Un chercheur prouve qu'il peut contourner le mécanisme de sécurité d'iOs
Deux semaines après qu'Apple ait trouvé la solution pour corriger sa faille de sécurité de ses iPhone en désactivant le port Lightning une heure après que l'appareil soit verrouillé. Matthew Hickey, chercheur en sécurité et co-fondateur du cabinet de cybersécurité Hacker House, a découvert une méthode de déverrouillage en trompant le système de protection de la plateforme iOS. Sa méthode lui permet d'entrer autant de mots de passe qu'il le désire. Elle est d'ailleurs également efficace sur la dernière version d'iOS 11.3 et à partir de l'Phone 5s.
Il faut savoir qu'au-delà de dix mots de passe erronés, l'iPhone peut être configuré pour effacer son contenu. Toutefois, le chercheur a expliqué qu'il a trouvé une solution pour contourner et tromper le système de protection iOS. Matthew Hickey a souligné qu'il est possible de multiplier les tentatives autant que nécessaire.
Une méthode en force brute
Au lieu de taper les mots de passe un à un, sa technique consiste à envoyer au smartphone une chaîne contenant toutes les combinaisons de code, sans espaces. La fonction associée à la frappe au clavier prime sur celle de l'effacement et la méthode du chercheur fonctionne avec les codes à 4 ou 6 chiffres. Le comptage du nombre de tentatives est effectué dans la zone matérielle protégée et inaccessible. C'est d'ailleurs ce décompte qui interdit les attaques en force brute qui ont but d'empêcher tous les codes possibles pour trouver le bon.
iOS 12 pourrait donc le bloquer lors de son lancement prévu en septembre. Mais pour l'instant le chercheur ne donne pas d'informations pour savoir si la nouvelle fonctionnalité de sécurité empêche les connexions USB après 1 heure. Dans la vidéo, on constate que le chercheur utilise une combinaison de nombre compris entre 0000 et 9999 via une simple chaîne de caractère.
Apple qui livre une bataille acharnée pour sécuriser ses appareils, ne badine pas en matière de sécurité ; La firme de Cupertino met continuellement en place des fonctions sur iOS afin d'éviter ce type d'attaque.