L'Institut allemand Fraunhofer a fait la démonstration de la (relative) simplicité avec laquelle il est possible de récupérer des mots de passe stockés sur un iPhone qui aurait été perdu ou volé. Des données, chiffrées, supposées inaccessibles à une autre personne que le propriétaire de l'appareil. Lui seul disposant du mot de passe déverrouillant son appareil.

La manipulation a été réalisée en moins de dix minutes sur un iPhone, initialement non jailbreaké, protégé par un mot de passe utilisateur et équipé d'iOS 4.2.1. Bloqué devant la demande du mot de passe, le voleur va commencer par jailbreaker l'appareil. Puis accéder au système de fichiers et y déposer un script capable d'ouvrir l'accès au trousseau contenant les mots de passe. Ces derniers pouvant être ensuite affichés en clair : ceux de comptes mail, d'accès Wi-Fi, de VPN, de comptes Exchange, etc.

Les chercheurs sont arrivés à leurs fins lorsqu'ils se sont rendu compte que la clef de chiffrement du trousseau contenant les mots de passe n'était pas rattachée au code secret pour déverrouiller son iPhone (détails en PDF).

C'est le système d'exploitation qui gère cette clef, et c'est donc lui qui a été attaqué après que l'iPhone a été redémarré, mais en contournant l’étape du code secret. Le script mis au point (et non détaillé) fait directement appel à des commandes système standard d'iOS pour ouvrir le trousseau et s'épargner une laborieuse, sinon vaine, tentative de déchiffrement de son contenu. Le tout peut être achevé en six minutes lorsque la procédure est bien réglée.

Certains mots de passe, comme ceux de sites, exigent en revanche de connaître le code secret de l'utilisateur. Cependant, puisque ses comptes mail sont grands ouverts, il sera aisé de réclamer de nouveaux mots de passe aux sites concernés et les récupérer via la messagerie hackée.

L'institut entend mettre en évidence le fait qu’une fonction de chiffrement des données n'est pas une assurance tout risque. Le fait aussi que certains choix techniques sont un compromis entre une volonté de rendre le système fiable, et que l'utilisateur ne soit pas harcelé par des demandes de mot de passe à tout bout de champ. Il s'agit aussi de sensibiliser les entreprises aux procédures à suivre lorsqu'un matériel est déclaré volé. Comme de changer les mots de passe des cibles potentielles dans les meilleurs délais. Enfin, l'Institut précise que ce comportement n'est peut-être pas spécifique à iOS.

via BGR