Le chercheur en sécurité Charlie Miller a annoncé la semaine dernière avoir développé et fait valider une application qui, derrière un masque anodin d’outil de suivi de la bourse, cachait la possibilité pour son créateur de prendre le contrôle du terminal à distance (en exécutant du code non signé).
Cette révélation pose la question de la validation par Apple des applications pour son écosystème iOS, réputée pointilleuse. Mais que doit-on réellement tirer de la nouvelle ? Faut-il s’alarmer quant au manque de fiabilité du système ?
En réalité, il a toujours été illusoire de penser qu’Apple pouvait procéder à une revue systématique et en bonne et due forme du code de chaque application. Peu d’informations filtrent sur le détail des vérifications qui sont faites, mais les rejets sont généralement plutôt justifiés par des défauts d’ergonomie de l’application, ou le fait que des API non autorisées par Apple sont utilisées.
La grande nouveauté tient dans le fait que Miller ait réussi à publier son application, qu’elle soit restée disponible pendant plusieurs semaines, et qu’elle le serait sans doute restée s’il n’avait lui-même révélé le subterfuge. Il s’agit plutôt d’une confirmation qu’un tel contournement des protections est possible, plutôt qu’une découverte tout à fait inattendue.
Il faut donc tempérer cette révélation : la faille est loin d’être la première sur le système iOS et ne sera certainement pas la dernière. Elle n’est par ailleurs sans doute pas à la portée du premier développeur venu.
L’écosystème d’applications d’Apple reste tout de même relativement robuste d’un point de vue de la sécurité, même si les applications ne font pas l’objet de tests de sécurité poussés au cas par cas. Rappelons enfin que c’est le même Charlie Miller qui vantait récemment cette robustesse de l’App Store, qu’il comparait à l’Android Market, moins sûr selon lui (car plus ouvert).
Beaucoup d’observateurs s’étonnent que la réaction première d’Apple ait été de bannir l’application de son App Store et Miller de son programme pour développeurs. Il s’agit pourtant là d’une violation des règles d’utilisation, et ce dernier savait certainement à quelle sanction il s’exposait.
En tout état de cause, les attaquants souhaitant tirer parti d’applications malveillantes n’auront pas attendu la révélation de cette faille pour tenter de les faire valider. Apple ne pourra dorénavant que redoubler d’effort pour conserver un App Store sain…
