Apple va laisser les utilisateurs choisir de chiffrer ou non leurs sauvegardes iCloud, et ce afin de déjouer les attaques des pirates informatiques. Mais aussi de limiter les demandes de données des utilisateurs par les forces de l’ordre.
La nouvelle fonctionnalité de protection des données pour iCloud permettra aux utilisateurs de chiffrer les données sur les serveurs d’Apple. De quoi empêcher ainsi Apple d’accéder au contenu d’un utilisateur. Les nouveaux types de contenu qui prendront en charge le chiffrement de bout en bout (E2EE) comprennent les sauvegardes iCloud, les notes et les photos.
Jusqu’alors, 14 catégories de données étaient par défaut protégées par le E2EE (end-to-end encryption – chiffrement de bout en bout), comme le trousseau iCloud, les données de santé, les messages dans iCloud, Maps, et l’historique Safari. Désormais, les catégories sont étendues à 23.
L’option sera disponible dans les futures versions iOS 16.2, iPadOS 16.2 et macOS 13.1
Comme le souligne Apple, avec cette protection des données, seuls les appareils de confiance d’un utilisateur ont accès à ces catégories de données. Le contenu de l’utilisateur sera ainsi protégé, même si des attaquants compromettent les serveurs iCloud.
Cette extension du chiffrement sera disponible pour les utilisateurs américains d’ici la fin de l’année et commencera à être déployée dans le reste du monde début 2023. L’option sera disponible dans les futures versions iOS 16.2, iPadOS 16.2 et macOS 13.1.
« Il s’agit du plus haut niveau de sécurité des données dans le cloud d’Apple, donnant aux utilisateurs le choix de protéger la grande majorité de leurs données iCloud les plus sensibles avec un chiffrement de bout en bout afin qu’elles ne puissent être déchiffrées que sur leurs appareils de confiance », explique Ivan Krstić, responsable de l’ingénierie et de l’architecture de sécurité chez Apple, dans une annonce.
L’EFF se félicite, le FBI se lamente
Le groupe de défense des droits numériques Electronic Frontiers Foundation (EFF) s’est félicité des sauvegardes iCloud E2EE, une mesure pour laquelle il fait campagne depuis longtemps. Tim Cook avait précédemment expliqué qu’Apple n’avait pas chiffré les sauvegardes iCloud parce que les utilisateurs perdent parfois leur clé privée et demandent ensuite de l’aide à Apple pour retrouver l’accès à leurs données.
« Le chiffrement est l’un des outils les plus importants dont nous disposons pour préserver la vie privée et la sécurité en ligne », souligne Joe Mullin, de l’EFF. « Le chiffrement d’Apple sur les appareils est solide, mais certaines données iCloud particulièrement sensibles, comme les photos et les sauvegardes, continuent à être vulnérables aux demandes du gouvernement et aux pirates. »
Les catégories qui restent non protégées par l’E2EE comprennent iCloud Mail, Contacts et Calendrier, en raison de la nécessité d’interopérer avec les systèmes mondiaux de messagerie, de contacts et de calendrier, selon Apple.
« Pour les utilisateurs qui optent pour cette option, la protection avancée des données maintient la plupart des données iCloud protégées, même dans le cas d’une violation des données dans le cloud », note Apple.
Mais tout le monde n’est pas satisfait. Selon The Washington Post, le FBI s’est dit « profondément préoccupé » par la menace que représentent le chiffrement de bout en bout et le chiffrement à accès unique, affirmant qu’ils entravent leur travail d’enquête. De nombreux gouvernements et organismes chargés de l’application de la loi craignent que l’utilisation croissante du chiffrement de bout en bout ne leur rende plus difficile l’accès aux informations.
Des mesures de sécurité supplémentaires pour les comptes à risques
Pour les personnalités publiques soucieuses de sécurité et à risque, Apple introduit également la prise en charge des clés de sécurité matérielles tierces, avec l’authentification à deux facteurs pour l’identifiant Apple. La clé de sécurité devient l’un des deux facteurs et est nécessaire pour accéder au compte. Elle permet d’éviter les attaques de phishing qui compromettent le deuxième facteur.
Une autre amélioration de la sécurité pour les personnalités publiques et autres personnes susceptibles d’être ciblées par des attaquants est la vérification de la clé de contact iMessage. Cette fonction permet aux utilisateurs de vérifier qu’ils n’envoient des messages qu’aux personnes qu’ils souhaitent contacter.
Une fois qu’un utilisateur a activé la fonction de vérification de la clé de contact d’iMessage, il reçoit des alertes automatiques si un attaquant parvient à pénétrer dans les serveurs d’Apple, à y insérer son propre appareil et à écouter les communications chiffrées. Selon Apple, les utilisateurs de la fonction de vérification de la clé de contact d’iMessage peuvent également comparer un code de vérification de contact, sur FaceTime ou par le biais d’un autre appel sécurisé.
Source : ZDNet.com