Les iPhone d'Apple stockent de façon permanente le code PIN d'une carte SIM installée dans un keychain (porte-clé). Selon Jens Heider du Fraunhofer Institute for Secure Information Technology (SIT), cette politique d'Apple va non seulement à l'encontre de normes pertinentes mais elle remet aussi en cause la sécurité des usagers car le code PIN peut être facilement récupéré, même à partir d'un appareil verrouillé.
Le code PIN reste dans ce trousseau de clé jusqu'à ce que le dispositif soit complètement éteint. Ce fait est documenté dans le iOS Security d'Apple de Mai 2012 et apparemment Apple utilise cette technique pour éviter d'avoir à demander le code PIN de la carte SIM aux utilisateurs si leur périphérique est renvoyé en SAV.
Le problème avec cette approche est que le SIM_PIN peut être reconstruit par un pirate si celui-ci s'empare d'un iPhone verrouillé. Le keychain n'est pas protégé par le code PIN de l'iPhone et peut être récupéré directement (classe AlwaysThisdeviceOnly).
Dans la FAQ sur la faiblesse du keychain d'iOS, Heider dit que l'approche d'Apple est en directe violation avec la spécification ETSI/3GPP SIM card. A la section 5.3 de cette spécification, il est stipulé que "les codes utilisateurs tels que le code PIN et le Unblock PIN ne peuvent être stockés par l'équipement mobile (ME)".
Bon il est vrai que compte tenu que la plupart des utilisateurs, même soucieux niveau sécurité, ne veulent pas retenir deux codes PIN, ils ont tendance à utiliser le même code de verrouillage pour leur iPhone et leur carte SIM. Ces préoccupations sur la sécurité sont donc purement théorique. Toutefois, il y a une grande importance lorsque l'on voit que par exemple Orange est en train de développer de nouvelles méthodes de paiement NFC pour les smartphones qui permettent d'identifier les utilisateurs via leur carte SIM.
Ce n'est pas la première fois qu'Apple a des problèmes avec son keychain. Rappelez-vous du malware OSX / Lamadai.A qui permettait à un pirate de récupérer le keychain ainsi que les cookies de Safari.
MISES A JOUR DE L'ARTICLE |
