iMessage : les bons et les mauvais point de sa sécurité

Fin septembre, Cyril Cattiaux, chercheur en sécurité chez QuarksLab, annonçait prévoir de montrer comment Apple «peut techniquement lire les iMessage quand il le veut», à l’occasion de la conférence Hack In The Box de Kuala Lumpur. Et c’est chose faite. De son étude du service de messagerie instantanée d’Apple, le chercheur retire quatre points positifs et une vulnérabilité. Il porte ainsi au crédit de la firme à la pomme l’utilisation de certificats 1024 bits pour l’authentification des clients, le chiffrement des messages avec une clé sur 1280 bits, l’utilisation d’une signature en s’appuyant sur l’algorithme ECDSA faisant appel à la cryptographie sur courbes elliptiques pour générer des clés 256 bits, et l’utilisation d’un framework open source pour la génération de celles-ci. Mais Cyril Cattiaux relève un point faible : l’absence de certificat pour l’authentification des serveurs Push et iMessage d’Apple ou encore le transfert du mot de passe associé à l’identifiant Apple de l’utilisateur en clair sur un lien SSL. De quoi pouvoir envisager des attaques de type man-in-the-middle. Certes, pour y parvenir, il fut «un contrôle élevé sur le réseau» des victimes, «mais absolument aucune clé privée de victime n’est nécessaire».

Mais se protéger d’une telle interception n’est pas impossible. Cyril Cattiaux a d’ailleurs profité de la conférence Hack In The Box pour présenter un logiciel Open Source pour OS X le permettant. Un outil dont une version iOS est prévue. Mais dans l’ensemble, iMessage lui apparaît suffisamment sûr pour «l’utilisateur moyen». En revanche, pour l’échange d’informations «sensibles», qui pourraient intéresser un gouvernement, il recommande de l’éviter.

Dans un entretien accordé à AllThingsD, un porte-parole d’Apple indique toutefois que «iMessage n’est pas conçu pour permettre à Apple de lire les messages.» Pour lui, les travaux de Cyril Cattiaux sont «théoriques» et exploiter les vulnérabilités évoquées exigerait d’Apple de revoir l’architecture d’iMessage, ce que l’entreprise «ne prévoit pas ni n’a l’intention de faire.»