Pourquoi s'embêter à corriger une faille de sécurité lorsqu'on peut tourner le bug à son avantage et en faire en argument commercial ? Vendredi, l'expert en sécurité iOS Pod2g a publié sur son blog un billet qui explique que tous les téléphones d'Apple, y compris le futur iPhone 5 équipé d'iOS 6, ont une faille de sécurité dans leur gestion de l'affichage des SMS. Mais plutôt que de chercher à corriger la faille, ce qui serait très simple, Apple préfère vanter les mérites de sa solution propriétaire iMessage.
Dans son billet, Pod2g expliquait en effet qu'il est possible d'envoyer un SMS à un iPhone en faisant croire au destinataire que le message a été envoyé par un autre expéditeur. La faille pourrait être exploitée par des hackers pour envoyer des messages paraissant émaner d'une banque (affichant l'URL d'un site de phishing pour accéder à plus d'informations), par un détraqué pour envoyer un faux rendez-vous à sa victime, etc.
Le problème semble facile à corriger. Lorsque l'iPhone reçoit un message SMS, il lit l'entête du message (User Data Header) dans laquelle figure un champ "reply-to", qui indique le numéro de téléphone à utiliser pour répondre au message. Dans la très grande majorité des cas, il s'agit du numéro de l'expéditeur. Mais le protocole permet des les dissocier. Or plutôt que d'afficher le numéro de l'expéditeur, Apple a choisi de prendre en référence le numéro du "reply-to", qui peut être modifié librement. Il suffirait donc qu'Apple affiche les deux numéros, ou au moins qu'il affiche une alerte lorsque les numéros d'expéditeur et de réponse ne sont pas identiques et qu'il y a donc un doute sur l'origine du message. Il pourrait aussi ne prendre que le numéro d'expéditeur en référence, et ignorer le champ "reply-to".
Mais au lieu de modifier iOS, Apple critique le protocole des SMS et vante les mérites de sa propre solution propriétaire iMessage, qui ne fonctionne qu'entre appareils Apple (une astuce supplémentaire pour éviter que les clients ne changent trop facilement de crèmerie). La firme de Cupertino a en effet envoyé cette seule réaction au site Engadget :
Apple prend la sécurité très au sérieux. Lorsque vous utilisez iMessage à la place des SMS, les adresses sont vérifiées, ce qui protège contre ces formes d'attaques de spoofing. Une des limitations du SMS est qu'il permet aux messages d'être envoyés avec des adresses falsifiées à n'importe quel téléphone, donc nous pressons les consommateurs d'être très prudents s'ils sont redirigés vers un site web ou une adresse inconnus par SMS.
Une leçon d'hypocrisie.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
