withings

Écran verrouillé : ces failles qui n'en sont pas

Mickaël Bazoge | | 12:15 |  25

L’écran de verrouillage d’iOS a parfois connu quelques ratés (par exemple ici), mais il n’est pas utile d’inventer des méthodes de contournement bidon. Vulnerability Lab propose quatre modes d’emploi qui permettraient à un malandrin de prendre possession d’un iPhone. La première des obligations est d’avoir un accès physique à l’appareil, et qu’il soit sous iOS 9, 9.1 ou 9.2.1. Il faut ensuite en passer par plusieurs manipulations impliquant Siri.

Sur iPhone 5, 5s, 6 ou 6s, demandez à l’assistant d’ouvrir une application qui n’existe pas. Siri proposera d’ouvrir l’App Store : en tapotant sur le lien vers la boutique, l’assistant est censé ouvrir une page de l’App Store. En cliquant deux fois sur le bouton d’accueil, ou en ouvrant la dernière app de l’onglet Mises à jour, on doit avoir accès à la page d’accueil du smartphone.

Sauf que ça ne fonctionne pas : en tapotant sur le lien App Store, Siri demande de s’identifier — Cliquer pour agrandir

Depuis un iPhone 5, 5s, 6 ou 6s, demandez l’heure à Siri. Tapotez sur l’icône en forme d’horloge, qui ouvre l’application Horloge, puis choisissez soit Alarme, soit Minuteur.

Cliquer pour agrandir

Dans l’onglet Alarme, tapotez Modifier, sélectionnez une alarme, puis Sonnerie. En haut de la page, on a la possibilité d’acheter une sonnerie :

Cliquer pour agrandir

Ou dans l’onglet Minuteur, tapotez simplement sur Sonnerie, puis Acheter une sonnerie :

Cliquer pour agrandir

À partir de là, une fenêtre iTunes devrait s’ouvrir. Il suffirait ensuite de cliquer deux fois sur le bouton d’accueil pour revenir sur la page d’accueil, sans que l’iPhone ait demandé d’authentification. Sauf qu’en réalité, tapoter sur Acheter une sonnerie sans identification préalable dans l’écran de verrouillage n’ouvre rien du tout.

Sur iPad, demandez à Siri l’ouverture de l’app Horloge. L’assistant est censé lancer l’application, qui présente une mappemonde en bas de fenêtre, avec une icône pour le service The Weather Channel. Tapotez dessus : l’App Store devrait s’ouvrir sur la page de l’application du service. En cliquant deux fois sur le bouton d’accueil, ou en ouvrant la dernière app de l’onglet Mises à jour, la tablette doit retourner sur la page d’accueil. Sauf que tout cela n’arrive jamais : Siri demande de s’identifier avant de lancer une application.

La dernière « méthode » implique l’affichage des événements de l’application Calendrier, sur iPad ou sur iPhone, via Siri. Le résultat doit afficher un lien vers The Weather Channel qui de fil en aiguille, doit permettre d’atterrir sur l’écran d’accueil sans identification. Sauf que non : Siri demande immanquablement le code de déverrouillage ou Touch ID.

On se demande bien où les « chercheurs » de Vulnerability Lab sont allés chercher ces méthodes de contournement qui n’en sont pas (la vidéo ci-dessus tente de démontrer la première méthode dite de l’App Store, mais Touch ID a été désactivé…). D’ailleurs, Apple a nié l’existence de ces vulnérabilités, avec raison, en expliquant que pour fonctionner, ces "failles" utilisent en fait Touch ID ou le code de déverrouillage.

Catégorie : 

Les derniers dossiers sur iGeneration

Ailleurs sur le Web


25 Commentaires

avatar iGeek07 09/03/2016 - 12:31 via iGeneration pour iOS

Ça doit juste être qu'ils double cliquent sur le TouchID pour lancer Siri et sont donc déjà identifiés. ^^

avatar frankm 09/03/2016 - 15:36

Il faut prévenir le FBI ils sont en galère ou ouvrir un iPhone

avatar pariscanal 09/03/2016 - 12:33 via iGeneration pour iOS

Les blaires ....

avatar nicky_rabbit 09/03/2016 - 12:47 via iGeneration pour iOS

Mais pourquoi Vulnarity Labs n'a pas vendu ses méthodes au FBI ? Ça coûterai moins cher au contribuable américain qu'un procès avec Apple ... ;-)

avatar r e m y 09/03/2016 - 13:11 via iGeneration pour iOS

@nickyRabbit
Excellent !

avatar Ralph_ 09/03/2016 - 13:14 via iGeneration pour iOS

Ça fait suite à ma suggestion d'article ça

avatar youpla77 09/03/2016 - 13:17

La vidéo me fait mal aux oreilles et aux yeux....

avatar azer0147 09/03/2016 - 13:25

J'ai trouvé une méga faille de sécurité sur mon téléphone moi : en tapant mon code j'ai accès a l'écran d'accueil de mon téléphone, toutes mes applications et même les messages et les réglages ! Truc de fou ! Ça pourrait faire des dégâts entre de mauvaises mains, je compte sur vous pour pas ébruiter l'affaire...

avatar tempest 09/03/2016 - 14:25

Ma suggestion : Aller dans Réglages puis Touch ID et code.
tapez votre code puis aller sur change le code.
une fois le code initial saisi fermez les yeux et tapez un code a l'aveugle.
Refermez la fenêtre et verrouillez l'iPhone.
Ainsi même sous la torture vous serez incapable de vous trahir car vous ne connaitrez pas ce fameux code.
Ainsi FBI, NSA, Shinfen, DGSE, CGT ou FO personne ne pourra vous faire cracher le morceau.
CQFD

avatar Ginger bread 09/03/2016 - 16:08 via iGeneration pour iOS

@tempest :
Mdrrrr

avatar Trillot 09/03/2016 - 18:10

Je préfère ne pas mettre de code d'accès plutôt que d'être torturé par l'administration US!

:-((

avatar kinou_ 09/03/2016 - 18:29 via iGeneration pour iOS

@tempest :
Ça marchera pas car il faut confirmer le code par une deuxième saisie.

Mon conseil, demander à Mémé ou toute personne atteinte d'Alzheimer de saisir deux fois le nouveau code.

avatar simnico971 09/03/2016 - 20:03 via iGeneration pour iOS

@kinou_ :
Ou créer un robot avec des Lego et un stylet tactile.

avatar Un Type Vrai 10/03/2016 - 08:28

Et une Rasperry Pi ?

avatar Mrleblanc101 09/03/2016 - 19:22 via iGeneration pour iOS

@tempest :
Et au prochain redémarrage ton iPhone devient un brique... Et oui, après chaque reboot l'iPhone demande le code au cas où touchID aurait été modifier

avatar Sébastien MICHOY 09/03/2016 - 14:55 via iGeneration pour iOS

Une astuce similaire fonctionne sur iPhone 6 (9.1.0) et iPhone 6S Plus (9.2.1). Cependant, elle fonctionne de manière erratique.

Sur un écran verrouiller, demander à Siri d'afficher les alarmes, taper sur une des alarmes pour ouvrir l'application "Horloge" et aller dans l'onglet "Horloges". Taper sur le bouton "+" puis taper un texte dans le champ de recherche (exemple "abc"). Sélectionner le texte. Si la flèche permettant de partager le texte apparaît, c'est gagné (malheureusement, elle apparaît de manière aléatoire). Choisissez alors de partager le texte par SMS puis cliquer sur le bouton "Home" pour arriver sur le Springboard.

avatar Ralph_ 09/03/2016 - 17:20

Non justement, j'ai cru comme toi que ça fonctionnait et j'ai envoyé un message à la rédaction.
Mais juste après avoir envoyé mon message, je me suis dit que j'allais essayer en appelant Siri d'un doigt non enregistré dans TouchID. Résultat des courses, ca ne fonctionne pas.

avatar sachouba 09/03/2016 - 23:14

C'est la sécurité d'iOS. C'est pour ça que les produits Apple sont plus chers que la concurrence.

avatar thebarty 10/03/2016 - 07:13 via iGeneration pour iOS

@sachouba :
Tu réponds encore à des affirmations diffamatoires, là ?

avatar Hideyasu 10/03/2016 - 07:51 via iGeneration pour iOS

@thebarty :
Il a pas compris que les fails étaient des fake.
Voyez ce que ça fait de ne pas lire les articles !

avatar Hideyasu 10/03/2016 - 07:51 via iGeneration pour iOS

@Hideyasu :
Failles*

avatar sachouba 10/03/2016 - 17:09

@Hideyasu :
Ah si si, j'étais très sérieux.

Voilà d'autres fakes, pour l'exemple:
- iOS 9.2: https://www.youtube.com/watch?v=bKggZezZf2M
- iOS 9.1: https://www.youtube.com/watch?v=sIp73v_W5A8
- iOS 9.0: https://www.youtube.com/watch?v=_rAlOHo8f6I

Je ne descends pas plus loin dans les versions.

avatar Kikool 09/03/2016 - 23:28 via iGeneration pour iOS

Bien drôle
Le FBI fait des pieds et des mains pour avoir une porte dérobée, Billou essaye de jouer au médiateur, possibilité d'une loi spéciale ou procès et là on nous explique qu'en faisant seulement des guiliguilis avec Siri et hop tout est débarré !! Hihi

avatar Plastivore 10/03/2016 - 15:01 via iGeneration pour iOS

Ou sinon on désactive Siri depuis l'écran de verrouillage. C'est plus simple. Parce que j'ai eu des potes qui se sont amusés à mettre des posts sur Facebook pendant que je faisais des crêpes.

Même si maintenant c'est moins probable, vu que Siri apprends la voix du propriétaire, ça limite quand même franchement les risques.

avatar Mickaël Bazoge macG 11/03/2016 - 15:25

Ah des crêpes, les salauds !