Casser la crypto d’un outil de messagerie chiffré, ça demande pas mal de connaissances, de boulot et de puissance machine.
Ce n’est pas donné à tout le monde et si même la NSA galère, c’est peut-être pas forcement toujours le bon angle d’attaque.
Prenons par exemple Messages de OSX (connu aussi sous le petit nom de iMessage) qui permet d’envoyer des messages (chiffrés) vers les Macs, iPhone, iPad et iPod de vos amis. Il y a quelque temps, les chercheurs en sécurité Joe DeMesy, Shubham Shah, et Matthew Bryant ont découvert un bug au niveau de la couche applicative de Messages, qui permettait de récupérer tous les messages et fichiers contenus dans le Messages de la victime.
Pas besoin de casser le chiffrement donc, il suffisait d’envoyer une URI JavaScript (javascript://) rendue cliquable grâce au comportement de WebKit utilisé par cette application et contenant le code permettant d’accéder au DOM de l’application et à l’attaquant de lire ensuite les fichiers de son choix grâce à des requêtes XMLHttpRequest (XHR).
Il suffit d’un seul clic de la part de la victime et l’attaquant peut alors récupérer et envoyer sur un serveur distant, l’intégralité de l’historique de toutes ses conversations et les pièces jointes associées. Un seul clic, même maladroit, et c’est parti !
Gloups !
Voici une démo en vidéo :
Heureusement, grâce aux principes de responsible disclosure, Apple informé de la faille a pu corriger rapidement le problème en mars de cette année.
Cette démonstration que vous pouvez retrouver en détail ici permet de se rendre compte de 2 choses :
- Cliquer sur un lien, ça peut faire des dégâts sans sommation.
- Et même avec le meilleur chiffrement du monde, une application peut laisser fuiter de la donnée en clair. Il suffit tout simplement d’y trouver une faille exploitable.
Soyez donc sûr des outils que vous utilisez, reposez-vous sur des outils open sources qui sont testés par la communauté, et gardez à l’esprit que tout ce que vous pourrez écrire pourra un jour échapper à votre contrôle.
