Un groupe d’experts en cryptographie a proposé une théorie sur la façon dont les forces de l’ordre parviennent toujours à déverrouiller les iPhone malgré des correctifs de sécurité iOS constants et des niveaux de protection variables.
Matthew Green, professeur agrégé au Johns Hopkins Information Security Institute, a partagé une théorie sur Twitter pour essayer d’expliquer comment les agences gouvernementales accèdent à certaines données des iPhone.
Green soutient que les forces de l’ordre n’ont plus besoin de déchiffrer le cryptage le plus complexe d’un iPhone, car tous les types de données utilisateur ne sont pas protégés par celui-ci. La recherche a commencé avec le fait que les sociétés médico-légales n’ont plus la possibilité de déverrouiller le processeur Secure Enclave d’Apple, ce qui signifie qu’il est très difficile de déchiffrer un mot de passe iPhone. Alors que les forces de l’ordre continuent de pirater des appareils verrouillés, Green et ses étudiants ont commencé à enquêter sur la manière dont cela pourrait être possible.
Les experts ont trouvé une réponse possible, qui sera détaillée dans les prochains jours. Bien qu’il s’agisse d’une conjecture, cela pourrait expliquer comment les agences gouvernementales et les forces de l’ordre sont toujours en mesure d’extraire des données d’iPhone verrouillés.
Fondamentalement, un iPhone peut être dans l’un des deux états suivants : avant le premier déverrouillage (BFU) et après le premier déverrouillage (AFU). Lorsque vous allumez votre appareil pour la première fois et entrez votre mot de passe, l’iPhone entre dans l’état AFU. Lorsqu’un utilisateur saisit son code, l’iPhone l’utilise pour dériver différents ensembles de clés cryptographiques qui restent en mémoire et sont utilisés pour crypter des fichiers.
Lorsqu’un utilisateur verrouille à nouveau son appareil, il n’entre pas en BFU, mais reste dans l’état AFU. Green note qu’un seul jeu de clés cryptographiques est supprimé de la mémoire. Cet ensemble reste dans cet état jusqu’à ce qu’un utilisateur déverrouille à nouveau son iPhone.
L’ensemble de clés supprimé est celui utilisé pour décrypter un sous-ensemble de fichiers sur un iPhone qui appartiennent à une classe de protection spécifique. Les autres jeux de clés, qui restent en mémoire, sont utilisés pour décrypter tous les autres fichiers.
Une fois que cela est compris, tout ce qu’une entité d’application de la loi a à faire est d’utiliser des exploits logiciels pour contourner l’écran de verrouillage iOS et décrypter la plupart des fichiers. En utilisant du code qui s’exécute avec des privilèges normaux, certaines données sont accessibles. Comme le souligne Green, la partie importante est de déterminer quels fichiers sont protégés par le jeu de clés supprimé.
D’après la documentation d’Apple, il semble que la classe de protection la plus puissante s’applique uniquement aux données de démarrage des messages et des applications. En outre, il semble qu’un cryptage plus fort ne protège pas tous les types de données comme il le faisait autrefois.
Les données qui ne bénéficient pas d’une protection améliorée comprennent des photos, du texte, des notes et éventuellement des informations de localisation. Et ces informations sont toutes importantes pour les forces de l’ordre. Cependant, les applications tierces peuvent activer des fonctions pour protéger les données des utilisateurs avec la classe de protection la plus élevée.
Quant à savoir pourquoi Apple semble avoir affaibli certaines protections, Green théorise que la société a activé une sécurité maximale sur des applications spécifiques ou des fonctionnalités système telles que les rappels basés sur la localisation. De même, certaines applications ne pourraient pas fonctionner correctement si la classe de cryptage la plus élevée était utilisée pour la plupart des données.
Green note que la situation est « similaire » sur Android. Mais, pour Apple, le professeur affirme que « le cryptage du téléphone est fondamentalement un blocage très important contre les attaquants motivés ».
