« Sécurité et protection de la vie privée dès la conception », un principe souvent défendu par Apple, pourrait être remis en question après les révélations de Paradigm Shift, une société espagnole spécialisée dans la cybersécurité. Cette entreprise a récemment publié un article qui décrit une faille dans les iPhones dotés des puces A12 et A13, notamment les modèles XS, XR, 11 et 11 Pro, ainsi que certaines Apple Watch. La vulnérabilité touche la ROM de démarrage, la première ligne de défense de l'appareil.
Une faille qui pourrait en amener d'autres
"Étant donné que ces vulnérabilités reposent sur un code immuable, la meilleure solution pour les utilisateurs est d'envisager une mise à niveau vers un modèle plus récent," conseille Paradigm Shift.
Cette faille, nommée "usbliter8", exploite un bug matériel au niveau du contrôleur USB et une configuration défectueuse dans le firmware de l'appareil. Pour les chercheurs en cybersécurité, cette découverte représente une avancée significative. Selon certains experts, "usbliter8" pourrait être le prélude à d'autres vulnérabilités, offrant des opportunités pour le jailbreak des iPhones ou l'espionnage des utilisateurs.
Mais attention, l'attaquant devra avoir un accès physique au téléphone pour exploiter cette faille, en branchant un câble et en utilisant le bug matériel associé.
Vers de nouveaux appareils bientôt concernés?
Les experts estiment que les sociétés de piratage ayant des contrats gouvernementaux disposent sans doute déjà d'outils pour exploiter ces failles. "usbliter8" semble toutefois faciliter l'accès à des éléments critiques de la sécurité des iPhones, notamment la Secure Enclave. Dans leur analyse, Paradigm Shift note que cette vulnérabilité pourrait bien élargir des voies d'attaques visant cette entité essentielle.
La société conclut en affirmant que des projets comme "usbliter8" pourraient enrichir la compréhension des surfaces d'attaque, tout en poussant à l'amélioration des systèmes de sécurité. En d'autres termes, le rapport classique du chat et de la souris est loin d'être réglé pour Apple.
