iOS : des failles de sécurité délibérées ?

Selon le chercheur Jonathan Zdziarski, le système mobile Apple (iOS) comporte des portes dérobées (backdoors). Plus de 600 millions de terminaux (iPhone, iPad, iPod Touch) seraient concernés.

Le 18 juillet dernier lors de la conférence HOPE X de New York, le chercheur en sécurité Jonathan Zdziarski (aka Nervegas, spécialiste de la sécurité iOS et contributeur à plusieurs jailbreak iOS) à dévoilé des vulnérabilités volontairement implémentées par Apple dans son système d’exploitation mobile.

La possibilité de récupérer les données personnelles

Le chercheur commence par préciser que le niveau de sécurité conçu par Apple est globalement supérieur à la moyenne du marché mobile, notamment depuis l’iPhone 5 et iOS 7 : l’utilisateur reste assez protégé… Sauf d’Apple lui-même ! Et des agences de renseignement comme la NSA…

Jonathan Zdziarski critique certaines fonctionnalités cachées qui permettent de récupérer non seulement des données système,  mais également des informations personnelles.

Le système de chiffrement des données est lui aussi jugé insuffisant : si les informations sont généralement chiffrées par les applications, d’autres données (cache, librairies) ne le sont pas du tout. Par ailleurs, le verrouillage de l’écran ne suffit pas à chiffrer les données : seul l’extinction de l’appareil le permet.

Enfin, Jonathan Zdziarski critique la mémorisation des informations personnelles, lorsque par exemple un utilisateur connecte son iPhone ou son iPad à iTunes : selon le chercheur, ces identifiants mémorisés peuvent être illégitimement récupérés, de plusieurs façons :

• Soit en accédant physiquement à l’ordinateur
• En proposant des bornes de recharge frauduleuses (juice-jacking)
• Avec une application de gestion de terminaux mobiles (MDM)

Toutes ces vulnérabilités exposent dangereusement les données personnelles des utilisateurs et peuvent favoriser l’usurpation d’identité.

Des révélations qui blessent l’image de marque de Apple, notamment après les révélations d’Edward Snowden, et les soupçons de collaboration des géants américains du web avec l’agence de renseignement NSA…

La parole est à la défense

Apple a décidé de répondre à ces critiques dans les colonnes du Financial Times, en essayant de rassurer la communauté de ses utilisateurs :

Nous avons conçu iOS pour que ses outils de diagnostic ne compromettent pas la sécurité des données personnelles de l’utilisateur, mais permettent aux entreprises, aux développeurs et à Apple de régler d’éventuels problèmes techniques […] Comme nous l’avons déjà affirmé, Apple n’a jamais collaboré avec quelque agence gouvernementale que ce soit en vue de créer des portes dérobées sur l’un de nos produits ou services.

Cette déclaration a forcé Jonathan Zdziarski à préciser ses propos : il n’accuse pas Apple de travailler avec la NSA, mais il craint que la NSA n’utilise ces vulnérabilités pour collecter des informations personnelles. Par ailleurs, il ne croit pas du tout en l’inviolabilité des données personnelles, malgré la déclaration de Apple.

L’intervention du chercheur a néanmoins permis de mettre un peu la pression sur les géants américains qui développent des produits et services web, notamment sur le terrain de la sécurité. D’ailleurs iOS 8 – dont la sortie est prévue pour l’automne prochain – comportera de nouvelles fonctionnalités qui devraient améliorer la protection de la vie privée des utilisateurs :

• Diffusion aléatoire d’adresses MAC sur les réseaux sans fil des commerces (limitation du marketing géolocalisé)
• Limitation du suivi de géolocalisation des applications, qui sera par défaut en « Quand cela est nécessaire » (while-in-use) plutôt qu’en « Toujours actif » (always-on)
• Paramètres de gestion de la vie privée améliorés, notamment pour la protection des contacts
• Activation permanente d’un VPN pour la sécurité des connexions
• Etc.

Sources: zdnet.fr / imore.com
Image: Flickr / Andy Langager / CC BY-NC 2.0