apple

Interview : Apple et la sécurité

par Christophe Laporte le 23.03.2010 à 17:01
A partir de demain, des hackers du monde entier vont se réunir à Vancouver pour la conférence CanSecWest. Pendant deux jours, ils vont chercher à prendre le contrôle d'ordinateurs connectés à Internet en exploitant des failles de Chrome, de Safari, de Firefox ou encore d'Internet Explorer, ainsi que sur des smartphones (iPhone, BlackBerry, Nokia E62 et Droid).

Nous avons saisi cette occasion pour réaliser une longue interview avec Nicolas Seriot, sur un sujet ô combien sensible "Apple et la sécurité". Ingénieur logiciel, il a récemment publié un livre blanc portant sur l'iPhone et les données privées. Il a travaillé notamment pour Sen:te. et pour le HEIG-VD et s'apprête à rejoindre la banque Swissquote pour s'occuper du développement Cocoa Touch.

Dans cet entretien, il est question de la sécurité sur iPhone et sur Mac, des enjeux que cela représente, de la (non)communication d'Apple sur le sujet, du comportement des chercheurs en sécurité, ou encore de l'iPhone de Steve Jobs. Tout un programme…

En ce qui concerne Apple et la sécurité, on a souvent entendu ce discours : "pas de soucis à avoir pour le Mac, sa part de marché est confidentielle, les hackers préfèrent se concentrer sur Windows…". Quand on voit aujourd'hui, le succès de l'iPhone, on peut légitimement se faire du souci pour Apple à ce niveau, non ?

Tout à fait. On a à la fois un très large marché (des dizaines de millions d'iPhone / iPod touch), un système très récent, qui évolue très vite et est donc susceptible de contenir de nombreuses vulnérabilités, et puis d'importants vecteurs d'attaque potentiels : le réseau 3G, le web avec Safari Mobile, et enfin toutes les applications de l'App Store. Compte tenu du large marché, du nombre élevé de vulnérabilités, de la jeunesse du système et de la quantité d'informations personnelles accessibles par ces appareils mobiles, l'iPhone est une cible idéale pour les cybercriminels.

Justement, les cybercriminels s'intéressent-ils de manière générale aux smartphones ou font-ils de l'iPhone une priorité ?

Je continue de penser que, parmi les smartphones, les iPhone sont des cibles de choix. Les BlackBerry sont surtout utilisés dans des entreprises, où leur sécurité est gérée par un département IT. Les autres smartphones sont plutôt utilisés par des utilisateurs avec un background technique, et qui connaissent leurs fondamentaux en matière de sécurité.

L'iPhone relève vraiment de l'électronique grand public, et la gestion de sa sécurité est entièrement prise en charge par Apple. Du point de vue des utilisateurs d'iPhone, les intrusions et les vols de données sont alors pratiquement indétectables.

Dans l'esprit des utilisateurs sur ordinateur, les problèmes de sécurité sont souvent synonymes de virus. Vu le nombre d'informations vitales que contient un iPhone, ne faut-il pas craindre d'autres types d'attaques ?

Le principal danger sur un appareil mobile est en effet le vol d'informations personnelles ou confidentielles. Ces informations peuvent être utilisées pour usurper des identités, ou pour obtenir de nouveaux privilèges, par exemple l'accès à un réseau d'entreprise.

En même temps, certains objectent que ces risques existent déjà sur les ordinateurs traditionnels. C'est vrai. Mais la différence est que l'iPhone n'est pas un ordinateur traditionnel. La sécurité des données est entièrement gérée par Apple, et l'immense majorité des utilisateurs considèrent que les applications téléchargées sur l'App Store ne peuvent être malveillantes, puisque validées par Apple.

Or, il faut savoir que plusieurs applications ont déjà été approuvées puis retirées de l'App Store, car elles transmettaient des données personnelles à l'éditeur, à l'insu des utilisateurs.

Apple insiste sur le caractère "sécurisé" de l'App Store. Mais on l'a bien vu le système de validation est loin d'être infaillible… Que peut-elle faire pour améliorer son système ?

Essentiellement, certains fichiers ne devraient pas être lisibles, l'utilisateur devrait être averti lors de l'accès à des données sensibles, et avoir la possibilité de refuser ces accès.

Les vraies variables d'ajustement sont le time-to-market et surtout l'expérience utilisateur. Apple cherche à éviter que l'utilisateur doive gérer la sécurité lui-même (on sait que la majorité des gens en sont incapables) et que l'expérience soit dégradée par une multitude de pop-up et d'avertissements de sécurité.

Une solution envisageable serait que les développeurs associent une configuration de sécurité à chaque application. Par exemple, l'application XYZ peut lire le carnet d'adresses, mais ne peut pas y écrire, elle peut accéder à twitter.com, mais pas à d'autres URL, etc. Ce profil pourrait être généré automatiquement et validé lors des revues de l'App Store. Le profil serait ensuite résumé sur l'App Store.

Ainsi, la gestion de la sécurité ne serait pas transférée sur l'utilisateur, mais les risques seraient énormément réduits. Par exemple, un casse-brique n'a pas à aller écrire dans le carnet d'adresses.

D'un point de vue sécurité, l'absence du multi-taches n'est-elle pas une bonne chose ?

Vous avez raison, l'absence de multitâche - pour les applications de tierces parties - limite les possibilités d'un logiciel malveillant. Il suffit de penser à une application qui rapporterait votre position géographique en permanence et à votre insu pour s'en convaincre.

Maintenant, les éditeurs de solutions de sécurité réclament un accès au système de l'iPhone et la possibilité de laisser tourner leur code en tâche de fond. Ils en ont besoin pour pouvoir proposer des firewalls par exemple.

À mon avis, Apple a raison de ne pas autoriser ces accès. S'il le faisait, le remède risquerait d'être pire que le mal ; on pourrait craindre des ralentissements, mais aussi de nouvelles vulnérabilités.

Apple veut gérer lui-même la sécurité de l'iPhone. En allant au bout de cette logique, il doit fournir un système sécurisé d'origine, et ne pas placer les utilisateurs devant un choix improbable de solutions commerciales de sécurité dont personne ne connaît vraiment l'efficacité, et encore moins le grand public.


Quelles sont selon vous les bonnes habitudes qu'un utilisateur doit prendre ?

Il n'y a pas grand-chose que l'utilisateur puisse faire pour réduire les risques actuels. Tout au plus peut-il modifier ou supprimer son numéro de téléphone dans les réglages de l'iPhone, et réinitialiser certains caches comme le cache du clavier régulièrement. Ces informations sont en effet accessibles par n'importe quelle application.

L'utilisateur doit surtout être conscient des risques et agir en conséquence. Il doit savoir que ça n'est pas parce qu'une application est validée par Apple qu'elle est nécessairement innocente. Les utilisateurs qui ont des obligations légales ou réglementaires quant à la protection de données confidentielles (équipes médicales, avocats,banquiers, etc.) ont besoin de savoir exactement quelles informations peuvent être compromises.

Lire la page suivante (2/2) >>


|  |  

Découvrez le nouvel iPad sur l'Apple Store
4
3
2
1
Vos réactions (52 réactions)
naas [23/03/2010 17:19]

Bravo pour cet entretien !
C'est pour ce genre d'articles que je lis macgé :)
divoli [23/03/2010 17:19]

Article fort intéressant, qui remet les pendules à l'heure. Et qui rend justice à Miller, expert en sécurité réputé, qui a été injustement chahuté dernièrement (parfois jusqu'à la limite de la diffamation).

C'est une bonne chose d'interviewer de temps en temps des gens réellement compétents.
rapx3 [23/03/2010 17:24]

Extrêmement intéressant en effet !
Psylo [23/03/2010 17:27]

Excellent article.
DM75 [23/03/2010 17:29]

Bon, et bien... je vais retourner sous Windows alors puisque c'est bien plus sûr. Il y a un an j'ai switché de Windows au Mac et là, je vais faire le chemin inverse*

*je plaisante:)
Moonwalker [23/03/2010 17:31]

Enfin des propos éclairés sur les questions de sécurité et par quelqu'un qui s'y connaît.

Ni inutilement alarmistes, ni béatement optimistes, simplement emplis de raison et de bon sens.

Merci la rédaction. Ça fait comme un grand bol d'air frais.

Retenez bien : "La règle de base est d'avoir un système *toujours* à jour".
eseldorm [23/03/2010 17:44]

Pour ce qui est de la non-MAJ de Steve Jobs sur son iPhone, je pense que depuis le moment ou ça traine sur le web, Apple aurait fait la MAJ si c'était si important que ça.
Je ne remet pas en cause les dires de l'interviewé mais bon, c'est Apple qui fait le soft, je pense qu'ils sont au courant de ce que ça fait ou de ce que ça ne fait pas ;)
Enfin, je l'espère :p

@divoli : troll :o
DM75 [23/03/2010 17:44]

Donc,

- un Unix moins sûr qu'un Windows : c'est cela, oui...

(dis-je avec un air provocateur :) )
innocente [23/03/2010 17:58]

@ eseldorm : il est de notoriété publique que tous ceux qui sont entrés dans le bureau de Steve Jobs pour lui dire de mettre à jour son iPhone sont ressortis par la fenêtre la tête la première et sont décédés des suites de leur chute.

Il en ont même parlé dans 7 à 8 sur TF1.
eseldorm [23/03/2010 18:04]

@innocente : je ne capte pas TF1 d'ici.
D'après mes brèves recherches sur le web, il paraîtrait que je ne manque pas grand chose :p

Je serais Jobs, j'aurai déjà la version OS 4 alpha 3 mais bon :D
lukasmars [23/03/2010 18:10]

cette phrase ne vous a pas choqué ?

"Il paraît en effet que Apple interdit à ses employés de jailbreaker leurs iPhone. Toutefois, Apple pourrait être beaucoup plus dure qu'elle ne l'est avec les jailbreakers. Elle pourrait par exemple supprimer leurs comptes iTunes ou même engager des poursuites dans certains pays."

Je viens tout juste de lire le dernier "Vous et votre mac " et l'auteur de l'article dit que le Jailbreak n'est clairement pas illegal bien que Apple fasse tout pour le faire croire .

Et là, paf, on nous supprimerai les comptes Itunes ; mais de quel droit ???
kubernan [23/03/2010 18:16]

@lukasmars : @"Et là, paf, on nous supprimerai les comptes Itunes ; mais de quel droit ???"

Faut demander à l'interviewer, c'est lui qui dit cela.
daito [23/03/2010 18:25]

Passons le baratin sur l'iPhone, le caviar dans cet entretien surréaliste, c'est ça :

Charlie Miller a raison de distinguer "safety" et "security". Ça n'est pas parce qu'un système est plus facile à casser qu'un autre qu'il le sera plus dans la pratique. Charile Miller a montré que les vulnérabilités exploitables étaient relativement nombreuses sur Mac OS X et sur l'iPhone, même si elles sont d'une manière générale peu exploitées.

...



En préambule, je rappelle que Miller pour "casser" le Mac utilise une stratégie parfaitement huilée qui est de scruter à l'avance méticuleusement le code Open Source présent (avec avantage) dans Mac OS X. À l'opposé Microsoft et son code fermé empêche toute recherche facile et rapide (surtout dans un contexte de concours où il y a une somme d'argent à la clé...on choisi la facilité) de failles et Miller (tout comme notre expert de cet interview) n'a aucun élément pour affirmer que Mac OS X est moins sécurisé. D'ailleurs c'est complètement faux!

La communauté se "gausse" car la communauté Mac n'a pas de virus, d'autres malwares et autres spywares. Bien évidement cet été de fait prouvé par la réalité que tout Mac et PC users connaissent n'a rien à voir avec la pdm du Mac. Comme il a été discuté dans le précédent article de MacG, l'hypothèse de la pdm n'est que du blabla martelé par les PC fanatiques et répété chaque année par Miller dans ce concours sponsorisé par Microsoft. J'avais donné un exemple. Aux Etats-Unis, dans le secteur sensible de l'éducation (cible de choix pour les hackers) où Apple a plus ou moins 20% de pdm, si l'hypothèse des PC lovers etait vraie, on devrait voir l'effet de la pdm, un signe, une tendance, quelque chose. Pourtant les MacUSers ne connaissent toujours pas de virus, pas de spywares etc......

http://www.macrumors.com/2009/05/22/more-evidence-of-apples-massive-marketshare-growth-in-higher-education/

On a aussi d'autres chiffres intéressants :

http://www.betanews.com/joewilcox/article/Apple-has-91-of-market-for-1000-PCs-says-NPD/1248313624



albert.dsf [23/03/2010 18:30]

@ Retenez bien : "La règle de base est d'avoir un système *toujours* à jour".

Rien de tel, égal sous quel système un PC se trouve. Faut faire confiance à son OS, surtout celui du Mac, et surtout éviter des logiciels non reconnus par l'éditeur de l'OS
pseudo714 [23/03/2010 18:31]

Ce gars ne m'a pas convaincu. Il fait un peu dans la langue de bois quand on lui demande si windows est plus sur que mac OSX. Il dit qu'il y a pas de virus sur mac pourquoi? un os qui a plein de solutions de sécurité est plus sécurisé qu'un qui n'en a pas?
4
3
2
1



Réagir

Cinq consignes avant de réagir :
  1. Rester dans le cadre de la dépêche. Pour des discussions plus générales, vous pouvez utiliser nos forums.
  2. Développer son argumentation. Les messages dont le seul but est de mettre de l'huile sur le feu seront modifiés ou effacés sans préavis par la rédaction.
  3. Respecter les acteurs de l'informatique et les autres lecteurs. Les messages agressifs, vulgaires, haineux, etc. seront modifiés ou effacés sans préavis par la rédaction.
  4. Pour toute remarque concernant le contenu de l'article, pour nous signaler une erreur, une faute d'orthographe, une omission, merci de nous contacter exclusivement par e-mail.
  5. Relisez-vous, et pour les utilisateurs de Safari profitez de l'aide du navigateur : activez le menu édition > Orthographe > Vérifier l'orthographe lors de la frappe.