Ce qui arrive sur votre Mac ne reste pas toujours sur votre Mac, Réactions à la publication du 15/11/2020

[Rédaction]

... et c'est encore moins le cas avec l'arrivée de Big Sur.

Vous avez peut-être remarqué sur votre Mac un ralentissement du lancement des applications ces derniers jours. Un ralentissement dû à une fonctionnalité de sécurité de macOS.

Introduite il y a deux ans, cette fonctionnalité consiste à envoyer à un serveur d'Apple (ocsp.apple.com) la signature unique du fichier exécutable de chaque application que vous tentez d'exécuter sur votre Mac. En réponse, le serveur indique au Mac si l'application en question peut ou non être lancée.

Si le serveur est injoignable (Mac non connecté à Internet ou requête bloquée par un pare-feu), l'application se lance immédiatement. S'il est joignable, elle n'est lancée qu'une fois qu'une réponse positive a été reçue. Ainsi, en cas de surcharge des serveurs, comme c'est arrivé les 12 et 13 novembre, l'allongement du temps de réponse du serveur provoque le ralentissement du lancement des applications, constaté par de nombreux utilisateurs.

Un dysfonctionnement qui tombe particulièrement mal, alors même qu'Apple vient de sortir macOS Big Sur, qui rend plus compliqué la désactivation de ce système. En effet, s'il n'y a jamais eu d'option officielle permettant de la désactiver, cette fonctionnalité pouvait jusqu'à présent être bloquée avec un pare-feu installé sur le Mac, comme LittleSnitch. Ce n'est plus possible sous Big Sur, qui a mis en place une protection de certains processus système : leurs requêtes réseau ne peuvent plus être filtrées par un pare-feu local, ni passer par certains VPN (un VPN virtuel aurait aussi permis de les bloquer localement).

Il semblerait que pour l'instant le blocage soit encore possible via le fichier /etc/hosts, en y ajoutant une entrée pour faire pointer ocsp.apple.com vers 127.0.0.1. Mais pour combien de temps ?

Venant d'Apple, qui se présente régulièrement comme un défenseur de la vie privée, ces restrictions sont en tout cas particulièrement mal venues, d'autant plus que les données sont transmises en clair et que les requêtes transitent par des serveurs n'appartenant pas à Apple (Apple utilise les services d'Akamai pour mieux absorber la charge), ce qui donne une grande surface d'attaque pour intercepter les requêtes et déterminer les logiciels utilisés par les Mac situés derrière une IP publique donnée, mais aussi, de deviner de manière indirecte d'autres informations : profession, horaires de travail, période de congé, loisirs…

Pire, l'absence de chiffrement pourrait éventuellement ouvrir à un attaquant la possibilité de déterminer quelles applications il vous autorise à utiliser sur votre Mac, en renvoyant des réponses négatives aux requêtes qu'il aura réussi à intercepter (ce n'est toutefois pas trivial, la réponse étant normalement signée par le serveur)…

MàJ : la signature envoyée est en fait propre à chaque développeur/éditeur, et non à chaque application, ce qui limite un peu la portée des informations pouvant être récupérées (l'attaquant peut par exemple déterminer que vous utilisez des logiciels Adobe et Microsoft, mais pas lesquels précisément).


Lien vers le billet original

[downanotch]

Apple a publié une note à ce sujet : https://support.apple.com/en-us/HT202491

Elle annonce notamment qu'au cours de l'année à venir, les modifications suivantes vont être apportées

• Un nouveau protocole chiffré pour vérifier les certificats développeur révoqués
• Forte protection contre les pannes de serveurs
• Une nouvelle option permettant à l'utilisateur de désactiver ces mesures de sécurité

Ce message a été modifié par downanotch - 16 Nov 2020, 08:25.

[Lionel]

Je ne peux m'empêcher de me le demander.
Sous quelle forme es-tu lié à Apple ?
Comment es-tu rémunéré pour ton travail acharné à les défendre ?

[shawnscott]

Je ne peux m'empêcher de me le demander.
Sous quelle forme es-tu lié à Apple ?
Comment es-tu rémunéré pour ton travail acharné à les défendre ?

Poser la question, c'est y répondre.

[johnstone]

Je ne peux m'empêcher de me le demander.
Sous quelle forme es-tu lié à Apple ?
Comment es-tu rémunéré pour ton travail acharné à les défendre ?

Poser la question, c'est y répondre.

Moi, je ne peux m'empêcher de me demander ce qui peut bien passer dans la tête de Lionel pour poser ce genre de questions...

Est-ce que les informations données par downanotch sont vraies ou erronées ? Est-ce que son "travail acharné" pose problème par rapport à d'autres contributeurs ici ? Est-ce que c'est un délit de "sale gueule" numérique ?

[tchek]

Je ne peux m'empêcher de me le demander.
Sous quelle forme es-tu lié à Apple ?
Comment es-tu rémunéré pour ton travail acharné à les défendre ?

Poser la question, c'est y répondre.

Moi, je ne peux m'empêcher de me demander ce qui peut bien passer dans la tête de Lionel pour poser ce genre de questions...

Est-ce que les informations données par downanotch sont vraies ou erronées ? Est-ce que son "travail acharné" pose problème par rapport à d'autres contributeurs ici ? Est-ce que c'est un délit de "sale gueule" numérique ?

Je trouve que la question est parfaitement légitime.
En quoi cela ne le serait pas ?
Peux-tu détailler s’il te plaît à l’aide d’arguments solides en quoi Lionel n’aurait pas le droit légitime de poser ce genre de question ?

[mR_Zlu]

Je ne peux m'empêcher de me le demander.
Sous quelle forme es-tu lié à Apple ?
Comment es-tu rémunéré pour ton travail acharné à les défendre ?

Poser la question, c'est y répondre.

Moi, je ne peux m'empêcher de me demander ce qui peut bien passer dans la tête de Lionel pour poser ce genre de questions...

Est-ce que les informations données par downanotch sont vraies ou erronées ? Est-ce que son "travail acharné" pose problème par rapport à d'autres contributeurs ici ? Est-ce que c'est un délit de "sale gueule" numérique ?

Je trouve que la question est parfaitement légitime.
En quoi cela ne le serait pas ?
Peux-tu détailler s’il te plaît à l’aide d’arguments solides en quoi Lionel n’aurait pas le droit légitime de poser ce genre de question ?

Donc une personne "louche" sur un forum Apple serait la personne qui défend (et encore) la marque ? Ça se marche sur la tête dans le coin.
Au delà de la parano je ne peux que sourire à l'idée qu'une multinationale comme Apple est une ligne de budget pour "désinformer un forum français fréquenté essentiellement par de jeunes retraités"

[Lionel]

Donc une personne "louche" sur un forum Apple serait la personne qui défend (et encore) la marque ? Ça se marche sur la tête dans le coin.
Au delà de la parano je ne peux que sourire à l'idée qu'une multinationale comme Apple est une ligne de budget pour "désinformer un forum français fréquenté essentiellement par de jeunes retraités"

Tu as autant le droit d'exprimer ton avis que moi mes craintes.
Cela va faire 20 an que je gère ces forums, que je modère, que je discute avec des gens.
J'ai toujours cherché à comprendre les motivations derrière les propos, toujours.
Pour lui je ne comprends pas. Il ne prends pas le parti d'Apple ce que je comprendrais, mais il défend la société avec acharnement mais aussi y passe un temps considérable avec des arguments parfois pertinents. Trop de temps passé ici, trop d'énergie dépensée. Je cherche à comprendre à qui j'ai affaire c'est tout. Pour le moment, ayant lu pratiquement tous ses messages, je suis convaincu qu'il y a anguille sous roche. C'est mon droit, tout autant en tant qu'administrateur de me renseigner.

[divoli]

Donc une personne "louche" sur un forum Apple serait la personne qui défend (et encore) la marque ? Ça se marche sur la tête dans le coin.
Au delà de la parano je ne peux que sourire à l'idée qu'une multinationale comme Apple est une ligne de budget pour "désinformer un forum français fréquenté essentiellement par de jeunes retraités"

Tu as autant le droit d'exprimer ton avis que moi mes craintes.
Cela va faire 20 an que je gère ces forums, que je modère, que je discute avec des gens.
J'ai toujours cherché à comprendre les motivations derrière les propos, toujours.
Pour lui je ne comprends pas. Il ne prends pas le parti d'Apple ce que je comprendrais, mais il défend la société avec acharnement mais aussi y passe un temps considérable avec des arguments parfois pertinents. Trop de temps passé ici, trop d'énergie dépensée. Je cherche à comprendre à qui j'ai affaire c'est tout. Pour le moment, ayant lu pratiquement tous ses messages, je suis convaincu qu'il y a anguille sous roche. C'est mon droit, tout autant en tant qu'administrateur de me renseigner.

Sur ces forums, j'en vois beaucoup plus qui passent leur temps à dézinguer Apple, tout en faisant l'éloge de la concurrence (même quand cette concurrence ne fait pas mieux, sinon pire, qu'Apple), parfois avec une grosse couche de mauvaise foi. Là, par contre, ça n'a pas l'air de te gêner, ni t'amener à te poser des questions, ni à savoir à qui tu as à faire.
Mais bon, à partir du moment où les arguments des uns sont suivis par les contre-arguments des autres, et ainsi de suite, c'est ce qui rend ces discussions intéressantes, non?