Knox : Samsung invite au chiffrement
Dans une réponse officielle aux révélations de chercheurs israéliens concernant une faille de sécurité dans son système Knox, Samsung se dédouane et encourage les développeurs à chiffrer les communications.
Fin décembre, des chercheurs en sécurité de l’université Ben Gourion, en Israël, ont découvert une « vulnérabilité critique » au sein de l’architecture sécurisée Knox, développée par Samsung pour ses smartphones Android. Selon eux, celle-ci permet d’intercepter aisément les « communications data entre conteneurs sécurisés et le monde externe - transferts de fichiers, e-mails, et activités Web, notamment. »
Sollicité par les chercheurs, le Sud-Coréen n’a pas manqué de réagir. Mais pour lui, la vulnérabilité tient moins à Knox qu’à Android. Pour lui, les travaux des chercheurs israéliens « n’ont pas identifié une faille ou un bug dans Knox ni Android; ils ont démontré une attaque classique de type man-in-the-middle qui rend possible en tout point du réseau l’observation de données applicatives non chiffrées. » Pour Samsung, ce travail a « montré spécifiquement que c’est également possible via un programme installé par l’utilisateur ». Une démonstration qui « réaffirme l’importance du chiffrement des données applicatives avant leur transmission sur Internet. » Et de souligner que « les pratiques de développement pour Android encouragent que cela soit fait par chaque application en utilisant SSL/TLS. »
Pas de correctif en vue, donc, mais une liste des protections contre les attaques man-in-the-middle intégrées nativement à Knox et, surtout, un rappel des bonnes pratiques.
