Il y aurait tellement de failles iOS que leur valeur aurait baissé, Réactions à la publication du 04/09/2019

[Lionel]

Il n'y a pas si longtemps, on disait qu'une faille 0-day d'iOS valait une fortune, surtout si elle permettait la prise de contrôle sans manipulation de l'appareil.
Zerodium, un décrié commerçant de failles de sécurité, a revu ses grilles tarifaires. Dorénavant les failles Android ont plus de valeur et celles d'iOS ont vu leur récompense revue à la baisse.
Une faille à distance et en 2 clics, la plus intéressante, a vu son prix passer de 1,5 à 1 million de dollars.
Cela est lié à une arrivée massive de failles iOS, elle même liée au fait que des centaines de développeurs se sont lancés à plein temps dans leur recherche. Il y en a tellement que certaines sont même refusées par Zerodium.

En revanche, Android a tellement de versions qu'une faille universelle est pratiquement impossible à trouver et qu'elle devient le graal dans ce domaine.

Voilà l'état actuel des choses. Apple a devant elle un travail colossal pour sécuriser son système et en attendant il faut se faire à l'idée que nos iPhone ne sont pas des bunkers inaccessibles. C'est une mauvaise nouvelle au moment où Apple Pay gagne en popularité et où les appareils iOS sont devenus des supports monétiques.

Lien vers le billet original

[JayTouCon]

C’est pour cela que leur campagne protection de la vie privée survendue est fatigante. On peut faire des pubs à longueur de temps mais si c’Est pour que les failles et cette live privée soit accessible à la première société prête à dépenser un peu d’argent pour en récupérer 3 fois plus...

[iAPX]

C’est pour cela que leur campagne protection de la vie privée survendue est fatigante. On peut faire des pubs à longueur de temps mais si c’Est pour que les failles et cette live privée soit accessible à la première société prête à dépenser un peu d’argent pour en récupérer 3 fois plus...

Aux prix où sont disponibles les failles permettant de prendre le contrôle à distance, sans action de l'utilisateur (ni qu'il soit prévenu), et de manière persistante (donc reboot, ça reste là), 2 Millions de Dollars US, c'est très accessible.

À ce prix-là, tout pays même pauvre mais tyrannique y a accès, ainsi que certaines grosses compagnies de "sécurité" privée ou d'investigation privées.

Pensez à ce qui est arrivé à Jeff Bezos avec le smartphone de son amante apparemment hackée pour livrer des SMS compromettant (incluant des photos)...
À ce tarif-là, c'est rapidement rentabilisé à l'échelle d'un grand pays, encore plus vite au niveau mondial, rien que pour les affaires privées (celle de Bezos était un règlement de compte politique), et l'impact direct que ça peut avoir dans toutes les sphères économiques ou politiques est énorme.
Je ne parle même pas du Hacking des comptes où lorsque l'iPhone est un second facteur voir à accès au premier (accès à un compte via son iPhone avec 2FA par un autre canal sur le même appareil) c'est totalement cuit!

Les "bugs" qui avaient été détectées par Google Zero sont inacceptables car elles n'auraient même pas dû arriver en QA, étant détecté par une analyse statique de code et au pire du Fuzzing (par exemple lors d'un PR), surtout pas en Production sur des centaines de millions d'appareils.
Elles ne témoignent pas nécessairement d'une mauvaise qualité, ça peut aussi être des erreurs volontaires, mais quelqu'en soit la raison, après l'usage par certains organismes US, ça se répand dans d'autres pays (comme on l'a vu et sur la durée), puis les mafias vont les utiliser si ce n'est déjà fait.

PS: il y aurait à dire sur les logiciels "Modem" aussi...

Ce message a été modifié par iAPX - 4 Sep 2019, 13:03.