Quantcast
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

iMessages d’Apple – Pas si sécurisé que ça…

Pensez-vous que le système de messagerie iMessages d’Apple est sécurisé ?

Si l’ont en croit le discours officiel d’Apple, les messages sont chiffrés et personne à part l’émetteur et le récepteur ne peut les voir ou les lire. Apple a effectivement confirmé qu’il ne pouvaient pas lire ces messages, ce qui a rassuré les clients de la pomme stressés de la NSA.

Mais le problème, c’est que c’est centralisé. Tous les messages transitent via les serveurs d’Apple, ce qui en théorie peut permettre à Apple de lire vos messages. D’après le français Cyril Cattiaux (Pod2G) chercheur pour QuarksLab qui a analysé le protocole utilisé par iMessages, Apple dispose de toutes les conditions pour mettre en place une attaque MITM (Man In The Middle) sur des échanges iMessages.

Les iMessages sont chiffrés avec la clé publique du destinataire qui est récupérée par l’application sur les serveurs d’Apple. Le tout est ensuite envoyé aux serveurs d’Apple. Ces derniers transmettent alors le message au destinataire. Seulement techniquement, rien n’empêcherait Apple, contrairement à ce qu’ils déclarent publiquement, de remplacer ces clés par des clés contrôlées par Apple (ou la NSA…) permettant ainsi un déchiffrement des messages.

Comme le système n’est pas du tout transparent, il est impossible de voir que la clé publique du destinataire a été modifiée. Les utilisateurs doivent donc avoir conscience que la sécurité de leurs iMessages repose uniquement sur la confiance qu’ils accordent à Apple. Avec un serveur public de clés, ce serait alors transparent et on pourrait avoir confiance.

messages_exchange

D’ailleurs, l’attaque MITM est peut être l’option la plus complexe sachant qu’il y a beaucoup plus facile pour Apple. Vous savez sans doute qu’il est possible d’associer plusieurs appareils Apple à 1 compte iMessages. Cela se traduit techniquement par la récupération de plusieurs clés publiques pour chiffrer le message et le mettre à dispo de tous les terminaux. Il suffirait à Apple d’ajouter une de ses clés à la liste des terminaux liés et paf, chaque message reçu par une personne aura été chiffré par sa/ses clés + la clé spéciale ajoutée d’Apple. Le tout en totale transparence pour l’utilisateur… Brrrr…

En conclusion, le chiffrement des iMessages protège des scripts kiddies, mais pas du tout de la NSA et autres agence gouvernementale contrairement à ce qu’à voulu faire croire Apple.

La question maintenant, c’est, l’ont-ils déjà fait ?

index

Ici c’est Apple qui est pris en exemple, mais tous les systèmes de messagerie instantanés qui fonctionnent sur le même modèle peuvent être poutrés de la même façon. La solution réside dans la décentralisation et surtout la transparence !

En attendant, histoire de rassurer tout le monde, les chercheurs de QuarksLab ont mis en ligne une application pour Mac OSX baptisée IMITMProtect qui permet de se protéger de ce genre d’attaque. Malheureusement, ce n’est pas dispo pour la version iOS d’iMessages car l’application ne stocke pas les clés sur le téléphone. Il est donc impossible de les comparer.


On fête la rentrée avec NordVPN ! [Bon plan]

— Article sponsorisé par NordVPN —

Il n’y a pas que vos enfants qui méritent d’être protégés lors de cette rentrée scolaire 2020 un peu particulière, votre Internet se doit lui aussi d’avoir tout sous la main pour rester en bonne santé. Et pour l’occasion NordVPN vous offre une remise de 68% sur l’abonnement annuel de sa boite à outils VPN.

Je vous ai déjà parlé de ce VPN que vous connaissez déjà même si vous ne lisez pas mon blog régulièrement, il s’agit de l’un des plus robuste et connu du marché. Vous le trouverez souvent assez bien placé dans divers comparatifs car il propose un grand nombre de fonctionnalités assez pratique et qu’il est tout simplement le plus rapide du marché (plus de 5000 serveurs de par le monde). Rapidité encore renforcée récemment depuis qu’ils ont introduit le protocole NordLynx, basé sur Wireguard.

Et c’est une bonne nouvelle lorsqu’on sait que la vitesse est sans doute l’aspect le plus important pour beaucoup de monde, bein oui quoi … c’est rageant de débloquer le contenu Netflix d’autres pays pour ensuite avoir un visionnage qui rame.

Protection en un clic, fonctionnalité Kill Switch, masquage de votre adresse IP, prise en charge des partages de fichiers en p2p, protection contre les malwares et les pubs, streaming sans interruption, test de fuite DNS et même possibilité de coupler l’outil avec l’anonymat de The Onion Router … sont quelques-unes des autres options disponibles.

À noter que cet été l’outil a passé avec succès l’audit d’une société indépendante (PricewaterhouseCoopers) concernant leur politique de non-conservation de registre d’activité, validant que NordVPN ne conservait pas l’activité de ses utilisateurs sur le web.

NordVPN sur desktop ou mobile

De plus une licence NordVPN vous permet de protéger jusqu’à 6 appareils et cela, quelle que soit la plateforme sur laquelle ces derniers tournent (android où iOS, Windows, Linux ou macOS, android TV). Il propose également des extensions pour navigateurs (Chrome/Brave et Firefox). Au bureau, en déplacement ou à la maison, vous pourrez utiliser la même licence pour tout.

Pour ne payer votre solution VPN que 3.3€/mois durant 2 ans, c’est par ici. Et n’oubliez pas qu’il y a 30 jours de garantie satisfait ou remboursé pour tester et voir si ça vous convient, zéro risque ! Et s’il y avait le moindre soucis le service dispose d’un service client disponible 24/24 et 7J/7 en français.

D’ailleurs NordVPN m’a communiqué que d’ici la fin septembre, c’est l’ensemble de leurs applications qui seront entièrement disponibles dans la langue de notre cher Molière.

Merci à notre sponsor NordVPN de continuer à faire confiance à korben.info !