En plein débat sur les capacités de chiffrement d’iOS, une faille dans iMessage fera l’objet d’un correctif spécifique dans iOS 9.3 qu'Apple distribuera ce soir en version finale (MàJ : la mise à jour 10.11.4 d'El Capitan s'occupe de ce défaut sur Mac).
La Pomme a expliqué au Washington Post que cette faille, qui permettait de récupérer des photos et des vidéos au sein de discussions iMessages pourtant chiffrées, avait été corrigée en deux temps. Partiellement l’année dernière au moment de la sortie d’iOS 9 puis complètement avec la mise à jour de ce soir.
C’est en étudiant l’an dernier le guide de sécurité d’iOS et la procédure utilisée pour le chiffrement que Matthew D. Green, professeur d’informatique à l’université Johns Hopkins, a pressenti qu’il y avait peut-être une vulnérabilité à utiliser. Il a alors prévenu Apple mais observé au bout de quelques mois que la faille perdurait.
Avec quelques-uns de ses élèves, il a mis au point une technique pour extraire des images ou vidéos d’une conversation iMessage. Il a fallu pour cela utiliser un iOS antérieur à la version 9 et cet effort a pris quelques mois. Les détails n'ont pas encore été publiés, en attendant qu'iOS 9.3 soit mis en ligne.
Pour intercepter un fichier, les chercheurs ont écrit un logiciel qui simulait un serveur d'Apple. La communication chiffrée qu'ils ont ciblée contenait un lien vers la photo stockée sur les serveurs iCloud d'Apple, ainsi qu'une clé de 64 chiffres pour déchiffrer la photo. Les étudiants ne pouvaient pas voir les caractères de cette clef, mais ils les ont devinés au moyen d'une procédure répétitive : en changeant un chiffre ou une lettre dans la clé et en l'envoyant vers le téléphone ciblé. Chaque fois qu'ils devinaient correctement un caractère, le téléphone l'acceptait. Ils ont soumis le téléphone à cette interrogation des milliers de fois. "Et nous avons continué ainsi" a expliqué M. Green, "jusqu'à ce que nous ayons la clé."
Il aurait été possible d’adapter la même technique à des versions plus récentes d’iOS, assure le professeur, mais à condition de disposer de ressources comme seul peut en procurer un organisme d’état.
Pour lui, cette faille est de nature à démontrer que la demande du FBI de créer une version d’iOS dépourvue de certaines de ses sécurités est un non-sens, alors que des bugs existent déjà malgré toutes les précautions prises par les concepteurs du système.
Même Apple, avec toutes ses compétences — et elle a de brillants cryptographes — n'a pas été capable de faire les choses correctement. Dès lors, je suis effrayé de voir que l'on parle d'ajouter des portes dérobées au chiffrement alors que l'on n'est pas capable de réaliser correctement un chiffrement de base.
