iBoot : fuite du code source du démarrage d'iOS 9, Apple se veut rassurante

iBoot : fuite du code source du démarrage d’iOS 9, Apple se veut rassurante

iLeak

Avatar de l'auteur

Vincent Hermann

Publié dansSociété numérique

09/02/2018
22
iBoot : fuite du code source du démarrage d'iOS 9, Apple se veut rassurante

Apple fait face à une fuite de code. La séquence de démarrage d’iOS 9 se balade en effet dans la nature, posant d’évidentes questions de sécurité. À Cupertino, on cherche à rassurer : la protection de l’utilisateur est loin de dépendre de ce seul code.

Le code source de la séquence de boot d’iOS 9 est disponible sur GitHub, avec pour nom « iBoot ». On ne sait qui est à l’origine de cette fuite, mais précisons d’emblée qu’elle n’est pas nouvelle. Motherboard rapporte en effet que ces fichiers étaient apparus une première fois il y a plusieurs mois, sans attirer l’attention. Ils sont de retour et provoquent cette fois interrogations et inquiétudes.

Le système utilise cette séquence pour initialiser l’appareil et appeler les différentes briques. Un élément essentiel en sécurité, puisque les protections sont elles aussi chargées avec le reste. On connait l’appétit des créateurs de malwares pour cette chaine, les bootkits et rootkits en particulier en faisant leur plat favori. Plusieurs jailbreaks se sont également appuyés sur des failles du boot.

Les brèches sont justement ce qui inquiète maintenant : doit-on craindre un risque pour les utilisateurs ?

La question de la sécurité

La publication d’un code source pour une entreprise travaillant surtout via « l’obfuscation » – c’est-à-dire en cachant tout – peut représenter un vrai problème. Les mécanismes de contrôle d’erreur ne dépendent que des ingénieurs logiciels de la firme : le code n’est dans la plupart des cas pas audité, et n’est jamais inspecté par tout un chacun. Sauf accident.

Si l’on part du principe qu’un plus grand nombre d’yeux a toujours plus de chances de repérer des problèmes, la publication d’un code aussi sensible peut avoir des conséquences. La question est alors de savoir dans quelle mesure les utilisateurs courent un risque.

Actuellement, et selon les propres statistiques d’Apple, 65 % des utilisateurs d’iOS sont sur la version 11 et 28 % sur la 10. Ce qui laisse 7 % des terminaux sur des moutures plus anciennes – dont la 9 – surtout bloqués à cause d’appareils ne pouvant plus être mis à jour.

Outre l’éventuel danger pour ces clients, les systèmes plus récents sont-ils épargnés ? Il est évident qu’Apple ne réécrit pas l’ensemble de son système à chaque version. Des composants sont ajoutés, d’autres évoluent ou laissés intacts. La chaine de démarrage a très probablement évolué, ne serait-ce que pour prendre en charge APFS dans iOS 11, mais pas forcément au point d’être totalement transformée. Malheureusement, seule Apple est capable de mesurer ces changements.

Apple cherche à rassurer

La société a justement communiqué à plusieurs médias américains : 

« Un vieux code source d’il y a trois ans a apparemment fuité, mais la conception de la sécurité de nos produits ne dépend pas que du secret de notre code source. Il y a de nombreuses couches de protections logicielle et matérielle présentes dans nos produits, et nous encourageons toujours nos utilisateurs à mettre à jour vers les nouvelles versions pour bénéficier des dernières protections ».

En d’autres termes, il n’y aurait rien à craindre. Pour autant, insister sur les mises à jour n’est pas anodin. D’une part parce qu’une piqure de rappel n’est pas de trop, surtout en des temps troublés où les utilisateurs remettent en cause le bien-fondé des mises à jour, « BatteryGate » en tête. D’autre part car le message peut être interprété différemment : un travail sera peut-être effectué sur la séquence de démarrage d’iOS, auquel cas il vaut mieux se tenir prêt. Parallèlement, Apple a envoyé une requête DMCA à GitHub pour supprimer le code, mais il est évident que ce dernier a déjà été téléchargé et copié de nombreuses fois.

Autre évidence : les chercheurs et pirates vont se plonger avec délectation dans ce code, dans l’espoir d’y détecter des faiblesses. Les premiers pourront prévenir Apple s’ils n’ont pas peur des éventuelles retombées juridiques (le code n’est pas libre), tandis que les seconds espèreront dénicher des vulnérabilités, idéalement toujours présentes dans iOS 10 et 11. Peut-être l'occasion pour des entreprises comme Zerodium de relancer une course aux dollars.

22
Avatar de l'auteur

Écrit par Vincent Hermann

Tiens, en parlant de ça :

Mur d’OVHcloud à Roubaix, avec le logo OVHcloud

OVHcloud Summit 2023 : SecNumCloud, IA et Local Zones

Des mini datacenters… Ouais une baie quoi ?

19:03HardwareInternet 1
algorithmes de la CAF

Transparence, discriminations : les questions soulevées par l’algorithme de la CAF

0/1

17:53IA et algorithmesSociété numérique 16

Plainte contre l’alternative paiement ou publicité comportementale de Meta

Schrems vs Meta, saison 3

17:31DroitIA et algorithmes 13

Sommaire de l'article

Introduction

La question de la sécurité

Apple cherche à rassurer

Mur d’OVHcloud à Roubaix, avec le logo OVHcloud

OVHcloud Summit 2023 : SecNumCloud, IA et Local Zones

HardwareInternet 1
algorithmes de la CAF

Transparence, discriminations : les questions soulevées par l’algorithme de la CAF

IA et algorithmesSociété numérique 16

Plainte contre l’alternative paiement ou publicité comportementale de Meta

DroitIA et algorithmes 13
Nuage (pour le cloud) avec de la foudre

Économie de la donnée et services de cloud : l’Arcep renforce ses troupes

DroitInternet 0
De vieux ciseaux posés sur une surface en bois

Plus de 60 % des demandes de suppression reçues par Google émanent de Russie

Société numérique 4
Une vieille boussole posée sur un plan en bois

La Commission européenne et Google proposent deux bases de données de fact-checks

DroitInternet 2

#LeBrief : des fichiers Google Drive disparaissent, FreeBSD 14, caméras camouflées, OnePlus 12

0

Le poing Dev – round 6

Next 138

Produits dangereux sur le web : nouvelles obligations en vue pour les marketplaces

Droit 6
consommation de l'ia

Usages et frugalité : quelle place pour les IA dans la société de demain ?

IA et algorithmes 12

La NASA établit une liaison laser à 16 millions de km, les essais continuent

Sciences et espace 17
Concept de CPU

Semi-conducteurs : un important accord entre l’Europe et l’Inde

Hardware 6

#LeBrief : PS5 Slim en France, Valeo porte plainte contre NVIDIA, pertes publicitaires X/Twitter

0
Un mélange entre une réunion d’Anonymous et de tête d’ampoules, pour le meilleur et le pire

651e édition des LIDD : Liens Intelligents Du Dimanche

Internet 30
Bannière de Flock avec des bomes sur un fond rouge

#Flock, le grand remplacement par les intelligences artificielles

Flock 34
Un Sébastien transformé en lapin par Flock pour imiter le Quoi de neuf Docteur des Looney Tunes

Quoi de neuf à la rédac’ #9 : LeBrief 2.0, ligne édito, dossiers de fond

Next 63
Pilule rouge et bleue avec des messages codés

Encapsulation de clés et chiffrement d’enveloppes

Sécurité 31
Empreinte digital sur une capteur

Empreintes digitales : les capteurs Windows Hello loin d’être exemplaires

Sécurité 20

#LeBrief : succès du test d’Ariane 6, réparer plutôt que remplacer, Broadcom finalise le rachat de VMware

0

Hébergeurs, éditeurs, espaces de conversation ? La difficile régulation des réseaux sociaux

Réseaux sociauxSociété numérique 23
Puces en silicium

Silicium : un matériau indispensable et omniprésent, mais critique

HardwareSciences et espace 25
Panneau solaire bi-face Sunology Play

Panneaux solaires en autoconsommation : on décortique le kit Play de Sunology

Hardware 26
The eyes and ears of the army, Fort Dix, N.J.

Un think tank propose d’autoriser les opérations de « hack back »

Sécurité 12

#LeBrief : Ariane 6 sur le banc de test, arrestation algorithmique, entraînement d’IA par des mineurs

0
Le brief de ce matin n'est pas encore là

Partez acheter vos croissants
Et faites chauffer votre bouilloire,
Le brief arrive dans un instant,
Tout frais du matin, gardez espoir.

Commentaires (22)


Azath
Il y a 6 ans

iOS devient open source ! Super initiative de la part d’Apple !
… Ah, non, y’a erreur ? Tant pis.


jb18v
Il y a 6 ans






Azath a écrit :

iOS devient open source ! Super initiative de la part d’Apple !
… Ah, non, y’a erreur ? Tant pis.


Ben des portions sont régulièrement mises à dispo, mais pas l’iBoot et les trucs hyper bas niveau, spécifiques et assez sensibles
https://opensource.apple.com/



Torlik Abonné
Il y a 6 ans

Ils sont raisons, les trucs sensibles vaut mieux les laisser en closedsources.


Azath
Il y a 6 ans






jb18v a écrit :

Ben des portions sont régulièrement mises à dispo, mais pas l’iBoot et les trucs hyper bas niveau, spécifiques et assez sensibles
https://opensource.apple.com/


Je ne connaissais pas du tout ce site, merci :)



Ricard
Il y a 6 ans

<img data-src=" /> On appelle le petit JVachez….. Le petit JVachez est attendu….


Hal75 Abonné
Il y a 6 ans

Imaginez tout ce qu’on peut faire une fois qu’on dispose du bootloader des iPhone: installer un autre OS (ubuntu, ou android sur iphone 7 , l’ironie … ) , et également installer iOS sur des plateformes ARM étrangères, ainsi que fabriquer du hardware de tests afin d’essayer toutes sortes de choses, voire installer iOS ARM natif sur des machines virtuelles au lieu d’utiliser le simulateur x86 d’apple …et pourquoi pas faire du reverse engineering sur la plateforme, accéder aux zones protégées du système et probablement trouver des failles hard et soft à la pelle…&nbsp;


OlivierJ Abonné
Il y a 6 ans






Torlik a écrit :

Ils sont raisons, les trucs sensibles vaut mieux les laisser en closedsources.


Je me suis fait la même remarque ironique.

Depuis quand le closed source est un gage de sécurité ? À ce compte-là, OpenBSD est vachement peu sûr :français:
(j’attends vos arguments si j’ai mal lu l’article)



jb18v
Il y a 6 ans

<img data-src=" />


jb18v
Il y a 6 ans

<img data-src=" />

ouais alors va pondre les drivers pour installer un autre système, bon courage <img data-src=" />


fred42 Abonné
Il y a 6 ans

Bah, c’est l’auteur de l’article qui dit ça. Il dit souvent des trucs très approximatifs en matière de logiciel et en particulier de sécurité. Sorti de Windows, il a du mal. Ici, il y a tous les poncifs habituels.

Il n’a pas l’air se savoir qu’Apple a pas mal de code en opensource comme l’a rappelé un commentateur.


Wype
Il y a 6 ans

Bof, il était déjà possible d’installer un dual booter android/iOS sur les iPhone 3g, ça n’a jamais rien donné.


abitbool
Il y a 6 ans

Non, il dit qu’un code source qui n’est pas libre, quand il est publié, sera audité par beaucoup plus de monde et donc potentiellement des failles seront trouvées


Le sous-entendu est totalement contraire : si le code avait été libre depuis le début, il aurait été audité depuis la version 1 de iOS par un maximum de monde et serait meilleur


jackjack2
Il y a 6 ans






Wype a écrit :

Bof, il était déjà possible d’installer un dual booter android/iOS sur les iPhone 3g, ça n’a jamais rien donné.


Mais c’était beau



ptitnouveau
Il y a 6 ans






OlivierJ a écrit :

Je me suis fait la même remarque ironique.

Depuis quand le closed source est un gage de sécurité ? À ce compte-là, OpenBSD est vachement peu sûr :français:
(j’attends vos arguments si j’ai mal lu l’article)



Ben justement, OpenBSD est devenu une passoire. Ilja van Sprundel A jeté un œil sur les sources des différents BSD et a trouvé tant de failles simples que l’expression “un code source ouvert n’a de valeur que si il y a assez de yeux pour le lire” fût prouvée un fois de plus.



OlivierJ Abonné
Il y a 6 ans

Avant d’affirmer que “OpenBSD est devenu une passoire” il faudrait peut-être avoir quelques preuves sérieuses.


Wype
Il y a 6 ans

Ah ça je dis pas le contraire <img data-src=" /> Juste que vu ce qu’est devenu le hack sur iPhone y a peux de chance que ça arrive de nouveau :/


blamort
Il y a 6 ans

😂 commentaire vintage 😂


ptitnouveau
Il y a 6 ans

Y’a sa conférence là si tu es curieux.

https://media.ccc.de/v/34c3-8968-are_all_bsds_created_equally


SebGF Abonné
Il y a 6 ans






abitbool a écrit :

Non, il dit qu’un code source qui n’est pas libre, quand il est publié, sera audité par beaucoup plus de monde et donc potentiellement des failles seront trouvées


Le sous-entendu est totalement contraire : si le code avait été libre depuis le début, il aurait été audité depuis la version 1 de iOS par un maximum de monde et serait meilleur




ptitnouveau a écrit :

Ben justement, OpenBSD est devenu une passoire. Ilja van Sprundel A jeté un œil sur les sources des différents BSD et a trouvé tant de failles simples que l’expression “un code source ouvert n’a de valeur que si il y a assez de yeux pour le lire” fût prouvée un fois de plus.




OlivierJ a écrit :

Avant d’affirmer que “OpenBSD est devenu une passoire” il faudrait peut-être avoir quelques preuves sérieuses.



En fait aucun d’entre vous n’a raison ou n’a tort.

Un article sur le site de GNU le rappelle : pour que le côté “supérieur” de l’open source et du libre soit réaliste, il faut qu’il y ait du monde pour l’auditer. Or, dans la majorité des cas, les codes sources sont maintenus par une, voire quelques personnes, et très peu de monde réaliste des audits.
Rappelez-vous la faille sur OpenSSL, utilisé par plein de monde mais personne n’a jamais jeté ses yeux sous le capot ou encore donné de moyens pour combler ces failles avant que ça ne monte en mayonnaise.

Mis à part les projets poussés par des poids lourds financier, l’open source est potentiellement un nid à faille aussi et ne garantie absolument rien. Ce qui le rend victime du même “problème” que le closed-source dont l’accès est limité et son audit potentiellement biaisé.



skankhunt42
Il y a 6 ans






SebGF a écrit :

En fait aucun d’entre vous n’a raison ou n’a tort.


Au final c’est un peu l’oeuf ou la poule. D’un côté l’open source est pas sécurisé car il est facile de trouver une faille. Mais comme il est facile de trouver une faille alors elle sera rapidement patché ce qui rend le système plus sécurisé.



SebGF Abonné
Il y a 6 ans

Disons que le libre a l’avantage d’une plus grande réactivité et diversité des compétences car les sources étant ouvertes, une faille détectée dans l’exécution du code peut se voir comblée rapidement par une intervention externe. Il n’est pas rare que ceux qui communiquent la présence de faille proposent leur propre patch.
Là où sur du propriétaire, ils ne peuvent compter que sur la réactivité et la compétence du développement interne.

Dans les deux cas, tout repose sur une question de moyens (humains et financiers).

Mais les deux sont tout autant exposés à des défauts de sécurité… Surtout si le projet libre est géré par un gus dans son garage. Soit une grande partie de ceux-ci quant ils n’appartiennent pas à un Red Hat ou équivalent ou soutenus par un mécène.


OlivierJ Abonné
Il y a 6 ans






ptitnouveau a écrit :

Y’a sa conférence là si tu es curieux.
https://media.ccc.de/v/34c3-8968-are_all_bsds_created_equally




SebGF a écrit :

En fait aucun d’entre vous n’a raison ou n’a tort.


Je contestais ptitnouveau qui affirmait qu’OpenBSD était le moins sécurisé, alors que la conférence (que j’étais allé parcourir entretemps, trouvée via youtube) indique qu’OpenBSD est le plus sécurisé des BSD ; il pointe aussi la comparaison pas triviale à faire avec celle de Linux, comparaison qu’il ne fait pas dans cette conférence d’ailleurs.