Backdoor: Apple peut accéder à quasi toutes les données de 600 millions de clients

C'est vous la poire...

L’expert en sécurité Jonathan Zdziarski a mis en évidence des backdoors qui permettent à Apple d’accéder aux données de ses clients iPhone à la demande des autorités gouvernementales. Une brèche de sécurité majeure selon le chercheur.

Jonathan Zdziarski a exposé sa découverte à l’occasion de la conférence Hackers On Planet Earth (HOPE/X) qui s’est déroulée à New York du 18 au 20 juillet derniers. Selon lui, pas moins de 600 millions de terminaux iPhone et iPad sont affectés par ces portes dérobées.

Lesquelles permettent à Apple « d’accéder aux données du terminal del’utilisateur dans le cadre de l’application de la loi » comme on peut le lire sur la diapo 6 des 58 (en PDF) qui illustrent son intervention. Autrement dit, Apple s’est donné les moyens d’accéder aux données de ses clients et les mettre, au besoin, à disposition des autorités américaines comme le stipule la firme de Cupertino dans ses lignes directrices d’application de la loi américaine.

Accès à quasiment toutes les données

A la décharge d’Apple, l’expert en sécurité reconnaît que le constructeur « a tout mis en œuvre pour rendre les terminaux iOS raisonnablement sécurisés face aux attaquants classiques » et que « l’iPhone 5 et iOS 7 sont plus protégés de tout le monde sauf d’Apple et du gouvernement ». L’homme est bien placé pour le savoir. Auteur de plusieurs ouvrages sur la sécurité d’iOS, dont Hacking and securing iOS applications, il a également participé aux développements des premiers jailbreaks, ces outils qui permettent de déverrouiller l’accès aux droits d’administration des terminaux mobiles estampillés de la pomme. Il est également connu comme le hacker NeverGas dans la communauté de développeurs iOS.

A quelles données Apple a-t-il accès par défaut à tous les appareils équipés d’iOS 4 et les versions suivantes?? A tous les fichiers produits par l’utilisateur (qui ne sont pas chiffrés par le système comme ils devraient l’être), du moins tant que l’appareil est allumé, y compris en veille. Autrement dit, SMS, photos, vidéos, contacts, enregistrements audio et historiques des appels sont accessibles. « Votre appareil est presque toujours disposé à fournir toutes les données, car il est presque toujours authentifiée, même s’il est verrouillé », indique le chercheur. En revanche, Apple n’a pas accès aux emails, agenda et autres données intégrées dans les applications tierces, selon Jonathan Zdziarski.

Une violation de la confiance de l’utilisateur

Apple s’est donc visiblement arrangé pour accéder aux données de ses clients, à leur insu, afin de pouvoir répondre aux exigences des autorités de sécurité.