Apple vient de publier un nouveau rapport sur les menaces et la sécurité de son App Store, un document d’une petite quarantaine de pages intitulé : Construire un écosystème de confiance pour des millions d’apps – Une analyse de la menace du téléchargement tiers. Un rapport qui donne une suite directe à une première étude, réalisée en interne par les ingénieurs d’Apple, et qui avait été publié en juin dernier.
Là où le premier document s’intéressait surtout à illustrer les risques qu’encouraient les particuliers dans un monde où l’App Store serait différent de ce qu’il est, ce nouveau rapport se concentre sur une menace qui semble de plus en plus inquiéter Apple, le sideloading, ou la possibilité pour les utilisateurs de télécharger des applications depuis des magasins tiers, comme c’est le cas sous Android.
Et de facto, l’écosystème de Google est très régulièrement cité, non pas tant pour être critiqué directement, mais pour souligner à quel point un monde applicatif ouvert peut-être dangereux. À chaque fois, le rapport prend bien garde de préciser que les chiffres et observations avancées sont ceux et celles d’instance ou d’experts qui n’ont rien à voir avec Apple.
Rappelant que « l’iPhone est un appareil hautement personnel », Apple cite ensuite quelques chiffres qui font froid dans le dos. Les 230 000 infections quotidiennes par des malwares mobiles, rapportées par l’ENISA, l’agence de sécurité européenne, les six millions d’attaques mensuelles détectées sur les appareils Android, mis en avant par Kaspersky Lab en 2020, et pour finir le fait que les smartphones qui tournent sous l’OS de Google sont de 15 à 47 fois (joli delta) plus victimes de malwares que les iPhone.
A découvrir aussi en vidéo :
Ensuite, Apple établit une liste de trois points qui compromettraient chacun la sécurité de l’ensemble, pour le cas où des législateurs ou des juges lui imposeraient d’ouvrir la porte au sideloading. Le premier impliquerait que d’avantage d’applications dangereuses seraient susceptibles de toucher les smartphones d’Apple. Pourquoi ? Pour une simple question de rentabilité, explique le géant californien. Les hackers mal intentionnés sont soumis, eux aussi, à la loi du retour sur investissement. S’il est difficile de déployer des applications vérolées pour un nombre trop limité d’utilisateurs, il n’est pas rentable d’en créer. En revanche, dès que la quantité de cibles potentielles croît, l’enjeu est différent et l’effort plus rentable.
Le contrôle mis en place par Apple au sein de l’App Store réduit en grande partie ces risques, sans prétendre à la sécurité parfaite, qui n’existe évidemment pas. Mais les magasins tiers ne seront certainement pas tous à même d’offrir le même niveau de vérification et de sécurité.
Le deuxième danger que pointe l’étude, c’est une réduction importante des informations que les applications fourniraient aux utilisateurs, et donc de la perte de contrôle que cela induirait pour les utilisateurs. Apple fait là évidemment référence aux fiches que doivent fournir les développeurs sur son App Store, qui indiquent quelles informations sont consultées, récupérées, et pour quelles raisons. Ainsi, une application de dessin n’a aucune raison de demander votre localisation ou l’accès à vos contacts, par exemple. Ce pourrait évidemment mettre à mal des efforts comme l’App Tracking Transparency, qui empêche les publicitaires de vous pister en ligne, si vous le souhaitez.
Enfin, le troisième danger évoqué par Apple est celui, plus inquiétant, il faut le dire, de la nécessité pour les équipes de Tim Cook de supprimer certaines protections contre les accès d’applications tierces à des éléments matériels propriétaires de l’iPhone, ainsi qu’à des fonctions systèmes non publiques.
Au-delà de la question de la vie privée, qui serait évidemment menacée, ce pourrait également être une porte ouverte à des attaques cybercriminelles, pour l’instant, plus complexes à mener, car elles doivent souvent reposer sur des failles zero day, inconnues donc, qu’il est difficile de trouver.
Enfin, Apple enfonce le clou. L’arrivée du sideloading ne serait pas une menace pour les seuls utilisateurs d’iPhone qui téléchargeraient hors de l’App Store officiel. Des cybercriminels pourraient très facilement tromper les utilisateurs pour qu’ils téléchargent une application qui reproduit le comportement d’un programme connu, mais dérobe en fait des informations ou de l’argent. Par ailleurs, même ceux qui voudraient ne pas passer par ces Store tiers pourraient se voir obligés de le faire, soit par la pression sociale de leurs pairs, soit pour des obligations scolaires ou professionnelles.
En définitive, Apple tente de défendre un modèle fermé et historiquement jamais vu. Pour lutter contre les problèmes que les PC ont connu et connaissent, pour limiter l’exposition aux risques, et pour défendre ses utilisateurs, le géant de Cupertino a fait le choix du modèle fermé, verrouillé. Une solution qui prive d’une certaine liberté de choix, mais qui protège utilisateurs (des malwares, des données volées, des versions d’applications pas mises à jour, etc.) et développeurs (des copies, des versions piratées, etc.). Apple va même plus loin en indiquant qu’offrir la liberté de choix du sideloading reviendrait en définitive à priver les utilisateurs de choix, puisqu’ils n’auraient plus la possibilité d’opter pour un modèle ou un autre.
En définitive, la question se résume à savoir si faire valoir sa liberté du choix vaut de mettre en péril sa sécurité et sa sérénité d’esprit. Une chose est certaine, si Apple devait ouvrir les portes de ses iPhone – et il ne ferait que contraint par la loi ou la justice -, il lui faudrait faire beaucoup plus d’efforts pour fournir une sécurité moindre.
Les équipes du géant avouent à demi-mot ne pas savoir même si elles pourraient protéger correctement les utilisateurs d’iPhone. Une chose est sûre, la situation sur macOS s’est dégradée ces dernières années, Apple n’arrive pas à y endiguer les malwares. Voilà qui ne laisse rien présager de bon au vu de l’attrait que pourrait représenter la base installée d’iPhone dans le monde pour des hackers et autres pirates…
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
