Le cryptage est une aubaine pour quiconque utilise un appareil numérique. Internet serait un endroit dangereux sans cryptage, tout comme les points d'accès Wi-Fi et les appareils protégés par mot de passe comme les iPhones.
Cependant, l'iPhone n'est plus le bastion de la sécurité qu'il était autrefois. Les forces de l'ordre américaines utilisent un outil bon marché pour contourner le cryptage de l'iPhone, réduisant considérablement la confidentialité tout en portant atteinte à la sécurité.
Voici un aperçu plus approfondi du nouvel outil GrayKey, ce qu'il fait, pourquoi il est dangereux et pourquoi Apple s'en inquiète.
Avant d'examiner GrayKey, un petit contexte de fond pour le cryptage de l'iPhone et les tentatives de le déchiffrer.
Vous vous souvenez de l'iPhone San Bernardino ? Après un attentat terroriste à San Bernardino, le FBI a poursuivi Apple en justice. Le FBI voulait qu'Apple crée une porte dérobée de cryptage qui leur permettrait de contourner la sécurité de l'iPhone de l'un des terroristes décédés. Naturellement, Apple a refusé, affirmant à juste titre qu'une fois la porte dérobée créée, elle ne serait jamais fermée.
La société de sécurité basée en Israël, Cellebrite, a finalement trouvé un moyen de contourner les mécanismes de sécurité d'Apple en utilisant une vulnérabilité jusque-là inconnue. Et il n'y avait rien de notable au téléphone. Notez également qu'à l'époque, le service Cellebrite coûtait 5 000 $ par appareil et que le téléphone devait être envoyé à leur installation sécurisée.
Flash forward jusqu'en 2017. Une société connue sous le nom de Grayshift apparaît sur le marché, vendant son nouveau produit :GrayKey. Le but de GrayKey n'était pas clair jusqu'à ce que Thomas Fox-Brewster révèle l'appareil dans une exclusivité Forbes, comprenant plusieurs images ainsi qu'un aperçu de ce que fait exactement le débloqueur d'iPhone GrayKey.
Voici ce que l'on sait jusqu'à présent sur le débloqueur d'iPhone GrayKey.
L'appareil GrayKey lui-même est une petite boîte grise mesurant quatre pouces de profondeur sur deux pouces de hauteur. La boîte est livrée avec deux câbles Lightning qui sortent à l'avant pour connecter deux iPhones à la fois.
Un iPhone se connecte à l'appareil GrayKey pendant environ deux minutes, après quoi il est déconnecté mais pas encore fissuré. La durée réelle du processus de craquage varie en fonction de la force du mot de passe.
Un mot de passe facile prend environ deux heures à craquer par force brute, tandis que des mots de passe plus difficiles (six chiffres) peuvent prendre trois jours ou plus. La documentation GrayKey, également consultée par Malwarebytes, ne mentionne pas les temps de craquage pour les combinaisons plus longues.
Lorsque le crack trouve le code d'accès de l'appareil, le téléphone affiche un écran noir montrant le code avec d'autres informations sur l'appareil. (Conseils pour créer un mot de passe fort et mémorable.)
Le déverrouillage affiche le code d'accès de l'appareil, mais il télécharge également l'intégralité du système de fichiers de l'iPhone sur l'appareil GrayKey. Le GrayKey se connecte ensuite à une interface Web où il est disponible pour analyse.
L'image ci-dessous montre les résultats d'un iPhone X fissuré. Notez le "code d'accès trouvé", la toute récente "version du logiciel", ainsi que la "sauvegarde iTunes" et le "système de fichiers complet" disponibles en téléchargement (y compris leur hachage SHA256).
Le débloqueur iPhone GrayKey a deux versions différentes.
Le premier modèle coûte 15 000 $ et nécessite une connexion Internet pour fonctionner. En cela, l'appareil est géolocalisé sur son réseau de configuration initial pour s'assurer que le GrayKey n'est pas facilement transféré. D'autres rapports affirment que le modèle de connexion Internet persistante n'autorise également que 300 déverrouillages, soit 50 USD par iPhone.
Le deuxième modèle coûte 30 000 $ et fonctionne hors ligne, sans limite apparente sur le nombre d'utilisations de l'appareil GrayKey. L'appareil fonctionnera probablement jusqu'à ce qu'Apple découvre enfin la vulnérabilité et la corrige.
Bien qu'il s'agisse sans aucun doute d'énormes sommes d'argent, les budgets des organismes chargés de l'application de la loi s'étireront facilement (ou miraculeusement, selon l'organisme) pour un outil qui crée une toute nouvelle voie d'information. Surtout un auparavant impossible à obtenir pour de nombreuses agences, du moins dans une capacité apparemment aussi facile.
Une enquête en cours de Motherboard a révélé que plusieurs types d'agences différentes avaient déjà acheté une GrayKey :
Si GrayKey de Grayshift continue de fournir aux autorités des données iPhone auparavant inaccessibles, vous verrez probablement davantage de formulaires d'approvisionnement d'agence également.
Comme vous pouvez l'imaginer, Apple n'est pas très satisfait de la violation publique de la sécurité de l'iPhone. Et pas seulement les anciens iPhone, nous parlons d'appareils haut de gamme exécutant certaines des dernières versions d'iOS. Apple ne va pas s'asseoir et attendre que Grayshift garde la vulnérabilité ouverte.
Au lieu de cela, dans la version bêta publique actuelle d'iOS 12, il existe une nouvelle fonctionnalité qui limite considérablement l'accès au port Lightning d'un iPhone verrouillé. (Plus de fonctionnalités à venir sur votre iPhone avec iOS 12 !)
"Nous renforçons constamment les protections de sécurité de chaque produit Apple pour aider les clients à se défendre contre les pirates, les voleurs d'identité et les intrusions dans leurs données personnelles", a déclaré un porte-parole d'Apple à Reuters. "Nous avons le plus grand respect pour les forces de l'ordre, et nous ne concevons pas nos améliorations de sécurité pour contrecarrer leurs efforts pour faire leur travail."
iOS 12 rendra les attaques par force brute du port Lightning inutiles en désactivant l'accès via cette route après seulement une heure. Le nouveau mode restreint USB arrêtera toute communication de données à partir d'un appareil nouvellement connecté après cette période de 60 minutes, rendant effectivement le GrayKey inutile. Les paramètres actuels du mode restreint USB ont une limite de temps d'une semaine, ce qui donne aux autorités une longue période pour, espérons-le, forcer brutalement le mot de passe.
Compte tenu de la mise à jour entrante d'iOS 12 et de l'introduction de restrictions sur le mode restreint USB, il n'y a qu'une seule chose que vous puissiez faire pour le moment :mettre à jour vos codes d'accès. Vous devez toujours utiliser un minimum de huit chiffres pour assurer la sécurité de votre téléphone. Alternativement, pour vraiment renforcer la sécurité de votre iPhone, passez à une phrase de passe plus longue.
iOS prend en charge les codes numériques et alphanumériques personnalisés de n'importe quelle longueur. Une phrase de passe utilise plusieurs mots pour créer un verrouillage beaucoup plus fort que votre code PIN ou votre mot de passe habituel. Découvrez la bande dessinée XKCD extrêmement pertinente pour plus d'informations :
À l'heure actuelle, les forces de l'ordre détiennent les cartes. Dans un sens, du moins. Un iPhone avec une sécurité médiocre est vulnérable. Cependant, cette situation pourrait ne pas durer longtemps, à moins que Grayshift continue de trouver des vulnérabilités et des solutions de contournement pour les correctifs de sécurité iPhone d'Apple. De plus, le GrayKey n'est pas sans précédent.
L'IP-Box était un appareil similaire qui pouvait accéder aux informations des iPhones verrouillés exécutant des versions iOS plus anciennes. Sa fonctionnalité a cessé avec la mise à jour iOS 8.2 mais a donné naissance à l'IP-Box 2. L'IP-Box 2 est toujours largement disponible mais nécessite de savoir comment retirer les puces de circuit intégré pour les placer dans l'appareil.
Il y a aussi d'autres implications. L'iPhone est-il vulnérable en permanence après la fin du craquage du mot de passe ? Le propriétaire de l'iPhone pourra-t-il à nouveau utiliser son téléphone normalement ou devra-t-il être remplacé ?
Et enfin, comment les autorités doivent-elles décider quand utiliser leur appareil GrayKey ? Je veux dire, existe-t-il un protocole défini qui régit le craquage du mot de passe de l'appareil à l'aide d'un outil tiers ? Ont-ils besoin d'un affidavit, de soupçons raisonnables, etc. ?
Les implications et le débat en cours autour du craquage de mot de passe iPhone à l'aide d'un appareil GrayKey se poursuivront. Je suis sûr que la majorité des lecteurs s'attendent à ce que les forces de l'ordre fassent tout leur possible pour protéger les victimes. Si le piratage des mots de passe devient un principe fondamental de la sécurité civique, faites-vous confiance aux autorités pour exercer ce pouvoir au bon moment ?
Et augmenteriez-vous simplement la quantité de cryptage sur votre appareil pour contrecarrer leurs efforts ?
