Le chercheur en sécurité Felix Krause jette un pavé dans la mare en rappelant à Apple combien il devient critique de mieux contrôler les accès alloués aux développeurs d'applications destinées à l'iPhone.
Lorsque l'on installe une application pour la première fois sur son terminal, elle nous invite souvent à lui autoriser l'accès à certains modules comme les contacts, la messagerie, l'agenda, l'appareil photo. Or, une fois ces autorisations données, elles le sont de façon définitive, à moins que l'utilisateur ne change d'avis et n'aille chercher dans les réglages pour annuler ces accès. En clair : les applications auxquelles on a autorisé l'accès à l'appareil photo peuvent très bien en prendre le contrôle à n'importe quel moment, et même lorsqu'elles sont en tâche de fond.
Le chercheur a ainsi développé une application qui simule un faux réseau social et qui demande l'accès à l'APN de l'iPhone à l'utilisateur, notamment pour lui permettre de réaliser des photos de profil. Rien d'anormal jusqu'ici... Sauf qu'en parcourant la plateforme, l'utilisateur se rend compte que le fil d'actualité présente des photos de lui prises en temps réel.
Il ne s'agit pas d'une faille ou d'un quelconque hack, mais plutôt de sensibiliser sur l'intérêt de donner des accès sans limites de temps à des modules critique des smartphones. Felix Krause suggère ainsi de basculer plutôt sur des autorisations temporaires limitées à un lancement, ou avec une limite de temps de quelques minutes à quelques heures. Une situation d'autant plus légitime qu'une grande majorité d'applications nécessitant cet accès ne sont utilisées pour prendre un cliché qu'au cours de leur première utilisation.
Autre point inquiétant soulevé par la démonstration : aucune indication visuelle ou sonore n'est émise par le smartphone lorsqu'il prend des clichés. L'espionnage peut donc être totalement silencieux. On pourrait, à défaut d'exploiter la LED en façade, envisager d'ajouter une icône prévenant de l'accès au smartphone en marge des icônes WiFi et Bluetooth, suggère le chercheur.
