Fermer le menu
 

Messages : une nouvelle faille de sécurité et de communication pour Apple

Florian Innocente | | 22:45 |  223

Le système qui permet à l'utilisateur d'un Mac d'envoyer un SMS au travers de son iPhone comportait un méchant bug de sécurité, explique Khaos Tian. Ce dernier s'est fait remarquer ces dernières semaines en mettant à jour une importante faille de sécurité dans HomeKit et en montrant, au passage, que la communication entre l'équipe sécurité d'Apple et ceux qui leur soumettent des bugs n'était pas toujours au niveau des enjeux (lire HomeKit : la sécurité de la maison Apple se fissure).

Rebelote avec cette nouvelle découverte que détaille Khaos Tian. Apple l'a corrigée il y a une semaine mais il exprime à nouveau sa frustration vis-à-vis de ses interlocuteurs chez la Pomme.

Un attaquant (à droite sur le Galaxy) peut envoyer un SMS en se faisant passer pour le propriétaire du compte iCloud associé à l'iPhone (à gauche), voir la vidéo Cliquer pour agrandir

Le bug se situait côté serveur, au niveau d'IDS, l'annuaire qui associe l'identité d'un utilisateur (numéro de téléphone, email) avec son appareil iOS. Khaos Tian a découvert que l'on pouvait se substituer à cette personne et envoyer, en son nom, des SMS à une autre, qui croira leur origine parfaitement légitime :

Vous voyez cette fonction super pratique et magique qui vous permet d'envoyer des SMS sur votre Mac via votre téléphone ? Il s'avère que la partie "Ça fonctionne tout simplement" n'est possible que parce que votre téléphone va traiter n'importe quelle commande lui demandant d'envoyer des SMS à partir du numéro actuel. Et notre assistant personnel bien-aimé, Siri ? C'est aussi un "pantin" qui traite la commande sans vérifier que la commande vient de vous. Les deux daemons [des processus système, ndlr] ne vérifient pas l'origine du message et traitent la requête lorsque IDS la leur transmet.

Normalement, poursuit Khaos Tian, IDS est prévu pour que seul le propriétaire d'un compte iCloud puisse envoyer des SMS via la passerelle du Mac ou par Siri. Cependant, un hacker pouvait expédier un message à IDS contenant — en plus du texte destiné à l'interlocuteur visé — une instruction capable de forcer son envoi comme s'il s'agissait d'un SMS. C'est ainsi le message lui-même qui avait valeur de preuve de sa légitimité au lieu de son expéditeur.

Khaos Tian dit qu'Apple a corrigé cette faiblesse entre le 19 et le 20 décembre. Il en avait fait la découverte les 15 et 16 décembre. Le hacker avait contacté Apple en émettant le désir d'obtenir l'invitation permettant de participer à son programme de récompenses.

Il a communiqué quelques éléments sur cette nouvelle faille par mail puis par téléphone, mais ses interlocuteurs n'ont montré aucune appétence à lui fournir ce sésame. À leurs yeux, apparement, le fait qu'il se soit tourné vers la presse pour révéler la précédente faille sur HomeKit le disqualifie à participer à ces programmes où la discrétion est de mise jusqu'à ce que le correctif du problème soit disponible.

À ceci près que dans le cas d'HomeKit, c'est devant l'absence d'échange de l'équipe sécurité, et alors que les premiers correctifs effectués discrètement ne faisaient qu'aggraver les choses, que Khaos Tian s'est tourné vers l'une de ses connaissances chez 9to5mac. Face à la perspective d'une révélation des problèmes encore existants, Apple a alors accéléré le mouvement.

Comme dirait Phil Schiller, c'est une « mauvaise semaine », mais ces semaines qui en ce moment se suivent et se ressemblent.

Catégories: 

Les derniers dossiers

Ailleurs sur le Web


223 Commentaires Signaler un abus dans les commentaires

avatar Abd Salam 26/12/2017 - 20:30 via iGeneration pour iOS

@bonnepoire

Oui oui, le populisme, c’est critiquer le libéralisme ! c’est ça.

avatar bonnepoire 26/12/2017 - 20:46

Critiquer la main qui te nourrit oui. Parce que toi tu vis dans les bois et tu n’es pas consumériste. Hypocrite.

avatar Abd Salam 26/12/2017 - 20:50 via iGeneration pour iOS (edité)

@bonnepoire

Oui oui, le libéralisme, c’est l’économie ! évidemment. Ce n’est pas une manière d’organiser l’économie !

Et oui, quand les riches font tout pour avantager uniquement leur classe sociale ; c’est pour pour nourrir les autres... c’est beau l’abnégation intéressée !



avatar bonnepoire 26/12/2017 - 21:11

Le communisme n’a jamais nourri que les élites politiques. Mais continue ton charabia stupide. Ton chômage est certainement payé par une entité céleste.

avatar Abd Salam 26/12/2017 - 21:17 via iGeneration pour iOS (edité)

@bonnepoire

Ah la vieille technique du faux dilemme : libéralisme ou monarchie stalinienne (en guise de communisme).

Oui oui, le libéralisme n’est pas un système capitaliste parmi d’autres façon d’organiser le capitalisme !

Le libéralisme est la réalité, voyons ! C’est l’économie elle-même.

C’est pas grâce aux capitalistes que l’allocation chômage existe ! si ça tenait qu’à eux... y’aurait pas de Sécu ou d’alloc chômage.

avatar françois bayrou 26/12/2017 - 21:13

On peut être un gros contribuable _et_ fraudeur.
L'un n'empêche pas l'autre.
Vous confondez "ce que les lois fiscales lui autorisent de faire" avec "ce que permettent les failles présentes dans les lois fiscales"

http://www.lemonde.fr/evasion-fiscale/article/2015/12/30/en-italie-apple...

http://www.lemonde.fr/technologies/article/2013/05/21/apple-accuse-de-de...

http://www.numerama.com/politique/192158-impots-apple-reparle-de-rapatri...

avatar Philbee 27/12/2017 - 20:29

@Abd Salam
« Quand Apple fait de son mieux pour mettre en pratique le libéralisme (sous toutes ses formes) ; c’est de l’idéologie ! »
Non, c’est du pragmatisme...

« Faudrait arrêter avec la novlangue qui consiste à appeler idéologie seulement les idéologies avec lesquelles on n’est pas d’accord ! »
La question n’est pas d’être d’accord ou pas avec les convictions idéologiques de Tim Cook (➡️ rappel de la définition du mot « idéologie » : http://www.larousse.fr/dictionnaires/francais/idéologie/41426 ) mais de savoir si ce dernier fait passer ces convictions avant son travail de CEO...

avatar JONYBLAZ 26/12/2017 - 00:23 via iGeneration pour iOS

Apple deviens comme Samsung produire du fake

avatar supermars 26/12/2017 - 00:43 via iGeneration pour iOS

Prochaine faille de sécurité :  pay

Sinon, je n'ai JAMAIS confié ma cb à apple et j'ai TOUJOURS utilisé les cartes iTunes ( Apple Music, achats App Store et Mac AppStore...)

Ça roule esprit tranquille.

avatar DavidAubery 26/12/2017 - 01:43 via iGeneration pour iOS

C’est dommage de ne pas l’avoir récompensé, la prochaine fois il pourrait être tenté de balancer la faille sur le web ou bien de la revendre...

avatar R1x_Fr1x 26/12/2017 - 02:22 via iGeneration pour iOS

Ah 2017 restera historique et pas pour du positif

avatar popeye1 26/12/2017 - 05:41

Et pourtant les prix sont très élevés chez Apple. On ne peut plus en dire autant du reste ! On se demande où passe tout le fric qu’elle ratisse. Certainement pas dans la qualité des machines et encore moins dans celle des logiciels. La question est : est-ce qu’Apple peut tenir encore longtemps comme ça ?

avatar Doctomac 26/12/2017 - 07:28 via iGeneration pour iOS

@popeye1

Autant on peut s’entendre sur la qualité du soft sur les anciens appareils (ios 11 étant une pure merveille sur iPhone X) mais ta diablerie sur le hardware.....

L’iPhone X est du grand Apple ; les derniers iPad Pro sont excellents ; l’iMac classique est somptueux (l’iMac Pro en prend aussi le chemin) ; les MacBook Pro sont d’excellents portables mêmes si la TouchBar ne fait pas l’unanimité, etc.

avatar Ghaleon111 26/12/2017 - 08:28

Entièrement d’accord ;)

avatar frankm 26/12/2017 - 09:00 via iGeneration pour iOS (edité)

@Doctomac

Plus ça va plus le dernier iOS fonctionne bien sur le dernier iPhone. Ça dérape dès la première mise à jour. Ça rejoint l’idée de Popeye au final.
Mais en effet, je ne mettrai pas à jour mon X vers iOS 12

avatar Doctomac 26/12/2017 - 09:43 via iGeneration pour iOS

@frankm

J’aurais pu élargir à l’iPhone 8 (évidemment), l’iphone 7 et même le 6S. Par contre clairement, l’OS est mal optimisé pour le 6.

Mais il faut relativiser. Apple est la seule compagnie dans le monde à proposer une nouvelle mis à jour pour des téléphones anciens. Dès fois ça se passe bien, dans d’autres cas moins bien.

Apple pourrait arrêter de maintenir des téléphones anciens mais dans ce cas, et c’est ce que tu es en train de faire, on l’accuserait de pousser à l’achat d’un nouveau téléphone (alors qu’on ne fait pas ce procès pour les autres Samsung, Google, etc).

avatar debione 26/12/2017 - 10:17

Oui, il faut relativiser... Apple est la seule compagnie à vendre un tel si cher, le x est actuellement juste 55%plus cher que le s8... l'entrée de gamme est juste 2 fois plus cher que chez son principal concurrent... Donc vu les prix pratiqués, encore heureux qu'il y aie un semblant de suivit...

Oui Apple pourrait arrêter de supporter les anciens téléphones, ce qui aurait pour effet premier de les laisser rapides, mais surtout peut être qu'il les vendrait 40% meilleurs marchés, et peut être que quand tu achètes un tel 250 boules, tu ne t'attends pas à des miracles de ce côté là... Par contre, chez Apple on te fait croire que c'est bien, le temps de la garantie légale, après pour magie magie, il devient moins performant qu'un tel no name @ 200 boules....

Comme tu le soulignes, Apple a de bon produits, mais chose sur laquelle tu passes allègrement, c'est le rapport qualité prix... Il n'y a peut être que l'iMac et l'iPad ( NOn Pro) qui ont un bon rapport qualité prix... tout le reste de la gamme ( iphone, MacBook/Pro, accessoires) sont juste du foutage de gueule d'un point de vue prix. Donc dans une vision rapport qualité prix, vu ce qui est demande par Apple, les produit devrait être quasi irréprochable, tout au long de leurs vie. Hors ce n'est pas le cas. C'est autant truffe de bug et autres qu'un appareil Lambda bien moins cher...

avatar Doctomac 26/12/2017 - 12:10

Je suis curieux de voir la gueule des entrée de gamme du principal concurrent. Mais ne t’inquiète pas, le prix du S9 serait à la hauteur du X. Par ailleurs, LG commercialise un téléphone en céramique plus cher. Donc, non Apple n’est pas la seule compagnie à vendre un téléphone si cher.

Nos amis font preuve d’une mauvaise foi totale. Pour eux, des téléphone à 809 euros, voir 909 euros pour le S8+ (et voir plus pour le S9), ne sont pas assez chers pour mériter un suivi de mise à jour plus long, à la hauteur des iPhone. En passant, les iPhone avant le X, en coûtant moins cher, bénéficiait quand même de mise à jour sur plusieurs année et donc la corrélation coût du téléphone et suivi logiciel n’a pas de sens.

Non, Apple propose des mises à jours pour les anciens téléphones pour assurer leur longévité, là où les concurrents ne le font pas pour justement inciter à acheter de nouveaux téléphones. Et oui, ça c’est la réalité des faits.

Non les MacBook Pro et même les MacBook ont un bon rapport qualité-prix. Un jour, il faudra que nos amis que le prix n’est pas seulement dicté par le type de composants interne. Pour les MacBook Pro Tous Bar, par exemple, on peut aimer ou pas, mais la touch Bar augmente le prix des machines tout comme les écrans tactiles chez la concurrence l’augmente aussi. Par exemple, nos amis sont plus tôt mués sur le sujet, mais que vaut le rapport qualité-prix des Surface Pro ?

De même que pour l’iPhone X. Dans le prix, d’autres paramètres entrent en jeu et en particulier les bases de l’économie, à savoir l’offre et la demande. L’iPhone X étant compliqué à produite (du fait de la rareté des écrans OLED), cela raréfie l’iPhone et il est logiquement plus cher.

avatar sachouba 26/12/2017 - 14:58

@Doctomac :
"Je suis curieux de voir la gueule des entrée de gamme du principal concurrent."
Voilà à quoi ressemble le grand modèle de l'entrée de gamme Samsung :
https://www.lesnumeriques.com/telephone-portable/samsung-galaxy-j7-2017-...
Écran AMOLED FullHD de 5.5 pouces (alors niveau rareté, on a connu pire...), autonomie de 2 jours, 3 Go de RAM, 4G, port jack, capteur d'empreintes, microSD. :-)

"Par ailleurs, LG commercialise un téléphone en céramique plus cher. Donc, non Apple n’est pas la seule compagnie à vendre un téléphone si cher."
Tu prends aussi l'Apple Watch Edition comme prix de base des Apple Watch ?... La version céramique est une édition limitée collector, évidemment, pas le produit vendu à grande échelle.

"Pour eux, des téléphone à 809 euros, voir 909 euros pour le S8+ (et voir plus pour le S9), ne sont pas assez chers pour mériter un suivi"
D'une part, le Galaxy S8 est vendu à 520€ aujourd'hui (voilà le lien, sinon tu vas encore m'accuser de mensonge, de mauvaise foi comme tu es : https://www.dealabs.com/bons-plans/smartphone-58-samsung-galaxy-s8-64-go... ). D'autre part, l'iPhone X étant vendu aujourd'hui plus de 2 fois plus cher, ou 50% plus cher par rapport au prix de sortie, il serait normal que l'iPhone X offre beaucoup plus de valeur que le Galaxy S8.
Ce n'est le cas ni au niveau de l'écran, ni au niveau de l'autonomie, ni au niveau de l'appareil photo. Alors il faudrait bien que ce soit au niveau de la longévité. :-)

Malheureusement, je ne crois pas que ce soit le cas, puisque dans 2 ans, quand le Galaxy S8 aura toujours 95% de sa capacité de batterie initiale et sa vitesse initiale de processeur, l'iPhone X sera un mollusque avec une capacité de 80%, et il faudra payer une rançon pour lui rendre sa vitesse et son autonomie initiales, avec ce que ça implique (porter son téléphone en réparation, attendre, risquer l'étanchéité si on ne peut pas aller dans un Apple Store...).

avatar Doctomac 26/12/2017 - 15:47 (edité)

Quelle horreur, c’est bien ce que je pensais. Des téléphones pourries aux performances molles, avec 16 Go et à la finition dégueulasse.

Peu importe que le produit soit vendu à grande échelle. On m’a dit qu’Apple est la seule compagnie à vendre des téléphones à ce prix. Or ce n’est simplement pas vrai.

Ensuite pour le S8, voilà ce que j’ai répondu à ton collègue de mauvaise foi :

"Par ailleurs, à sa sortie, le S8 coûtait bien le prix que j’ai indiqué et les personnes qui l’ont acheté au prix fort n’auront droit à rien en terme de mise à jour.

Ça te dérange pas ? Non, un peu. Où ça te dérange que chez Apple ? »

"Malheureusement, je ne crois pas que ce soit le cas, puisque dans 2 ans, quand le Galaxy S8 aura toujours 95% de sa capacité de batterie initiale et sa vitesse initiale de processeur, l'iPhone X sera un mollusque avec une capacité de 80%, « 

Ah Samsung n’utilise pas de batterie lithium ? Nécessairement dans deux ans, pour tout le monde, la capacité sera toujours de 95% ? Mais quelle mauvaise foi. La réalité est que bien sûr, des utilisateurs de S8 auront aussi des capacités à 80% ou moins. Et ces utilisateurs auront simplement des extinctions inopinées (ou des incendies, Samsung connait bien) mais personne ne le saura car on ne parle jamais de téléphones vieux de deux ans pour des appareils non Apple.

avatar sachouba 26/12/2017 - 17:20

@Doctomac :
"Nécessairement dans deux ans, pour tout le monde, la capacité sera toujours de 95% ?"

Samsung a dimensionné la batterie du S8/S8+ de manière à ce qu'elle dispose toujours de 95% de sa capacité initiale là où une batterie "classique" aurait 80% de sa capacité avec le même nombre de cycles de charge/décharge.
Donc le S8 aura probablement une capacité réelle bien plus proche de sa capacité initiale que l'iPhone 8/X, après 2 ans d'utilisation. :-)

Tu sais comment on fait ça ? En intégrant une batterie dont la capacité réelle est supérieure à la capacité vendue, de manière à ce qu'elle ne soit ni chargée à 100%, ni déchargée à 0%. Les bénéfices sont sensibles dès les premiers cycles par rapport à une batterie de même capacité chargée à 100%.

Et les smartphones Samsung ne s'éteignent pas à 20% après 2 ans d'utilisation... Ne crois pas que tous les constructeurs soient suffisamment mauvais pour mal dimensionner la puissance d'une batterie après 500 cycles.

avatar bonnepoire 26/12/2017 - 19:41

Sachouba, papa Samsung te remercie. Ton chèque est pret 😎

avatar Doctomac 26/12/2017 - 19:56

"Samsung a dimensionné la batterie du S8/S8+ de manière à ce qu'elle dispose toujours de 95% de sa capacité initiale là où une batterie "classique" aurait 80% de sa capacité avec le même nombre de cycles de charge/décharge. »

C’est du vent, du bla-bla , de la poudre aux yeux. Je ne compare pas avec l’iPhone mais pour un utilisateur. La capacité au bout de deux ans dépendra de l’usage du téléphone, de comment la batterie es rechargée, des conditions d’utilisation, il n’y a pas que le cycle charge/décharge.

Donc, dire que les S8 auront, comme ça comme règle pour tous, une capacité de 95% au bout de deux ans est un mensonge grossier.

Les Samsung ne s’éteignent pas tout seul ? Ah bon, prenons du recul avec le S6 :

https://toutandroid.fr/mon-samsung-galaxy-s6-seteint-tout-seul/

"Ne crois pas que tous les constructeurs soient suffisamment mauvais pour mal dimensionner la puissance d'une batterie après 500 cycles. »

Ah oui, ils sont experts en dimensionnement de batterie. Rappelons nous de la plus grosse catastrophe industrielle en téléphonie de tous les temps :

http://www.01net.com/actualites/samsung-la-catastrophe-galaxy-note-7-en-...

Rigolo !!

avatar sachouba 27/12/2017 - 02:39

@Doctomac :
"La capacité au bout de deux ans dépendra de l’usage du téléphone, de comment la batterie es rechargée, des conditions d’utilisation, il n’y a pas que le cycle charge/décharge."
C'est vrai. Mais tu peux être certain qu'à usage identique, la batterie du Galaxy S8 vieillira bien moins vite que celle des derniers iPhone. A moins bien sûr qu'Apple ait changé le dimensionnement de ses batteries sur l'iPhone X, mais je pense qu'on en aurait entendu parler parmi les arguments de vente...

"Les Samsung ne s’éteignent pas tout seul ? Ah bon, prenons du recul avec le S6"
Oui, bravo, tu as trouvé un article qui cite ce cas ! C'est formidable. Tu es un vrai pro de Google !

"Ah oui, ils sont experts en dimensionnement de batterie. Rappelons nous de la plus grosse catastrophe industrielle en téléphonie de tous les temps"
Si c'est ton dernier argument, c'est bien pathétique. Tu veux quoi, parler de bendgate et d'antennagate ? Ça fait bien avancer le débat.

avatar Doctomac 27/12/2017 - 10:47

Ça ne veut rien dire « à un usage identique ». On a tous des usages différents de nos téléphones. Encore une fois, ta règle d’une capacité de 95% au bout de deux ans pour TOUS les S8 est un mensonge, honteux pour un ingénieur.

"Oui, bravo, tu as trouvé un article qui cite ce cas ! C'est formidable. Tu es un vrai pro de Google ! »

Merci. Tu es choqué ?

"Si c'est ton dernier argument, c'est bien pathétique. Tu veux quoi, parler de bendgate et d'antennagate ? Ça fait bien avancer le débat. »

Come on, rien de comparable. Apple n’a pas été obligé de rappeler tous les modèles et d’arrêter la commercialisation d’un produit.

Par ailleurs, on parle de batterie. Ne change pas de sujet ! Tu encensais Samsung pour correctement dimensionner les batteries de leur téléphone. Sauf que l’expert s’est pris un scandale monstrueux de batterie justement mal dimensionnée et qui prenait feu.

Pages