Apple lance une procédure contre le groupe NSO, Réactions à la publication du 24/11/2021

[Lionel]

Vous avez certainement tous entendu parler du groupe NSO. Cette société est celle qui développe le logiciel Pegasus. Ce logiciel utilise des failles de sécurité iOS afin de débloquer des iPhone ou même d'espionner des utilisateurs iOS à leur insu. Il a souvent fait la une de l'actualité quand des personnalités politiques en vue, dont des dirigeants d'État, ont été espionnées grâce à lui.
En théorie, la société NSO commercialise ce logiciel uniquement à des forces de l'ordre dûment agréées mais ce qui est légitime et acceptable dans un pays ne l'est pas forcément dans un autre où les victimes peuvent être situées.
Voici ce qu'en dit Apple:
"Les appareils Apple sont le matériel grand public le plus sécurisé du marché, mais les entreprises privées qui développent des logiciels espions parrainés par l'État sont devenues encore plus dangereuses. Bien que ces menaces de cybersécurité n'affectent qu'un très petit nombre de nos clients, nous prenons toute attaque contre nos utilisateurs très au sérieux, et nous travaillons constamment à renforcer la sécurité et la protection de la confidentialité dans iOS pour assurer la sécurité de tous nos utilisateurs."

Vu ainsi, la poursuite semble totalement légitime et conforte la rhétorique d'Apple sur la sécurité de ses utilisateurs.
Toutefois, Pegasus n'existe que parce qu'il y a des failles de sécurité et on sait combien le programme d'Apple de rachat de ces failles est faillible avec des non paiements, des non reconnaissances des développeurs...
Bref, Apple dans cette position ne fait que défendre le fantasme commercial qu'elle vend au niveau publicité. On devrait plutôt dire qu'elle vendait car étrangement, on a infiniment moins de publicités à ce sujet depuis quelques semaines.
Il faut être réellement candide pour croire que l'on peut avoir un appareil connecté en permanence au réseau sans risquer de le voir corrompu à un moment ou un autre.
Maintenant, ce ne sont plus des pirates à la petite semaine qui cherchent des failles mais des groupes, étatiques ou pas, et dans tous les cas des ingénieurs très doués et très bien rémunérés, qui inlassablement cherchent toute faille permettant de contourner les protections mises en place.

Avec le jailbreak, Steve Jobs avait parlé d'un jeu de chat et de souris. Il en va de même au niveau de la sécurité globale et les souris ont toujours un coup d'avance.

Le vrai danger n'est pas de savoir que le système est faillible, mais bien de croire qu'il est infaillible.

Donc, quoi qu'en dise Apple, non vos données ne sont pas en totale sécurité sur votre appareil iOS. Elles le sont seulement autant que possible sur un smartphone avec lequel vous êtes en permanence connecté à des dizaines de services et, depuis peu, connecté même s'il est éteint.

Lien vers le billet original

[VSD]

Bonjour,
J'ai loupé un truc ...
C'est quoi l'histoire de connecté même s'il est éteint ?

[graxous]

Que penser d'un état qui autorise une entreprise commercialiser au grand jour une solution permettant de pénétrer par effraction dans des systèmes informatiques ?

La justification que le produit est vendu exclusivement à des forces de l'ordre dûment agréées est très mauvaises. Dans le monde, de nombreuses forces de l'ordre ne sont pas au service de la population pour la protéger, mais au service d'états qui écrasent tout sur leur passage.

D'un autre côte, on n'a toujours pas réellement légiféré contre des entreprises qui au grand jour pénètrent plus ou moins par effraction (grâce à la manipulation, à la mise en place d'addictions, ou tout simplement parce que les gens ne comprennent pas les enjeux, il s'agit donc d'abus de faiblesse) dans l'intimité des gens et font du trafic de données derrière (Google, Facebook, etc.).

[ Joe]

Bonjour,
J'ai loupé un truc ...
C'est quoi l'histoire de connecté même s'il est éteint ?

iCloud ?

[zero]

Bonjour,
J'ai loupé un truc ...
C'est quoi l'histoire de connecté même s'il est éteint ?

iCloud ?

Non, il y a des smartphones qui se connectent à internet pour diverses raisons lorsqu'il est éteint (màj, localisation, etc). J'avais remarqué ça sur un Huawei et un autre dont je me souviens plus. Apparemment les iphones aussi le font maintenant (depuis quand?). Je me demande même si ce n'est pas généralisé.

Ce message a été modifié par zero - 24 Nov 2021, 11:34.

[zebigbug]

Bonjour,
J'ai loupé un truc ...
C'est quoi l'histoire de connecté même s'il est éteint ?

iCloud ?

Non, il y a des smartphones qui se connectent à internet pour diverses raisons lorsqu'il est éteint (màj, localisation, etc). J'avais remarqué ça sur un Huawei et un autre dont je me souviens plus. Apparemment les iphones aussi le font maintenant (depuis quand?). Je me demande même si ce n'est pas généralisé.

J'ai un pixel de Google , je peux t'assurer qu'éteint il ne reçoit aucune donnée ni n'en transmet.
Pourquoi ?
Car la mise à jour se charge en fond quand il est allumé et il me demande si je veux l'installer.
Ma compagne a un téléphone android , même chose.

Sans vouloir t'offenser tu ne confonds pas la veille et le fait de l'éteindre ??

[zero]

Sans vouloir t'offenser tu ne confonds pas la veille et le fait de l'éteindre ??

Tu crois vraiment qu'on puisque confondre la veille avec le fait de l'éteindre ?
Lorsque tu allumes un smartphone, il y a le logo qui s'affiche et ça prend un certain temps.
Je ne pense pas que les smartphones font des màj du système lorsqu'il est éteint mais j'ai noté que ça peut arriver pour l'appareil en lui même, ou alors elle s'est faite pendant l'initilisation (qui n'était pas plus longue que d'habitude).

Ce message a été modifié par zero - 24 Nov 2021, 12:38.

[Jedge]

ça existait déja du temps des vieux nokia et il fallait enlever la batterie pour s'en prémunir... rien de nouveau sous le soleil, à ce ci pret que les batteries ne sont plus amovibles !

[chevy]

"Le vrai danger n'est pas de savoir que le système est faillible, mais bien croire qu'il est infaillible." ça c'est effectivement le plus important. Après certains systèmes sont plus faillibles que d'autres mais c'est comme une voiture: la ceinture de sécurité et le 'pilotage automatique' ne doivent pas nous rendre moins attentifs à la route.

"Sans vouloir t'offenser tu ne confonds pas la veille et le fait de l'éteindre ?" il confond probablement, bien peu de dispositifs sont encore connectés lorsqu'ils sont éteints. À l'exception de certains systèmes de sécurité c'est totalement marginal.

[Lionel]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

Fichier(s) joint(s)

 7C2ADD91_AC04_4B5F_9DC3_993DFFD4C8EA.jpeg ( 145.42 Ko ) Nombre de téléchargements : 110

 

[iAPX]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

Exactement, c'est aussi le cas de nos Mac qui communiquent en Bluetooth même quand "éteints" et Bluetooth "désactivé".

C'est un changement énorme apparu pour rendre plus efficace les capacités de suivi géographique de "Find my ...", en utilisant le maillage incroyable créé par tous les appareils Apple.

Pour ma part, je veux "Find my..." pour pouvoir nettoyer à distance (effacement instantané de clé de chiffrement en fait), mais certainement pas que mes appareils soient suivis quand je les utilise (ou pas) et in-fine être tracé par Apple 24/7.
Je n'irais certainement pas chercher un appareil volé, c'est une idée absolument imbécile, ne faites jamais ça!

Pour NSO, il y a possibilité de les faire condamner, mais il y a d'autres sociétés occupant le créneau, et les failles employées sont du fait de Apple et de personne d'autres.
Apple ferait mieux de ne plus créer de backdoors sachant qu'elles seront quasi-systématiquement utilisées contre ses clients par des acteurs malveillants, à commencer par des états totalitaires (Arabie Saoudite, Maroc, etc.).
Apple devrait aussi être condamné à ne plus créer ces problèmes, récurrents, dans le système de iMessage, et permettant à chaque fois l'exécution de code local à distance avec les privilèges maximaux et sans interaction utilisateur (ni indication, encore moins de nécessiter d'action de sa part).

Ce message a été modifié par iAPX - 24 Nov 2021, 13:31.

[chevy]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

À ma connaissance c'est un autre mécanisme, qui ne permet pas d'envoyer des données dans l'ordinateur, ou de forcer une mise à jour, ou de lancer une application, c'est plus similaire à l'AirTag (dans ce mode l'iPhone n'utilise plus le GPS ou le réseau WiFi pour se géolocaliser, mais il fonctionne en beacon Bluetooth et sera géolocalisé par les appareils environnants). Mais ça peut avoir changé.

Ce message a été modifié par chevy - 24 Nov 2021, 13:42.

[zebigbug]

Sans vouloir t'offenser tu ne confonds pas la veille et le fait de l'éteindre ??

Tu crois vraiment qu'on puisque confondre la veille avec le fait de l'éteindre ?

Heu, si tu vois les utilisateurs que je côtoie , tu ne t'étonnerais de rien ..

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

pas sous android

Vérifier que votre appareil peut être localisé
Pour pouvoir localiser un téléphone Android, le verrouiller ou en effacer les données, les conditions suivantes doivent être réunies :

L'appareil doit être allumé.
Il doit être connecté à un compte Google.
Il doit être connecté à un réseau Wi-Fi ou de données mobiles.
Il doit être visible sur Google Play.
La fonctionnalité de localisation doit être activée.
L'application Localiser mon appareil doit être activée.

source : https://support.google.com/android/answer/3265955?hl=fr

Quand je vous dis qu'android est plus sûr ios

[iAPX]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

À ma connaissance c'est un autre mécanisme, qui ne permet pas d'envoyer des données dans l'ordinateur, ou de forcer une mise à jour, ou de lancer une application, c'est plus similaire à l'AirTag (dans ce mode l'iPhone n'utilise plus le GPS ou le réseau WiFi pour se géolocaliser, mais il fonctionne en beacon Bluetooth et sera géolocalisé par les appareils environnants). Mais ça peut avoir changé.

Ça s'appuie sur du logiciel réseau, tournant sur des puces spécialisés ou des unités spécialisées, dont on connait les risques en cas d'attaque puisque permettant souvent de prendre le contrôle de l'appareil lorsqu'une ou plusieurs de leurs failles sont exploitées.
Ça a justement été utilisé par des acteurs de niveau gouvernemental comme NSO Group ou HackingTeam, mais aussi la NSA.

Nos appareils mobiles, incluant les micro-ordinateurs individuels, ne sont pas une CPU (ou un SoC) entouré de périphériques "idiots", mais un ensemble de réseaux d'ordinateurs, où donc chaque faille sur chacun d'entre eux peut mettre l'ensemble à risque. Voir la discussion sur le "firmware".

Dans cette affaire de puce Bluetooth active même appareil "éteint", Apple est soit irresponsable soit complice. J'ai mon avis là-dessus.

Ce message a été modifié par iAPX - 24 Nov 2021, 16:16.

[Hebus]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

À ma connaissance c'est un autre mécanisme, qui ne permet pas d'envoyer des données dans l'ordinateur, ou de forcer une mise à jour, ou de lancer une application, c'est plus similaire à l'AirTag (dans ce mode l'iPhone n'utilise plus le GPS ou le réseau WiFi pour se géolocaliser, mais il fonctionne en beacon Bluetooth et sera géolocalisé par les appareils environnants). Mais ça peut avoir changé.

Ça s'appuie sur du logiciel réseau, tournant sur des puces spécialisés ou des unités spécialisées, dont on connait les risques en cas d'attaque puisque permettant souvent de prendre le contrôle de l'appareil lorsqu'une ou plusieurs de leurs failles sont exploitées.
Ça a justement été utilisé par des acteurs de niveau gouvernemental comme NSO Group ou HackingTeam, mais aussi la NSA.

Nos appareils mobiles, incluant les micro-ordinateurs individuels, ne sont pas une CPU (ou un SoC) entouré de périphériques "idiots", mais un ensemble de réseaux d'ordinateurs, où donc chaque faille sur chacun d'entre eux peut mettre l'ensemble à risque. Voir la discussion sur le "firmware".

Dans cette affaire de puce Bluetooth active même appareil "éteint", Apple est soit irresponsable soit complice. J'ai mon avis là-dessus.

Des noms !

[iAPX]

Il y a un nom qui me vient, avec une ligne de budget de 20 milliards de dollars pour faire créer des failles de sécurités utilisables en backdoor ces 10 dernières années!
En sus d'utiliser le chantage et la coercition.

Tellement puissant que même Linus Torvald est obligé de répondre "no" quand on lui demande s'il a été approché pour créer une backdoor dans Linux.
Mais grâce à son hochement de tête et son père, on sait ce qu'il en est réellement.

20 milliards de dollars sur 10 ans. Le chantage. La coercition sur soi ou ses proches.
C'est imbattable!

[Fars]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

Bon tout le matos est sous Linux a la maison, je devrais etre epargné
Je viens de lire le commentaire de IAPX, me voilà moins rassuré....

Ce message a été modifié par Fars - 24 Nov 2021, 16:34.

[downanotch]

mais certainement pas que mes appareils soient suivis quand je les utilise (ou pas) et in-fine être tracé par Apple 24/7.

"Le réseau Localiser utilise le chiffrement de bout en bout afin qu’Apple ne puisse voir la position d’aucun appareil hors ligne ni d’aucun appareil transmettant la position."

[chevy]

On peut localiser un iPhone même éteint. Donc il ne l’est pas totalement.

À ma connaissance c'est un autre mécanisme, qui ne permet pas d'envoyer des données dans l'ordinateur, ou de forcer une mise à jour, ou de lancer une application, c'est plus similaire à l'AirTag (dans ce mode l'iPhone n'utilise plus le GPS ou le réseau WiFi pour se géolocaliser, mais il fonctionne en beacon Bluetooth et sera géolocalisé par les appareils environnants). Mais ça peut avoir changé.

Ça s'appuie sur du logiciel réseau, tournant sur des puces spécialisés ou des unités spécialisées, dont on connait les risques en cas d'attaque puisque permettant souvent de prendre le contrôle de l'appareil lorsqu'une ou plusieurs de leurs failles sont exploitées.
Ça a justement été utilisé par des acteurs de niveau gouvernemental comme NSO Group ou HackingTeam, mais aussi la NSA.

Nos appareils mobiles, incluant les micro-ordinateurs individuels, ne sont pas une CPU (ou un SoC) entouré de périphériques "idiots", mais un ensemble de réseaux d'ordinateurs, où donc chaque faille sur chacun d'entre eux peut mettre l'ensemble à risque. Voir la discussion sur le "firmware".

Dans cette affaire de puce Bluetooth active même appareil "éteint", Apple est soit irresponsable soit complice. J'ai mon avis là-dessus.

J'ai aussi mon avis là-dessus, mais comme je ne le donne pas (ni le prête d'ailleurs, je ne prête que des intentions) cette phrase est vide de sens.

[iAPX]

mais certainement pas que mes appareils soient suivis quand je les utilise (ou pas) et in-fine être tracé par Apple 24/7.

"Le réseau Localiser utilise le chiffrement de bout en bout afin qu’Apple ne puisse voir la position d’aucun appareil hors ligne ni d’aucun appareil transmettant la position."

Ça n'a strictement aucun sens comme de plus en plus souvent lorsqu'on utilise l'expression "chiffrement de bout en bout" (end-to-end encryption).

Preuve en est que le site web de Apple peut afficher la position des appareils.
À partir de là, la notion de "chiffrement de bout en bout" est totalement rebattue, et que donc tout acteur capable faire du MITM en https comme la NSA (au hasard) a alors la possibilité d'accéder à cette information à tout moment. Apple aussi.

Encore une expression qui a été abusée voire corrompue.
Il faut toujours se demander qui génère ou a accès aux clés et en quelles circonstances, et dans le cas d'Apple il y a un beau mensonge par omission...

Ce message a été modifié par iAPX - 24 Nov 2021, 19:21.

[JayTouCon]

mais certainement pas que mes appareils soient suivis quand je les utilise (ou pas) et in-fine être tracé par Apple 24/7.

"Le réseau Localiser utilise le chiffrement de bout en bout afin qu’Apple ne puisse voir la position d’aucun appareil hors ligne ni d’aucun appareil transmettant la position."

dans l'affaire du journalisme démembré en Turquie, il s'agissait de proches utilisant IOS. c'eut été Android c'était pareil, ce n'est même pas la question. la pomme laisse des failles de sécurité tout en se parant de vertus de la préservation de la vie privée. des groupes, sociétés s'y engouffrent.

ici la pomme joue les offusquées (c'est son droit), c'est conforme a son discours. elle n'a probablement AUCUNE marge de manoeuvre vis a vis d'un gouvernement comme les US. par contre contre des gouvernements étrangers, elle peut venir s'en plaindre ce qui arrangera le gouvernement US et mettra une gentille pression amicale tout en se montrant comme une pauvre victime. c'est tout bénéfice.

mais comme le dit @lionel, il y a des failles de sécurité sous iOS et l'on ne peut pas dire qu'elle se dépêche pour les combler. prend elle son temps par incompétence ou bien par ce que le gouvernement US lui fait comprendre qu'il n'y a pas urgence ?ou un peu des 2 ?, le 2nd étant bien content que la pomme ne se bouge par pour reconnaitre les failles de sécurité ce qui serait contraire à tout son discours marketing bien creux. il n'y a pas de virus sous OSX, il n'y a pas de failles de sécurité sous iOS. etc. c'est le système le plus sur etc. facile pour Tim Cook de dire que la pomme est moins pire que FB, c'est niveau bac a sable, c'est surtout pour priver FB de revenus. le business actuel de la pomme est de faire croire qu'elle préserve la vie privée, elle se devait de déposer plainte. bien joué

sinon NSO ne pourrait développer son business sans l'entente tacite des Etats.

[downanotch]

Ça n'a strictement aucun sens comme de plus en plus souvent lorsqu'on utilise l'expression "chiffrement de bout en bout" (end-to-end encryption).

Preuve en est que le site web de Apple peut afficher la position des appareils.

Ça c'est uniquement si tu utilises iCloud.com pour localiser ton appareil. C'est réellement chiffré de bout en bout par contre quand on utilise l'application "Find My".

[zoso2k1]

Lors d'une réunion avec un service d'état sensible, l'ensemble des téléphones des membres de la réunion ont été mis dans un coffre.

ça laisse songeur.

[Jack the best]

La cage de Faraday, y a rien de mieux !

[simon]

C'est désolant mais Pegasus n'existe que parce qu'Apple a conçu ses ibidules pour pouvoir espionner leurs utilisateurs, s'octroyant le droit par devers eux, d'enregistrer leurs conversations privées et de scanner leurs données (textes, photos, etc), cela même s'ils ne sont pas sur icloud.

Je n'ai aucune sympathie envers NSO mais elle n'a fait qu'exploiter cette possibilité. Les services US qui espionnent le monde entier, y compris leurs propres concitoyens et nos dirigeants, ne découvrent pas ces pratiques qui font partie de leur quotidien. Tout ce baratin d'Apple sur la confidentialié, le respect de l'utilisateur, n'est qu'un pur discours marketing hypocrite qui confine au cynisme. Finalement, NSO ne fait que concurencer Apple sur son propre terrain, ce qui lance un éclairage sur les poursuites judiciaires.

Il y a certainement derrière tout cela des accords avec le gouvernement US, le vol et la monétisation sans vergogne de nos données privées qu'aucun gouvernement ne semble vouloir ou pouvoir contenir. C'est la tendance actuelle des géants du Net. On en constate les effets néfastes depuis plusieurs années et l'accélération, il semble ne plus y avoir de frein à leur pouvoir de nuisance. Et la pandémie n'a fait que renforcer cet état de fait.

A ma grande surprise, Tim Cook en créant la polémique il y a quelques mois avec son projet de "croisade" contre la pédophilie (exactement l'argument utilisé par le pdg de NSO pour se justifier), les a tous dépassés. Il ne fait qu'informer le monde des possibilités offertes par "sa technologie", inutile d'avoir beaucoup d'imagination… En premier lieu, les états totalitaires comme la Chine, avec son "crédit social": contrôle des citoyens sur le Net et dans la vie quotidienne (à l'aide de caméras à reconnaissance faciale, drônes, etc). "Le résultat est une note sanctionnant les récalcitrants, les non-conformes, succeptible de limiter vos capacités à voyager, vous loger, travailler. Elle peut signer votre bannissement social et celle de votre famille, en empêchant par exemple vos enfants de s’inscrire à l’université". On a du mal à croire que ce n'est pas de la science fiction.

Apple est la seule grande entreprise technologique américaine à être présente en Chine avec son Apple Store chinois… mais à quel prix?

https://nsaneforums.com/topic/411578-how-ap...-censored-apps/
https://www.nytimes.com/2021/05/17/technolo...censorship.html
https://www.nytimes.com/2019/10/09/technolo...;pgtype=Article
https://www.developpez.com/actu/317482/Le-l...ndre-ses-plans/

[roseau]

La cage de Faraday, y a rien de mieux !

Zut , je suis grillé,
mettez votre appareil dans une poche aluminium et le tour est joué , le tout est de ne pas émettre d'onde et de se cacher des scanners

[chevy]

Ça n'a strictement aucun sens comme de plus en plus souvent lorsqu'on utilise l'expression "chiffrement de bout en bout" (end-to-end encryption).

Preuve en est que le site web de Apple peut afficher la position des appareils.

Ça c'est uniquement si tu utilises iCloud.com pour localiser ton appareil. C'est réellement chiffré de bout en bout par contre quand on utilise l'application "Find My".

Apple fusionne des données de plusieurs sources pour localiser un appareil. Un AirTag par exemple ne communique pas directement avec le WiFi ou avec un autre réseau. Il ne sait d'ailleurs pas où il est. Il émet juste un signal spécifique qui est entendu par les appareils iOS qui sont à proximité et eux remontent cette information à Apple avec leur propre géolocalisation. Il écoute aussi les appareils à proximité et eux peuvent lui demander d'émettre un son ou lui fournir un fichier pour une mise à jour firmware.

Les données sont chiffrées de bout en bout, mais comme Apple est à un bout, elle a accès à ce qui lui est fourni dans la mesure où on lui fourni les clés. Elle a aussi la possibilité (mais le fait-elle ?) d'ajouter des canaux supplémentaires qui passeraient d'autres informations entre le téléphone et Apple, ce n'est pas vérifiable par l'utilisateur lambda.

Le seul moyen d'avoir un système de communication sûr repose sur deux conditions: (1) le développer et le fabriquer soit-même, (2) avoir les connaissances nécessaires et à jour pour sécuriser ce système. Je n'en ai pas les moyens... donc je fais avec ce qui existe et je sais que c'est imparfait. Comme beaucoup de choses dans la vie.

Concernant Apple, c'est aussi une société imparfaite, mais j'apprécie la direction qu'elle prend et qu'elle donne au marché concernant le respect des informations personnelles.

[el fifito]

Concernant Apple, c'est aussi une société imparfaite, mais j'apprécie la direction qu'elle prend et qu'elle donne au marché concernant le respect des informations personnelles.

la même direction qu'en Chine ? Quand une entreprise préfère se plier aux lois liberticides d'un pays pour ne pas entraver son business, elle ne respecte plus les informations personnelles de ses utilisateurs quoi qu'elle en dise. Les backdoors sur iOS sont une réalité et Apple laisse les agences gouvernementales US et d'ailleurs les utiliser.

Le discours sur la sécurité d'Apple est du même niveau que leur greenwashing (avec leur appareils non réparables). Même s'il y a toujours pire, comment peut-on croire à de telles fadaises ? Apple collecte sans vergogne des données de ses utilisateurs (stockées sur les serveurs Google et Amazon ?) et il les exploite à son compte en prétendant empêcher les autres de le faire à l'insu des utilisateurs, comme il le font eux mêmes.

[iAPX]

... stockées sur les serveurs Google et Amazon ? ...

Ce ne sont pas des données, ce sont les données chiffrées et totalement inaccessibles (comme données) à Google ou Amazon.

Donc non, ils peuvent les mettre où ils veulent, même les exposer publiquement, ça ne risque absolument rien.

[Patounet1]

La cage de Faraday, y a rien de mieux !

Dans ce cas, pourquoi avoir un téléphone mobile ? Dès que tu l'utilises, il te trahit ! Si tu le laisses dans sa cage, il ne sert pas à grand chose

[iAPX]

La cage de Faraday, y a rien de mieux !

Dans ce cas, pourquoi avoir un téléphone mobile ? Dès que tu l'utilises, il te trahit ! Si tu le laisses dans sa cage, il ne sert pas à grand chose

Et la cage de Faraday ne sert qu'à protéger de certains types de risques nécessitant une connectivité synchrone.

[downanotch]

Les données sont chiffrées de bout en bout, mais comme Apple est à un bout, elle a accès à ce qui lui est fourni dans la mesure où on lui fourni les clés.

En utilisant l'application Find My pour localiser un appareil, il n'est pas nécessaire de fournir les clés à Apple.

[iAPX]

Les données sont chiffrées de bout en bout, mais comme Apple est à un bout, elle a accès à ce qui lui est fourni dans la mesure où on lui fourni les clés.

En utilisant l'application Find My pour localiser un appareil, il n'est pas nécessaire de fournir les clés à Apple.

Si.

En fait tout usage de iCloud, nécessitant de fournir son mot-de-passe à Apple, via une App Apple et des requêtes d'API ou via le Web, permet à Apple d'avoir accès aux clés mais aussi à tout attaquant pouvant monter une attaque MITM de niveau gouvernemental.
La clé n'est pas stockée dans l'appareil, mais stockée chiffrée (encore lui!) du coté de Apple, expliquant qu'on ai accès à ces mêmes fonctionnalités depuis un autre appareil Apple en rentrant ses identifiants+mot-de-passe iCloud.

Donc on arrête les conneries, Apple a accès aux clés, peut les transmettre à toute agence en faisant la demande, ainsi que tout attaquant capable de monter un MITM https.
Comme l'a démontré l'affaire ProtonMail, personne n'est à l'abri, et surtout pas avec des systèmes et sociétés nous le promettant

Ce message a été modifié par iAPX - 25 Nov 2021, 18:57.

[Hebus]

Les données sont chiffrées de bout en bout, mais comme Apple est à un bout, elle a accès à ce qui lui est fourni dans la mesure où on lui fourni les clés.

En utilisant l'application Find My pour localiser un appareil, il n'est pas nécessaire de fournir les clés à Apple.

Si.

En fait tout usage de iCloud, nécessitant de fournir son mot-de-passe à Apple, via une App Apple et des requêtes d'API ou via le Web, permet à Apple d'avoir accès aux clés mais aussi à tout attaquant pouvant monter une attaque MITM de niveau gouvernemental.
La clé n'est pas stockée dans l'appareil, mais stockée chiffrée (encore lui!) du coté de Apple, expliquant qu'on ai accès à ces mêmes fonctionnalités depuis un autre appareil Apple en rentrant ses identifiants+mot-de-passe iCloud.

Donc on arrête les conneries, Apple a accès aux clés, peut les transmettre à toute agence en faisant la demande, ainsi que tout attaquant capable de monter un MITM https.
Comme l'a démontré l'affaire ProtonMail, personne n'est à l'abri, et surtout pas avec des systèmes et sociétés nous le promettant

Détaille un peu alors par rapport à ce qui est affirmé ici que avec le double-factor… ils ne peuvent pas acccéder à nos infos ? Ça me paraît intéressant pour tout le monde ici.

En fait si tu accèdes d’un autre appareil à iCloud tu dois faire intervenir aussi ton iPhone, puisque des data de l’iPhone servent aussi à décrypter le paquet de data qui transitent, à ce qui peut se comprendre de leur texte.

End-to-end encryption
End-to-end encryption provides the highest level of data security. On each of your devices, the data that you store in iCloud and that's associated with your Apple ID is protected with a key derived from information unique to that device, combined with your device passcode which only you know. No one else, not even Apple, can access end-to-end encrypted information.

End-to-end encryption requires that you use two-factor authentication for your Apple ID and set a passcode on your device. Some features also require recent software, generally iOS 13 or later. With two-factor authentication, your account can be accessed only on devices you trust, like your iPhone, iPad, or Mac. Keeping your software up to date, using two-factor authentication for your Apple ID, and protecting your device with a passcode—or password on Mac—Face ID, or Touch ID are the most important things that you can do to maintain the security of your devices and data.

iCloud security overview

Ce message a été modifié par Hebus - 25 Nov 2021, 19:17.

[Fars]

Comme l'a démontré l'affaire ProtonMail, personne n'est à l'abri, et surtout pas avec des systèmes et sociétés nous le promettant

Salut IAPX, c'etait quoi l'affaire Protomail?

[iAPX]

Détaille un peu alors par rapport à ce qui est affirmé ici que avec le double-factor… ils ne peuvent pas acccéder à nos infos ? Ça me paraît intéressant pour tout le monde ici.
...

Le 2FA ou MFA ne sert qu'à valider l'accès au compte.
Alors que le mot-de-passe est utilisé pour valider celui-ci mais aussi sert à deriver une clé de chiffrement qui protège nos données et nos autres clés dans iCloud.
(c'est d'ailleurs peu-ou-prou ce qu'est la Recovery Key).

Il est possible de demander accès à nos clés, incluant celles utilisées dans "Find my...", mais elles ne sont censé être stockées que chiffrées par Apple, donc inutilisable.
La connaissance du mot-de-passe employé (ou de la Recovery Key) permet à tout moment de déchiffrer ces clés.
C'est pour ça que sans avoir lu ce document, je peux parier qu'ils n'indiquent nulle part ce qui advient de nos mot-de-passe, hors stockage (probablement en PBKDF2/sha-2).

La clé de chiffrement est chez Apple, notre mot-de-passe sert à y accéder, le problème est qu'il se ballade partout, donc la clé de chiffrement n'est pas protégée.
Il faut toujours se demander qui génèrent ou possède les clés, sous quelles formes, et qui y a accès et sous quelles conditions. C'est l'arnaque.

En résumé, "end-to-end encryption" ou "chiffrement de bout en bout" est généralement du blahblah de PR. Avec quelques exceptions notables.

Comme l'a démontré l'affaire ProtonMail, personne n'est à l'abri, et surtout pas avec des systèmes et sociétés nous le promettant

Salut IAPX, c'etait quoi l'affaire Protomail?

ProtonMail qui prétend n'avoir pas de logs, mais qui en a créé à la demande de la Justice Suisse où ils sont basés, au moins pour un compte.
Ils n'ont pas de logs, mais si une agence US le désire, ils en créeront...

Ce message a été modifié par iAPX - 25 Nov 2021, 19:44.

[Hebus]

Un doc explicatif intéressant qui permet d’y voir plus clair :

https://blog.elcomsoft.com/2021/01/apple-sc...icloud-backups/

[iAPX]

Un doc explicatif intéressant qui permet d’y voir plus clair :

https://blog.elcomsoft.com/2021/01/apple-sc...icloud-backups/

Il y a là aussi un gros mensonge, puisque pour ce qui concerne la Chine, la société gérant les serveurs a des clés maîtres de déchiffrement, et elle est contrôlée par le Parti Communiste Chinois.

Apple a indirectement mis entre les mains du pouvoir Chinois les informations de tout ses usagers du crû...

PS: tout l'aspect technique est totalement foireux, il ne comprends absolument rien mais sait mettre des buzzwords!
Imaginons que le chiffrement bout-en-bout soit protégé par le code PIN, comme il le suggère pour un iPhone, ça ne prendrait évidemment qu'une fraction de seconde en moyenne pour tout déchiffrer.
Et on ne pourrait pas plus accéder aux informations depuis un Mac dans lequel on ne rentre JAMAIS ce même code PIN. Du PR bien bien pourri.

Ce message a été modifié par iAPX - 25 Nov 2021, 21:18.

[Hebus]

Un doc explicatif intéressant qui permet d’y voir plus clair :

https://blog.elcomsoft.com/2021/01/apple-sc...icloud-backups/

Il y a là aussi un gros mensonge, puisque pour ce qui concerne la Chine, la société gérant les serveurs a des clés maîtres de déchiffrement, et elle est contrôlée par le Parti Communiste Chinois.

Apple a indirectement mis entre les mains du pouvoir Chinois les informations de tout ses usagers du crû...

PS: tout l'aspect technique est totalement foireux, il ne comprends absolument rien mais sait mettre des buzzwords!
Imaginons que le chiffrement bout-en-bout soit protégé par le code PIN, comme il le suggère pour un iPhone, ça ne prendrait évidemment qu'une fraction de seconde en moyenne pour tout déchiffrer.
Et on ne pourrait pas plus accéder aux informations depuis un Mac dans lequel on ne rentre JAMAIS ce même code PIN. Du PR bien bien pourri.

Ok, oui il le dit parfaitement également, mais je pense qu’il manque une pièce dans cette histoire sinon l’affirmation d’Apple serait trop facile à démonter et l’aurait été de manière évidente et sonore … hors je ne trouve pas de trace de ce genre de discours…

Vu que lorsque l’on doit faire la double authentification cela doit venir d’un appareil apple .. je suppose que cet appareil intervient dans le process pas seulement pour le code, qui plus est il faut un appareil avec un OS récent pour cette fonctionnalité

Ce message a été modifié par Hebus - 25 Nov 2021, 21:37.

[iAPX]

L'authentification sur un système distant n'a absolument rien à voir avec l'accès à des données chiffrées, excepté qu'ils utilisent le même mot-de-passe comme origine.
Pas besoin pour une agence gouvernementale de s'authentifier d'une quelconque façon pour déchiffrer les données d'un utilisateur de iCloud.

La première étape est de demander les données chiffrées à Apple, ce que la société remet sans aucun problème, ou de les capturer en MITM https (invisible).
La seconde étape consiste à utiliser le mot-de-passe de l'utilisateur, soit capturé par MITM soit en attaque par force-brute, pour en dériver la clé de chiffrement/déchiffrement de ces données.
La troisième étape, la plus simple, reste juste à déchiffrer.

Un attaquant de niveau gouvernemental a généralement accès aux données chiffrées, via les contraintes légales imposées à Apple.
Il n'est besoin en rien de s'authentifier, et -au pire- Apple pourrait l'autoriser aussi, le 2FA ou MFA n'étant qu'une validation d'accès, alors que le mot-de-passe ouvre la boîte de Pandore.

Un exemple, quand tu branches un stockage chiffré sur ton propre ordinateur, pas besoin de t'authentifier de nouveau, juste de connaître un des mots-de-passe protégeant ces données, les mécanismes étant très similaires.

Ce message a été modifié par iAPX - 25 Nov 2021, 21:46.

[linus]

"Sans vouloir t'offenser tu ne confonds pas la veille et le fait de l'éteindre ?" il confond probablement, bien peu de dispositifs sont encore connectés lorsqu'ils sont éteints. À l'exception de certains systèmes de sécurité c'est totalement marginal.

Pas du tout, c'est très général au contraire. Quand tu coupes le contact de ta voiture, il y a des tas de choses qui restent alimentées, par exemple le système d'ouverture des portes. Sur les voitures haut de gamme, il y a surement aussi le système de géolocalisation comme sur les smartphones.
Pour que qu'une voiture soit éteinte, il faut débrancher la batterie ... sauf dans les futures voitures Apple, bien entendu !

[linus]

La cage de Faraday, y a rien de mieux !

Dans ce cas, pourquoi avoir un téléphone mobile ? Dès que tu l'utilises, il te trahit ! Si tu le laisses dans sa cage, il ne sert pas à grand chose

A avoir 1000€ dans la poche sous une forme matérielle relativement compacte, peut-être ?

Bon, j'arrive un peu tard dans la discussion mais j'ajoute mon grain de sel.

J'ai un pixel de Google , je peux t'assurer qu'éteint il ne reçoit aucune donnée ni n'en transmet.
Pourquoi ?
Car la mise à jour se charge en fond quand il est allumé et il me demande si je veux l'installer.
Ma compagne a un téléphone android , même chose.

Mais enfin, comment peut on écrire cela ? Si iOS ou Android pouvait faire des mises-à-jour quand le téléphone est éteint, la batterie ne durerait pas des mois comme actuellement. A l'évidence, un téléphone éteint n'échange que de temps en temps et des données minuscules. Ou alors je n'ai vraiment rien compris !

"Le réseau Localiser utilise le chiffrement de bout en bout afin qu’Apple ne puisse voir la position d’aucun appareil hors ligne ni d’aucun appareil transmettant la position."

Ça n'a strictement aucun sens comme de plus en plus souvent lorsqu'on utilise l'expression "chiffrement de bout en bout" (end-to-end encryption).
Preuve en est que le site web de Apple peut afficher la position des appareils.
À partir de là, la notion de "chiffrement de bout en bout" est totalement rebattue, et que donc tout acteur capable faire du MITM en https comme la NSA (au hasard) a alors la possibilité d'accéder à cette information à tout moment. Apple aussi.
Encore une expression qui a été abusée voire corrompue.
Il faut toujours se demander qui génère ou a accès aux clés et en quelles circonstances, et dans le cas d'Apple il y a un beau mensonge par omission...

Est ce qu'il ne faut pas comprendre l'affirmation d'Apple de façon différente. Apple n'est pas assez idiot pour ne pas savoir que ce qui s'affiche sur le web est public. iAPX, je suis donc assez étonné que tu mettes cet argument (tendancieux ?) en avant.
Moi ce que j'avais compris c'est que, hors le moment tu demandes à Apple la localisation de ton iPhone, tous les échanges iPhone-Apple sont cryptés et donc non exploitables pour du traçage malveillant ... excepté via une backdoor bien entendu.

Ce message a été modifié par linus - 25 Nov 2021, 23:09.

[iAPX]

...
Moi ce que j'avais compris c'est que, hors le moment tu demandes à Apple la localisation de ton iPhone, tous les échanges iPhone-Apple sont cryptés et donc non exploitables pour du traçage malveillant ... excepté via une backdoor bien entendu.

Les échanges sont chiffrés, les informations stockées chiffrées, mais Apple et les acteurs de niveau gouvernemental y ont accès.
"Il faut toujours se demander qui génèrent ou possède les clés, sous quelles formes, et qui y a accès et sous quelles conditions. C'est l'arnaque."

Dans ce cas précis, la condition est d'avoir eu accès au mot-de-passe du compte, ainsi qu'à la clé de chiffrement associée à "Find my..." (qui est elle-même chiffrée avec un dérivé du passe).
Apple prétend ne pas pouvoir y avoir accès, c'est d'évidence faux puisqu'on a accès à cette information au travers de son interface Web.
Dans ce cas le "end-to-end" est une arnaque, tout l'inverse de Signal par exemple qui implémente correctement du chiffrement de bout-en-bout, qui ne peut évidemment proposer d'interface Web.

L'historique montre que Apple collabore activement avec certaines agences Américaines et Chinoises, donc elles peuvent suivre tous ceux utilisant "Find my..." même appareil "éteint".

Ce message a été modifié par iAPX - 25 Nov 2021, 23:41.

[DOMY]

Je suis l'actualité au jour le jour ..... et je vois tous les jours des gens d'extrême droite, d'extrême gauche, des politiques de tous bords, des terroristes se faire " crever " malgré leur usage de messageries soit disant " cryptées ".

En fait, ça ne vaut plus grand chose ce truc ?

Ce message a été modifié par DOMY - 25 Nov 2021, 23:56.

[iAPX]

Je suis l'actualité au jour le jour ..... et je vois tous les jours des gens d'extrême droite, d'extrême gauche, des politiques de tous bords, des terroristes se faire " crever " malgré leur usage de messageries soit disant " cryptées ".

En fait, ça ne vaut plus grand chose ce truc ?

Pour moi ça protège beaucoup moins que ce qu'on pourrais penser, et surtout bien moins que ce qui est prétendu.

Un secret n'est plus un secret si quelqu'un d'autre le connait, et maintenant ça vaut pour les systèmes d'information.

[DOMY]

Séquence nostalgie pour les anciens .....

https://fr.wikipedia.org/wiki/Pretty_Good_Privacy
https://fr.wikipedia.org/wiki/Philip_Zimmer...ilip_Zimmermann

Philip Zimmermann a été le premier à mettre à la disposition du public un logiciel de chiffrement facilement utilisable fondé sur la technique de la clé asymétrique (ou clé publique).
Cela lui valut une enquête criminelle de trois ans de la part des Douanes américaines, au prétexte d'avoir violé les restrictions sur l'exportation de logiciels de cryptographie en diffusant PGP dans le monde entier (PGP avait été publié en 1991 sur le web comme logiciel libre).

Ce message a été modifié par DOMY - 26 Nov 2021, 00:20.

[downanotch]

iCloud security overview

Et surtout : https://support.apple.com/guide/security/fi...bc80fd0/1/web/1

[iAPX]

iCloud security overview

Et surtout : https://support.apple.com/guide/security/fi...bc80fd0/1/web/1

Et voilà le premier mensonge de Apple:
"This private key pair and the secret are never sent to Apple and are synced only among the user’s other devices in an end-to-end encrypted manner using iCloud Keychain."

La synchronisation se fait bien au travers de Apple, qui reçoit bien la clé privée.
Sinon il serait impossible de synchroniser au travers de iCloud.

Il y a des mensonges évidents, clairs: vous ne pouvez en aucun cas faire confiance à Apple.

"This private key pair and the secret are sent to Apple, encrypted by a key derived from you iCloud password, Apple has access to your password if you are using iCloud thus has full access to these keys since day 1" - iAPX

PS: si on ne comprend pas, on demande, au lieu de jouer les idiots utiles pour Apple.
Et quand Apple utilise l'expression "end-to-end encryption" (chiffrement de bout en bout), c'est un mensonge PR. Ça n'est pas Signal.

Ce message a été modifié par iAPX - 26 Nov 2021, 17:25.

[downanotch]

Tu mélange iCloud, le canal de transmission sur lequel les clés transitent de manière chiffrée entre les devices, et iCloud.com, le serveur web à qui tu peux demander d'afficher la position d'un appareil.

Le premier cas peu tout à fait être implémenté avec un chiffrement bout à bout.

[iAPX]

Tu mélange iCloud, le canal de transmission sur lequel les clés transitent de manière chiffrée entre les devices, et iCloud.com, le serveur web à qui tu peux demander d'afficher la position d'un appareil.

Le premier cas peu tout à fait être implémenté avec un chiffrement bout à bout.

Il pourrait mais il ne l'est pas, relit attentivement ce que j'ai proposé à la place comme texte, très différent sur le fond.
"This private key pair and the secret are sent to Apple, encrypted by a key derived from you iCloud password, Apple has access to your password if you are using iCloud thus has full access to these keys since day 1" - iAPX

Apple a accès à ces clés, prétendre l'inverse est un mensonge.
Ou alors tu ne te souviens pas que tu as du donner ton mot-de-passe iCloud sur tes matériels? On a tous des limites

PS: pour les amateurs de chiffrement de bout-en-bout (end-to-end encryption) je recommande de regarder Signal, tout autant en terme de cryptographie que d'implémentation initiale (ils ont rajouté des backdoors dans l'implémentation depuis, sur le modèle de celles de iMessage), où jamais aucun mot-de-passe n'est évidemment demandé ni transmis.

Ce message a été modifié par iAPX - 26 Nov 2021, 21:01.

[downanotch]

Apple a accès à ces clés, prétendre l'inverse est un mensonge.
Ou alors tu ne te souviens pas que tu as du donner ton mot-de-passe iCloud sur tes matériels? On a tous des limites

Visiblement, tu n'a jamais entendu parlé des fonctions de hachage cryptographique… Ou alors tu trolles.

[iAPX]

Apple a accès à ces clés, prétendre l'inverse est un mensonge.
Ou alors tu ne te souviens pas que tu as du donner ton mot-de-passe iCloud sur tes matériels? On a tous des limites

Visiblement, tu n'a jamais entendu parlé des fonctions de hachage cryptographique… Ou alors tu trolles.

Visiblement tu ne comprends pas comment iCloud fonctionne, ni les fonctions de hachage cryptographique... ou alors tu trolles.

Allez pour rire, explique-nous comment avec du hashage cryptographique cela fonctionne quand tu mets ton mot-de-passe dans ton appareil pour qu'il soit reconnu par iCloud?
Attention, iCloud ne devrait stocker le mot-de-passe que hashé, avec un sel aléatoire et inconnu de l'extérieur (évitant les attaques précalculées) par exemple en PBKDF2/sha-2.
Et la réponse est...

Ce message a été modifié par iAPX - 27 Nov 2021, 16:16.

[chombier]

Le "hashage cryptographique"... Nous avons ici affaire à des experts.

Et sinon, les ordinateurs quantiques en seraient déjà à 127 qbits ?

[linus]

Je suis l'actualité au jour le jour ..... et je vois tous les jours des gens d'extrême droite, d'extrême gauche, des politiques de tous bords, des terroristes se faire "crever" malgré leur usage de messageries soit disant "cryptées".
En fait, ça ne vaut plus grand chose ce truc ?

Pour moi ça protège beaucoup moins que ce qu'on pourrais penser, et surtout bien moins que ce qui est prétendu.

Un secret n'est plus un secret si quelqu'un d'autre le connait, et maintenant ça vaut pour les systèmes d'information.

Je me permets de rappeler ce que j'avais dit ici il y a 2 ou 3 ans au sujet d'une conférence donnée par l'un des principaux experts français du développement d'algorithmes de cryptage. Quelqu'un dans la salle lui a demandé si son labo essayait de casser les cryptages des concurrents. Il a répondu à peu près, "A titre d'exercice on a monté une machine pour ça, les cryptages les plus robustes résistent entre 1/2h et quelques heures" Quand j'ai rapporté cela, je me suis fait insulter sur MacBidouille. iAPX était plus que dubitatif je crois. Je vois qu'il doute moi maintenant.

[iAPX]

Je suis l'actualité au jour le jour ..... et je vois tous les jours des gens d'extrême droite, d'extrême gauche, des politiques de tous bords, des terroristes se faire "crever" malgré leur usage de messageries soit disant "cryptées".
En fait, ça ne vaut plus grand chose ce truc ?

Pour moi ça protège beaucoup moins que ce qu'on pourrais penser, et surtout bien moins que ce qui est prétendu.

Un secret n'est plus un secret si quelqu'un d'autre le connait, et maintenant ça vaut pour les systèmes d'information.

Je me permets de rappeler ce que j'avais dit ici il y a 2 ou 3 ans au sujet d'une conférence donnée par l'un des principaux experts français du développement d'algorithmes de cryptage. Quelqu'un dans la salle lui a demandé si son labo essayait de casser les cryptages des concurrents. Il a répondu à peu près, "A titre d'exercice on a monté une machine pour ça, les cryptages les plus robustes résistent entre 1/2h et quelques heures" Quand j'ai rapporté cela, je me suis fait insulter sur MacBidouille. iAPX était plus que dubitatif je crois. Je vois qu'il doute moi maintenant.

Non, les chiffrages les plus robustes ne sont pas cassables autant qu'on sache (une affaire de limitation de taille de l'univers et de sa durée de vie): je ne parle pas de méthode de chiffrement, je parle d'implémentations, et dans ce que tu as cité du maillon le plus faible.

Ergo, voilà ma clé publique ( ~/.ssh/id_rsa.pub ):

Code

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDd2GOPn2pL2S4VWRhxriCx4mLMr33CXS6Y8AbtKd+TBntcWD61
m8h8agRZXFlVE3pEHpBZJzyFTCc/RCg7FaV2nv62SYja+9Ex2aMdYl5SYW2JIAhUmNHHvooYw11FwnxoZTZMkHYrs
di4PVJBtR3QbRUQ3cG/7XeeU+lkb4Rvza4f4ZXUF/Ym2M1IDMCvjDTB1hN2fih+z62PyfymbBrpmLDYD+WlVrbJu3V
1yPYML+g5WfeRnmUFHj2ta/Y/Rjs3P7FLUFKVmdRrYruSTPwokH3cgxfp96cYzQIvDld/A1Gt69mbLt9g8+75BWZOM
yDLcO3G20VHhg6X5WZgXdSx [email protected]

Revenez-moi avec ma clé privée
Comme c'est noël, j'offre une bouteille de Krug Clos du Mesnil de ma cave pour celui capable de me fournir ma clé privée (ou toute clé privée acceptée comme valable en regard à ma clé publique, donc déverrouillant l'accès à mes serveurs).

En résumé, on sait chiffrer fortement, sans avoir de risque connu (notez ce mot!) aujourd'hui (notez celui-ci aussi!).
En revanche, en général, les implémentations sont foireuses si pas truffées de backdoors, comme chez Microsoft, CISCO ou surtout Apple.
Microsoft ayant outre ses backdoors, fait d'immenses efforts pour affaiblir la sécurité des chiffrements proposés aux utilisateurs de Office, pour qu'ils soient cassables facilement.

Ce message a été modifié par iAPX - 28 Nov 2021, 00:43.

[Hebus]

Apple a accès à ces clés, prétendre l'inverse est un mensonge.
Ou alors tu ne te souviens pas que tu as du donner ton mot-de-passe iCloud sur tes matériels? On a tous des limites

Visiblement, tu n'a jamais entendu parlé des fonctions de hachage cryptographique… Ou alors tu trolles.

Visiblement tu ne comprends pas comment iCloud fonctionne, ni les fonctions de hachage cryptographique... ou alors tu trolles.

Allez pour rire, explique-nous comment avec du hashage cryptographique cela fonctionne quand tu mets ton mot-de-passe dans ton appareil pour qu'il soit reconnu par iCloud?
Attention, iCloud ne devrait stocker le mot-de-passe que hashé, avec un sel aléatoire et inconnu de l'extérieur (évitant les attaques précalculées) par exemple en PBKDF2/sha-2.
Et la réponse est...

Tu fais le malin en balançant des affirmations péremptoires, j’avoue que à part quelques trucs fais autour de OpenSSL et quelques études sur les bitcoins, ces histoire de crypto ne m’intéressent et ne m’ont jamais intéressé vraiment

Mais en cherchant sur PBKDF2/sha-2, on peut lire que Apple s’en sert depuis iOS 3 et à augmenté le nombre d’itération … pas clair si il y a un cryptographic salt ou pas

https://en.wikipedia.org/wiki/PBKDF2?wprov=sfti1

Franchement un truc plus détaillé avec une graphe pour le transit d’informations vaudrait le coup

Note: le deuxième papier pointé est au sujet de FindMy , cacher la localisation géographique, et pas l’accès à iCloud

Ce message a été modifié par Hebus - 28 Nov 2021, 00:39.

[iAPX]

...
Mais en cherchant sur PBKDF2/sha-2, on peut lire que Apple s’en sert depuis iOS 3 et à augmenté le nombre d’itération … pas clair si il y a un cryptographic salt ou pas
...

Eh bien tu en as un devant toi
Et aussi un chercheur en sécurité ayant trouvé un CVSS 9.0 sur MySQL. Mais revenons aux arguments...

En PBKDF2 il y a toujours un sel "salt". Évidemment.
C'est la base et en PBKDF2, le sel est réutilisé à chaque itération "round", permettant alors d'utiliser une méthode de hash médiocre (comme sha-1 voire md5) sans générer de collisions.

PBKDF2 avec sha-2 est un standard de fait, car à la fois sûr, accéléré matériellement (pas d'avantage pour les attaquants de niveau gouvernemental utilisant des ASIC), mais aussi inclut dans la norme Américaine NIST SP800-132, donc répondant parfaitement à de nombreuses contraintes, y-compris réglementaires.
Le nombre d'itérations "round" recommandé augmente régulièrement, pour limiter les risques d'attaque par force-brute, mais essentiellement c'est sûr.

En revanche, Apple ne communique absolument rien sur la façon dont les mots-de-passe de ses usagers vivent dans ces systèmes, qui y a accès, incluant par attaque MITM sur du https (par downgrade TLS/SSL ou pur MITM avec des clés forgées), et donc semble totalement ignorer ou plutôt prétendre ne pas avoir accès aux clés de ses usagers alors que tout indique que c'est le cas!
Idem pour la ou les clés dérivés partiellement de ce mot-de-passe, qui sont essentielles puisque permettant l'accès aux clés de chiffrement/déchiffrement, pas un mot...

Ce message a été modifié par iAPX - 28 Nov 2021, 14:34.

[Guest_coverband_*]

Ce message a été modifié par coverband - 28 Nov 2021, 01:34.

[vlady]

J'ai l'impression qu'Apple n'a jamais prétendu avoir un "vrai" chiffrement end-to-end. Tout le monde le sait, en tout cas, moi, je le sais. Pourquoi ? Toujours la même raison, la convenance. Apple est capable de "restaurer" l'accès aux données si madame Michu a pommé son mot de passe. Et ce n'est pas un défaut, c'est une feature.

[downanotch]

J'ai l'impression qu'Apple n'a jamais prétendu avoir un "vrai" chiffrement end-to-end. Tout le monde le sait, en tout cas, moi, je le sais. Pourquoi ? Toujours la même raison, la convenance. Apple est capable de "restaurer" l'accès aux données si madame Michu a pommé son mot de passe. Et ce n'est pas un défaut, c'est une feature.

Ben justement non, ce qui end-to-end n'est PAS récupérable :

Si vous oubliez votre mot de passe ou le code d’accès de votre appareil, le service de récupération de données iCloud peut vous aider à déchiffrer vos données afin que vous puissiez regagner l’accès à vos photos, notes, documents, sauvegardes d’appareils, etc. En revanche, ce service ne vous permet pas d’accéder aux types de données qui sont protégés par le chiffrement de bout en bout, comme les données de votre trousseau, de l’app Santé, de l’app Messages et de l’app Temps d’écran. Les codes d’accès de vos appareils, que vous seul connaissez, sont requis pour déchiffrer et accéder à ces données. Vous seul pouvez accéder à ces informations, et uniquement à partir des appareils sur lesquels vous êtes connecté à iCloud.

https://support.apple.com/fr-fr/HT202303

Ce message a été modifié par downanotch - 29 Nov 2021, 08:40.

[Lionel]

J'ai l'impression qu'Apple n'a jamais prétendu avoir un "vrai" chiffrement end-to-end. Tout le monde le sait, en tout cas, moi, je le sais. Pourquoi ? Toujours la même raison, la convenance. Apple est capable de "restaurer" l'accès aux données si madame Michu a pommé son mot de passe. Et ce n'est pas un défaut, c'est une feature.

Ben justement non, ce qui end-to-end n'est PAS récupérable :

Si vous oubliez votre mot de passe ou le code d’accès de votre appareil, le service de récupération de données iCloud peut vous aider à déchiffrer vos données afin que vous puissiez regagner l’accès à vos photos, notes, documents, sauvegardes d’appareils, etc. En revanche, ce service ne vous permet pas d’accéder aux types de données qui sont protégés par le chiffrement de bout en bout, comme les données de votre trousseau, de l’app Santé, de l’app Messages et de l’app Temps d’écran. Les codes d’accès de vos appareils, que vous seul connaissez, sont requis pour déchiffrer et accéder à ces données. Vous seul pouvez accéder à ces informations, et uniquement à partir des appareils sur lesquels vous êtes connecté à iCloud.

https://support.apple.com/fr-fr/HT202303

Sauf en Chine bien entendu. Fort avec les démocraties, faible avec les pays "à poigne".

[vlady]

J'ai l'impression qu'Apple n'a jamais prétendu avoir un "vrai" chiffrement end-to-end. Tout le monde le sait, en tout cas, moi, je le sais. Pourquoi ? Toujours la même raison, la convenance. Apple est capable de "restaurer" l'accès aux données si madame Michu a pommé son mot de passe. Et ce n'est pas un défaut, c'est une feature.

Ben justement non, ce qui end-to-end n'est PAS récupérable :

Si vous oubliez votre mot de passe ou le code d’accès de votre appareil, le service de récupération de données iCloud peut vous aider à déchiffrer vos données afin que vous puissiez regagner l’accès à vos photos, notes, documents, sauvegardes d’appareils, etc. En revanche, ce service ne vous permet pas d’accéder aux types de données qui sont protégés par le chiffrement de bout en bout, comme les données de votre trousseau, de l’app Santé, de l’app Messages et de l’app Temps d’écran. Les codes d’accès de vos appareils, que vous seul connaissez, sont requis pour déchiffrer et accéder à ces données. Vous seul pouvez accéder à ces informations, et uniquement à partir des appareils sur lesquels vous êtes connecté à iCloud.

https://support.apple.com/fr-fr/HT202303

Pour moi ça reste partiel, j'ai l'impression que c'est juste un effet de bord de fonctionnement des applications spécifiques qui envoient les données (sur iCloud) déjà chiffrées localement. J'utilise KeePassXC pour tout mes mots de passe. Si le fichier créé par KeePassXC est dans les "Documents", et l'option qui va bien est activée, le fichier ira dans iCloud chiffré "end-to-end" sans qu'Apple n'y fasse quoi que ce soit.

Ce message a été modifié par vlady - 29 Nov 2021, 11:54.

[chombier]

J'ai l'impression qu'Apple n'a jamais prétendu avoir un "vrai" chiffrement end-to-end. Tout le monde le sait, en tout cas, moi, je le sais. Pourquoi ? Toujours la même raison, la convenance. Apple est capable de "restaurer" l'accès aux données si madame Michu a pommé son mot de passe. Et ce n'est pas un défaut, c'est une feature.

Ben justement non, ce qui end-to-end n'est PAS récupérable :

Si vous oubliez votre mot de passe ou le code d’accès de votre appareil, le service de récupération de données iCloud peut vous aider à déchiffrer vos données afin que vous puissiez regagner l’accès à vos photos, notes, documents, sauvegardes d’appareils, etc. En revanche, ce service ne vous permet pas d’accéder aux types de données qui sont protégés par le chiffrement de bout en bout, comme les données de votre trousseau, de l’app Santé, de l’app Messages et de l’app Temps d’écran. Les codes d’accès de vos appareils, que vous seul ET APPLE connaissez, sont requis pour déchiffrer et accéder à ces données. Vous seul ET APPLE pouvez accéder à ces informations, et uniquement à partir des appareils sur lesquels vous êtes connecté à iCloud.

https://support.apple.com/fr-fr/HT202303

Apple peut mettre à jour n'importe quel firmware dans ses iPhones, mais ne peut pas accéder aux clés ?
Mais pas d'inquiétude, le cas échéant, Apple promet de ne pas s'en servir...

Ce message a été modifié par baron - 2 Dec 2021, 00:49.

Raison de l'édition : Les ajouts dans la citation ont été mis en bleu

[el fifito]

... stockées sur les serveurs Google et Amazon ? ...

Ce ne sont pas des données, ce sont les données chiffrées et totalement inaccessibles (comme données) à Google ou Amazon.

Donc non, ils peuvent les mettre où ils veulent, même les exposer publiquement, ça ne risque absolument rien.

Mais qui détient la clé de chiffrement et qui la fournit aux autorité chinoises lorsqu'ils l'exige ?
https://www.lefigaro.fr/secteur/high-tech/l...-chine-20210518

[JayTouCon]

... stockées sur les serveurs Google et Amazon ? ...

Ce ne sont pas des données, ce sont les données chiffrées et totalement inaccessibles (comme données) à Google ou Amazon.

Donc non, ils peuvent les mettre où ils veulent, même les exposer publiquement, ça ne risque absolument rien.

Mais qui détient la clé de chiffrement et qui la fournit aux autorité chinoises lorsqu'ils l'exige ?
https://www.lefigaro.fr/secteur/high-tech/l...-chine-20210518

mais euuuhhh, @downatoch il a dit que c'était chiffré épicétou circulez.

puis bon cet obscur journal qu'est le New York Times un petit fanzine de hater ca vaut rien.

les data center sont en chine
le matos est fabriqué en chine
les clefs de chiffrement sont en chine

mais la pommmmme elle donne pas les clefs hein.

[downanotch]

Apple prétend ne pas pouvoir y avoir accès, c'est d'évidence faux puisqu'on a accès à cette information au travers de son interface Web.
Dans ce cas le "end-to-end" est une arnaque, tout l'inverse de Signal par exemple qui implémente correctement du chiffrement de bout-en-bout, qui ne peut évidemment proposer d'interface Web.

C'est bien pour cela que tout ce qui est accessible par l'interface web (Photos, iCloud Driver) n'est pas considéré comme chiffré de bout en bout dans la doc d'Apple.

Pour Find My, comme je le comprend, iCloud sert de canal pour transmettre des clés qui sont chiffrées par les appareils (le perdu et le second). Les deux appareils peuvent donc communiquer secrètement. Par contre, si on perd un appareil, avec ce système il faut impérativement un deuxième appareil Apple pour pouvoir localiser le premier. C'est ce cas de figure que la doc Apple détaille. Comme c'est probablement une condition trop restrictive, la possibilité existe de passer par l'interface web, qui aura pour cela besoin de temporairement pouvoir accéder aux messages secrets des deux appareils.

Cet article analyse en profondeur la sécurité de "Find My" et conclut (extrait de l'abstract)

While we find that OF's design achieves its privacy goals, we discover two distinct design and implementation flaws that can lead to a location correlation attack and unauthorized access to the location history of the past seven days, which could deanonymize users. Apple has partially addressed the issues following our responsible disclosure

https://arxiv.org/abs/2103.02282

Ce message a été modifié par downanotch - 1 Dec 2021, 11:55.

[chombier]

Cet article analyse en profondeur la sécurité de "Find My"

Sérieusement ?

DTC ?

[iAPX]

Apple prétend ne pas pouvoir y avoir accès, c'est d'évidence faux puisqu'on a accès à cette information au travers de son interface Web.
Dans ce cas le "end-to-end" est une arnaque, tout l'inverse de Signal par exemple qui implémente correctement du chiffrement de bout-en-bout, qui ne peut évidemment proposer d'interface Web.

C'est bien pour cela que tout ce qui est accessible par l'interface web (Photos, iCloud Driver) n'est pas considéré comme chiffré de bout en bout dans la doc d'Apple.

Pour Find My, comme je le comprend, iCloud sert de canal pour transmettre des clés qui sont chiffrées par les appareils (le perdu et le second). Les deux appareils peuvent donc communiquer secrètement. Par contre, si on perd un appareil, avec ce système il faut impérativement un deuxième appareil Apple pour pouvoir localiser le premier. C'est ce cas de figure que la doc Apple détaille. Comme c'est probablement une condition trop restrictive, la possibilité existe de passer par l'interface web, qui aura pour cela besoin de temporairement pouvoir accéder aux messages secrets des deux appareils.

Cet article analyse en profondeur la sécurité de "Find My" et conclut (extrait de l'abstract)

While we find that OF's design achieves its privacy goals, we discover two distinct design and implementation flaws that can lead to a location correlation attack and unauthorized access to the location history of the past seven days, which could deanonymize users. Apple has partially addressed the issues following our responsible disclosure

https://arxiv.org/abs/2103.02282

Cet article analyse techniquement le fonctionnement de "Find My", en s'arrêtant avant de considérer les moyens d'accéder à ces informations quand possédant le mot-de-passe du compte iCloud (ou un appareil appairé via ce même mot-de-passe qui est la véritable clé).

Ce que j'écris ne couvre QUE l'accès via le mot-de-passe, ou son équivalent la clé de déchiffrement qui en est partiellement dérivée.
Ce que j'écris couvre évidemment les appareils appairés, via encore le mot-de-passe et possédant la clé de déchiffrement récupérée après appairage.

C'est donc complémentaire: les données chiffrées sont maintenant relativement sûres, après leurs trouvailles et les changements afférents, tant qu'on a pas accès au mot-de-passe (ou la clé de déchiffrement qui en est partiellement dérivée).
Et Apple a eu accès à ce mot-de-passe lors de la création du compte et toute modification de celui-ci, a eu accès à (et même créé!!!) la clé de déchiffrement associée, ainsi que tout acteur malveillant capable de faire du MITM https.

Voilà pourquoi Apple a la capacité de tous nous suivre, même appareil "éteint", en omettant joyeusement de décrire la vie de nos mots-de-passe ainsi que celles des clés de déchiffrement dérivées, ou tout acteur de niveau gouvernemental comme par exemple la NSA (par MITM https tant pour le mot-de-passe que les données de géolocalisation).

PS: comme les sessions de icloud.com permettent l'accès, elles contiennent soit le mot-de-passe soit la clé dérivée permettant le même accès, et sont conservées sur la durée (le bouton adéquat au login), pourtant rien n'est indiqué à ce sujet. Là aussi un autre point d'achoppement en terme de sécurité, et d'accès par Apple. Aucune info. Nada!

Ce message a été modifié par iAPX - 2 Dec 2021, 17:07.

[Patounet1]

Bonjour,
Je lisais dans l’article du Figaro (message64)

la Chine a tapé du poing sur la table…. .

On peut rêver que l’on en fasse de même !

toutes les données personnelles émises sur son territoire ne doivent pas circuler hors de ses frontières…. .

L’Europe en a fait de même il me semble, mais ça n’a pas eu le même résultat.

l'App Store chinois, qui censurerait proactivement les applications qui pourraient déplaire à Pékin… .

Il y a bien des sites qui sont inaccessibles, sur Google et autres moteurs de recherche, à la demande de la France, voire l’EU.

Je n’ose pas imaginer les critiques si Apple refusait de se soumettre à une loi, française ou européenne ! Comme le RGPD ?

Oui si vous voulez vendre en Chine vous devez vous soumettre aux lois chinoises, et ils se font respecter.
Pour vendre en Europe, vous devez vous soumettre aux lois et directives européenne. Pas sûr que l'UE se fasse respecter ?

[downanotch]

Et Apple a eu accès à ce mot-de-passe lors de la création du compte et toute modification de celui-ci

A la création / modification, le mot de passe n'est pas communiqué tel quel, mais uniquement sous une forme dérivée, non réversible, non ? Ce afin de permettre ensuite de le vérifier pour donner un accès, par exemple à des données qui ne sont pas chiffrées end-to-end sur le serveur.

Les clés de chiffrages end-to-end, dérivées elles aussi du mot de passe mais différemment, requièrent quand à elles le mot de passe pour être utilisables pour déchiffrer les données, le dérivé mentionné précédemment ne suffisant pas.

C'est pas comme ça que c'est sensé fonctionner (en très très gros) pour ce qui est chiffré end-to-end ? Après, rien n'empêche de supposer que l'implémentation est fait de manière à volontairement permettre de contourner une telle sécurité, mais ça, ça reste alors une supposition.

[iAPX]

...
C'est pas comme ça que c'est sensé fonctionner (en très très gros) pour ce qui est chiffré end-to-end ? Après, rien n'empêche de supposer que l'implémentation est fait de manière à volontairement permettre de contourner une telle sécurité, mais ça, ça reste alors une supposition.

Non ça n'est pas du tout comme ça que c'est censé fonctionner pour du chiffrement de bout en bout "end-to-end encryption", c'est censé fonctionner avec des clés privées créées pseudo-aléatoirement, pas basées sur des mots-de-passes statistiquement faibles, celui-ci n'étant qu'optionnel pour rajouter un niveau de protection à une clé privée.

Regarde les documentations techniques de Signal, c'est clair et propre!
Apple il n'y a rien de clair, c'est du pur PR où on essaye de cacher une réalité misérable avec du jargon, comme la plupart du temps quand on parle de "end-to-end encryption"...

Comme pour les AirTags, qui servent maintenant à voler des voitures (en English et au Canada).
La réalité face à la fiction proposé par leur PR.

Ce message a été modifié par iAPX - 3 Dec 2021, 17:53.

[iAPX]

Et paf, voilà qu'on apprend que des représentants du Département d'États US en mission à l'étranger ont été espionné au travers du logiciel Pegasus créé et vendu par NSO Group, exploitant des failles aimablement créées par Apple.

Fallait pas créer ces failles, la prochaine étape ça sera des gangs organisés qui les utiliseront.

Ce message a été modifié par iAPX - 4 Dec 2021, 13:25.