Craquer une sauvegarde iTunes, c'est 2 500 fois plus rapide avec iOS 10
Il y a deux manières de sauvegarder le contenu de son appareil iOS : dans le nuage d’iCloud, ou via iTunes et une bonne vieille connexion filaire avec son Mac ou son PC. Habituellement, c’est cette dernière méthode qui est considérée comme la plus sécurisée : non seulement le malandrin ou l’agence gouvernementale à trois lettres doit avoir un accès physique à l’ordinateur, mais encore les mécanismes mis en place par Apple pour la sauvegarde physique sont plus forts que celle d’iCloud.
Mais iOS 10 bouleverse quelque peu la donne. Elcomsoft décrit une faille de sécurité dans le processus des sauvegardes iOS sur iTunes. Elle est d’autant plus dangereuse qu’elle permet de craquer beaucoup plus rapidement le mot de passe de l’utilisateur censé protéger la sauvegarde, en utilisant les techniques de force brute.
Et quand on dit rapidement, c’est bien le cas : la vulnérabilité permet de tester tous les mots de passe possibles et imaginables 2 500 fois plus rapidement (!) qu’avec la précédente méthode. Les chercheurs ont mis au jour un nouveau processus de vérification du mot de passe pour les sauvegardes inauguré avec iOS 10, et qui contourne les systèmes de sécurité mis en place par Apple. De fait, seules sont concernées les sauvegardes de terminaux sous iOS 10 ; et les deux méthodes, « l’ancienne » qui craque plus lentement et la « nouvelle », coexistent.
Le logiciel Phone Breaker, un outil développé par Elcomsoft qui permet de récupérer des données d’une sauvegarde, se montre 40 fois plus rapide avec cette nouvelle méthode qu’avec l’ancienne — sans même l’accélération matérielle GPU, la technique étant encore trop neuve ! Sous iOS 10, ce logiciel est capable de traiter 6 millions de mots de passe par seconde, contre 150 000 sous iOS 9 (avec un ordinateur doté d’un Core i5 + accélération GPU). Il faudrait deux jours seulement pour obtenir le mot de passe d’une sauvegarde iTunes, avec des chances de réussite estimées de 80 à 90%.
Rappelons encore une fois que pirater une sauvegarde iTunes nécessite un accès physique à l’ordinateur, ce qui limite l’impact de cette faille. Et il est fort probable qu’Apple « bouche » cette vulnérabilité dans une prochaine mise à jour.
Moi qu'était ton content avec ma sauvegarde chiffrée.
D'ailleurs en parlant de sauvegarde, Mac G, à 2 reprises vous aviez fait un article sur 2 softs permettant de faire des sauvegarde sans iTunes.
L'un d'entre eux permettait d'extraire totalement les données du téléphone pour les rebalancer sur un autre.
En l'occurrence, je n'ai pas mon mac sous la main, et étant donné que je récupère mon 7 ce soir. Je suis transférer mon 6S vers le 7 sans mon mac... surtout les vidéos perso de iTunes...
Pouvez-vous me redonner les softs svp ?
@MacGruber :
iMazing ?
@MaitreYODA :
Merci,
Permet-il d'ectraire les vidéos perso cochées depuis iTunes ?
On ne le repetera jamais assez, ne sauvegardez pas vos donnees! Ni malandrin ou agence a 3 lettres accederont a vos donnees :)
@Paquito06 :
Tu travailles dans la récupération de données ? :-)
@deltiox :
Non pas du tout :)
Vivement une mise jour de sécurité ! Perso je sauvegarde que sur iCloud, mais quand est il de la sauvegarde iCloud ? Est-ce chiffré?
@4nonymous93
Eh bien justement je lisais des articles récemment sur le fait que depuis iOS9.3 les sauvegardes (ou en tous cas une partie) sont chiffrées avec le mot de passe de l'iPhone si l'authentification à deux facteurs est activée… mais on en n'a jamais entendu parler sur macG… c'est peut être dans leur livre.
En tous cas quand je me suis connecté à iCloud sur mon Mac après la MAJ Sierra, le Mac m'a demandé le mot de passe de mon iPhone car "certaines données chiffrées sur iCloud ne sont pas accessibles sans le mot de passe de votre iPhone"… (en précisant qu'il ne serait pas envoyé à Apple bien sûr).
@iGeek07
Voilà un lien vers un des articles : http://www.iphonehacks.com/2016/03/ios-9-3-encrypts-icloud-backups-with-passcode.html
Après vu que la majorité des gens ont des codes à 4 chiffres, même une sauvegarde chiffrée iCloud ne durera pas longtemps devant une attaque en force brute ^^'
Je déteste la sauvegarde sur iCloud. Elle est complètement buggée chez moi au moins la moitié du temps, on dirait qu'il lui faut une connection de folie pour marcher... Alors je ne la garde que comme solution de secours. Je donne la priorité à iTunes, bien meilleure, plus fiable et plus rapide en cas de restauration! J'espère que cette fonctionnalité survivra à leur folie du futur sans fil!
@Paquito06
Et vous non plus ! D'ailleurs le mieux est de n'avoir aucune donnée. Comme ca aucun risque !
@jt_69.V :
Exactement! Hehe
@jt_69.V
Ou toutes les données dans votre tête.
Bien sécurisé sauf si vous êtes bavard.
Ça reste du brute force. Donc un mot de passe hyper long (genre 50 caractères) est à l'abri de ces attaques.
Tant que 1password reste inviolable, casi-toutes mes autres données le sont aussi.
Une fois qu'ils ont cracké ton mot de passe pour la sauvegarde iCloud ils doivent faire une attaque en force brute sur ton mot de passe 1password aussi… bref, avoir plusieurs longs mots de passe fait déjà une bonne partie du travail.
Bon, après, faut relativiser.
D'abord, parce qu'Apple est au courant du problème et bosse déjà dessus, et ensuite, parce qu'a moins d'être une courge et d'utiliser un code strictement numérique à 4 chiffres, casser le code n'est plus du tout trivial dés lors que l'on passe à un code alphanumérique à au moins 9 caractères générés aléatoirement.
Ouais enfin avec un mot de passe combien de caractères ?
C'est très simple de mettre 30/40
Caractères et Apres il Suffit de mettre la sauvegarde sur un disque lui même chiffre, ça laisse le temps de se prendre un café allongé.
On peut chiffré la sauvegarde de l'iPhone avec le Mac via iTunes : est ce bien cette méthode qui est craquée ??
Ou juste le chiffrage de l'iPhone via un code à 4 chiffres ??
Je ne comprend pas pourquoi les systèmes de sécurité ne se bloquent pas au bout de 3 tentatives / à partir de la il faut attendre 1', puis 5' etc en envoyant un messages d'alerte sur les différentes adresses renseignées...
@DrJonesTHX :
C'est vrai surtout que c'est le cas sur l'iPhone, tout peut s'effacer après 10 tentatives échouées, ils devraient trouver un système similaire mais moins radical pour les sauvegardes...