iOS 9 : une chasse à la faille qui peut rapporter gros
Pour gagner un million de dollars, c'est facile : il suffit de trouver une faille 0 day dans iOS 9 ! C'est la chasse organisée par Zerodium, une « plateforme » de sécurité informatique qui revend ses découvertes au plus offrant, qu'il s'agisse du constructeur ou de l'éditeur du produit « craqué », ou une organisation gouvernementale. Le programme est ouvert à tous les bidouilleurs, casseurs de code, spécialistes du jailbreak et de l'ingénierie inverse, chercheurs et autres amateurs, en équipe ou seul ; ils devront débusquer une faille 0 day dans iOS 9, c'est à dire une vulnérabilité inconnue et évidemment sans correctif.
Cette faille devra être exploitable à distance, c'est à dire depuis une page web (Safari ou Chrome dans leur configuration de base), un SMS ou un fichier multimédia envoyé par MMS. Inutile de se présenter à la porte du concours s'il faut en passer par un accès physique à l'appareil. La vulnérabilité devra permettre l'installation persistante d'une application comme Cydia.
Le bidouilleur iH8sn0w a démontré il y a quelques jours un déplombage untethered de la GM d'iOS 9 — il existe donc, évidemment, des failles au sein du système d'exploitation. La chasse à la vulnérabilité de Zerodium récompensera jusqu'à trois individus ou équipes, soit 3 millions de dollars en tout. Elle se poursuivra jusqu'au 31 octobre, à moins que la somme totale ait été dépensée auparavant.
Ce genre de récompense est loin d'être une première. C'est même une pratique courante pour pousser les amateurs (ou des équipes chevronnées) à trouver des vulnérabilités qui pourront être ensuite bouchées, ou… exploitées par les coquins.
Je me demande quel son les intentions de cette société si il on trouver une faille 0 day la vendre au gouvernement ou au plus offrant ?
À la chine pour que les développeurs puissent intégrer des codes malicieux dans Xcode peut être :-)
Se faire de l'argent sans gros investissements et sans se casser la tete!
Mais sinon c'est une bonne initiative que ces concours pour trouver des failles. Cela va obliger Appel a monter son niveau de securisation et de considerer ses methodes de production d'un point de vue globale.
Cela a aussi un impact sur l'industrie du logiciel. Combler une faille est aujourd'hui pas cher et ce modele du patch est devenu usuel, imposé par Microsoft. Si les failles identifiées se multiplient, les editeurs vont commencer a compter le cout et revoir leurs methodes et priorités de conception et realisations.
Avec le temps on va arriver a une situation ou il va etre plus rentable de faire du code securisé et de payer un nombre suffisant d'informaticiens (a fortiori competents), meme si cela veut dire de ne sortir que des versions complètement stables et testées avec des cycles supérieurs a 2 ans...
L'autre évolutions va se faire sur les outils de programmation: on va enfin abandonner les outils bugogenes! On voit déjà une tendance avec l'adoption de langages plus securisé comme Swift a la place de l'inadapté C!
@Jojo971 :
Le fric...
Effectivement ça peut rapporter gros mais faire perdre beaucoup aux utilisateurs car la société qui achèterait ce jailbreak pourrait installer n'importe quel application sans qu'on s'en rende compte et exécuter du code malveillant. Autant vous dire que si une telle faille est trouvé, ça finira entre les mains de nos amis de la NSA ou tout autre agence de renseignement pour espionner les citoyens. D'autant plus que de plus en plus de pays râlent contre Apple entre autres, car elle ne dispose pas de clés de chiffrement et qu'ils ne peuvent donc pas accéder à nos données...
Si la faille n'est pas bouchable c'est qu'il s'agit d'une pièce matérielle d'un appareil donné (voir plusieurs) qui est exploitée pour hacker, mais pas tous ceux ayant installés iOS 9 ?
Un peu comme avec l'iPhone (3GS ou 4 ?) et la PS3 hackés par Geo Hot ?
Zerodium = anciennement Vupen
Désormais installé à 20 min du siège de la NSA, lol
Moais, consequence de la legislation europeenne.
Apres ça fait un moment que la NSA est cliente de Vupen...
Chaouki Bekrar a d'ailleurs bien expliqué les choses dans ses interviews.
@CNNN :
Hein ???? Aucune faille n'a encore été rendue publique c'est un concours pour encourager à en trouver et la on ne parle pas de faille matérielle mais bien logicielle donc qui concerne tous les appareils sous iOS 9.
Le seul jailbreak officiellement existant pour iOS 9 c'est iH8sn0w qui l'a montré en vidéo et on doit avoir un accès physique au téléphone donc ça ne réponds pas à la demande du concours
3 millions de dollars pour une faille de sécurité ? J'ose même pas imaginer la quantité de fric en jeu dans ce commerce parallèle. Maintenant si ça peut motiver Apple, pourquoi pas. J'espère juste que c'est Apple qui ira réclamer la récompense, juste avant de boucher la faille, histoire que les malandrins n'aient pas le plaisir de monétiser leur "découverte".
@Sostène Cambrut :
Je ne pense pas qu'Apple paie pour obtenir la ou les failles si il y en a qui sont découvertes, en tout ça c'est pas dans leur habitude, ils publieront une mise à jour pour la combler et encore, il faudrait qu'elle soit informé de la faille en question donc c'est franchement pas bon signe, après la probabilité pour que quelqu'un trouve un tel exploit (exécutable à distance) avant fin octobre (date de fin du concours) est faible mais qui sait !? Ça va motiver des groupes de plusieurs personnes qui se partageront le butin.
@sangoke
Tu n'as pas bien lu mon commentaire ou je n'ai pas été assez clair.
Si je suis à la place d'Apple je vais moi-même voir les gars avec une faille (juste avant de la boucher) pour récupérer l'argent qu'ils promettent. Comme ça non seulement je m'assure qu'ils ne pourront pas exploiter la faille mais en plus je les fais payer cher.
C'est pas Apple qui paye les hackers, mais c'est Apple qui les prend à leur propre jeu.
@sangoke :
Je fais référence à l'article qui dit : "c'est à dire une vulnérabilité inconnue et évidemment sans correctif".
Je voulais savoir si la faille recherchée ne devait pas pouvoir être corrigée par une MAJ logicielle ?
C'est surtout un coup de pub pour une société disposant à priori de nombreuses failles pour iOS 8 et en physique pour iOS 9...
Reverse engineering sonne mieux quand même.
@CNNN :
Ils parlent d'une faille inconnue et sans correctif au moment où elle est trouvée mais dès lors qu'elle est connue du publique, il est fort probable qu'elle ait un correctif, en tout cas si elle est logicielle.
@Sostene Cambrut :
Oui effectivement ça serait possible mais il faudrait que la personne qui leur donne la vulnérabilité ne soit pas démasquée comme travaillant pour Apple enfin c'est un peu tire par les cheveux mais pourquoi pas ^^
@C1rc3@0rc :
Qu'attends tu pour proposer ton jailbreak si c'est sans gros investissement et sans se casser la tête ? Je crois que tu t'emballe un peu, si c'était si facile un tel concours ne serait pas organisé ...
« Zerodium, une « plateforme » de sécurité informatique qui revend ses découvertes au plus offrant »
Une plateforme de "sécurité informatique ? Des MAFIEUX oui !
Et ils ont le droit d'agir au grand jour en toute impunité ?
Si c'est dans le but d'aider à la sécurité en informant Apple des failles trouvées, je dirais bravo, mais là, non !