Apple a autorisé une poignée de médias européens à visiter le SEAR (Security Engineering & Architecture), son laboratoire parisien dédié à la cybersécurité. Le Parisien a pu participer a cette visite guidée, et même papoter avec Ivan Krstić, directeur des systèmes de sécurité d’Apple. De quoi obtenir quelques détails sur la façon dont travaillent les ingénieurs d'Apple à la protection des appareils.

Ce laboratoire ne se situe pas à l'Apple Park mais dans un sous-sol parisien, Apple profitant du fort nombre d'ingénieurs spécialisés implantés dans la région. Les appareils y sont disséqués et passés au microscope pendant que des attaques sont simulées. L'idée est ensuite de remonter toutes les anomalies aux concepteurs du composant potentiellement problématique. Ivan Krstić explique qu'il s'agit principalement d'un travail d'anticipation et de recherche :

La plupart des vulnérabilités qui sont patchées ont été repérées par nos équipes en interne, qui se chargent de les réparer et s'assurent qu'elles n'ont jamais été utilisées par des esprits mal intentionnés.

Le but est notamment de prévoir d'éventuelles failles matérielles : s’il est possible de mettre à jour iOS en urgence, il est impossible de réparer une brèche matérielle sur des produits déjà dans le commerce. Le but est donc de réduire la surface d'attaque des pirates tout en leur compliquant la vie. Les techniques envisagées sont diverses, un chercheur modifiant par exemple l'alimentation d'un MacBook dans le but de trouver une faille. Un autre joue avec un laser afin d'y injecter une lumière infrarouge pour perturber le système.

Si le bureau prend la forme d'un open space très sécurisé, Le Parisien décrit quelques appareils surprenants utilisés à des fins de tests. On y trouve notamment une cage de Faraday isolant un appareil des ondes électromagnétiques extérieures avant de mener une attaque. Une chambre thermique permet d'essayer les composants dans des conditions extrêmes et d'anticiper des défaillances.

L'IA est également au programme, Apple mettant sur pieds des algorithmes exploitant les données d'un téléphone. Plusieurs sont mis en compétition, et le plus habile est ensuite utilisé pour créer de nouvelles cyberattaques n'existant pas encore en dehors du laboratoire. Pour Apple, cette visite est l'occasion de mettre en avant la sécurité de ses produits, dont la réputation a pu être ébranlée par différents scandales.

Si Apple corrige la plupart des vulnérabilités en interne, elle dispose d'un programme de « Bug Bounty » permettant à quiconque de remonter une faille trouvée (et potentiellement d'obtenir une rémunération). Le directeur de la sécurité se veut rassurant et ne manque pas d'éloges sur sa division interne. « Nous avons le meilleur programme de cybersécurité au monde, qui couvre à la fois le matériel et le logiciel », déclare-t-il avant d'ajouter que ses équipes sont « les meilleures » pour anticiper les menaces.

Interrogé sur l'affaire Pegasus (un malware qui pouvait infecter des iPhone à jour), Ivan Krstić se veut apaisant : « ce n’est pas une menace pour la majorité écrasante de nos utilisateurs ». Il concède cependant que la vague de révélations de 2021 a secoué toute l'industrie, Apple compris. « Les logiciels espions utilisés ne sont pas étonnants d’un point de vue technique, car ils jouent sur des vulnérabilités, c’est surtout leur détournement à des fins d’espionnage que nous n’avions pas prédit », se justifie-t-il.

Il ne manque pas d'énumérer les différents ajouts ayant eu lieu depuis, avec notamment le mode Isolement apparu avec iOS 16 réduisant la surface d'attaque en bloquant certaines fonctions. Celui-ci n'a « toujours pas été pris en défaut » selon le directeur de la sécurité, rappelant également l'arrivée de notifications prévenant les utilisateurs potentiellement touchés par une attaque. Il note enfin qu'Apple a porté plainte contre NSO, créateur du spyware Pegasus. « Notre réponse sur tous les fronts nous fait sortir du lot », estime-t-il.