Apple poursuit la société Corellium pour avoir proposé une copie parfaite d'iOS., Réactions à la publication du 16/08/2019

[Lionel]

La société Corellium propose un logiciel de virtualisation d'iOS. Son but annoncé est de permettre d'en faire un outil de recherche pour les experts en sécurité.

Apple ne le voit pas ainsi et a annoncé avoir démarré une procédure pour contrefaçon, considérant qu'il s'agit d'une copie à l'identique de son système d'exploitation utilisée non pas à des fins de recherche mais à but commercial.
Il faut dire que les services de Corellium sont payants, jusqu'à 1 million de dollars par an pour la version la plus évoluée de ses services.

Ceci est sans doute lié à la volonté d'Apple de faciliter la remontée de failles de sécurité en proposant ses propres outils à des développeurs ainsi qu'en augmentant significativement les primes pour les failles de sécurité qui lui seraient déclarées. Elles peuvent maintenant atteindre le million de dollars.

En résumé, Apple veut reprendre la main sur la recherche des failles iOS et ainsi pouvoir les combler avant qu'elles ne soient exploitées.

Lien vers le billet original

[g4hd]

Ce Corellium, ne serait-ce pas une possibilité offerte de faire fonctionner un iOS-like dans n'importe quel (ou presque) smartphone ?

En effet, ce qui retient captifs un nombre probablement important d'utilisateurs de iPhone… c'est iOS !
Tout-à-fait comme bon nombre d'utilisateurs de Macs qui sont attachés à macOS.

[amike]

Ce Corellium, ne serait-ce pas une possibilité offerte de faire fonctionner un iOS-like dans n'importe quel (ou presque) smartphone ?

En effet, ce qui retient captifs un nombre probablement important d'utilisateurs de iPhone… c'est iOS !
Tout-à-fait comme bon nombre d'utilisateurs de Macs qui sont attachés à macOS.

AMHA, ce ne peut pas être un iOS-like ! Ils ont dû récupérer l'OS d'Apple et poser une înterface virtuelle à l'identique de l'iphone physique, mais avec toutes sortes d'automatisation pour pouvoir créer toutes les séquences d'usages possibles.

[iAPX]

...
Ceci est sans doute lié à la volonté d'Apple de faciliter la remontée de failles de sécurité en proposant ses propres outils à des développeurs ainsi qu'en augmentant significativement les primes pour les failles de sécurités qui lui seraient déclarées. Elles peuvent maintenant atteindre le million de dollars.
...

Apple propose des outils, en fait des iPhone moins protégés coté logiciel, mais pas aux développeurs ou chercheurs en sécurité, uniquement à des "happy few" triés sur le volet!

Ça n'est évidemment pas comme cela que ça doit se passer, et Corellium a en interne des outils permettant d'aller beaucoup plus loin dans l'examen statique et surtout dynamique de tous les ensembles logiciels des iPhone (une VM vue depuis son hyperviseur c'est comme les lunettes à voir sous les vêtements!), et propose certains aux développeurs et chercheurs en sécurité, ce qui là doit faire totalement peur à Apple vu la merde que certains de ses logiciels semblent être en interne et les inénarrables merdes du Garbage Collecting (en retard de 60ans!) et de son mauvais usage dans les différentes classes (en résumé c'est pourri et ça amène des risques d'exécution un peu partout!).

L'exposition des API privées aussi ça peut faire très peur, surtout si elles sont mal ou pas sécurisées, la gestion des droits bizarres (va savoir pourquoi Messages est maître du monde et des failles récurrentes?!?), etc etc.

Avec l'automatisation progressive de la recherche de bugs en analyse statique et dynamique, ce qui expose aussi les failles de sécurité, et une nouvelle génération d'outil utilisant IA/ML pour ce-faire, je comprends qu'Apple ai très peur de Corellium et des personnes l'utilisant: la bonne réponse est "put your shit together", mais apple veut fermer les possibilités de recherche à la place...

Rien à voir, circulez!

PS: on a des dizaines d'appareils Android et iOS juste pour tester sur différents appareils et différentes versions d'OS nos App Mobiles, ce qui nous sauve la mise, par exemple avec une bug d'Android 5.1 il y a une semaine, Corellium serait une solution parfaite pour nous, surtout si on peut l'interfacer avec nos tests automatisés!

Ce message a été modifié par iAPX - 16 Aug 2019, 16:58.