Outre les différentes failles de sécurité, l’un des correctifs les plus importants d’iOS 16.1 concerne un bug qui permettait aux applications d’écouter les conversations avec Siri.
Le bug a été découvert par le développeur Guilherme Rambo, qui l’a signalé à Apple. Rambo développe l’application AirBuddy qui facilite la connexion d’AirPods, Beats et d’autres accessoires Bluetooth à votre Mac. Pour cette raison, il passe beaucoup de temps à travailler avec les AirPods et à étudier comment ils fonctionnent également au niveau matériel.
Voici la description du bug que Rambo a trouvé et signalé à Apple, et que ce dernier a résolu avec iOS 16.1 :
« Toute application ayant accès au Bluetooth peut enregistrer des conversations avec Siri et l’audio de la fonction de dictée du clavier iOS lors de l’utilisation d’AirPods ou d’écouteurs Beats. Cela s’est produit sans que l’application ne demande l’autorisation d’accéder au microphone et sans que l’application ne laisse la moindre trace du fait qu’elle écoutait. »
Une fois ce bug découvert, Rambo a créé une application qui lui a permis de vérifier quelles plateformes Apple étaient concernées par le bug. L’application a fait les choses suivantes :
- Demande une autorisation pour Bluetooth.
- Trouvez un appareil Bluetooth LE connecté qui dispose du service DoAP.
- Elle est associée à ses fonctionnalités pour recevoir une notification lorsque le streaming commence et se termine et lorsque des données audio arrivent.
- Lorsque la diffusion commence, elle crée un nouveau fichier .wav, puis insère les paquets Opus des AirPod dans un décodeur, qui écrit l’audio non compressé dans le fichier.
- Une fois le streaming terminé, elle ferme le fichier .wav et envoie une notification push locale pour montrer que l’application a enregistré avec succès l’utilisateur en arrière-plan.
Sur iOS, ce bug obligeait l’utilisateur à donner accès à l’application pour la connectivité Bluetooth, mais comme le souligne Rambo, » la plupart des utilisateurs ne s’attendraient pas à ce que donner un accès Bluetooth à une application lui donne également accès aux conversations avec Siri et à la dictée audio « .
Sur macOS, cependant, ce n’était pas le cas :
« Sur macOS, les applications ont pu enregistrer des conversations avec Siri ou l’audio de la dictée sans aucune demande d’autorisation. Pire encore, cet exploit particulier a permis à l’application de demander l’audio DoAP sur demande, évitant d’attendre que l’utilisateur parle à Siri ou utilise la dictée. »
Rambo a signalé le bug à Apple le 26 août, a reçu une réponse le 29 août et des mises à jour logicielles pour résoudre le problème ont été publiées le 24 octobre. Une autre raison de mettre à jour votre iPhone, iPad et Mac.
