Apple Watch : Apple désactive l'application Walkie-Talkie à cause d'un problème de sécurité, Réactions à la publication du 11/07/2019

[Lionel]

Apple a désactivé dans l'urgence l'application Walkie-Talkie disponible pour les Apple Watch et permettant d'échanger entre deux montres.
Une faille de sécurité a été découverte. Elle permet de déclencher une conversation sans que l'utilisateur de la montre n'ait à l'accepter.
En résumé, n'importe quelle Apple Watch peut devenir un micro espion à l'insu de son utilisateur.

Dans un communiqué Apple annonce qu'elle rétablira la fonction aussi vite que possible, mais qu'à sa connaissance elle n'a pas été exploitée par des personnes malveillantes.

En tout cas, cette faille était grave. C'est d'autant plus ennuyeux que la société ne cesse de communiquer sur la sécurité de ses produits et des données de ses clients.

Lien vers le billet original

[iAPX]

Je vais en rajouter une couche sur les signatures: le message ne peut pas être signé par lui-même, ça doit être la clé qui doit authentifier l'émetteur.

Si on signe le message, par empreinte (sha2 en général) puis chiffrement de celle-ci par la clé privée de l'émetteur, on ne peut plus alors streamer une vidéo car il faut avoir téléchargé tout le message (ou la vidéo) pour vérifier sa validité et l'authentification par l'émetteur.
À noter que dans le cas d'une signature rajoutée à la fin du message, il faut aussi déchiffrer l'empreinte avec la clé publique de l'émetteur (on ne s'en sort pas ) pour valider.

C'est pour ça que pour les échanges de messages asynchrones, toutes les opérations cryptographiques sont effectuées sur les clés, hors le déchiffrement final du message (sa seule opération) qui suivant ce qui a été choisi pour le chiffrer peut être partiel (genre on a reçu 3 vidéos dedans et on en décode une seule).

Allez qui trouvera mon erreur et le type d'attaque que cela permet?
C'est honnête de reconnaître son erreur et de l'assumer. Mais même bien visible ça ne saute pas aux yeux de tous pourtant si cryptographes

Ce message a été modifié par iAPX - 13 Jul 2019, 00:24.

[chombier]

Je vais en rajouter une couche [...] puis chiffrement de celle-ci par la clé privée de l'émetteur [...]

Mais DAMNERDE !
TU NE CHIFFRES PAS UN MESSAGE AVEC UNE CLE PRIVEE !!!

Tu utilises la clé PUBLIQUE du correspondant avec lequel tu veux échanger un message chiffré.
Et lui se sert de sa clé PRIVEE pour déchiffrer le message.

Bon. Au lit.