Le hack du code de déverrouillage par force brute qui n'en était pas un

Matthew Hickey, confondateur de la société spécialisée dans la cybersécurité Hacker House, a annoncé vendredi dernier avoir trouvé une manière de contourner les protections mises en place par Apple pour éviter les attaques par force brute. Des délais d'attente sont appliqués après un certain nombre de tentatives ratées, et on peut même activer une fonction d'effacement des données après dix tentatives échouées (lire : N'ayez pas peur de l'option "Effacer les données" sur iPhone et iPad).

Pour faire court, ce chercheur a expliqué qu'en envoyant au smartphone tous les codes possibles entre 0000 et 9999¹ dans une chaîne de caractères sans espace, l'appareil allait tous les traiter sans temps d'attente. Une attaque par force brute qui passe par le port Lightning du terminal, par exemple un clavier externe ou un boîtier de déverrouillage comme peut l'être le GrayKey.

Il semble en fait que l'affaire ne soit qu'une tempête dans un verre d'eau. Hickey est revenu sur son allégation avec l'aide de Stephan Esser, indiquant en substance que si l'iPhone donne l'impression de prendre en compte tous les codes, ce n'est en fait pas le cas.

Apple a également rapidement réagi à ce cas de vrai-faux hack : « Le rapport récent sur le contournement [de la sécurité] de l'iPhone était une erreur, et le résultat d'un test incorrect ». Beaucoup de bruit pour rien finalement.