Nouveautés + tendances
Checkm8 : nouvelle vulnérabilité trouvée dans les iPhones - Apple impuissant
par Livia Gamper
La nouvelle fonction "Find my..." d'Apple est plutôt ingénieuse
24/10/2019
Traduction: traduction automatique
Avec iOS 13 et le nouveau MacOS, les appareils Apple sont devenus encore moins attractifs pour les voleurs. Depuis peu, vous pouvez retrouver ou verrouiller votre iPhone, iPad ou Mac perdu à distance - grâce à d'autres utilisateurs.
La fonctionnalité permettant de trouver, d'effacer ou de verrouiller les appareils perdus existe depuis longtemps chez Apple et Android. Apple a brillamment amélioré cette fonction avec iOS 13 et MacOS Catalina 10.15.
Pour commencer, une petite distinction : Le verrouillage d'activation ne doit pas être confondu avec le verrouillage de code que vous avez, je l'espère, défini.
Le problème est le suivant : les appareils protégés uniquement par un verrouillage par code peuvent être réinitialisés aux paramètres d'usine à l'aide d'un Hard Reset. Toutes les données sont alors perdues. Ainsi, vos informations privées ne tombent pas entre des mains étrangères, mais votre smartphone, votre tablette ou votre ordinateur portable ont disparu.
Le Verrouillage d'activation, quant à lui, verrouille complètement les appareils. S'ils sont associés à l'iCloud d'Apple via la fonction "Find my", ils ne peuvent pas être réinitialisés aux paramètres d'usine. Seule la saisie de votre identifiant Apple et de votre mot de passe permet de le déverrouiller.
Et non : les innombrables sites web, outils et vidéos YouTube censés aider à supprimer le verrou d'activation ne font précisément pas cela pour les versions à peu près récentes du système d'exploitation. Le dispositif est inutile pour le voleur.
Ce qui est nouveau
La nouveauté, c'est qu'avec iOS 13 et Macos 10.15, les appareils d'autres utilisateurs Apple seront utilisés pour retrouver un iPhone, un iPad, une Apple Watch ou un Mac perdu ou, justement, pour lui appliquer un verrouillage d'activation.
Et ce, même si votre appareil n'est pas connecté à un réseau mobile ou Wi-Fi. Pour cette fonction, Apple utilise de petits paquets de données ("payload") qui sont envoyés en piggyback lors des demandes de connexion via Bluetooth. Voici la présentation à la WWDC 2019 (à partir de 1:51:25).
Cela signifie que si vous laissez votre iPhone dans un bar ou si votre Macbook vous est arraché de votre poche à l'aéroport, vous utilisez les utilisateurs Apple présents sur place comme complices. Vous avez besoin d'au moins deux appareils Apple et la fonction "Find my" doit être activée sur chacun d'entre eux.
Comment ça marche:
- Une clé privée et une clé publique sont générées localement pour vos appareils. La clé publique permet à n'importe qui de chiffrer les données, mais vous seul pouvez les déchiffrer avec la clé privée.
- La clé publique tourne et n'est valable que pour une courte durée. Cela évite que quelqu'un puisse vous identifier à l'aide de votre clé publique pendant une longue période.
- Votre iPhone ou votre Mac émettent régulièrement un signal via Bluetooth, qui est capté par d'autres appareils Apple.
- Les appareils étrangers savent où ils se trouvent. Ils chiffrent cette information avec votre clé publique qu'ils viennent de recevoir.
- Ils envoient à Apple les informations de localisation cryptées, que vous seul pouvez voir, ainsi qu'une "empreinte digitale" (hash) de votre clé publique. Apple sait ainsi quel appareil envoie l'information - mais pas à quelle personne appartient l'appareil. Ils savent seulement quels hashs se trouvent actuellement à proximité de votre appareil.
- A l'aide de votre deuxième appareil Apple, qui utilise la même clé privée, vous marquez votre appareil iOS ou votre Mac comme perdu (où est-il ?) ou volé (verrouillez-le !).
- Votre deuxième appareil envoie l'empreinte digitale (hash) correspondante à Apple, qui recherche dans ses bases de données des millions et des millions de hashs actuellement actifs à proximité.
- Apple envoie le signal souhaité grâce aux hashs aux appareils à proximité, qui transmettent la commande à votre appareil.
La seule chance envisageable pour le voleur techniquement averti de votre iPhone ou iPad est qu'un jailbreak omnipotent apparaisse. Le récent exploit pour les appareils iOS checkm8 n'est d'ailleurs d'aucune utilité pour un malfaiteur : ce bug nécessite un accès local à un Mac auquel votre iPhone fait déjà confiance.
Si vous avez vous-même sali tous vos mots de passe ou si vous avez acheté un appareil d'occasion de manière légale, il existe une solution officielle : Apple possède lui-même une clé générale pour tous les appareils et peut déverrouiller les appareils avec Activation Lock. Pour cela, il faut prendre rendez-vous dans un Apple Shop avec une preuve d'achat - sinon rien ne fonctionne.
Apple a bien fait les choses. Mange ton pain, sale voleur!
Au fait, ce n'est pas Apple qui l'a inventé. Il existe déjà plusieurs trackers Bluetooth dotés d'une fonction de communauté. Nous avons également dans notre assortiment les pièces de Tile.
Aurel Stevens
Chief Editor
aurel.stevens@digitecgalaxus.chJe dompte la rédaction. Rédacteur le jour, papa le soir. Je m’intéresse à la technique, aux ordinateurs et à la HiFi. Je fais du vélo par tous les temps et suis presque toujours de bonne humeur.
Smartphone
Suivez les thèmes et restez informé dans les domaines qui vous intéressent.
41 commentaires
later