Société russe spécialisée dans la récupération de mots de passe et l'accès à des données protégées, ElcomSoft a découvert une vulnérabilité qualifiée de majeure qui accompagne iOS 10. Pour les sauvegardes des appareils iOS 10 via iTunes qui sont stockées sur ordinateur, elle permet une attaque pouvant passer outre des contrôles de sécurité.
Le vecteur d'attaque est spécifique aux sauvegardes locales d'iOS 10 protégées par mot de passe. Il n'est donc pas ici question - et fort heureusement - des sauvegardes stockées sur iCloud. Avec une attaque par force brute, ElcomSoft affirme avoir pu tester des mots de passe près de 2 500 fois plus rapidement par rapport à l'ancien mécanisme utilisé dans iOS 9.
Avec une configuration Intel i5, un attaquant pourrait exécuter une attaque par force brute à raison de 2 400 mots de passe par seconde sur iOS 9 contre 6 millions de mots de passe par seconde pour une sauvegarde iOS 10. Une belle promotion pour l'outil Phone Breaker de ElcomSoft…
La faille est liée à la nouvelle méthode de hachage des mots de passe utilisée dans iOS 10. Elle a recours à des hashes SHA-256 en clair avec une seule itération. Chercheur et fondateur de la conférence PasswordsCon, Per Thorsheim explique qu'avec iOS 9, c'est un algorithme plus sécurisé PBKDF2 SHA-1 avec 10 000 itérations.
Apple have moved from pbkdf2(sha1) with 10K iterations to a plain sha256 hash with a single iteration only. Bruteforce with CPU!
— Per Thorsheim (@thorsheim) 23 septembre 2016
Pourquoi un tel affaiblissement du chiffrement de la part d'Apple ? C'est le mystère mais cela va à l'encontre d'une montée en gamme dans les versions d'un système d'exploitation.
Apple a reconnu un problème affectant " la force du chiffrement pour les sauvegardes d'appareils sur iOS 10 lorsqu'elles sont effectuées via iTunes sur Mac ou PC ". Le problème sera corrigé avec une mise jour de sécurité à venir.
