentes, ce n’est pas totalement faux, mais nous savons pertinemment que la volonté du gouvernement est d’accroître la puissance des systèmes de surveillance du pays. D’ailleurs, récente faille de sécurité a exposé ces systèmes de surveillance pendant plusieurs semaines.

Certes, les villes intelligentes peuvent avoir des côtés positifs en facilitant la vie des habitants par une meilleure gestion de la circulation, en s’assurant que les transports publics sont à l’heure, en améliorant la sécurité grâce à des caméras équipées d’une technologie de reconnaisse faciale. Évidemment, nous connaissons tous les dérives potentielles de ces outils. Par exemple, en mai 2018, nous apprenions que les messages supprimés sur WeChat par les chinois pouvaient être récupérés par le gouvernement du pays. Les propriétaires d’un véhicule électrique peuvent aussi être suivis par les organes de surveillance du gouvernement.

Le problème c’est que lorsque ces données fuitent, cela peut s’avérer extrêmement dangereux. En mars dernier, le chercheur en sécurité Victor Gevers a trouvé et divulgué une base de données partageant en direct la localisation des 2,6 millions d’habitants du Xinjiang, en Chine. L’occasion de se faire une idée du degré de surveillance mis en place par l’État chinois.

Les données étaient stockées sur le cloud d’Alibaba

À présent, c’est chercheur en sécurité, John Wethington, qui a mis la main sur la base de données d’une ville intelligente accessible à partir d’un navigateur, sans mot de passe. Il a transmis les détails de la base de données à TechCrunch. Il se trouve que ces données ont été hébergées sur le cloud du géant chinois, Alibaba. Un porte-parole précise que : « nous avons déjà informé les clients de cet incident afin qu’ils puissent immédiatement régler le problème. En tant que fournisseur public de cloud computing, nous n’avons pas le droit d’accéder au contenu de la base de données clients ». La base de données est désormais hors-ligne.

une grande quantité d’information surveillée

La fuite a permis à TechCrunch de se rendre compte que le système surveille des résidents autour d’au moins deux petites zones de logement dans l’est de Pékin, dont la plus grande est Liangmaqiao, connue comme le quartier des ambassades de la ville. D’après le média, les données exposées contiennent suffisamment d’informations pour déterminer où les habitants de ces quartiers sont allés, quand, et pendant combien de temps, ce qui permet à toute personne ayant accès aux données – y compris la police – de se faire une idée de la vie quotidienne d’une personne. C’est effrayant.

Un extrait de la base de données contient un grand nombre de scans de reconnaissance faciale qui sont reliés avec les données la police. Crédit : TechCrunch.

En plus d’être reliée aux enregistrements de la police, les scans de reconnaissance faciale sont assez poussés. Ils notent si une personne porte des lunettes, un masque, si elle a une barbe, ou si elle sourit … Il y a même un âge approximatif, de même qu’un score d’attractivité. Sont également intégrés des détections ethniques. Notamment pour les Hans, ou encore les Ouïghours, une population musulmane dont les conditions sont difficiles en Chine et dont une partie serait internée dans des camps.

Pour ce qui est des caméras, 177 sont recensées dans la base. On voit qu’elle déclenche un enregistrement dès qu’une personne correspond avec un enregistrement de la police. Beaucoup intègrent une raison au tracking comme « addict » ou « récemment sorti de prison ».

Emplacement des caméras du système dans le quartier. Crédit : TechCrunch.

D’autres fonctionnalités viennent compléter le système. Par exemple, il lui est possible de détecter tous les appareils environnant qui ont du WiFi (téléphones, ordinateurs, box …). D’autres éléments analysés par TechCrunch suggèrent que des capteurs permettent de récupérer les numéros IMEI et IMSI des appareils qui passent à proximités ou qui restent dans la zone. Ainsi, l’outil de surveillance peut associer l’identifiant unique d’un smartphone à une personne.

Si le quartier dans lequel est intégré tout cela peut être considéré comme sensible, il est intéressant de voir l’énorme quantité d’informatisation qui peut être récoltée. Difficile également d’identifier les réels desseins de l’État chinois, surtout lorsqu’il ajoute des éléments ethniques à la surveillance des personnes.