La faille Broadpwn aurait pu paralyser les réseaux mobiles, Réactions à la publication du 29/07/2017

[Lionel]

iOS 10.3.3 a comblé une faille de sécurité touchant les puces Broadcom. Elle permettait de prendre à distance le contrôle d'appareils pour peut qu'ils aient été à portée de Wi-Fi.

Bien entendu, il n'y a plus de réel risque de s'inquiéter, mais ce nouveau type d'attaque prouve que le chemin sera encore incroyablement long pour sécuriser au mieux tous les appareils électroniques.




Lien vers le billet original

[broitman]

Faut pas rever: mathematiquement, il est impossible de securiser totalement et indefiniment les appareils electroniques

Le monde de l'electronique evolue par sauts de puces: chaque vulnerabilite est comblee jusqu'a l'exploitation d'une nouvelle faille (volontaire ou accidentelle)

Les moyens de calculs des hackers sont aussi puissants que ceux des developpeurs, avec la difference que les hackers passent leur temps la dessus, alors que les developpeurs doivent toujours faire autre chose pour faire tourner le business

De plus, entre la conception de l'architecture d'un processeur et sa mise sur le marche il s'ecoule au moins 12 mois ce qui permet de mettre en place des loopholes avant le lancement public du produit final

[Lionel]

Sécuriser au mieux, pas totalement, chose impossible.

[Ibiscus]

Petite coquille : "pour peu qu'il ait été ...." . "Peu" est ici un adverbe.

[KOENIG Yvan]

Bonjour.

IOS 10.3.3 a comblé la faille ce qui est très bien.
Il va tout de même subsister un grand nombre d'appareils qui n'auront pas été mis à jour si bien que, si je ne m'abuse, on ne peut exclure l'éventualité d'une "épidémie".
Moi je m'en balance car je n'utilise aucun engin de ce type mais pour ceux qui le font ce n'est guère rassurant.
Ceux qui ne sont pas au courant et qui ne mettent pas leur engin à jour ne s'inquiéteront pas.
Par contre ceux qui ont un appareil ne pouvant être mis à jour peuvent très bien être au courant et du coup se mettre à flipper.
Et ne parlons pas de l'univers Android où de nombreux fabricants ne proposent pas de mise à jour.

[linus]

Sécuriser au mieux, pas totalement, chose impossible.

Ça semble en effet plus difficile que d'observer les ondes gravitationnelles (2.10^^-18 m un millième du diamètre d'un proton) mais les humains sont si malins qu'on ne peut jamais savoir !

[Jack the best]

C'est rien comparé à un macron !

[Anozer]

Depuis pas mal de temps, les appareils électroniques "sensibles", tels que les terminaux de paiement, carte bleus, cartes SIM, etc, sont soumis à certification. En France, ce sont des CESTI qui analysent le Hardware et le Software, sous contrôle de l'ANSSI, pour savoir si un appareil est suffisamment sûr (selon des critères parfaitement définis) avant d'être mis sur le marché.

Je ne sais pas si c'est pertinent, mais il ne me parait à priori pas délirant que les smartphones, qui abritent notre vie privée, soient certifiés également. J'ai lu récemment que cela commençait dans l'IoT avec les premières certif CSPN.

[DefKing]

Et le fabtricant Broadcom, ils ont fait quoi dans cette affaire ?

[iAPX]

Un point essentiel, qui est passé inaperçu, maintenant pour upgrader iOS on doit rentrer son code (pas deTouch ID), ce qui met les possesseurs de dispositifs iOS à l'abri d'une éventuelle version malware destiné à exposer tout ce qui est chiffré. Un gros pas en avant.

[kwak-kwak]

Les appareils sous Android sont-ils aussi concernés (sachant qu'il est rarement possible de les mettre à jour) ?