Sécurité

Une faille qui prend complètement à défaut le système de validation de l'App Store

08/11/2011 - 00:11 - CL

Incontestablement, Charlie Miller, vient de réussir l’un de ses plus jolis coups. Le chercheur en sécurité a débusqué une faille dans iOS qui permet de contourner la signature du code. Ce mécanisme permet en théorie de n’exécuter que des commandes autorisées dans la mémoire de l’iPhone ou de l’iPad.

La démonstration de Charlie Miller est assez impressionnante. Il a soumis à Apple, Instastock, un logiciel qui permet de suivre les cours de la bourse. Cette dernière a été validée et a été disponible plusieurs jours sur l’App Store avant qu’Apple s’aperçoive de la supercherie.

Si d’apparence, l’application n’avait rien de bien folichon, elle était également capable de télécharger et d’exécuter du code à distance, lequel n’est pas passé bien entendu entre les mains d’Apple. Comme il le montre dans la vidéo, grâce à son logiciel, Charlie Miller peut très facilement prendre le contrôle de l’iPhone sur lequel l’application est installée, récupérer des données confidentielles ou encore exécuter certaines commandes. Le tout à la barbe et au nez de l’utilisateur…

Charlie Miller doit faire une démonstration de cette faille lors de la conférence SysCan qui se tient la semaine prochaine à Taiwan. Toutefois, il avait présenté ses travaux en avant-première à Forbes. Apple n’a pas tardé à réagir et à supprimer Instastock, au bout de quelques heures. La firme de Cupertino a rarement été aussi rapide pour retirer un logiciel de sa plate-forme de téléchargement. Apple aurait même fermé le compte développeur de Charlie Miller alors que la marque à la pomme lui en avait justement offert un pour qu’il puisse faire des tests.

Il semble que la faille ait un lien avec Nitro, le moteur JavaScript de Safari Mobile apparu dans iOS 4.3. Ce dernier avait la particularité de supporter la compilation à la volée (JIT), et par conséquent d'avoir la capacité de marquer des pages mémoire en RAM comme étant exécutables.

Et c’est justement pour cette raison qu’Apple avait dans un premier temps réservé Nitro à son navigateur web, de peur que des petits malins parviennent à faire fonctionner du code non signé par ce biais.

Quoi qu’il en soit, Charlie Miller n’en dira pas plus sur la question tant qu’Apple ne corrige pas cette faille dans iOS.

Tags:

Grosse faille concernant le verrouillage automatique de l'iPhone

25/10/2010 - 20:43 - CL

Un lecteur de MacRumors vient de trouver une très grosse faille concernant la fonction de verrouillage de l'iPhone. Lorsque celle-ci est activée, il vous faut entrer un code avant de pouvoir vous servir de votre appareil. La seule possibilité offerte à l'utilisateur, c'est de pouvoir appeler un numéro d'urgence.

Cette protection est facilement contournable. Pour y parvenir, il suffit de saisir un numéro de téléphone, puis de tapoter sur le bouton appeler et appuyer immédiatement sur le bouton de mise en veille. Si vous faites correctement la manipulation, vous accédez ensuite à la partie téléphonie de l'iPhone.

Il n'est pas possible par contre d'accéder à l'écran d'accueil ou de lancer une autre application. Par contre, nous avons pu appeler quelqu'un sans problème. En utilisant le bouton envoyer cette fiche, il est également possible d'envoyer des mails et des SMS/ MMS. En modifiant la photo d'un contact, on peut également à l'ensemble des photos stockées sur un iPhone ou bien même prendre des photos.

Si vous avez testé cette faille, pour en sortir, il vous suffit de commencer un appel puis d'appuyer sur le bouton de mise en veille. Cette faille semble toucher toutes les versions d'iOS 4.x.

iOS : une mise à jour pour régler la faille PDF sur l'iPhone et l'iPad

11/08/2010 - 20:15 - CL

Apple propose au téléchargement iOS 4.0.2 pour iPhone / iPod touch et iOS 3.2.2 pour iPad. Ces deux mises à jour corrigent la faille relative aux fichiers PDF, c'est cette faille rappelons-le qui a permis de simplifier considérablement le jailbreak sur les terminaux d'Apple.

Cette mise à jour s'obtient depuis iTunes. Si vous avez jailbreaké votre appareil, mieux vaut attendre les premiers retours…

Apple a également mis à jour le SDK d'iOS.

Sur le même sujet :
- Apple a ses correctifs prêts pour la faille PDF

Affaire du ver : Apple réagit

23/11/2009 - 22:44 - CL

De plus en plus de petits malins s'attaquent aux appareils jailbreakés (lire : Les iPhone jailbreakés à nouveau visés par un ver). Ils profitent du fait que nombre d'utilisateurs qui ont fait cette manipulation, oublient de changer le mot de passe administrateur par défaut.
Ce type d'affaires fait de plus en plus de bruit et met dans l'embarras Apple qui a été contrainte de sortir de son mutisme, par l'intermédiaire de sa porte-parole Natalie Harrison qui minimise l'affaire. Elle insiste sur le fait que le ver en question est capable de s'attaquer à un nombre restreint d'iPhone.
Elle déclare que la vaste majorité des utilisateurs d'iPhone ne «déplombent» pas leurs appareils. Elle qualifie le jailbreak de hack et rappelle qu'en faisant cela, l'utilisateur rompt la garantie de l’appareil. D'autre part, selon elle, le jailbreak peut rendre l'iPhone instable et peut mettre à mal sa fiabilité.

mogoRoad et iPhone : les explications d'ID Mobile

02/10/2009 - 14:20 - FI

ID Mobile SA, l'éditeur suisse de l'application mogoRoad a répondu à nos questions suite à la polémique autour d'une collecte de numéro de téléphone via une application iPhone. Selon son PDG, Stéphane Blum, il y a loin entre la réalité et la tempête médiatique qui sévit autour de son logiciel et de son entreprise. Explications…

1234 n'est pas un bon code PIN

19/01/2012 - 07:15 - CL

Si vous êtes passé chez Free Mobile, vous avez eu le droit à une carte SIM flambant neuve. Et vous avez comme code PIN par défaut "1234". Si vous n'avez pas eu le temps de le faire, nous vous invitons à le modifier dans les plus brefs délais.

Pour ceux qui ont oublié comment faire, la manipulation est très simple. Il faut se rendre dans les réglages, sélectionner l'option Téléphone, puis PIN carte SIM et sélectionner l'option "Modifier le code PIN".

Pour sécuriser son iPhone, changer son code PIN n'est pas suffisant. On vous recommande vivement si ce n'est pas déjà fait d'activer le verrouillage par code. L'option est localisée dans Réglages -> Général. Bon nombre d'options s'offrent à vous. Vous pouvez assigner un code simple à quatre chiffres ou une chaîne de caractères de votre choix.

Vous pouvez également régler le délai d'inactivité à partir duquel votre terminal doit vous redemander votre code. Enfin, vous avez la possibilité de faire effacer toutes les données de votre téléphone après 10 essais infructueux. Une option très pratique, mais qui peut également jouer de vilains tours si vous avez des enfants en bas âge…

Sur le même sujet :
- Les dix codes de verrouillage d'iPhone les plus utilisés sont…

Tags:

WhatsApp disparait de l'App Store

14/01/2012 - 10:42 - CL

L'application WhatsApp a été retirée momentanément de l'App Store. Dans le fonctionnement, ce logiciel est similaire à iMessage ou BlackBerry Messenger. L'avantage, par rapport à ses concurrents, repose dans le fait qu'il est multiplateforme.

Son retrait est semble-t-il lié à une faille de sécurité qui a été découverte récemment dans ce logiciel de chat. Celle-ci offre la possibilité changer le statut d'un utilisateur sans avoir à s'identifier. Un site indépendant qui a été mis hors ligne depuis permettait d'effectuer très simplement cette action.

Sur son compte Twitter, l'éditeur a fait savoir qu'il avait d'ores et déjà soumis à Apple une version patchée de son app.

Les petits secrets des mises à jour OTA d'iOS

09/01/2012 - 17:49 - AN

skitchedLe développeur et bidouilleur Luke Young a mené une analyse du mécanisme de mise à jour over-the-air d'iOS, à la manière de ce que les équipes d'Applidium avaient fait pour Siri (lire : Les petits secrets de Siri). Les méthodes classiques pour « écouter » les communications d'un appareil iOS avec les serveurs d'Apple (reniflage simple) n'ont ici été d'aucune aide : le mécanisme OTA est conçu pour ignorer l'utilisation de proxies.

Young a donc dû utiliser une méthode plus sophistiquée, celle du DNS spoofing, qui consiste à rediriger les requêtes DNS de l'iPhone et à utiliser un Mac intermédiaire pour analyser le trafic (ici via les outils de logging et de debugging d'Apache et de node.js). Comme toujours, c'est la capacité du bidouilleur à correctement analyser les données qui fait la différence : Young s'est déjà distingué dans le passé par sa capacité à dénicher des failles de sécurité.

Surprise : le mécanisme de mise à jour OTA utilise une simple connexion HTTP non sécurisée. Young a ainsi pu récupérer les différentes URLs des différents fichiers relatifs aux mises à jour (documentation, composants de la mise à jour, mise à jour elle-même), mais aussi comprendre le mécanisme même de la mise à jour du côté de l'appareil (vérification des fichiers par une somme de contrôle, vérification du système de fichiers de l'appareil iOS — qui échoue mécaniquement sur un appareil jailbreaké). En poussant l'analyse plus loin, il a pu comprendre qu'il était pour le moment impossible de tromper le système avec un faux téléchargement du fait des diverses vérifications imposées.

Les informations brutes sont difficilement compréhensibles par qui n'est pas bidouilleur, mais ce premier pas sera précieux dans la recherche d'éventuelles failles de sécurité, soit par des white hat prévenant par la suite Apple, soit par les géniaux déplombeurs qui pourraient détourner le système pour le jailbreak.

[Innoying via Mac4Ever]

Windows Phone 7.5 : un SMS et boom !

13/12/2011 - 09:53 - CL

Une « jolie » faille de sécurité a été trouvée dans Windows Phone 7.5. Un simple SMS permet à un utilisateur « mal-intentionné » de faire redémarrer un smartphone équipé de la dernière version du système d’exploitation de Microsoft. Le SMS en question parvient même à désactiver le hub de messagerie. Cette faille peut également être exploitée avec un message envoyé à partir de Facebook ou Windows Live Messenger.

Pour rétablir le bon fonctionnement de l’appareil, il est nécessaire de faire un « hard reset » de l’appareil. La bonne nouvelle si l’on peut dire, c’est que cette faille ne met pas en danger les données de l’utilisateur.

Les SMS n’ont l’air de rien, mais ils ont souvent causé des tracas aux différents éditeurs de système d’exploitation de smartphones. La première version d’Android permettrait par exemple d’envoyer des instructions shell avec les privilèges administrateur (lire : Android : le début des problèmes pour Google). De son côté, Charlie Miller avait trouvé un moyen de faire planter un iPhone à distance en envoyant un simple SMS (lire : La faille SMS : de plus en plus grave). Voilà que « le phénomène » touche maintenant Microsoft.

Pour en revenir à la faille touchant les appareils équipés de Windows Phone 7.5, Microsoft prépare un correctif.

[Via : Winrumors]

iTunes : la faille de sécurité avait fêté ses 3 ans

02/12/2011 - 06:10 - FI

logo iTunesTrois ans pour corriger un bug de sécurité dans iTunes pour Windows. C'est le constat dressé par le blog KrebsonSecurity à propos d'une faille qui avait été signalée à Apple en juillet 2008 par le chercheur argentin Francisco Amato.

Ce n'est qu'à l'occasion de la dernière mise à jour 10.5.1 d'iTunes, sortie le 14 novembre, que la faille a été comblée. Amato est d'ailleurs crédité de cette découverte.

Ce bug permettait d'utiliser de façon malicieuse la fonction de recherche des mises à jour d'iTunes. L'application envoie automatiquement des requêtes HTTP et il s'avérait possible de lui retourner une URL qui ouvrait le navigateur web et conduisait l'utilisateur sur un faux site Apple, d'où il aurait pu télécharger un cheval de Troie. La situation pouvait se présenter sur PC si Windows était dépourvu du module Apple Software Update et s'appuyait donc sur le navigateur pour accéder aux mises à jour. Sur Mac on passe nécessairement par Mise à jour de logiciel. Apple a donc établi une connexion sécurisée depuis iTunes 10.5.1.

Cette technique d'intrusion était promue auprès de gouvernements pour infiltrer des ordinateurs. Des alertes de mises à jour pour Flash, OpenOffice, Java, Winamp… pouvaient aussi servir de vecteurs de diffusion de ces Troyens. Dès l'instant que le logiciel a une fonction de recherche des nouvelles versions et que l'info reçue n'est pas signée par l'éditeur, il y a un risque, expliquait justement KrebsonSecurity en 2008 à propos de cette catégorie de failles.

Mais la question s'agissant d'Apple est de savoir pourquoi il aura fallu si longtemps pour combler la faille. Le délai dans le cas présent est tellement surréaliste que l'on peut penser à… un oubli.

Tags: