Sideloading : un spécialiste en sécurité réfute les arguments d'Apple
On le sait, Apple est complètement opposée au sideloading, cette pratique consistant à installer des applications ne provenant pas de l'App Store sur un iPhone ou sur un iPad. Le mois dernier encore, Apple rappelait sa position : autoriser l'installation d'applications depuis le web, par exemple, c'est faire risquer à des millions d'utilisateurs une attaque par des logiciels malveillants. Par le passé, Tim Cook lui-même expliquait que le sideloading pourrait détruire la sécurité de l'iPhone. Face à ces arguments, Bruce Schneier a envoyé une lettre aux sénateurs américains s'occupant des dossiers antitrust d'Apple. L'éminent spécialiste en sécurité informatique compte bien faire entendre un autre son de cloche.
Deux projets de loi sont actuellement à l'étude aux États-Unis. Le premier vise à interdire aux grandes entreprises de la tech de privilégier leurs propres produits sur leurs plateformes. Dans le cas d'Apple, c'est l'obligation de passer par l'App Store qui est visée. Le second projet envisage de les forcer à autoriser des moyens de paiements alternatifs. Une réglementation similaire a été adoptée l'été dernier en Corée du Sud.
Dans son courrier, Bruce Schneier réfute plusieurs des arguments de Cupertino, à commencer par celui affirmant que ces changements pourraient gêner l'introduction de nouvelles mesures de confidentialité et de sécurité. Cupertino a tout faux selon le cryptologue : le projet de loi ne bloque pas les changements qui affectent toutes les applications, même celles potentiellement téléchargées sur le web. La Pomme pourrait continuer d'apporter des modifications à sa plateforme, comme ce qui a été fait avec le framework de l'App Tracking Transparency qui se répercute sur toutes les apps.
Apple affirme qu'autoriser le sideloading signifierait ouvrir la porte à de nombreux malwares. Pour Bruce Schneier, c'est une vision simpliste et malhonnête : le projet de loi demande à ce que l'installation d'applications tierces soit possible, elle n'exige pas qu'Apple rende la démarche aisée. Contrairement à ce que laisse penser Cupertino, cela ne voudrait pas dire que n'importe quel logiciel téléchargé sur le web doit pouvoir être installable en un tap.
Le sideloading pourrait être incorporé à iOS de manière à ce que seuls les utilisateurs qui le souhaitent puissent installer des applications provenant d'ailleurs que l'App Store. Des avertissements pourraient être intégrés afin qu'ils puissent prendre conscience des conséquences de leur choix. Sur Android, les personnes voulant lancer un programme téléchargé en dehors du Google Play doivent se rendre dans les paramètres de leur appareil pour décocher une sécurité. En le faisant, une fenêtre rappelle que les données sont plus vulnérables face aux attaques d’apps provenant de sources inconnues.
Dans le cas d'Apple, on pourrait imaginer une procédure qui soit volontairement plus compliquée que sur Android. En attendant, une telle modification ne changerait rien pour les utilisateurs souhaitant rester dans les clous. Leur situation ne serait pas plus risquée contrairement à ce que peut laisser penser Apple.
Apple en remet une couche contre le sideloading
Bruce Schneier observe que si la modération des applications sur l'App Store permet d'éviter les malwares, ce n'est pas la seule arme dont dispose Apple. L'entreprise peut toujours boucher les failles techniques utilisées par les apps ne provenant pas des canaux officiels. Il note que d'éventuelles boutiques alternatives pourraient avoir les mêmes exigences niveau sécurité qu'Apple, si ce n'est plus. Au final, le sideloading donnerait aux utilisateurs plus de choix sans nuire à ceux voulant rester dans le jardin de la Pomme.
Enfin, le cryptologue réfute l'idée qu'un App Store surveillé uniquement par Apple soit la meilleure des solutions. Selon lui, l'App Store a pu laisser passer des applications néfastes et en refuser d'autres qui auraient pu s'avérer bien pratiques. Il prend l'exemple de la suppression des VPN de l'App Store chinois en 2017. Faute de sideloading, les clients se sont retrouvés démunis.
Nous ne pouvons pas, et ne devons pas faire confiance à une seule entreprise pour prendre les bonnes décisions en matière de sécurité, de confidentialité et de protection des appareils pour des milliards d'utilisateurs.
Bruce Schneier conclut son courrier en rappelant qu'il existe déjà une plateforme ouverte : l'ordinateur. S'il y a bien des virus et des malwares, cette plateforme fonctionne plutôt bien pour les milliards d'utilisateurs s'en servant quotidiennement. Cette idée avait été contredite par Craig Federighi, qui avait soutenu lors du procès contre Epic que le Mac avait un problème de malwares, contrairement à iOS. Cette déclaration avait été balayée par la juge, qui avait estimé que ces paroles n'étaient pas basées sur des chiffres et avaient pour unique but de mettre en valeur le concept fermé d'iOS. Elle allait même plus loin en suggérant qu'Apple pourrait concevoir pour son système mobile un mécanisme de validation et de distribution des apps similaire au Mac, sans pour autant nuire à la sécurité des utilisateurs.
Impressionnant la capacité de ce semblant de débat à tenir dans le temps 😄
Les mêmes arguments venant des deux camps sans jamais voir advenir la moindre évolution de position 🥲🥲🥲🥲
On attend évidemment l’arrivée de Byte_Order 😉
@YetOneOtherGit
Chuttttt 🤫🤐😉
Maintenant, si on veut faire comme sur android, on va sur android. Si on a choisi d'être sur Iphone c'est qu'on accepte les choix de départ. Si encore du jour au lendemain Apple avait choisit de changer complétement son système, au détriment des usages de départ.
C'est un peu comme si un mec de Gauche allait voter Zemmour ou Lepen, et raler après qu'ils n'ont pas d'idée de gauche (ça marche aussi avec un mec de droite qui irait voter Mélenchon ou Poutou et se plaindrait qu'il n'a pas d'idées de droite). Les choix sont clairs dès le départ. On a le choix : Le Far West, et la liberté totale, ça s'appelle Android, la sécurité un peu plus avancée et système fermé, qui s'appelle ios.
Après si les mecs veulent un Iphone avec android, il y a des contrefaçons chinoises qui le font déjà : ils auront l'air d'avoir la classe de l'Iphone et l'ouverture d'android, de quoi se plaint-on ?
@Boboss29
Toujours la même réponse, faut changer de disque, cette excuse n’a pas lieu d’exister, Apple ne peut pas faire tout ce qui lui chante quoi que tu en dise. Si le monde s’intéresse à ce système c’est que Apple abuse peut être de sa position et pour moi c’est un fait Apple en abuse quand ils décident de révoquer une application parce que la marque a décidé d’offrir son propre système et n’a pas de considération pour les devs qui ont travaillé dessus et ceux qui ont payé l’application.
En fait,il n’y a aucune difficulté à installer une application en direct, juste confirmer que l’on décide d’en prendre le risque.
C’est un non-sujet.
Son raisonnement, que personne ne lui avait demandé, est particulièrement simpliste et d’ailleurs il reste dans le vague et le flou et n’apporte rien au débat (si débat il doit y avoir).
Je ne serais pas contre le side loading.
Je ne pense pas que les utilisateurs de Mac qui bravent les messages d’alertes d’Apple quand ils installent une application hors du store soient une menace pour le reste de la communauté.
A titre personnel, ça me permettrait de developper des applications sans avoir à les mettre sur le store ou devoir les réinstaller tous les 15 jours car le certificat est périmé.
Le plus irrecevable dans les arguments d’Apple c’est que si une app installée via du side loading est si dangereuse que ca, cela montre qu’iOS est loin d’être aussi sécurisé qu’Apple le vante.
Sur le plan technique, un fichier .ipa est sandboxé et n’est théoriquement pas un risque pour le système. Dans le cas contraire c’est pas la revue de l’app store qui me rassurerait sur la sécurité d’iOS.
Le danger le plus important repose sur les données transmises a l’intérieur de ces apps (données personnelles, bancaires etc…) qui peuvent être facilement détournées.
Mais le truc c’est que les utilisateurs actuels d’iPhone n’ont même pas besoin d’attendre des apps sideloadées pour être imprudents avec leurs données, ils peuvent déjà tout refiler dans Safari.
Du coup l’argumentaire d’Apple c’est uniquement pour sécuriser leur 30% point barre.
#CrackItOpen
Je suis rassuré Byte_Order est arrivé 🦾🦾☄️☄️🔥🔥🔥
Le super-hero de la croisade pour la libération des masses du joug d’Apple, le Che Guevara d’El Camino Real 👍
Je suis sincèrement admiratif de sa régularité à s’impliquer dans des échanges d’où strictement rien comme évolution des positions n’est jamais sorti ici.
Même moi qui suis souvent dans le donquichottisme je suis impressionné de cette capacité à combattre sans relâche et vainement des moulins à vent.
C’est beau 🤩
Apple est tout à fait capable d’imaginer un système verrouillé et contraignant pour limiter les risques à 90%
- notarisation obligatoire des apps via un certificat spécifique (= validation du compte développeur, vérification plus ou moins poussée du code des apps, possibilités restreinte d’utilisation des api, sandbox renforcée)
- obligation de passer par une validation manuelle et individuelle pour chaque application téléchargée et pas un paramètre globale à activer / désactiver
- pop up a chaque ouverture de l’application pour rappeler à l’utilisateur de ne pas donner d’informations personnelles à une application sideloade
- blocages de fonctions globales sur l’iPhone tant qu’une application téléchargée est encore sur le téléphone (par exemple blocage des fonctions de partage d’écran)
Apple pourrait même empêcher les apps d’utiliser certaines fonctions du téléphone par mesure de sécurité (par exemple l’accès à internet) ce qui pourrait rendre le téléchargement par sideloading inutile (et probablement prolonger les procès de plusieurs années pour jouer la montre)
@mne
On a vu avec l’obligation de paiement alternatif que quand Apple DOIT faire les choses, elle prend un malin plaisir à ne pas se préoccuper de l’expérience utilisateur pour une fois
Enfaite ce projet de loi il ne profite qu’aux développeurs et à l’état. Ça va juste niquer les revenues d’Apple sous prétextes de « monopole ». 🤦🏻♂️
C'est marrant d'aimer à ce point les barreaux de sa prison et de vouloir l'imposer aux autres en plus ☺️
Confort ou liberté, beaucoup ont fait leur choix semble t'il
Même si le débat et stérile, il y a un point que je trouve intéressant d’explorer.
Beaucoup ici utilise l’argument du « Si c’est un pb pourquoi peut-on le faire sur les ordinateurs personnels ? »
En oubliant un peu vite que le paradigme de la micro-informatique a été créé en un temps où les enjeux de sécurité étaient extrêmement faible et où les ordinateurs individuels étaient rarement connectés.
Ce qui a donné naissance aux OS de smartphone c’est nourrie de décennies d’expérience sur la micro-informatique grand public avec un constat simple : une part écrasante des pb rencontré par le commun des utilisateurs vient d’un cadre bien trop libre.
La contrainte, le contrôle, la réduction du champ des possibles est une clé d’un usage simple de la chose informatique.
Il est impossible de changer le paradigme de la micro-informatique mais il est difficile de nier que la fermeture des OS de smartphone à profondément contribuer à la simplification au quotidien des usages informatiques pour le grand public.
L’injonction du microcosme néo-geek à devoir « s’y connaître ». « maîtriser ses usages », « savoir mettre les mains dans le cambouis » reste absolument atypique dans les usages de produits technologiques.
Personne ne demande aux utilisateurs d’automobiles de s’y connaître en mécanique, personne ne demande aux utilisateurs de hifi de s’y connaître en électronique ou en acoustique… mais en informatique il semble inconcevable à certains de ne pas avoir l’âme bidouieuse.
La fermeture est une maturité, une complétude… et je ne suis absolument pas certain qu’une part conséquente de la population réponde favorablement au injonction de maîtrise pour leur bien.
L’échec du fantasme, que j’ai d’ailleurs partagé, d’une adoption massive de GNU/Linux sur le poste client dans l’esprit des dogmes de Stallman en est une parfaite illustration.
Sur le papier il y à tout à y gagner, dans la réalité pas grand monde ne veut assumer le poids de la liberté.
J’ai quand même le fort sentiment qu’une minorité veut imposer ses vues à une majorité qui n’en a que faire pour de belles et louables visions philosophiques au mieux ou part égoïsme au pire 😎
@YetOneOtherGit
Allez dire cela pour la 100e fois à Byte_Order😉😜
@Krysten2001
"Allez dire cela pour la 100e fois à Byte_Order😉😜"
Byte Order est dans le rôle qu’il c’est donné 😉
@YetOneOtherGit
“Même si le débat et stérile, il y a un point que je trouve intéressant d’explorer. […]”
👏 très bien dit, merci.
Moi, ce qui m'épate, c'est le nombre de gens qui sont paranos.
Perso, j'ai jamais eu de virus, ni sur Mac, ni sur mes appareils iOS, ni sur mes appareils Android, ni sur window.
Je suis chanceux peut-être, tout comme je suis chanceux de ne jamais être mort en tombant dans les escaliers. Vous évitez les escaliers? Si non, pourquoi?
La seule raison que je vois est... la publicité. Si les fabricants d'Escalator investissait autant en pub que ne le fait Apple pour "ayez peur pour vos données, ayez peur de mourrir si vous n'avez pas d'Apple watch", plus personne n'utiliserait les escaliers.
C'est pour moi un débat uniquement émotionnel, qui a un seul but vénal.
@debione
"Moi, ce qui m'épate, c'est le nombre de gens qui sont paranos."
Et pourtant 🤔
Tu serais donc le Didier Raoult de la cyber sécurité ? 😂😉
@debione :
« Moi, ce qui m'épate, c'est le nombre de gens qui sont paranos. »
Le nombre de gens sur MacG (ou d'autres sites d'actualité Mac), c'est important de le préciser. ^_^
Si tu vas poser la question à un utilisateur lambda, tu ne retrouveras absolument pas cette paranoïa de se choper un virus à chaque action faire sur un appareil qui n'est pas intégralement contrôlé par son fabricant.
On est ici dans le même fonctionnement que ces gens qui se tournent vers des Éric Zemmour ou des Donald J. Trump pour qu'ils les protègent de dangers qui sont totalement exagérés par ces mêmes politiciens. Rien de tel que générer un sentiment de peur et une anxiété maximale pour pouvoir ensuite se présenter comme la seule solution possible. C'est vieux comme le monde. :-/
@debione
“Perso, j'ai jamais eu de virus, ni sur Mac, ni sur mes appareils iOS, ni sur mes appareils Android, ni sur window.”
Le potentiel de nuisance d’une infection ne se résume pas à une popup avec une tête de mort.
Les menaces sont protéiformes et tu peux être infecté sans que le comportent de ton outil ne soit altéré, si le but de l’infection est de se faire discrete pour parvenir à ses fins, ce qui, en excluant les ransomwares, est bien le nerf de la guerre.
Pages