J’ai pris des vacances, certes, mais le monde de la sécurité informatique n’en prend jamais lui. D’ailleurs, les dernières semaines se sont vues teintées par un débat pas piqué des hannetons : la «découverte» de failles importantes dans le système d’exploitation iOS. Je vous le jure, impossible de ne pas devenir paranoïaque quand on comprend un peu plus ce qui se passe avec cette assertion. Quoi penser de tout cela?

Si votre iPhone est toujours sur le point de laisser filer des informations, il est important de rappeler que de la même façon, en se tenant debout, nous sommes toujours à risque de trébucher et de tomber. Cela ne nous empêche pas de marcher en position verticale pour autant.

Même si iOS semble généralement plus sécuritaire que le système d’exploitation de Google, il n’est pas pour autant complètement protégé. On se rend compte que la sécurité parfaite est l’équivalent des licornes et des fées : ça tombe dans le domaine du mythique et de l’utopie. Cela a d’ailleurs été remis sur la sellette par les travaux de Jonathan Zdziarski.

Zdziarski n’est pas inconnu dans le monde d’Apple. Il s’est forgé une solide réputation dans le monde du débridage (ou jailbreaking). Or, son étude représente, en soi, un petit chef-d’œuvre de rétroingénirie et démontre une connaissance profonde de l’architecture d’iOS, notamment en décortiquant le fonctionnement sécuritaire du système d’exploitation. Les révélations ne sont pas moins que surprenantes.

Expliquer les failles

Zdziarski note plusieurs éléments problématiques dans le système d’exploitation développé par Apple. Il mentionne par exemple que, dans iOS 7, la cache et les fichiers ne sont pas cryptés, faisant en sorte qu’ils peuvent être lu en clair par un logiciel malveillant. 

Il souligne aussi le fait que les micrologiels utilisés dans iOS peuvent être détournés de manière à donner accès aux données. Cela était plus ou moins connu depuis déjà plusieurs mois, notamment parce que certaines méthodes permettaient d’exploiter le téléphone d’Apple au travers du câble à 30 connecteurs. Le chercheur pousse néanmoins la logique un peu plus loin en discutant d’une exploitation se faisant par les outils de gestion pour les flottes d’appareils.

Le chercheur explique aussi en long et en large que la fenêtre de verrouillage du téléphone ne correspond pas à un système de chiffrement. Il s’agit que d’un blocage ne permettant pas d’aller plus loin dans l’interface utilisateur, mais cela ne signifie pas nécessairement que les données se trouvant en arrière sont cryptées.

Bref, cette série de constats amène dans son sillage bon nombre de questionnements sur la sécurité globale du système d’exploitation. Alors que les contrecoups de l’affaire Snowden se font encore sentir, Zdziarski met donc en lumière un dur constat pour plusieurs : tous les téléphones intelligents présentent des vulnérabilités et les données se trouvant sur ces appareils doivent généralement ne pas être considérées comme sécurisées.

Des questions par rapport à la surveillance gouvernementale

Est-ce que ces failles sont utilisées par le gouvernement pour fouiller le contenu des téléphones? Assurément, et Apple le dit clairement dans les politiques de l’entreprise en lien avec la juridiction américaine. La compagnie se doit en effet d’être capable de fournir certaines informations nominatives de base contenues sur le téléphone dans des cas spécifiques où des mandats sont impliqués dans la procédure.

Là où c’est probablement plus vaseux, c’est que plusieurs des failles présentées par Zdziarski pourraient éventuellement être exploitées de manière moins légitime, par des services de renseignement par exemple. L’intérêt des services de renseignement à pénétrer l’iPhone est d’ailleurs connu depuis quelques mois déjà. Le maliciel DROPOUTJEEP a été révélé dans des documents appartenant à la National Security Agency (NSA) datant de 2008. Ce maliciel permettrait :

• de retirer de l’information en provenance du téléphone;
• de pousser de l’information sur le téléphone;
• d’installer ou de désinstaller des logiciels.

L’agence se targuait d’avoir un taux de succès de 100% dans l’exploitation du logiciel et, par le truchement, des appareils iOS visés. Il ne serait donc guère surprenant de constater que les failles découvertes par Zdziarski aient déjà été exploitées par des utilisateurs ou des agences aux desseins discutables.

Non, vos données ne sont pas complètement sécurisées

Tout ce dossier soulève évidemment des questions en ce qui concerne la sécurité même d’iOS et, surtout, de la relation d’Apple avec les agences d’application de la loi. Considérant qu’Apple est une entreprise américaine et qu’elle se doit de se plier aux lois des États-Unis, notamment tout ce qui entoure le Patriot Act, devons-nous réellement nous surprendre de savoir qu’il existe des portes dérobées dans iOS?

Il faut souligner que cette déclaration est quelque peu incendiaire. Dans les faits, l’appareil n’est pas toujours «sur le point de faire couler de l’information». Il faut tout de même une mécanique impliquant une série de manœuvres pour que cela se produise.

Zdziarski mentionne en fait que le fonctionnement même d’iOS a pour conséquence que l’iPhone est toujours en position de risque par rapport à une fuite de données : il peut essentiellement laisser «couler» des données en «clair» à tout instant, de manière non cryptée. En effet, comme l’appareil est «authentifié» en permanence à travers divers services, notamment aux yeux des services d’Apple et du service cellulaire, cela a pour conséquence qu’il est constamment «ouvert», donc à risque.

Si cela peut paraître inquiétant pour le néophyte du monde de la sécurité, il faut comprendre que cela démontre clairement le défi constant avec lequel les développeurs doivent jongler, soit l’antinomie entre la simplicité d’utilisation et la sécurisation des données. Aussi, si l’appareil est toujours sur le point de laisser filer des informations, il est important de rappeler que de la même façon, en se tenant debout, nous sommes toujours à risque de trébucher et de tomber. Cela ne nous empêche pas de marcher en position verticale pour autant.

Finalement, il faut souligner que cette déclaration est quelque peu incendiaire. Dans les faits, l’appareil n’est pas toujours «sur le point de faire couler de l’information». Il faut tout de même une mécanique impliquant une série de manœuvres pour que cela se produise. Apple n’a pas tout bêtement construit son OS de manière à ce qu’il soit intrinsèquement non sécuritaire. Cependant, comme n’importe quel ouvrage, ce qui est fait par l’Homme peut être défait.