Des services iOS facilitent la capture de données personnelles

Jonathan Zdziarski est un chercheur en sécurité expert d’iOS. Récemment, il a jeté un pavé dans la mare. Dans une présentation, il s’est récemment penché sur des services du système d’exploitation mobile d’Apple permettant l’accès à des données personnelles à l’insu de l’utilisateur. Loin d’accuser la firme à la pomme de collaborer avec la NSA, il s’inquiète de la manière dont l’agence du renseignement américaine pourrait utiliser ces services à des fins de surveillance. Si l’intérêt de celle-ci pour les iPhone et autres iPad a été souligné l’an passé, dans le cadre du scandale Prism, il était généralement admis, jusqu’à lors, que l’accès aux données des terminaux iOS ne pouvait se faire que grâce à un accès physique, et au jailbreak. Les découvertes de Jonathan Zdziarski remettent en cause ces assertions. De fait, pour lui, “certains de ces services pourraient avoir été utilisés par la NSA pour collecter des données sur certaines cibles potentielles […] certains services fonctionnant sur iOS ne devraient pas être là […] Mon espoir est qu’Apple va corriger ce problème. Rien de moins, rien de plus.”

De quoi intercepter le trafic HTTP

Dans son exposé, le chercheur commence par rappeler que “dans iOS 7, les documents tiers sont chiffrés, mais [le dossier Library et son contenu] et des dossiers de cache ne le sont généralement pas.” En outre, “une fois que le terminal est déverrouillé une première fois après redémarrage, la plupart des données chiffrées peuvent être consultées jusqu’à l’arrêt du terminal.” En clair : ce n’est pas parce que le terminal apparaît verrouillé à l’utilisateur que les données sont chiffrées. Pire : des services non documentés permettent d’accéder à ces données.

Pire, Jonathan Zdziarski a découvert à l’occasion de ses recherches un service de surveillance du trafic HTTP susceptible d’être exploité à distance, via un réseau Wi-Fi. Et de s’interroger : “pourquoi avons-nous besoin d’un [système d’interception de parquets] fonctionnant sur 600 millions de terminaux iOS personnels ?” Mais ce n’est pas tout. Le chercheur relève aussi un service qui “transmet de vaste blocs de données brutes dans une archive compressée, suivant la source de données interrogée” en “contournant complètement le chiffrement des sauvegarde d’iOS.” Et ce service peut piocher dans le carnet d’adresses, les données de géolocalisation, les photos, les configurations VPN, des caches…

Enfin, pour Jonathan Zdziarski, “installer un logiciel invisible fonctionnant en tâche de fond reste facile avec iOS 7.” De quoi ouvrir la porte à de nouveaux logiciels espions.

Des services de “diagnostique”

Selon Apple, il convient de voir là des “fonctions de diagnostique”, conçues pour “ne pas compromettre la confidentialité et la sécurité” des données des utilisateurs tout en “fournissant les informations requises aux divisions IT, aux développeurs et à Apple pour diagnostiquer des problèmes techniques.” Et la firme d’assurer “qu’un utilisateur doit avec déverrouillé son terminal et accepté de faire confiance à un ordinateur avant que celui-ci ne puisse accéder à ces données de diagnostique limitées.”

Faux, assure Jonathan Zdziarski : “ces services fournissent des données (et contournent le chiffrement de sauvegarde que la fonction Envoyer des données de diagnostique à Apple soit activée ou non, et que le terminal soit administré par des règles d’entreprise ou pas.” Trois services en particulier l’inquiètent. Le service de surveillance trafic HTTP, bien sûr. Mais aussi File Relay, trop généreux à son goût en données personnelles, et “fournissant bien plus que des données de diagnostique”. Puis House Arrest, “pouvant être utilisé pour accéder à des informations qui ne devraient jamais quitter le téléphone - dossier Library, caches, préférences, etc. C’est là que l’essentiel des données personnelles de toutes les applications sont stockées.”  

Appel à corriger

Jonathan Zdziarski insiste : pour lui, il n’est pas question de paniquer ni d’hurler au complot. Loin d’affirmer qu’Apple puisse collaborer avec la NSA, il s’inquiète de ce qu’une telle agence pourrait faire de ces services iOS. Et d’estimer dès lors “qu’il serait largement irresponsable d’Apple de ne pas corriger ces problèmes, tout particulièrement alors que le public en est désormais informé.” Sans surprise, Jonathan Zdziarski demande à Apple de fournir à l’utilisateur plus de contrôle sur ces services. Et le chercheur d’attendre de la firme qu’elle les rendent en tout cas moins diserts dans un avenir proche.