Une faille majeure d'iOS 14.6 a permis d'espionner journalistes, avocats et ONG, Réactions à la publication du 19/07/2021

[Lionel]

La société israélienne NSO est spécialisée dans le développement d'outils de piratage destinés aux forces de l'ordre et gouvernements légitimes.
Un des exploits du logiciel qu'elle vend à ces autorités permet de prendre le contrôle d'un appareil sous iOS 14.6. L'attaque n'est évidemment pas détaillée mais elle serait liée à un message spécialement formaté. Le simple fait de le recevoir, sans même cliquer sur un quelconque lien permettrait d'installer un cheval de Troie capable de récupérer le contenu de l'appareil mais aussi d'allumer à distance son micro et transmettre les conversations alentours.

Il semble que des journalistes, avocats et employés d'ONG aient été ainsi espionnés. Si NSO se défend d'avoir commercialisé son logiciel à des personnes malveillantes, il est aussi possible que ce produit ait été sorti de son contexte par des personnes habilitées à l'utiliser.

Il n'en demeure pas moins qu'une faille majeure de plus existe toujours sous iOS et son module iMessage et permet la prise de contrôle d'un appareil avec une facilité déconcertante. Espérons que la prochaine mise à jour comble cette faille, ce qui nous laissera un peu de répit en attendant la suivante.

Lien vers le billet original

[JayTouCon]

Euh tu n’as toujours pas compris a priori. Le lossless ne fonctionnera pas avec les AirPod max. consulte tes donneurs d’ordre.

C’est peut être compliqué de l’annoncer à ceux qui ont déboursé 600€. Il faudra attendre la V2. Je te rappelle que ce sont des gens qui bossent pour la pomme qui l’ont annoncé, pas moi. Mais ce sera avec plaisir que je ressortirai tes messages ou tu le niais. De mémoire @lionel te l’avait rappelé

Mais plutôt que de faire diversion, et revenir au sujet, il me semble que c’est via iOS et pégasus que le journaliste a été démembré en Turquie. Cela aurait pu être évidemment avec un androïd vérolé mais comme Tim Cook nous bassine avec la vie privée, il serait souhaitable qu’il comble les failles de sécurité plutôt que de faire la morale à FB.

Pegasus ça date pas de l’année dernière. Ces failles n’ont pas été comblées. Pourquoi ?

[downanotch]

Euh tu n’as toujours pas compris a priori.

Sérieux, apprend à lire ou à comprendre…

Mais plutôt que de faire diversion

C'est toi qui a dévié sur le lossless, hein…

Pegasus ça date pas de l’année dernière. Ces failles n’ont pas été comblées. Pourquoi ?

Dans l'évaluation du rapport d'Amnesty par Citizen Lab ont peut lire :

The mechanics of the zero-click exploit for iOS 14.x appear to be substantially different than the KISMET exploit for iOS 13.5.1 and iOS 13.7, suggesting that it is in fact a different zero-click iMessage exploit.

Il s'agirait donc de nouvelles failles, ce qui suggère que les anciennes ont bien été comblées.

Alors soit les développeurs de Apple sont des quiches

Project Zero a un avis très différent, voici la conclusion de leur évaluation des amélioration concernant iMessage dans iOS 14 :

This blog post discussed three improvements in iOS 14 affecting iMessage security: the BlastDoor service, resliding of the shared cache, and exponential throttling. Overall, these changes are probably very close to the best that could’ve been done given the need for backwards compatibility, and they should have a significant impact on the security of iMessage and the platform as a whole. It’s great to see Apple putting aside the resources for these kinds of large refactorings to improve end users’ security. Furthermore, these changes also highlight the value of offensive security work: not just single bugs were fixed, but instead structural improvements were made based on insights gained from exploit development work.

Ce message a été modifié par downanotch - 20 Jul 2021, 11:45.

[JayTouCon]

Euh tu n’as toujours pas compris a priori.

:lo
Sérieux, apprend à lire ou à comprendre…

ne fais pas semblant de fuir en coupant le message ou ça t'arrange. contrairement à ce que tu as affirmé sur l'autre fil les AirPods max ne sont pas losless. cette info a été donnée par la pomme elle même, tu l'as nié pendant des jours. 650 euros pour un produit qui ne dispose pas du losslees. c'est pour cela que tu as embrayé sur le dolby atmos dans le fil original. ça vient du codec BT tu le sais. pour s'en approcher il faut le câble à 80 euros et le dongle jack/lightning. en gros un port jack avec un casque filaire. or la pomme ne commercialise plus de téléphone avec une prise jack et encore moins de casque filaire.

fin du H.S sauf si tu nies encore ou si ce message est supprimé. ce n'est pas parce que tu es payé par la pomme que tu peux raconter n'importe quoi. contente toi des communiqués de presse validés ou rameute du monde, des 'nouveaux membres'.

concernant Pegasus, il y a aussi un souci de taille. l'ancien Ambassadeur de France aux US était aussi consultant chez N.S.O il y a encore quelques jours. ça fait tâche..
quant aux infos concernant le Maroc, il serait très étonnant que ce pays l'ait fait de son propre chef, c'est beaucoup trop risqué.

en général à un certain niveau, on part du principe que l'on est écouté. donc ça ne surprend personne. pour les journalistes, représentants des droit de l'homme etc, etc c'est plus compliqué. ils ne vont pas changer 12 fois de téléphones par jour avec des lignes différentes.

concernant IOS la défense de la pomme c' est assez mauvais. 'qu'est ce que vous voulez ma bonne dame, on fait tout ce qu'on peut mais c'est inévitable' rideau, voilàààà merci Ivan.
soit ils n'ont pas les compétences pour combler et identifier les failles sur leur propre OS (ils n'ont pass assez de sous sans doute pour recruter ?)
soit ils laissent des failles en raison d'une demande de tels ou tels.
Après android c'est plein de virus . venez chez nous on préserve la vie privée.

[downanotch]

contrairement à ce que tu as affirmé sur l'autre fil les AirPods max ne sont pas losless. cette info a été donnée par la pomme elle même, tu l'as nié pendant des jours.

Tu dis vraiment n'import quoi. Non seulement je ne l'ai jamais nié, mais 6h après que tu aies mentionné ce fait, je le confirmais en réponse au message de Lionel.

soit ils n'ont pas les compétences pour combler et identifier les failles sur leur propre OS

Identifier TOUTES les failles c'est quasiment impossible, on trouve régulièrement des bugs qui existent depuis des années... On peut citer l'exemple de sudo, pourtant une commande super sensible sur les Unix-like, où il a fallu 10 ans avant qu'on identifie une faille critique, malgré le fait que le code est ouvert et qu'il a probablement été vu par des milliers de développeurs au cours de ces dix années. Mais probablement que c'était tous des quiches

[chombier]

Identifier TOUTES les failles c'est quasiment impossible, on trouve régulièrement des bugs qui existent depuis des années... On peut citer l'exemple de sudo, pourtant une commande super sensible sur les Unix-like, où il a fallu 10 ans avant qu'on identifie une faille critique, malgré le fait que le code est ouvert et qu'il a probablement été vu par des milliers de développeurs au cours de ces dix années. Mais probablement que c'était tous des quiches

Dans ce cas, il serait plus honnête de ne PAS dire que la sécurité est au centre de toutes leurs préoccupations lorsqu'ils communiquent sur leur OS, parce qu'au final, c'est du pipeau pour justifier leur fermeture aux logiciels soi-disant non conformes selon leurs règles arbitraires.
Ils passent juste pour des bouffons...