Un expert en sécurité informatique a réussi à contourner la sécurité de l’iPhone 5c pour 100 dollars et environ 40 heures, là où le FBI avait fait dépensé un million de dollars pour arriver aux mêmes fins.
Pourquoi dépenser un million de dollars lorsqu’il est possible d’atteindre le même but pour 100 dollars ? C’est la question que Sergei Skorobogatov, un expert en sécurité informatique d’origine russe à l’université britannique de Cambridge, vient indirectement de poser au FBI.
Le 15 septembre, en contournant la sécurité de l’iPhone 5C, le même modèle que celui utilisé par Syed Farook, l’auteur de la fusillade de San Bernardino en Californie qui avait coûté la vie à une quinzaine de personnes en février 2016, il a réussi là où le célèbre service américain de renseignement avait échoué.
100 dollars de matériel et la bonne idée
Désireux de pénétrer dans le smartphone du suspect afin de mener l’enquête sans risquer d’effacer des informations sensibles, le FBI avait d’abord sommé Apple de l’aider, déclenchant une guerre médiatique autour du respect de la vie privé. Ensuite, face au refus répété de la marque à la pomme de lui livrer ses secrets, l’agence avait versé plus d’un million de dollars une entreprise spécialisée – probablement israélienne – pour y parvenir fin mars 2016.
En fin de semaine dernière, Sergei Skorobogatov a démontré dans un article scientifique paru sur le site Arxiv que les espions américains auraient pu éviter de se faire passer pour Big Brother en voulant forcer Apple à lui donner une clef capable de pirater tous les iPhone, mais aussi de dépenser inutilement son argent. Tout ce dont le FBI avait besoin, c’est de 100 dollars de matériel et d’un cerveau bien fait.
Les enquêteurs se heurtaient en effet au problème suivant : comment deviner le bon mot de passe pour déverrouiller l’iPhone de Syed Farook en ayant un nombre limité d’essais ? En cas d’échecs multiples en effet, le système de sécurité d’Apple est conçu pour effacer le contenu du smartphone.
Pour contourner cet épineux problème, Sergei Skorobogatov a donc acheté un iPhone 5C sur eBay et procédé à quelques manipulations, décrites dans une vidéo mise en ligne sur YouTube, pour cloner la mémoire RAND, c’est-à-dire l’équivalent du disque dur de l’iPhone qui contient les informations sauvegardées sur le téléphone. Après cette première opération, le scientifique a pu se lancer dans l’entreprise de longue haleine consistant à deviner le bon mot de passe.
Dès qu’il dépassait le nombre autorisé d’essais, il lui suffisait d’insérer le clone en lieu et place de la mémoire d’origine et de recommencer. « Comme je peux faire autant de clones que je veux, je peux essayer autant de combinaisons que nécessaires pour arriver à mes fins », explique-t-il dans la vidéo.
Contredire le patron du FBI
Pour trouver un mot de passe de quatre chiffres, ce qui est la norme pour les iPhone 5C, il lui a fallu une quarantaine d’heures. Le FBI, qui a bataillé plus d’un mois pour parvenir à ses fins, aurait donc pu économiser du temps en plus de l’argent.
Sergei Skorobogatov affirme que sa technique pour cloner la mémoire RAND fonctionne aussi pour les iPhone 6, toujours en vente contrairement au modèle 5C. Il n’est, en revanche, pas sûr qu’il pourrait faire de même pour des modèles encore plus récents comme l’iPhone 6s ou l’iPhone 7.
Cette démonstration est d’autant plus importante que le directeur du FBI, James Comey, avait affirmé en mars 2016 que la technique du clonage de mémoire RAND était impossible pour l’iPhone de Syed Farook. En ajoutant qu’il était urgent, pour cette même raison, de légiférer pour obliger les Apple, Google & Co. à épauler les autorités dans les cas les plus sensibles comme les affaires de terrorisme.
Le patron de l’agence de renseignement avait donc tort. Pour la spécialiste américaine du droit de la cybersécurité Susan Landau, qui a analysé les travaux de Sergei Skorobogatov, « la morale de cette histoire est que la solution n’est pas, comme l’a affirmé le FBI, d’avoir recours à une loi qui restreindrait nos libertés personnelles, mais de mieux former les enquêteurs aux questions de chiffrements et de sécurité des communications et des appareils ».