Sécurité
Les malwares cherchent une place sur les mobiles
06/03/2013 - 13:15 - FI
Les auteurs de malware cherchent à adapter aux plateformes mobiles les techniques maintenant bien rodées sur PC, relève la MIT Technology Review.
Il manque encore un modèle économique opérationnel autour de ces activités, explique un chercheur chez Websense, un spécialiste en sécurité. Mais lui et ses pairs ont pu noter que des outils de dissémination de malware populaires sur PC et qui passent par des navigateurs web sont en train d'être adaptés pour les OS mobiles (on se souvient de JailbreakMe qui fonctionnait tout simplement via Safari Mobile). C'est une étape supplémentaire après la distribution d'applications malicieuses via les boutiques d'applications.
Une version de l'outil Blackhole a été analysée et il s'avérait qu'elle avait été modifiée pour viser spécifiquement des appareils iOS et Android à la recherche de failles exploitables. Deux autres outils, Zeus et SpyEye, qui ont déjà infecté des millions de PC ont été également repérés sur des mobiles.
Des efforts qui témoignent d'une volonté de s'adapter à ces plateformes offrant un nouvel et important potentiel économique. Un cas parmi d'autres est cité, celui de 100 000 téléphones Android contaminés en Chine pour tirer profit d'un système de paiement par SMS. Un malware distribué par une boutique concurrente du store de Google.
Si une telle activité venait à se développer, cela aurait comme probable conséquence d'obliger les Apple et Google à accélérer la fréquence de distribution des mises à jour de sécurité, comme c'est le cas aujourd'hui sur les ordinateurs de bureau.
iOS 6.1 : une nouvelle faille du verrouillage par code
25/02/2013 - 22:34 - NF
Une nouvelle faille a été découverte autour de la protection par code des iPhone. Comme avec la précédente faille exposée il y a une dizaine de jours (lire : iOS 6.1 : le verrouillage par code pris en défaut) et corrigée dans la dernière bêta d’iOS 6.1.3, il faut jouer avec les appels en urgence permis par le téléphone d’Apple et manipuler les boutons physiques de l’appareil dans un ordre bien précis.
Si vous effectuez correctement la procédure, vous pourrez accéder à l’application Téléphone d’iOS et à toutes ses données. Même si ce n’est pas très pratique — le bouton d’allumage doit rester enclenché en permanence —, cela pourrait suffire à une personne mal intentionnée de copier des éléments de votre carnet d’adresses.
Plus gênant encore, en éteignant d’une certaine manière le téléphone pendant l’utilisation de la fonction appel d’urgence, un hacker a réussi à accéder à de nombreuses données personnelles via un ordinateur et un câble USB. Dans ce cadre, l’utilisation d’un code de verrouillage ne sert plus à grand-chose, du moins avec iOS 6.1.2. On imagine qu’Apple va tout faire pour corriger ces bugs gênants d’ici la sortie de la prochaine version de son système d’exploitation mobile…
[Via : MacRumors]
Android Jelly Bean bloque un peu AdBlock Plus
25/02/2013 - 13:39 - SMAdBlock Plus pour Android est une application pour smartphones Android qui masque les publicités des pages web, à l'instar de l'extension pour navigateurs du même nom. Le logiciel va même plus loin, car il permet également de bloquer les pubs des applications.
Les utilisateurs des dernières versions de Jelly Bean (4.1.2 et 4.2.2) ont eu une petite surprise : AdBlock Plus est en quelque sorte bloqué par le système. L'application ne fonctionne plus automatiquement après installation sur un appareil non-rooté. Une boîte de dialogue invite l'utilisateur à configurer manuellement un serveur proxy — l'application fait en effet transiter le trafic web par un serveur pour filtrer les publicités. Une étape qui refrénera certainement de nombreux utilisateurs, mais qui n'est pas rédhibitoire pour autant. Le développeur indique comment configurer manuellement le proxy pour faire fonctionner AdBlock Plus.
Cette limitation émane-t-elle d'une volonté de Google de ne pas voir saper sa principale source de revenus, la pub ? Non d'après la firme qui met en avant des questions de sécurité. Android n'autorise plus les applications à définir automatiquement un proxy différent pour éviter le risque que des données personnelles soient interceptées.
Avec Android 4.2, l'entreprise a également introduit un outil optionnel permettant de contrôler les apps provenant d'ailleurs que Google Play à leur installation. Sauf que cet outil était assez peu efficace en décembre.
Des policiers américains affectés à la recherche d'iPhone et d'iPad volés
23/02/2013 - 18:01 - FI
La fréquence avec laquelle sont volés des iPhone ou iPad à New York a conduit la police municipale à affecter quelques hommes à leur récupération, raconte le New York Post. Ces policiers essaient d'obtenir le numéro IMEI de l'appareil subtilisé auprès de son propriétaire, ou toute autre numéro ou donnée susceptible de le repérer.
Apple entre en scène ensuite pour tenter de géolocaliser l'appareil, quand bien même il serait utilisé sur un autre réseau d'opérateur.
Cette recherche active permet dans le meilleur des cas de retourner le téléphone ou la tablette à son propriétaire légitime et parfois de pincer un receleur.
Le quotidien cite un cas où un iPad fut retrouvé en République dominicaine. D'après un porte-parole de la police, 74% des appareils récupérés le sont toutefois dans les environs immédiats du lieu du vol.
D'ici la fin de l'année, les forces de police, les opérateurs et la Federal Communications Commission prévoient de mettre en route une base de données qui enregistrera l'IMEI des téléphones et tablettes volés afin de bloquer leur usage et de les retrouver.
Une initiative dont les promoteurs espèrent qu'elle trouvera un écho à l'étranger pour s'attaquer à la circulation et la revente dans d'autres pays des produits dérobés.
iOS 6.1.3 bêta corrige le bug du verrouillage
21/02/2013 - 20:50 - FIiOS 6.1.3 arrive en version bêta 2 pour les développeurs. Apple a directement sauté à ce numéro de version au vu de la sortie récente de la 6.1.2. Cette dernière ne proposait pas de correctif pour le bug permettant de contourner la fonctions de verrouillage, c'est le cas dans cette version. On devrait savoir assez rapidement ce qu'il en est pour le jailbreak.
Sur le même sujet :
- iOS 6.1 : le verrouillage par code pris en défaut
iOS 6 : le bogue du contrôle parental corrigé
21/02/2013 - 16:35 - CLLa semaine dernière, nous évoquions un dysfonctionnement dans le fonctionnement du "contrôle parental" (ou Restrictions) dans les préférences iOS.
iOS 6 offre une fonctionnalité permettant à l’utilisateur de verrouiller les différents comptes utilisés avec un terminal iOS. Même si Apple ne le mentionne pas, cette fonction est également censée verrouiller les comptes liés à ses différents store.
Or, s’il est impossible de se déconnecter et de changer de compte depuis les préférences système, il était tout à fait possible de le faire dans les apps des différentes boutiques.
Un lecteur de 9to5Mac a remarqué qu'Apple a enfin corrigé ce bogue ce matin. Point besoin de faire de mise à jour, cela a été corrigé sur les services web.
Il était temps, ce bogue avait été remonté à Apple dès la sortie d'iOS 6. Mieux vaut tard que jamais…
iOS 6 : une faille découverte dans le contrôle parental
15/02/2013 - 18:14 - CLLes couacs s’accumulent au sujet d’iOS 6. Après le déverrouillage automatique, c’est une fonction du contrôle parental (ou Restrictions) qui peut être très facilement contourné.
Comme l’explique Matt Cummings à l’origine de cette découverte, iOS 6 offre une fonctionnalité permettant à l’utilisateur de verrouiller les différents comptes présents sur un terminal iOS : les comptes mails, le compte iCloud principal et le compte permettant d’accéder aux différents stores.
Le problème découvert par Matt Cummings vient du fait que le verrouillage du compte pour les stores est un vrai gruyère. Si dans les réglages, il est impossible de faire la moindre modification, ce n’est pas le cas partout.
Il suffit de lancer l’App Store, l’iTunes Store ou l’iBookstore pour s’en apercevoir. Le bouton relatif au compte n’est pas du tout grisé. Il est tout à fait possible de se déconnecter et de se servir d’un autre compte.
Pour les administrateurs de terminaux iOS, ce bogue est une petite catastrophe. Apple est au courant de ce bogue quasiment depuis la sortie d’iOS 6 et n’a toujours pas apporté de correctif. En attendant, la firme de Cupertino recommande de désactiver la possibilité d’installer des applications dans les restrictions, afin d’éviter tout problème.
Le problème en faisant cela, c’est que les administrateurs sont obligés de faire eux-mêmes les mises à jour des apps présentes sur les terminaux. En théorie, le mécanisme a été pensé de manière à ce que l’utilisateur puisse le faire sans avoir à fournir un mot de passe.
Il y a décidément un vrai problème de contrôle de qualité avec les dernières build d’iOS 6. C’est d’autant plus surprenant que la firme de Cupertino a vraiment pris tout son temps pour finaliser la 6.1. Cette dernière est sortie 139 jours après la première version finale d’iOS 6. Il est quand même étonnant de trouver dans cette mise à jour des bogues si grossiers…
iOS 6.1 : le verrouillage par code pris en défaut
14/02/2013 - 21:22 - CL[MàJ 21:30] Apple a affirmé à Macworld être au courant de ce problème Son porte-parole, Trudy Muller, a tenu à souligner qu’Apple prenait très au sérieux les problèmes de sécurité et qu’un correctif serait proposé lors d’une prochaine mise à jour.
Cela commence à faire beaucoup. Après les problèmes de réseau avec l’iPhone 4S et les problèmes avec Microsoft Exchange, un troisième gros bogue vient d’être trouvé dans iOS 6.1. Cette fois, c’est le verrouillage automatique qui peut se contourner facilement. Enfin à condition de connaitre l’astuce et surtout de la faire fonctionner.
Pour ceux qui n’ont pas le courage de voir la vidéo, au bout d’une série de manipulations comme on en avait plus fait depuis la sortie de Super Mario sur NES, on finit par se retrouver sur l’application Téléphone sans avoir à entrer le moindre code.
À partir de là, vous pouvez passer un coup de fil, consulter le carnet d’adresses de l’iPhone ou encore le répondeur, mais vous ne pouvez pas aller plus loin. Impossible par exemple d’aller sur l’écran d’accueil et de lancer une autre application.
Pour info, nous avons essayé de reproduire la manipulation sur plusieurs iPhone sans succès. On ignore si c’est parce que nous avons mal reproduit la séquence ou si cela se produit avec une configuration bien précise.
Un bogue similaire avait été découvert dans iOS 4.1 (lire : Grosse faille concernant le verrouillage automatique de l’iPhone). A ne pas en douter, une mise à jour d’iOS réglant tous ces problèmes sera disponible très prochainement.
En tout cas, quelque chose n’a pas fonctionné dans la procédure de bêta test d’iOS 6.1. Pourtant, Apple avait pris tout son temps pour sortir cette mise à jour.
Facebook : mettez bien à jour les apps iOS
26/12/2012 - 22:27 - NF
Si certaines mises à jour d’applications peuvent gêner, par exemple en retirant la compatibilité avec iOS 5 et donc avec quelques appareils iOS plus anciens, il est recommandé de manière générale de toujours les faire et de les faire le plus rapidement possible. La preuve, une nouvelle fois, avec une application conçue cette fois par Facebook.
Appareil photo Facebook [1.1.2 – Français – Gratuit – Facebook, Inc.] a reçu une mise à jour mineure le 21 décembre. L’éditeur se contentait d’indiquer des correctifs de bugs et de sécurité et cette application spécialisée dans la mise en ligne d’images n’a même pas été optimisée pour l’iPhone 5, c’est dire s'il s’agissait d’une mise à jour mineure.
Mineure sur le plan fonctionnel, certes, mais une mise à jour à effectuer absolument. Cette nouvelle version d'Appareil photo Facebook a certainement été sortie précipitamment par le réseau social, trop pour adapter son interface aux écrans 4 pouces. Et pour cause, comme le révèle TechCrunch, la version précédente contenait une faille de sécurité potentiellement des plus gênantes. Si vous utilisiez l’application sur un réseau WiFi, des hackeurs pouvaient récupérer vos identifiants Facebook et bloquer l’accès à votre compte.
Depuis, Facebook a confirmé l’existence de la faille, tout en précisant qu’elle n’avait jamais été utilisée à sa connaissance. Ajoutons que les conditions à remplir pour que la faille soit exploitable (réseau WiFi ouvert) limitent la probabilité qu’elle ait été exploitée. Qu’importe, dans le doute, vérifiez bien sur votre appareil iOS qu’aucune mise à jour n’est en attente…
Android 4.2 : le détecteur de malwares peu efficace
11/12/2012 - 11:31 - SMAndroid Jelly Bean 4.2 a introduit un outil — débrayable — pour renforcer la sécurité du système. Lors de l'installation d'une application qui provient ailleurs que Google Play, une vérification est effectuée pour s'assurer que l'élément n'est pas dangereux.
Un professeur d'informatique américain, Xuxian Jiang, a testé cette option et les résultats sont peu brillants. 1 260 applications malveillantes ont été installées sur la Nexus 10, la tablette signée Google et Samsung, et seules 193 d'entre elles ont été détectées. Cela représente un taux de détection de 15 %.
Au vu de ces mauvais résultats, la conclusion de Jiang n'est pas surprenante : « Ce mécanisme est fragile et peut être facilement contourné. » Et de critiquer le fait que la solution employée par Google passe uniquement par le nuage alors qu'une vérification côté client serait souhaitable. Le professeur indique également que VirusTotal, un site gratuit de détection de programmes malveillants récemment acquis par Google, fait bien mieux que l'outil d'Android. Ne reste plus à Google qu'à l'intégrer dans son processus de vérification pour le rendre plus efficace.
[Via Ars Technica]