La sécurité du Touch ID déjà compromise, quelles sont les conséquences ?

Mobilité
La sécurité du Touch ID déjà compromise, quelles sont les conséquences ?

Nous en parlions dans notre précédent article, l'iPhone a toujours été une cible privilégiée pour les hackers, et il n'a fallu que quelques heures à peine après la disponibilité de l'iPhone 5s le 20 septembre pour que la sécurité du "Touch ID" soit compromise.

Copier une empreinte digitale : mode d'emploi

Un groupe de hackers allemand bien connu, le CCC (Chaos Computer Club), a en effet publié sur son site, seulement 1 jour après la sortie du nouvel appareil d'Apple, une méthode pour contourner la sécurité apportée par le lecteur d'empreinte digitale intégré à l'iPhone 5s. Cette méthode n'a rien de révolutionnaire, et consiste à prendre en photo une empreinte digitale (sur un verre par exemple), à l'imprimer sur une feuille transparente en haute définition (1200pp) puis à construire une empreinte avec de la colle ou du latex pour enfin l'apposer sur le Touch ID qui sera ainsi dupé. Une vidéo de démonstration est même disponible : http://www.youtube.com/watch?v=HM8b8d8kSNQ

La plupart des médias se sont bien sûr emparés de cette nouvelle croustillante, annonçant que la protection qualifiée "d'inviolable" apportée par l'iPhone 5s avait été mise à mal en 24h à peine. C'est en partie vrai, mais ce nouveau hack démontre surtout une fois de plus les limites de la sécurité biométrique, pas seulement celles de l'iPhone 5s en particulier.

Une méthode bien connue

Le CCC rappelle d'ailleurs à qui veut l'entendre que la méthode utilisée n'est pas nouvelle (elle est apparue en 2002 pour la 1ère fois) et qu'elle peut s'appliquer à bon nombre de lecteurs d'empreintes digitales, la principale différence étant la résolution plus élevée utilisée par le Touch ID.  En outre, et comme nous le rappelions dans notre précédent article, le capteur biométrique de l'iPhone 5s reste une authentification à "1 facteur", et peut apporter un niveau de sécurité accru uniquement si ce facteur est combiné à un autre, comme à un mot de passe par exemple.

Toutefois il est important de rappeler que le stockage local de l'empreinte digitale au sein de l'iPhone 5s n'a pas (encore) été compromis, ce qui le cas échéant aurait des conséquences bien plus graves. Apple a d'ailleurs communiqué plus de détails à ce sujet, en expliquant que les données biométriques, ou plutôt leur interprétation sous format numérique, sont stockées dans une "Secure Enclave" au sein même de la puce A7, dans un environnement totalement isolé. Ces données ne sortent jamais de cet environnement, qui se contente de renvoyer une réponse positive ou négative lorsqu'il est sollicité, en comparant l'empreinte qui lui est envoyée à celles qui sont stockées.

Sur le papier cette solution semble donc avoir été conçue avec comme enjeu principal la sécurité des données, mais un concours a déjà été lancé pour savoir qui sera le 1er à trouver d'autres failles au sein de l'iPhone 5s ;  il faut donc s'attendre à d'autres annonces dans les prochaines semaines. Enfin, pour le moment, l'utilisation du Touch ID reste cantonné au déverrouillage de l'iPhone et aux achats sur l'iTunes Store, les risques restent par conséquent limités même si on imagine mal Apple se priver de ce nouveau moyen pour l'étendre à  d'autres usages.

Source : CCC http://www.ccc.de/en/updates/2013/ccc-breaks-apple-touchid

Timothé Coulmain, Consultant Sécurité, Advens