Le chiffrement est essentiel pour sécuriser les appareils numériques. Sans lui, Internet, les réseaux Wi-Fi et les iPhones protégés par mot de passe seraient vulnérables.
Cependant, l'iPhone n'est plus invincible. Les forces de l'ordre américaines utilisent GrayKey, un outil abordable, pour bypasser le chiffrement, compromettant ainsi la confidentialité des utilisateurs.
Découvrez en détail GrayKey : son fonctionnement, ses risques et les réactions d'Apple.
Pour contextualiser, rappelons l'affaire de l'iPhone de San Bernardino. Après un attentat terroriste, le FBI a exigé d'Apple une porte dérobée pour accéder au téléphone d'un terroriste décédé. Apple a refusé, arguant qu'une telle faille serait irréversible.
La société israélienne Cellebrite a finalement exploité une vulnérabilité inconnue pour déverrouiller l'appareil, à un coût de 5 000 $ par unité et nécessitant un envoi en centre sécurisé.
En 2017, Grayshift lance GrayKey, révélé par Thomas Fox-Brewster de Forbes avec photos et détails techniques.
GrayKey est une petite boîte grise (10x5 cm) équipée de deux câbles Lightning pour connecter simultanément deux iPhones.
La connexion initiale dure 2 minutes. Le craquage par force brute varie : 2 heures pour un mot de passe simple, jusqu'à 3 jours pour un code à 6 chiffres. Les durées pour codes alphanumériques ne sont pas précisées.
Une fois craqué, l'écran affiche le code et des infos sur l'appareil. (Conseils pour créer un mot de passe fort et mémorable.)
Il affiche le code et télécharge le système de fichiers complet, accessible via une interface web pour analyse.
Exemple sur iPhone X : code trouvé, version iOS récente, sauvegarde iTunes et fichiers complets (avec hachages SHA256).
Deux versions : 15 000 $ (connectée, géolocalisée, ~300 utilisations à 50 $/iPhone) ; 30 000 $ (hors ligne, illimitée jusqu'à correctif Apple).
Malgré le coût, de nombreuses agences l'ont acquis :
Plus d'agences suivront probablement.
Apple réagit dans iOS 12 bêta : mode USB restreint limite l'accès Lightning après 1 heure (contre 1 semaine auparavant), rendant GrayKey obsolète.
"Nous renforçons constamment les protections de sécurité de chaque produit Apple pour aider les clients à se défendre contre les pirates, les voleurs d'identité et les intrusions dans leurs données personnelles", a déclaré un porte-parole d'Apple à Reuters. "Nous avons le plus grand respect pour les forces de l'ordre, et nous ne concevons pas nos améliorations de sécurité pour contrecarrer leurs efforts."
Mettez à jour vers iOS 12+ et utilisez un code de 8 chiffres minimum ou une phrase de passe alphanumérique longue.
iOS supporte les codes personnalisés. Voir la BD XKCD pour des passphrases sécurisées :
Les forces de l'ordre ont l'avantage temporairement, mais Apple contre-attaque. Précédents : IP-Box (stoppé par iOS 8.2, suivi d'IP-Box 2).
Questions ouvertes : l'iPhone reste-t-il vulnérable post-craquage ? Protocoles légaux pour son usage ?
Le débat sur l'équilibre sécurité vs. enquêtes continue. Renforcez votre chiffrement dès maintenant.
[]