En refusant de mettre une porte dérobée permanente dans sa plate-forme iOS, Apple veut protéger des millions d’utilisateurs contre les menaces futures des gouvernements et des pirates informatiques, ont déclaré les défenseurs de la vie privée.
Bien qu’Apple ait refusé une demande du procureur général américain William Barr de déverrouiller deux iPhones utilisés par un suspect terroriste lors d’une récente fusillade meurtrière, le FBI semble déjà disposer des outils nécessaires pour accéder aux smartphones.
Apple a rejeté une demande de Barr d’aider à déverrouiller deux iPhones utilisés par le tireur, Mohammed Saeed Alshamrani, 21 ans. On pense qu’il a agi seul lorsqu’il a tiré et tué trois militaires et en a blessé plusieurs autres à la base aéronavale de Pensacola, en Floride, le mois dernier.
Alshamrani, membre de l’armée de l’air saoudienne et étudiant en aviation à la base, a été abattu sur place par la police.
Le va-et-vient entre Apple et le ministère de la Justice est la dernière échauffourée impliquant la position de la société en matière de protection de la vie privée et les efforts du gouvernement pour la contourner.
Un mandat de perquisition, découvert pour la première fois par Forbes, indiquait que le FBI disposait déjà de la technologie de boîte noire nécessaire pour pirater les smartphones protégés par un mot de passe.
Selon ce mandat, les enquêteurs du FBI dans l’Ohio ont utilisé l’année dernière la technologie de Grayshift, basée à Atlanta, pour accéder à un iPhone 11 Pro Max verrouillé, qui appartenait à Baris Ali Koch. Koch a été accusé d’avoir aidé son frère, qui avait été condamné pour un crime haineux, à fuir le pays.
Grayshift, basée à Atlanta, est l’une des deux entreprises qui ont prétendu pouvoir déjouer la sécurité du code d’accès de l’iPhone d’Apple par des attaques de force brute. L’autre est Cellebrite, basée en Israël. Les deux sociétés ont affirmé qu’elles pouvaient contourner la sécurité de l’iPhone par des attaques de force brute et une extraction complète du système de fichiers, ou une extraction physique ou une extraction complète du système de fichiers (File-Based Encryption) sur de nombreux appareils Android haut de gamme.
UFED Cloud Analyzer
L’outil UFED Cloud Analyzer de Cellebrite peut soi-disant déverrouiller, décrypter et extraire des données téléphoniques, y compris des “données mobiles en temps réel … journaux d’appels, contacts, calendrier, SMS, MMS, fichiers multimédia, données d’applications, chats, mots de passe”, selon un document obtenu par le biais d’une demande déposée par l’Electronic Privacy Information Center (EPIC) en vertu de la loi sur la liberté d’information.
La boîte noire GrayKey de Grayshift pourrait apparemment déverrouiller un iPhone en deux heures environ si son propriétaire utilisait un code à quatre chiffres et en trois jours ou plus si un code à six chiffres était utilisé.
En 2018, Apple a déclaré qu’il était capable de sécuriser son iPhone contre la boîte noire GrayKey de Grayshift grâce à une mise à jour de l’iOS. Le mandat du FBI indique cependant que cette mise à jour n’a peut-être pas été aussi réussie qu’Apple l’espérait.
Quoi qu’il en soit, le gouvernement semble toujours préférer qu’Apple mette simplement une porte dérobée dans sa plateforme pour que les forces de l’ordre puissent y accéder pendant les enquêtes criminelles.
Si le gouvernement réussit à forcer Apple à contourner la sécurité de l’iPhone, les responsables informatiques des entreprises seront mis dans une situation délicate, a déclaré Alan Butler, avocat général d’EPIC. En effet, la plupart des employés utilisent des smartphones dans le cadre de la politique “Apportez votre propre appareil” (BYOD) ou utilisent les appareils de l’entreprise pour mener leurs activités et transférer des informations sensibles, qu’il s’agisse de communications ou de schémas de données.
“C’est un grand nombre d’informations sensibles qui peuvent être privilégiées, qui peuvent être des secrets commerciaux ou qui sont couvertes par [la réglementation internationale sur le trafic d’armes (ITAR)] – donc [ce sont] des choses que vous avez l’obligation légale de protéger”, a déclaré M. Butler. “Les entreprises doivent donc également avoir l’assurance que le matériel qu’elles déploient est sécurisé. Si le gouvernement ordonne à l’entreprise d’introduire des failles dans la sécurité du matériel ou des logiciels… cela pourrait compromettre les données de l’entreprise”.
Apple a contesté l’affirmation de Barr selon laquelle elle n’avait pas fourni d'”assistance substantielle” dans l’enquête, notant qu’elle avait fourni l’accès au service en nuage utilisé pour sauvegarder les données sur les téléphones d’Alshamrani.
“Nos réponses à leurs nombreuses demandes depuis l’attaque ont été opportunes, approfondies et sont en cours”, a déclaré Apple. “Dans les heures qui ont suivi la première demande du FBI le 6 décembre, nous avons produit une grande variété d’informations liées à l’enquête. Du 7 au 14 décembre, nous avons reçu six autres demandes légales et avons fourni en réponse des informations, notamment des sauvegardes iCloud, des informations sur les comptes et des données transactionnelles pour plusieurs comptes”.
Apple a validé la demande du FBI
En fait, Apple semble avoir acquiescé à la demande du FBI de mettre fin aux plans visant à permettre aux propriétaires d’iPhone de crypter entièrement les sauvegardes de données de son service iCloud. Le changement proposé à sa politique de sauvegarde des données, qui date maintenant de deux ans, a été annoncé cette semaine.
Quant à sa position contre les portes dérobées, Apple a déclaré “Nous avons toujours soutenu qu’il n’existe pas de porte dérobée pour les gentils. Les portes dérobées peuvent également être exploitées par ceux qui menacent notre sécurité nationale et la sécurité des données de nos clients. Aujourd’hui, les forces de l’ordre ont accès à plus de données que jamais auparavant dans l’histoire, de sorte que les Américains n’ont pas à choisir entre affaiblir le cryptage et résoudre les enquêtes. Nous sommes convaincus que le cryptage est vital pour la protection de notre pays et des données de nos utilisateurs”.
Kurt Opsahl, directeur exécutif adjoint du groupe de défense des droits numériques à but non lucratif Electronic Frontier Foundation, a déclaré qu’Apple avait raison de fournir une sécurité forte à ses utilisateurs, en exigeant un code d’accès ou des données biométriques pour déverrouiller leurs smartphones.
“La demande du procureur général pour qu’Apple réorganise ses téléphones afin de briser cette sécurité met en danger des millions d’Américains innocents et d’autres personnes dans le monde, et constitue un mauvais compromis pour la politique de sécurité”, a déclaré M. Opsahl.
Vladimir Katalov, PDG du fournisseur russe de technologie médico-légale ElcomSoft, a qualifié la demande de M. Barr d’irréaliste car Apple ne peut pas “techniquement” déverrouiller les iPhones en raison du cryptage basé sur les fichiers et de la technologie d’enclave sécurisée ; il démarre séparément d’iOS et gère son propre micro-noyau qui n’est pas directement accessible par le système d’exploitation de l’iPhone.
“Bien sûr, il est techniquement possible d’ajouter des portes dérobées, d’implémenter des clés de séquestre et des choses de ce genre. Mais d’abord, on ne peut pas réglementer légalement la technologie – les canaux de communication sécurisés et [le stockage sécurisé des données] resteront… et aucun gouvernement ne peut forcer quiconque à ne pas utiliser le cryptage, ou à n’utiliser qu’un cryptage “certifié”””, a déclaré M. Katalov par courriel. “Deuxièmement, ces portes dérobées seront exploitées par des criminels maintenant ou plus tard. Les conséquences peuvent être catastrophiques”.
En incluant une méthode pour déverrouiller les smartphones à volonté, Apple ouvrirait tous ses smartphones aux attaques potentielles de tout mauvais acteur, a déclaré M. Katalov.
La dernière demande du ministère de la justice s’inscrit dans le cadre d’une lutte permanente entre les forces de l’ordre et Apple. En 2016, le Département de la justice, soutenu par une injonction de la Cour fédérale, a ordonné à Apple de déverrouiller l’iPhone de Syed Rizwan Farook, un suspect dans l’attaque terroriste de San Bernadino, en décembre de cette année-là.
À l’époque, le PDG d’Apple, Tim Cook, a déclaré que son entreprise ne pouvait plus aider le FBI, a affirmé que l’utilisation de la loi justifiant l’ordonnance du tribunal était “sans précédent” et a de nouveau refusé d’aider à déverrouiller l’iPhone.
Soyez le premier à commenter