Ouvrir le menu principal

iGeneration

Recherche

Le lecteur de codes QR d’iOS 11 est facile à berner

Nicolas Furno

lundi 26 mars 2018 à 16:41 • 23

iOS

Avec iOS 11, l’appareil photo fourni par défaut est aussi un lecteur de codes QR. Si l’un de ces codes est présent dans le champ, l’appareil le décode et permet d’agir, que ce soit pour ouvrir le lien ou l’adresse associée, ou même pour ajouter une fiche contact ou encore se connecter automatiquement à un réseau Wi-Fi (lire : iOS 11 prend en charge les codes QR). Cette fonction fait parler d’elle pour une mauvaise raison : il est facile de créer un code qui semble ouvrir une URL, alors qu’en fait il correspond à un tout autre site.

iOS 11 affiche que ce code QR mène au site de Facebook (gauche), alors qu’il ouvre en fait une toute autre URL (droite).

C’est la découverte rapportée par le site spécialisé en sécurité Infosec. Pour arriver à masquer une URL, ils utilisent un lien spécifique qui contient le nom de domaine à afficher, ainsi que d’autres caractères qu’iOS 11 efface. Dans le cas présent, voici l’URL utilisée pour générer le code :

https://xxx\@facebook.com:443@infosec.rm-it.de/

Le nom de domaine de Facebook apparaît bien, mais le vrai nom de domaine à la fin est « oublié » par iOS 11. Le site émet l’hypothèse que les @ troublent le système et l’amènent à croire que ce qui précède est un nom d’utilisateur pour le nom de domaine qui suit. Par ailleurs, Apple se contente a priori du premier nom de domaine et ne gère pas l’URL dans sa totalité.

Quelles que soient les raisons de cette confusion, elle pourrait servir de biais pour une attaque de phishing, même si utiliser des codes QR réduit naturellement sa dangerosité (le lien n’est pas ouvert automatiquement, c’est à l’utilisateur de toucher la notification pour ouvrir l’URL correspondante). Apple pourrait corriger ce bug malgré tout, mais l’entreprise n’a rien fait depuis la fin décembre, date à laquelle le site à l’origine de la découverte a envoyé l’information. Maintenant que le bug est public, peut-être que la réaction sera plus rapide…

En attendant, rappelons que vous pouvez désactiver totalement cette fonction dans les Réglages : dans la section « Appareil photo », décochez l’option « Scanner des codes QR » et vous n’aurez plus jamais le problème.

Source :

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

iOS 26 peut réserver de l’espace de stockage pour les mises à jour automatiques

11:04

• 0


iOS 26 : les pochettes animées sur l’écran de verrouillage fonctionneront sur les services tiers

10:04

• 6


Découverte de Messages dans iOS 26 : sondages, traduction, interface…

15/06/2025 à 10:00

• 38


Sortie de veille : une WWDC 2025 réussie ? Notre débrief d’iOS 26, Liquid Glass…

14/06/2025 à 12:50

• 11


iOS 26 : une nouvelle bêta 1 pour les développeurs

13/06/2025 à 20:45

• 60


Microsoft trolle Apple sur Liquid Glass, mais attention au retour de manivelle

13/06/2025 à 20:30

• 52


SAV : l'iPhone XS qui avait lancé l'eSIM chez Apple devient un produit en fin de vie

13/06/2025 à 16:51

• 34


HomePod et Apple TV devraient être compatibles Thread 1.4 avec tvOS 26

13/06/2025 à 16:38

• 7


Crazy Taxi, Sonic CD, Golden Axe et de nombreux jeux SEGA deviennent gratuits parce que le développement est abandonné

13/06/2025 à 16:00

• 18


Les usines indiennes ont exporté à fond vers les États-Unis pendant la crise douanière avec la Chine

13/06/2025 à 15:45

• 2


Not Boring Camera : comme Halide, mais en plus fun

13/06/2025 à 15:30

• 8


Avec EnergyKit, Apple veut charger votre watture au moment le plus opportun

13/06/2025 à 15:18

• 12


watchOS 26 : découverte de la nouvelle interface de l'app Exercice

13/06/2025 à 15:18

• 5


iOS 26 renforce le contrôle parental sur les mineurs

13/06/2025 à 10:00

• 3


Promo : l'iPhone 16 Pro à 987 € (-242 €), l'iPhone 16 Pro Max à 1 184 € (-295 €)

13/06/2025 à 07:07

• 4


« C’est un peu de la merde, mais il y a de l’idée » : l’avis partagé des designers sur Liquid Glass

13/06/2025 à 06:51

• 40