iBoot : fuite du code source du démarrage d’iOS 9, Apple se veut rassurante

Apple fait face à une fuite de code. La séquence de démarrage d’iOS 9 se balade en effet dans la nature, posant d’évidentes questions de sécurité. À Cupertino, on cherche à rassurer : la protection de l’utilisateur est loin de dépendre de ce seul code.

Le code source de la séquence de boot d’iOS 9 est disponible sur GitHub, avec pour nom « iBoot ». On ne sait qui est à l’origine de cette fuite, mais précisons d’emblée qu’elle n’est pas nouvelle. Motherboard rapporte en effet que ces fichiers étaient apparus une première fois il y a plusieurs mois, sans attirer l’attention. Ils sont de retour et provoquent cette fois interrogations et inquiétudes.

Le système utilise cette séquence pour initialiser l’appareil et appeler les différentes briques. Un élément essentiel en sécurité, puisque les protections sont elles aussi chargées avec le reste. On connait l’appétit des créateurs de malwares pour cette chaine, les bootkits et rootkits en particulier en faisant leur plat favori. Plusieurs jailbreaks se sont également appuyés sur des failles du boot.

Les brèches sont justement ce qui inquiète maintenant : doit-on craindre un risque pour les utilisateurs ?

La question de la sécurité

La publication d’un code source pour une entreprise travaillant surtout via « l’obfuscation » – c’est-à-dire en cachant tout – peut représenter un vrai problème. Les mécanismes de contrôle d’erreur ne dépendent que des ingénieurs logiciels de la firme : le code n’est dans la plupart des cas pas audité, et n’est jamais inspecté par tout un chacun. Sauf accident.

Si l’on part du principe qu’un plus grand nombre d’yeux a toujours plus de chances de repérer des problèmes, la publication d’un code aussi sensible peut avoir des conséquences. La question est alors de savoir dans quelle mesure les utilisateurs courent un risque.

Actuellement, et selon les propres statistiques d’Apple, 65 % des utilisateurs d’iOS sont sur la version 11 et 28 % sur la 10. Ce qui laisse 7 % des terminaux sur des moutures plus anciennes – dont la 9 – surtout bloqués à cause d’appareils ne pouvant plus être mis à jour.

Outre l’éventuel danger pour ces clients, les systèmes plus récents sont-ils épargnés ? Il est évident qu’Apple ne réécrit pas l’ensemble de son système à chaque version. Des composants sont ajoutés, d’autres évoluent ou laissés intacts. La chaine de démarrage a très probablement évolué, ne serait-ce que pour prendre en charge APFS dans iOS 11, mais pas forcément au point d’être totalement transformée. Malheureusement, seule Apple est capable de mesurer ces changements.

Apple cherche à rassurer

La société a justement communiqué à plusieurs médias américains : 

« Un vieux code source d’il y a trois ans a apparemment fuité, mais la conception de la sécurité de nos produits ne dépend pas que du secret de notre code source. Il y a de nombreuses couches de protections logicielle et matérielle présentes dans nos produits, et nous encourageons toujours nos utilisateurs à mettre à jour vers les nouvelles versions pour bénéficier des dernières protections ».

En d’autres termes, il n’y aurait rien à craindre. Pour autant, insister sur les mises à jour n’est pas anodin. D’une part parce qu’une piqure de rappel n’est pas de trop, surtout en des temps troublés où les utilisateurs remettent en cause le bien-fondé des mises à jour, « BatteryGate » en tête. D’autre part car le message peut être interprété différemment : un travail sera peut-être effectué sur la séquence de démarrage d’iOS, auquel cas il vaut mieux se tenir prêt. Parallèlement, Apple a envoyé une requête DMCA à GitHub pour supprimer le code, mais il est évident que ce dernier a déjà été téléchargé et copié de nombreuses fois.

Autre évidence : les chercheurs et pirates vont se plonger avec délectation dans ce code, dans l’espoir d’y détecter des faiblesses. Les premiers pourront prévenir Apple s’ils n’ont pas peur des éventuelles retombées juridiques (le code n’est pas libre), tandis que les seconds espèreront dénicher des vulnérabilités, idéalement toujours présentes dans iOS 10 et 11. Peut-être l'occasion pour des entreprises comme Zerodium de relancer une course aux dollars.