Des chercheurs en sécurité ont découvert qu’iOS 16 est toujours victime d’un problème qui rend partiellement inopérant les VPN sur les iPhone. En effet, l’OS mobile d’Apple ne réinitialise pas les connexions à l’activation d’un VPN, laissant ainsi s’échapper des informations hors du tunnel sécurisé.
Malgré les efforts d’Apple, rien n’y fait, les VPN ne sont toujours pas totalement sûrs sur les iPhone. En juillet 2022, Apple annonçait Isolement, un nouveau mode sécurisé pour son smartphone, destiné à protéger les utilisateurs particulièrement exposés aux logiciels espions.
Cette fonction renforce la sécurité des smartphones d’Apple en réduisant la surface d’attaque potentielle, en faisant en sorte que certaines fonctions soient désactivées. Malgré cela les problèmes rencontrés par les VPN sous iOS depuis quelque temps perdurent – précisons toutefois, à tout fin utile, qu’Apple n’a jamais indiqué que le mode Isolement changeait le comportement d’iOS vis-à-vis des VPN.
Pas de réinitialisation des connexions
Des chercheurs en sécurité, Tommy Mysk et Talal Haj Bakry ont constaté et expliqué à nos confrères de MacRumors que l’approche des VPN dans iOS ne change pas, que le mode Isolement soit activé ou non. Or, en août dernier, il a été démontré que les systèmes d’exploitation mobiles d’Apple (iOS et iPadOS) ne font pas transiter tout le trafic au travers d’un tunnel sécurisé quand une connexion est établie avec un VPN édité par un développeur tiers.
En temps normal, quand un VPN est activé, le système d’exploitation coupe toutes les connexions à Internet existantes et les ré-établit au travers du VPN. Néanmoins, iOS échoue à réinitialiser ces connexions. Ainsi, elles peuvent continuer à envoyer des données sans passer par le VPN, laissant des données non chiffrées accessibles à une éventuelle surveillance ou à un attaquant.
Update: The Lockdown Mode leaks more traffic outside the VPN tunnel than the « normal » mode. It also sends push notification traffic outside the VPN tunnel. This is weird for an extreme protection mode.
Here is a screenshot of the traffic (VPN and Kill Switch enabled) #iOS pic.twitter.com/25zIFT4EFa— Mysk 🇨🇦🇩🇪 (@mysk_co) October 13, 2022
Pire encore, les deux chercheurs en sécurité ont découvert que le mode Isolement fait passer encore plus de données en dehors du tunnel VPN que le mode normal. Il envoie ainsi le trafic provenant des notifications hors du canal chiffré. Les chercheurs qualifient, à juste de titre, cette pratique « d’étrange ».
Ils avancent également qu’iOS 16 communique avec des services Apple en dehors d’un VPN actif et communique ainsi des requêtes DNS sans que l’utilisateur soit au courant. Parmi les services concernés, on trouve l’application Santé, Plans, et Cartes.
Un problème de longue date
Cette faille très problématique n’est toutefois pas nouvelle du tout, et Apple en a connaissance depuis quelque temps déjà. Proton, société qui fait sa spécialité de la protection de vos échanges en ligne, que ce soit en surfant ou via courriel, documente ce problème depuis iOS 13.3.1. Une mise à jour qui a été lancée le 28 janvier… 2020.
À l’époque, Apple avait indiqué qu’il corrigerait le tir avec la mise en place, dans une mise à jour venir, d’un Kill Switch, qui permettrait aux développeurs de VPN de bloquer toutes les connexions pré-existantes. Mais, cette fonctionnalité ne semble pas très opérante, puisque les chercheurs ont établi leurs observations en l’activant, alors qu’iOS 16.1 est là.
Au vu de cet état de fait, on ne peut qu’encourager les utilisateurs qui recourent à des VPN pour des sujets sérieux d’éviter d’utiliser un iPhone dans ces conditions. Leur opérateur télécom, les agences de surveillance ou des organisations de hackers malintentionnées peuvent en effet contourner cette sécurité apparente.
Pour l’heure, Apple n’a pas communiqué d’information sur l’intégration du correctif dans une prochaine mise à jour d’iOS.
Source :
MacRumors