iPhone : Siri permet encore de contourner le verrouillage

iPhone : Siri permet encore de contourner le verrouillage

Sécurité : La faille dans l’assistant personnel (sous iOS 10 et inférieurs) permet d’accéder à des photos et contacts en court-circuitant l’écran de verrouillage.

Encore une fois, Siri démontre qu’il est le talon d’Achille de l’iPhone. Une nouvelle vulnérabilité dans l’assistant personnel permet en effet d’accéder à des contenus stockés dans le smartphone malgré l’activation de l’écran de verrouillage. C’est loin d’être une première. La faille touche les versions d’iOS à partir de la 8.x et jusqu’à la dernière en date (10.x).

L’exploit a été mis en ligne sur YouTube par iDeviceHelp et EverythingApplePro, il nécessite que l’attaquant ait accès physiquement au terminal et connaisse le numéro de téléphone associé. Ensuite, en appelant l’iPhone, l’attaquant peut appuyer sur l’icône Message et choisir l’option d’envoi d’un message en tant que réponse à l’appel. A travers Siri et en maintenant le bouton principal enfoncé,il s’agit alors de demander l’activation de VoiceOver pour la lecture d’écran.

Cliquer ici (Vidéo1)

Ensuite, via une manipulation des informations à l’écran via le clavier, on peut faire apparaître l’icône appareil photos (et donc accéder à des clichés stockés) ou entrer des caractères pour afficher une liste de contacts (ou créé des fiches) alors que théoriquement l’iPhone est toujours verrouillé.

Une prochaine mise à jour technique d’iOS devrait corriger ce bug. En avril dernier, Apple comblait une faille de ce type. Elle permettant également de contourner l’écran de verrouillage via Siri, et d’accéder aux photos et aux contacts de l’utilisateur.

Rappelons que la technique utilisée pour contourner la protection nécessitait de passer par Siri dans un premier temps. L’utilisateur demande à l’assistant vocal d’Apple de rechercher des tweets contenant une adresse email complète. Puis, à l’aide du menu 3D touch, l’utilisateur du téléphone peut cliquer sur le tweet et demander à ajouter celui ci aux contacts, ce qui ouvre dans un sous menu une option permettant d’accéder au carnet d’adresse ainsi qu’aux photos présentes sur le téléphone. Une vidéo publiée par 9to5mac fait la démonstration de cette méthode.

En 2013 et dans iOS 7, une méthode similaire avait été découverte par des utilisateurs. Apple avait rapidement patchée.

La rédaction de ZDNet.fr