La faille d'iMessage déjà comblée par Apple a été dévoilée, Réactions à la publication du 11/04/2016

[Lionel]

Le mois dernier, lors de sa grande vague de mises à jour, Apple a comblé une faille majeure concernant iMessage. La société en avait été informée par des chercheurs en sécurité qui avaient alors attendu qu'elle soit comblée pour en expliquer la teneur.
Voici une vidéo illustrant cette faille et son exploitation.







Comme vous pouvez le voir, la faille était incroyablement facile à exploiter. Il suffisait d'envoyer un lien contenant un javascript à la victime. Si elle cliquait dessus, son appareil envoyait à un serveur en clair et sans s'en rendre compte le contenu de ses iMessages et leur historique.

Une fois encore cela illustre la difficulté de vouloir concilier sécurité maximale et ouverture propice à proposer des options intéressantes aux utilisateurs. C'est en fait certainement impossible et on en revient à créer des coffres-forts aux parois toujours plus épaisses mais dotés d'une multitude de portes permettant d'accéder à leurs contenus. Or chaque porte est un nouveau maillon faible dont il faut sécuriser au mieux la serrure sans la bloquer.

Lien vers le billet original

[Oncle Sophocle]

Bonjour Lionel

... Il suffisait d'envoyer un lien contenant un javascript à la victime. Si elle cliquait dessus, son appareil envoyait à un serveur en clair et sans s'en rendre compte le contenu de ses iMessages et leur historique.
...
Lien vers le billet original

Si on clique sur un lien dans un message d'un expéditeur inconnu, on s'expose à tous les risques possibles et imaginables, ce rappel aurait, à mon sens, été bienvenu dans l'article.

De prime abord, un message provenant d'un expéditeur inconnu (auquel on n'a pas à priori communiqué son adresse) doit éveiller la vigilance, surtout s'il demande de cliquer sur un lien — je ne parle pas des messages bidons comme "votre facture n'a pas pu être encaisée" ou autres demandant des coordonnées bancaires etc.

...cela illustre la difficulté de vouloir concilier sécurité maximale et ouverture propice à proposer des options intéressantes aux utilisateurs. C'est en fait certainement impossible et on en revient à créer des coffres-forts aux parois toujours plus épaisses mais dotés d'une multitude de portes permettant d'accéder à leurs contenus. Or chaque porte est un nouveau maillon faible dont il faut sécuriser au mieux la serrure sans la bloquer.

Faut-il le rappeler, le dernier "maillon faible" est toujours entre le clavier et l'utilisateur. Il est certain qu'en l'oubliant, on a vite fait de transformer n'importe quel service de messagerie (e-mail ou autres) en une vraie usine à gaz.

Je ne connais pas iMessage, n'ayant pas d'iPhone, n'a-t'il pas d'outils intégrés comme les logiciels clients de messagerie pour bloquer les indésirables et les messages suspects ?