Passer à iOS9 pour se protéger d’une faille AirDrop

Si les nombreux apports d’iOS 9 pour l’entreprise peuvent justifier à eux seuls la mise à jour des terminaux mobiles frappés de la pomme, la correction d’une importante vulnérabilité ajoute encore à l’attrait de ce nouvel opus.

Le chercheur Mark Dowd a en effet découvert une vulnérabilité affectant AirDrop, le système de partage de fichiers sans fil à proximité, entre utilisateurs d’iPhone et d’iPad – voire de Mac – et en a averti Apple.

Dans une vidéo publiée sur YouTube, le chercheur fait la démonstration :  la charge utile est envoyée à un appareil iOS 8.4.1 via AirDrop, via Bluetooth ; elle « reste dormante » jusqu’au redémarrage du terminal. Il s’agit en fait d’une application signée avec un certificat pour entreprise : elle est installée sans passer par l’App Store d’Apple et la signature lui permet d’être exécutée sans confirmation de l’utilisateur.

Mais Dowd aurait également pu utiliser les exploits permettant de faire sauter les mécanismes de protection du système d’exploitation, un processus couramment évoqué sous le terme de jailbreak.

Mais son attaque implique surtout l’exploitation d’une faille permettant à un attaquant de parcourir le système de fichiers complet du terminal iOS pour réécrire des fichiers là où le veut : dans sa démonstration, il s’attaque à l’application de téléphonie native.

Apple a partiellement corrigé les vulnérabilités ici mises à profit avec iOS 9. Il a notamment modifié la manière dont son système d’exploitation mobile gère les chargements d’applications en dehors de son magasin applicatif : iOS 9 ne supporte plus les profils génériques et il est nécessaire de créer un profil par application d’entreprise ; en outre il est nécessaire de passer par les réglages d’un appareil non enrôlé dans un système de MDM pour accorder sa confiance à un développeur non validé.

OS X Yosemite est également affecté par la vulnérabilité touchant AirDrop et découverte par Mark Dowd ; son successeur, El Capitan, attendu pour la fin du mois, apportera un correctif.