iPhone : vos données personnelles peuvent être piratées !

Alerte sur le smartphone d'Apple ? La citadelle du Californien ne serait pas aussi imprenable qu'il le prétend !

L'iPhone et l'AppStore ont de plus en plus de fans. Ils sont attirés par les qualités, indéniables, de ces deux "productions" d'Apple. Pour les rassurer, la marque californienne a multiplié à l'envi les infos rassurantes. Les deux principales sont la vérification des applications disponibles sur l'AppStore et l'installation des applications sur l'iPhone dans des "bacs à sable" (en clair, ces appli' ne pourraient pas communiquer entre elles, ce qui éviterait ainsi une infection virale ou un piratage).

Ca, c'est le discours officiel d'Apple.

Des experts le remettent en cause.

Lors de la dernière conférence Black Hat organisée en janvier aux Etats-Unis, Nicolas Seriot, un expert en sécurité informatique d’origine suisse qui travaille à la Haute Ecole d’Ingénieurs et de Gestion du Canton de Vaud, a présenté son petit logiciel qui a fait sensation.

Appelé SpyPhone, il est capable d’accéder à des données personnelles de l'iPhone : historique de recherches sur YouTube, données des comptes de messagerie électronique et du carnet d’adresses, cache de saisie du clavier virtuel.

Heureusement, pour l'instant, SpyPhone est une application "proof-of-concept". Mais selon lui, ce genre d'outil malveillant pourrait se retrouver dans l'AppStore car il existe des méthodes permettant de leurrer la plate-forme d'Apple en cryptant le logiciel.

Toujours selon Nicolas Seriot, l'iPhone aurait des failles qui ne sont toujours pas corrigées par Apple. "La sécurité s’améliore globalement avec chaque nouvelle version de l’iPhone, mais des. principes de base en matière de sécurité ne sont toujours pas mis en œuvre correctement [...] il est dangereux pour Apple de nier l’existence de vulnérabilités”, indique-t-il dans son livre blanc.

En attendant que le Californien les corrige - ou démente ces informations - il est conseillé de prendre quelques précautions : nettoyer régulièrement les recherches récentes dans le navigateur et le cache du clavier.

Mais les failles de l'iPhone et de l'AppStore se trouveront aussi sur l'ordinateur de l'utilisateur !

Une société américaine est en train de développer un outil capable de récupérer toutes les données de l'iPhone sauvegardées sur le PC.

A chaque fois que l’on raccorde son iPhone à son ordinateur via le port USB, iTunes lance une sauvegarde avant de le synchroniser. Ces données sont stockées sur le PC.

Une fois installé sur le PC, le logiciel en question peut donc mettre la main dessus.

La preuve avec cette capture d'écran !

Sans trop de difficultés puisque la majorité (voire la quasi totalité !) des utilisateurs ne chiffre pas la sauvegarde des données de leur iPhone. Or, on ne peut pas jeter la pierre à Apple car cette option est disponible sur iTunes !

Conclusion : chiffrez vos sauvegardes !

PS : merci à FZ

PC portable : "Apple m'a tuer" !

L'iPad a envahi le web avant les magasins ! Après l'iPod, l'iPhone, Apple sort un nouvel appareil très intéressant (en tous les cas, moi, je suis déjà emballé avant de l'avoir testé...).

Cette ardoise magique va "révolutionner" de nombreux domaines. Ce n'est pas moi qui le dit mais quelqu'un de beaucoup plus calé que moi : Jean-Louis Gassée, qui a dirigé un moment la recherche et le développement d'Apple. En un mot respect.

Sur le site du Point, il explique en effet : "C'est une tablette magique qui va être aussi révolutionnaire que l'iPhone. Certes, à mon avis, elle ne se vendra pas aussi bien que ce smartphone, mais elle va apporter énormément à ses partenaires, dans le domaine du cinéma, des jeux vidéo, de la presse, ou encore de l'édition".

Mais c'est surtout sa conclusion qui m'a le plus étonné, dans un premier temps, et qui m'a aussitôt après convaincu : "Ce qui est amusant, c'est qu'après avoir contribué de manière cruciale à la naissance et à la diffusion de l'ordinateur personnel, Apple contribue à tourner cette page."

Dans un prochain billet, l'iPad et la sécurité informatique...

A suivre.

Piratage du GSM : beaucoup de bruit...

Il y a des experts qui aiment bien qu'on parle d'eux ! Depuis quelques jours, la presse se fait l'écho d'une attaque permettant de pirater les réseaux GSM.

Des scientifiques israéliens ont publié un article dans lequel ils décrivent une attaque dite en “sandwich” contre le protocole de chiffrement A5/3 (ou Kasumi) des réseaux GSM de troisième génération.

En fait, cette attaque n'est pas simple à mettre en place et les chances de découvrir les clés de session sont proches du zéro ! "C'est mathématique" comme disent des experts beaucoup plus qualifiés que moi et que j'ai contactés.

Tout le monde a repris cette info. Un peu trop vite donc. Car pour l'instant, le protocole n'est pas encore cassé. L'attaque prouve néanmoins que cette protection est fissurée...

Nouvelle menace pour les smartphones Androïd

En matière de sécurité, la précipitation est mauvaise conseillère. C'est peut-être ce qui arrive à Google et à son système d'exploitation Androïd.

C'est la deuxième alerte en quelques jours.

Une faille de sécurité sur le Motorola Droid permet d’accéder à vos données personnelles

Selon le site Gizmodo, "il suffit d’appuyer sur un bouton pour contourner l’écran de mot de passe du téléphone Androïd.
Normalement, les propriétaires de Motorola Droid doivent dessiner une forme particulière sur les points pour pouvoir accéder à leur écran d’accueil. Mais apparemment, lorsque que le téléphone a un appel entrant, il suffit d’appuyer sur le bouton “Back” pour accéder aux e-mails, contacts et autres informations personnelles stockées ans le téléphone."

Google prépare un correctif.

Un antispam pour smartphones Androïd

Baptisé Hinky, ce programme permet de signaler et de bloquer des courriers indésirables reçus sur des smartphones.

Appelés SPIT (« SPam over Internet Telephony »), ces SMS frauduleux sont apparus en 2005. C'est l'équivalent du spam qui envahit les emails. Les SPIT incitent notamment les abonnés à appeler un numéro surtaxé.

Hinky tourne en tâche de fond et scanne en temps réel tous les SMS reçus. Dès qu'un message arrive, et qu'il est enregistré sur une black-list, il est rejeté automatiquement. Si une personne reçoit pour la première fois un SMS frauduleux, elle le signale à Hinky qui actualise en temps réel cette banque de données. Ce logiciel s'appuie donc sur une black-list collaborative.

Ce programme gratuit (et en open-source) n'est compatible qu'avec les téléphones mobiles fonctionnant sous Androïd, un système d'exploitation pour smartphones lancé par Google.
« Nous avons développé cette application sur cette plate-forme car c'est le seul système d'exploitation qui est ouvert », explique Abdelkader Lahmadi. Avec les systèmes d'exploitation comme Symbian ou Windows Mobile entre autres, les anti-SPIT reposent sur des solutions propriétaires ou qui ne sont pas open-source.

Bien qu'elle ne soit pas encore définitive, cette application intéresse les utilisateurs. Quelque 3000 téléchargements d'Hinky ont été enregistrés sur Android Market, la plate-forme de Google.

Ce programme restera gratuit. Mais pour bénéficier d'une black-list actualisée et synchronisée entre les différents usagers, les développeurs envisagent un abonnement.

Tout peut être piraté

GPS, passeport électronique, téléphone sans fil : la volonté de profiter gratuitement d'un objet ou d'obtenir des infos personnelles n'a pas de limites...

Les virus informatiques peuvent s'immiscer n'importe où. Voici une liste non exhaustive !



Votre réseau personnel
Le Wi-Fi c'est pratique. Cette connexion sans fil utilise des ondes radio pour transférer des données entre deux ordinateurs dans une maison par exemple. Mais cette facilité attire aussi les pirates qui peuvent facilement intercepter ces ondes pour s'infiltrer dans un ordinateur connecté à une borne wi-fi.

Avec deux risques. Le moins important est l'utilisation de votre connexion internet pour surfer gratuitement. Dans le pire des cas, le pirate peut récupérer vos données personnelles stockées dans votre disque dur.
Des parades ? Oui. On ne le répètera jamais assez mais il faut installer un antivirus (mis à jour automatiquement) et un pare-feu. Le premier repère les virus et le second filtre les connexions. Il faut aussi mettre des mots de passe plus difficile à deviner (par exemple : mDr54!) sur sa connexion wi-fi.

Votre GPS
Doit-on toujours faire confiance à son GPS ? Pas sûr. Des chercheurs italiens ont démontré qu’il était possible d’envoyer de fausses informations sur le trafic. Leur démonstration ne remet pas en cause les flux GPS mais la technologie RDS-TMC (Radio Data System-Traffic Message Channel). Ce standard est employé par les radios FM pour inclure dans leurs transmissions des données trafic.
Or, ce procédé présente deux failles exploitées justement par les deux Italiens. Premièrement, la diffusion étant analogique, elle est plus facile à intercepter qu’une diffusion numérique. Deuxièmement, le RDS ne requiert pas de système d’authentification des données. Il est donc possible d’intercepter le flux officiel en balayant la bande FM pour le modifier et ensuite le réémettre dans un rayon de 16 kilomètres. « Un procédé à la portée de presque tout le monde car nous avons utilisé des appareils et des logiciels disponibles dans le commerce et notamment un encodeur RDS qui coûte 40 euros », m'a indiqué un des deux experts italiens.
Résultat, une personne mal intentionnée et située prés de différents axes routiers pourrait semer la panique en émettant de fausses alertes : fermeture d’un tunnel ou d’une bretelle de sortie, accident, embouteillage…
Des parades ? Oui.
La sécurité du RDS devrait être renforcée par un cryptage. Mais ce n'est pas encore le cas.

Votre passeport électronique
10 secondes ! C'est le temps qu'on mis trois spécialistes en cryptographie de l’Université catholique de Louvain (Belgique) pour lire des données confidentielles. Ces précieuses informations étaient stockées dans la puce électronique située dans la couverture arrière des passeports électroniques de leur pays. Belle progression : en 2005, des experts en sécurité avaient mis 48 heures pour parvenir au même résultat avec des passeports anglais, allemands et suisses.
Le piratage est simple: « nous avons utilisé un petit lecteur de puce acheté dans le commerce que nous avons raccordé à un ordinateur. En utilisant ensuite un petit programme que nous avons écrit et qui s’appuie sur le standard de ces passeports élaboré par l’Organisation de l'aviation civile internationale (OACI), nous avons pu afficher toutes les données », explique Gildas Avoine, l'un des experts belges.
Une telle situation pourrait-elle se produire en France avec la mise en œuvre des passeports biométriques ? Le ministère de l’Intérieur se veut rassurant...
Des parades ? Oui
Pour réduire les risques il faudrait modifier les deux fameuses lignes mais c’est lourd à mettre en place au niveau international.

Mais celui qui pourrait attirer le plus de pirates dans les prochaines mois sera certainement le téléphone portable. Appelé aussi smartphone, ce mobile est de plus en plus connecté à un réseau internet. Autant de failles dans lesquelles vont s'engouffrer des pirates.
L'étape ultime sera quand ce téléphone fera aussi office de carte de paiement...