Messages : une nouvelle faille de sécurité et de communication pour Apple

Florian Innocente |

Le système qui permet à l'utilisateur d'un Mac d'envoyer un SMS au travers de son iPhone comportait un méchant bug de sécurité, explique Khaos Tian. Ce dernier s'est fait remarquer ces dernières semaines en mettant à jour une importante faille de sécurité dans HomeKit et en montrant, au passage, que la communication entre l'équipe sécurité d'Apple et ceux qui leur soumettent des bugs n'était pas toujours au niveau des enjeux (lire HomeKit : la sécurité de la maison Apple se fissure).

Rebelote avec cette nouvelle découverte que détaille Khaos Tian. Apple l'a corrigée il y a une semaine mais il exprime à nouveau sa frustration vis-à-vis de ses interlocuteurs chez la Pomme.

Un attaquant (à droite sur le Galaxy) peut envoyer un SMS en se faisant passer pour le propriétaire du compte iCloud associé à l'iPhone (à gauche), voir la vidéo Cliquer pour agrandir

Le bug se situait côté serveur, au niveau d'IDS, l'annuaire qui associe l'identité d'un utilisateur (numéro de téléphone, email) avec son appareil iOS. Khaos Tian a découvert que l'on pouvait se substituer à cette personne et envoyer, en son nom, des SMS à une autre, qui croira leur origine parfaitement légitime :

Vous voyez cette fonction super pratique et magique qui vous permet d'envoyer des SMS sur votre Mac via votre téléphone ? Il s'avère que la partie "Ça fonctionne tout simplement" n'est possible que parce que votre téléphone va traiter n'importe quelle commande lui demandant d'envoyer des SMS à partir du numéro actuel. Et notre assistant personnel bien-aimé, Siri ? C'est aussi un "pantin" qui traite la commande sans vérifier que la commande vient de vous. Les deux daemons [des processus système, ndlr] ne vérifient pas l'origine du message et traitent la requête lorsque IDS la leur transmet.

Normalement, poursuit Khaos Tian, IDS est prévu pour que seul le propriétaire d'un compte iCloud puisse envoyer des SMS via la passerelle du Mac ou par Siri. Cependant, un hacker pouvait expédier un message à IDS contenant — en plus du texte destiné à l'interlocuteur visé — une instruction capable de forcer son envoi comme s'il s'agissait d'un SMS. C'est ainsi le message lui-même qui avait valeur de preuve de sa légitimité au lieu de son expéditeur.

Khaos Tian dit qu'Apple a corrigé cette faiblesse entre le 19 et le 20 décembre. Il en avait fait la découverte les 15 et 16 décembre. Le hacker avait contacté Apple en émettant le désir d'obtenir l'invitation permettant de participer à son programme de récompenses.

Il a communiqué quelques éléments sur cette nouvelle faille par mail puis par téléphone, mais ses interlocuteurs n'ont montré aucune appétence à lui fournir ce sésame. À leurs yeux, apparement, le fait qu'il se soit tourné vers la presse pour révéler la précédente faille sur HomeKit le disqualifie à participer à ces programmes où la discrétion est de mise jusqu'à ce que le correctif du problème soit disponible.

À ceci près que dans le cas d'HomeKit, c'est devant l'absence d'échange de l'équipe sécurité, et alors que les premiers correctifs effectués discrètement ne faisaient qu'aggraver les choses, que Khaos Tian s'est tourné vers l'une de ses connaissances chez 9to5mac. Face à la perspective d'une révélation des problèmes encore existants, Apple a alors accéléré le mouvement.

Comme dirait Phil Schiller, c'est une « mauvaise semaine », mais ces semaines qui en ce moment se suivent et se ressemblent.

avatar Malum | 

Comme mouchoir choissez triple couche, double douceur.

avatar Malum | 

Cadeau, article tiré du site Fandroid :

« Mais revenons un peu au début de l’article et aux utilisateurs d’iOS qui se plaignent de ralentissements au fil des mises à jour sur tous les appareils de la marque. Tous, et non pas seulement sur les 4 modèles cités ici. Vous voyez où je veux en venir ?

Quoi que l’on pense d’Apple, l’optimisation logicielle n’est pas une de leurs faiblesses et l’underclocking dans certaines conditions est loin d’être une pratique peu commune, notamment sur des appareils disposant d’un CPU aussi démesuré en termes de performances par rapport à l’utilisation moyenne que nous en faisons. Alors oui, d’aucuns ont peut-être ressenti cette baisse sur des tâches gourmandes (jeux, traitement photo), cela peut avoir une incidence minime sur les temps de chargement des applications, mais en règle générale, cette baisse de régime ne devrait pas être nettement perceptible.

Notez par exemple que ce genre de procédé est souvent utilisé par les constructeurs Android lorsque l’on active le mode d’économie d’énergie, ce qui n’empêche pas d’utiliser son smartphone pour autant, loin de là. »

avatar Steve Molle | 

Donc toi le suce-boules de service, tellement prétentieux et tellement idolâtre décérébré que tu balaies d'un revers de main toutes les plaintes d'utilisateurs depuis la fameuse MAJ qui a instauré ce procédé ?

Des plaintes partout, en Apple Store, sur les forums Apple, ici ou ailleurs...mais peu importe, tes délires d'adepte de secte priment sur tout le reste.

avatar Malum | 

Euh ? Comment dire ? La vulgarité et l'insanité sont-elles des arguments ?
A priori, non. Une preuve d'incapacité à en avoir, certainement, et l'incapacité de ce contrôler aussi.

Quant à ce qui est écrit n'est pas de moi (car à votre ton ordurier vous ajoutez l'incapacité à lire ce qui est écrit) mais du site Fandroid qui est donc un site suce-boules (celles d'Apple s'entend).
Bon vous voilà ridicule et ridiculisé pour un moment.

En fait l'insulte et le ton ordurier sont le symptôme d'une grande faiblesse d'argumentation et d'un complexe d'infériorité transformé en agressivité stupide.

PS bis repetita placent. Je vous conseille d'aller chercher dans les trésors de la langue française (dictionnaire reconnu, mais peut-être inconnu de vous) la signification du terme idolâtrie, ainsi vous coucherez-vous moins bête ce soir. Enfin si vous comprenez la définition du mot et sachiez en déduire qu'aucune de mes paroles ne recèle le moindre soupçon d'idolâtrie.

avatar Steve Molle | 

Tu peux étaler ton arrogance au travers de longs messages bien verbeux, ça ne retire rien à tes intentions permanentes de réduire à rien les expériences de tout ceux qui osent remettre en cause les pratiques et/ou la qualité de ta maman Apple.

Le seul vulgaire que je vois ici, c'est toi. Evertue toi à réduire au néant MES expériences et je te fais manger tes canines.

avatar Steve Molle | 

Et j'avais bien noté que ce n'était pas de toi...pauvre type.

avatar Malum | 

C'est donc pire que ce que cela semblait être.

avatar sachouba | 

@Malum :
Avant de donner des leçons de français, il faudrait commencer par maîtriser la langue soi-même.

N'essaie pas de t'exprimer sur un ton hautain quand tu n'en as pas la capacité ; tes phrases sont alambiquées, mal rédigées, et tu emploies si mal certaines expressions qu'elles en perdent tout leur sens.
On croirait entendre Sganarelle dans Le Médecin malgré lui.

Tente la rédaction sous forme de phrases simples, et soigne l'orthographe.

avatar Malum | 

Merci. J'en prends bonne note. Au fait quelle est la différence entre analogique et numérique ?

PS : Je ne donne de leçon à qui que ce soit, je réponds juste à un Gus qui m'insulte et qui emploie des mots dont il ignore le sens. J'ai la gentillesse de lui montrer la voie pour qu'il progresse dans son vocabulaire, bien fourni par ailleurs en insultes et termes orduriers.

avatar sachouba | 

@Malum :
"Au fait quelle est la différence entre analogique et numérique ?"

Tu m'avais tellement fait rire que j'avais noté tes définitions : [analogique = électricité]. Et : [onde mécanique = son].

Assez hilarant. ^^
Tu n'as visiblement pas retenu la leçon, et tu t'en vantes, en plus.

avatar Malum | 

Plutôt que de mettre quelques mots je vous propose de remettre intégralement la discussion on verra ce qui est hilarant. Vous et votre pote le professeur en électronique et son affirmiez qu'il était impossible d'avoir du son reçu au son émis du tout numérique. Je vous ai prouvé le contraire avec un capteur entièrement numérique et un émetteur entièrement numérique, et vous particulièrement vous confondiez analogique et numérique. L'analogique reproduisant une onde de façon analogique (même forme) et l'autre transformant une onde en chiffres (numérique). Le son est effectivement une onde mécanique ce que vous critiquez confirmant votre ignorance.

avatar sachouba | 

@Malum :
Mais n'hésite pas à ressortir la conversation si ça te fait plaisir. :-)

"Vous [...] affirmiez qu'il était impossible d'avoir du son reçu au son émis du tout numérique"
Et toi, tu défendais bec et ongles que seul un signal électrique pouvait être analogique. ?

Mais effectivement, je l'affirmais, et je l'affirme toujours d'ailleurs : Un haut-parleur qui fonctionne avec un signal binaire en entrée n'est pas un "haut-parleur 100% numérique"... Dans le cas des DLA (Digital Loudspeaker Arrays), ce signal carré est en fait analogique, puisqu'il agit comme un échelon ou un Dirac pour les membranes des hauts-parleurs.

Et une démonstration toute simple que ce système est analogique et non numérique est le fait que la valeur de la tension des créneaux en entrée ait une influence sur le volume sonore émis par les hauts-parleurs.
Si c'était un signal numérique binaire, le niveau de tension n'aurait aucune importance, puisque c'est uniquement l'alternance de 0 et de 1 qui constituerait l'ensemble de l'information, peu importe l'amplitude des signaux. Tu peux lire des publications sur le sujet, si tu le souhaites. J'en ai trouvé une très intéressante : "Performance Analysis of Digital Loudspeaker Arrays" sur ResearchGate.

Enfin, je n'ai pas dit que [son ≠> onde mécanique], j'ai dit que [onde mécanique <≠> son]. Il y a une nuance, je te laisse chercher le sens des implications mathématiques.

avatar debione | 

La t'es vraiment un salaud... Comment il va faire pour ressortir la tête du sable, on ne voit plus que le croupion....

avatar Malum | 

Alors vous êtes aussi un champion. Votre copain écrit strictement n'importe quoi prouvant qu'il n'a rien compris à tel point qu'il me prête des propos totalement absurdes que cela en devient de la poésie. Bien évidemment je n'ai jamais écrit cette ineptie que seul un signal électrique pouvait être analogique dans le sens où il est écrit. Il est complètement out ce gars et ne comprend rien à rien. Le terme analogique veut dire similaire : à une sinusoïde de variation de pression correspond en image homothétique une sinusoïde de variation de différence de potentielle. De ce fait un signal carré ne peut en aucun cas être analogique car carré. Ne pas comprendre ça défie l'entendement et vous qui lui faites la claque prouve que vous devez ne pas en comprendre plus que lui.

avatar sachouba | 

@Malum :
"De ce fait un signal carré ne peut en aucun cas être analogique car carré"
?
Record du monde.

avatar Malum | 

Comment peut-on écrire autant d'inepties ? Là c'est un record.
Tout est faux sous couvert de grands mots. Oser écrire que le numérique c'est 1/0 et donc ne peut permettre d'obtenir des variations est tellement stupide que l'on ne peut que s'émerveiller. Le numérique n'est qu'un moyen et non une finalité et avec 1/0 on peut parfaitement donner un ordre qui entraîne des variations tout comme les chiffres les uns derrière les autres donnent des nombres ou des lettres des mots.

Visiblement vous ne comprenez rien à ce que vous écrivez et pis, vous mélangez le son et son signal, et le signal lui même avec deux interprétations possibles en analogique ou en numérique. Enfin je vous conseille de mettre toute la discussion ce qui permettra de voir un que vous n'y comprenez rien et deux que vous transformez mes propos parce que justement vous n'y comprenez strictement rien.

avatar sachouba | 

@Malum :
"Oser écrire que le numérique c'est 1/0 et donc ne peut permettre d'obtenir des variations est tellement stupide"
J'ai écrit ça quelque part ?
J'ai écrit qu'un signal numérique binaire, c'était 0/1, et je me suis focalisé sur les DLA (qui fonctionnent avec des signaux binaires, dont l'amplitude a une influence sur le volume sonore). Tu es sûr de savoir comment fonctionnent les DLA ?

avatar malcolmZ07 | 

Bon c'est le champ de bataille pour pas changer ici ? I'm off

avatar Chris66 | 

En même temps, vue de Sirius, c'est assez drôle !

avatar Doctomac | 

Bien les haineux, frustrés de ne pas avoir reçu de cadeaux Apple, sont venus en masse sur macG pour déballer leur frustration.

avatar LisbethSalander | 

J’adore Apple et pour rien je ne changerai d’écosystèmes. Mais je trouve Android tout aussi bien, juste que c’est pas à mon goût.
Je comprend pas les attaques envers l’un ou l’autre, ou les moqueries, c’est stupide.
Chacun choisis ce que bon lui semble et personne n’a à juger ou dénigrer le choix de chacun.
C’est d’un lourd cette gué guerre.

avatar webHAL1 | 

MacG a écrit dans un autre article paru également hier soir (https://www.igen.fr/ios/2017/12/homekit-la-securite-de-la-maison-apple-se-fissure-102419) :
« Et ce n’est pas nouveau : en 2015, nous avions interrogé deux spécialistes du domaine et pour eux, le constat était sans appel : « Apple n'a pas une culture de la sécurité adéquate ». Manifestement, la situation n’a toujours pas évolué. »

Et il n'y a aucune raison qu'elle évolue prochainement. Tant que ces aspects de sécurité n'ont pas un impact sur les ventes de la Pomme, celle-ci continuera à investir le minimum possible dans ce domaine, tout en mettant en avant un message marketing de type "c'est notre toute première priorité !". Si Microsoft a pris à bras le corps le problème de la sécurité ces dernières années, c'est suite aux nombreux problèmes apparus avec les versions de Windows antérieures à Vista. Ils commençaient à menacer l'édifice, donc la firme de Redmont a dû agir. Je suis persuadé que ça sera pareil avec Apple.

Cordialement,

HAL1

avatar Malum | 

Mais oui c'est pourquoi Apple a fait du 64 bits et une enclave sécurisée au sein même du téléphone. C'est pourquoi les traitements sont au niveau de l'iPhone et non des serveurs.

Le discours marketing c'est le vôtre pour se couler dans l'ambiance générale.

Ce que ne dit pas l'article et qui serait intéressant à connaître est de savoir combien d'alertes Apple reçoit par jour, quel est le temps moyen pour vérifier chaque information, quel serait le système qui dirait que telle alerte est plus urgente que telle autre ou mieux fondée.

Pages

CONNEXION UTILISATEUR