Apple Localiser : une faille critique menace la vie privée des utilisateurs

Une nouvelle faille de sécurité, découverte par des chercheurs de l’université George Mason, remet en question la confidentialité du réseau Localiser d’Apple. Cette vulnérabilité, baptisée « nRootTag », permet de suivre à distance et discrètement n’importe quel appareil Bluetooth sans le consentement de son propriétaire. Une menace sérieuse pour la vie privée des utilisateurs.

Un détournement du réseau Localiser d’Apple

Le réseau Localiser d’Apple repose sur un principe simple : les appareils compatibles (iPhone, Mac, AirTag, etc.) émettent des signaux Bluetooth captés par d’autres appareils Apple à proximité, permettant ainsi de localiser un objet perdu. Toutefois, les chercheurs ont découvert une méthode pour détourner ce système et transformer un appareil Bluetooth classique en un AirTag fantôme.

Grâce à l’exploitation de cette faille, il devient possible de pister un appareil sans que son propriétaire ne s’en aperçoive. Contrairement aux attaques traditionnelles nécessitant des accès administrateurs, cette méthode repose uniquement sur une manipulation du protocole de confiance du réseau Localiser.

Un suivi indétectable et inquiétant

Les chercheurs ont démontré l’efficacité de leur attaque en suivant un ordinateur avec une précision de 3 mètres, retraçant le trajet d’un vélo électrique en ville et même en reconstituant le parcours d’une console de jeu à bord d’un avion. Une capacité de suivi aussi précise ouvre la porte à de nombreuses dérives, allant du harcèlement au cyberespionnage.

L’exploit repose sur un contournement du chiffrement des adresses Bluetooth, réalisé grâce à l’utilisation massive de processeurs graphiques (GPU). Ce procédé permet d’associer une adresse Bluetooth à une clé de suivi en seulement quelques minutes, avec un taux de réussite de 90 %. En d’autres termes, un hacker disposant des ressources nécessaires pourrait traquer une cible avec une grande efficacité et sans éveiller de soupçons.

Un risque majeur pour la confidentialité

Les conséquences de cette faille sont alarmantes. Non seulement les appareils Apple sont concernés, mais n’importe quel périphérique Bluetooth pourrait être exploité de la même manière : smartphones Android, PC, téléviseurs connectés, casques VR, etc.

Ce type d’attaque pourrait être utilisé à des fins de harcèlement, mais aussi pour de l’espionnage industriel ou des stratégies marketing abusives. Par exemple, une entreprise pourrait suivre les déplacements d’un consommateur sans son consentement, ouvrant la voie à des pratiques commerciales intrusives.

Apple informé, mais une correction incertaine

Apple a été alerté de cette faille en juillet 2024. Cependant, un correctif complet pourrait prendre des années à être déployé. La mise à jour du réseau Localiser est un défi technique de taille, car elle nécessiterait l’adoption massive des nouvelles versions logicielles par l’ensemble des utilisateurs. Or, de nombreux appareils plus anciens ne bénéficient plus de mises à jour, rendant la suppression totale de cette vulnérabilité complexe.

Comment se protéger ?

En attendant une réaction d’Apple, les chercheurs recommandent plusieurs mesures pour limiter les risques :

• Désactiver le Bluetooth lorsque celui-ci n’est pas nécessaire.
• Limiter les permissions Bluetooth accordées aux applications.
• Maintenir ses appareils à jour pour bénéficier des dernières améliorations de sécurité.
• Surveiller les connexions Bluetooth actives afin d’identifier d’éventuels comportements suspects.

Cette découverte met une nouvelle fois en lumière les défis posés par les technologies de localisation et de connectivité. Alors que les objets connectés se multiplient, les failles de sécurité de ce type pourraient devenir de plus en plus courantes. Une prise de conscience et une vigilance accrue des utilisateurs sont essentielles pour protéger leur vie privée face à ces menaces émergentes.