Ça n’était vraiment pas le jour pour arrêter la colle chez HTC. On a ainsi appris que la marque HTC ne valait rien, voici d’autres soucis en vue pour le constructeur de Taïwan. Le One Max, version phablette du One sorti il y a deux ans, a une petite particularité : un lecteur d’empreintes digitales placé au dos, sous l’appareil photo. Alors qu’avec Touch ID, Apple a pris mille précautions de sécurité (les empreintes sont stockées dans une enclave sécurisée auprès du processeur), HTC fait bien peu de cas de la confidentialité des données biométriques.
La société spécialisée dans la sécurité informatique FireEye Labs a mis au jour une faille béante dans la gestion des empreintes digitales numérisées par le One Max. Celles-ci sont tout simplement stockées « en clair » dans la mémoire du smartphone, permettant ainsi à n’importe quelle application d’y avoir accès sans la moindre restriction. Aucun chiffrement n’est en effet à l’œuvre dans ce qui n’est qu’un simple fichier ouvert aux quatre vents.
Les empreintes digitales étaient stockées dans un fichier bitmap spécifique, que les chercheurs de FireEye ont pu reconstituer en image parfaitement lisible. De plus, le One Max mettait à jour les empreintes digitales de l’utilisateur à chaque fois que ce dernier posait le doigt sur le capteur : un pirate avait donc un jeu complet de l'ensemble des données.
HTC, prévenu avant la publicité de la vulnérabilité, a bouché la faille avant qu’elle soit rendue publique. La société indique que des smartphones d’autres marques souffrent eux aussi des mêmes maux, sans donner de noms — mais les constructeurs ont fait le nécessaire pour corriger le problème. Le Galaxy S5 ainsi que le One Max, encore lui, étaient aussi coupables d’une autre légèreté : ne pas utiliser la fonction TrustZone qui isole les composants importants comme le lecteur d’empreintes digitales.
