Sécurité : Mac OS X rattrapé par le succès d’Apple

L’émotion est suffisamment grande pour que même la presse généraliste s’y intéresse : plus d’un demi-million de Mac auraient été infectés par un même logiciel malveillant. Patatras. Voilà que vacillerait l’image robustesse dont bénéficie le système d’exploitation d’Apple. Mais c’est aller un peu vite en besogne. Tout d’abord, cette image, pour peu qu’elle soit répandue, est-elle justifiée ?

Force est de constater qu’Apple n’a pas manqué de travailler à répandre lui-même cette image. Début 2009, l’entreprise présentait même son système d’exploitation comme «un havre de paix.» Mais cette présentation était à tout le moins discutable. De fait, la division sécurité d’IBM indiquait à la même période que Mac OS X et Mac OS X Server comptaient chacun pour 14,3 % des vulnérabilités dévoilées en 2008. Pour un environnement hyper sécurisé, on a vu mieux. Par la suite, les démonstrations d’exploits sur Mac OS X n’ont pas manqué. De quoi donner de l’eau au moulin d’Eric Filiol, spécialiste de la cryptologie, qui rappelait alors que «tous les environnements capables d’exécution [de code] sont potentiellement vulnérables.» Et l’on ne saurait contredire cette affirmation aussi prudente que réaliste. 

Mais alors, si Mac OS X est potentiellement vulnérable, au même titre que n’importe quel système d’exploitation, est-il sécurisé ? Et - ce qui intéresse probablement encore plus ses utilisateurs - est-il sûr ? Le diable se cachant dans les détails, la réponse tient dans la nuance qui sépare les deux expressions. De fait, début 2009, Apple n’avait pas forcément tord de présenter sa plateforme comme un «havre de paix» : elle était sûre. Et peu importe qu’elle ait été, à l’époque, plus ou moins sécurisée qu’une autre. La réalité était simple : pragmatiques, les cybercriminels ne s’intéressaient pas - du moins de manière significative - à un environnement largement marginal. 

Aujourd’hui, cette situation commence manifestement à changer. Et Flashback en apporte la démonstration. C’était somme toute prévisible. Depuis bientôt quatre ans, Apple jouit d’un succès remarquable. Au point d’avoir été dernièrement le seul vendeur d’ordinateurs personnels à réussir à progresser en volume. Une performance d’autant plus remarquable que le marché de l’informatique personnelle n’a pas, dans le même temps, particulièrement brillé par ses résultats. Dès lors, il n’y a rien d’étonnant à ce que certaines prophéties se concrétisent et que des cybercriminels s’intéressent de plus près à Mac OS X. Accessoirement, une autre spécificité d’Apple peut participer de leur motivation : le constructeur réussissant à vendre à des prix globalement supérieurs à ceux de ses concurrents, on peut légitimement penser que ses clients sont plus aisés. Et il semble qu’il n’y ait rien de tel qu’un portefeuille bien garni pour attirer les cybercriminels. Comme le veut l’adage, on n’attire pas les mouches avec du vinaigre...

Mais regardons les choses en face : Mac OS X n’est assurément pas moins sécurisé qu’il ne l’était avant Flashback. Il l’est même probablement en train de l’être de plus en plus. Avec le tout récent Lion - Mac OS X 10.7 -, Apple a introduit la randomisation de l’organisation de l’espace mémoire qui rend plus difficile l’injection en mémoire - avec le résultat escompté - de morceaux de code exécutables. Il faut ajouter à cela l’isolation des processus exécutable - le sandboxing - qui leur accès à des ressources sur lesquelles ils n’ont aucune légitimité. Avec Mountain Lion, prévu pour l’été prochain, les perspectives des pirates s’assombrissent un peu plus avec l’intégration programmée, dans Mac OS X, de briques de sécurité héritées d’iOS. Au menu, Apple a ainsi inscrit Gatekeeper, un mécanisme de contrôle des applications qui auront le droit d’être installées. Mais aussi un système de gestion des accès aux données personnelles, par les applications. Peut-être n’est-ce que la partie pour l’heure visible de iceberg.

Tout cela n’a rien d’un hasard : petit à petit, Apple se nourrit des efforts des hackers pour proposer un jailbreak persistant - dit untethered - d’iOS - et donc ses iPhone et iPad - pour renforcer la sécurité de ses systèmes d’exploitation qui - rappelons-le - partagent les mêmes bases logicielles. Sur son site Web, Apple souligne d’ailleurs que Mountain Lion est «inspiré» par l’iPad... En termes de sécurité, le firme semble donc jouer à fond des synergies entre les différentes déclinaisons de sa plateforme. Et le niveau de sécurisation d’iOS n’a cessé de se renforcer depuis 2007. Charlie Miller et Dino Dai Zovi le soulignaient lors de la dernière édition de RSA Conference. Et ils ne manquaient pas d’éloges. 

Mac OS X est aujourd’hui plus sécurisé qu’hier. Et il appelé à l’être encore plus. Reste à savoir s’il est plus ou moins sûr aujourd’hui qu’hier. La réponse dépendra de l’évolution de son exposition aux menaces et, par là même, de l’intérêt des cybercriminels. Mais elle dépendra aussi des stratégies de sécurité mises en oeuvre par Apple. Aujourd’hui, déjà, ce sont plus les composants logiciels périphériques - comme Java, avec Flashback - que le coeur de l’OS qui offrent la plus grande part de surface d’attaque exploitée par les cybercriminels. C’est vrai pour Mac OS X; ça l’est aussi pour d’autres systèmes d’exploitation. Pour réduire cette surface d’attaque, Apple a choisir d’établir un contrôle strict sur l’écosystème logiciel d’iOS. Et jusqu’ici, les résultats ne sont pas si mauvais, en termes de sécurité. Ils vont même en s’améliorant. L’introduction du Mac App Store et celle, demain, de Gatekeeper pointent dans la même direction, pour OS X. La suite du débat est essentiellement philosophique : jusqu’où les utilisateurs de Mac accepteront-ils de sacrifier leur liberté sur l’autel de leur sérénité ? De fait, pour Charlie Miller et Dino Dai Zovi, une bonne partie des gains de sécurité - voire de sûreté - d’iOS sont d’abord «les effets secondaires de la volonté de contrôle d’Apple [...] C’est un peu comme lorsque l’on vit dans un État policier : il y a moins de criminalité, mais ce n’est qu’un effet secondaire.»