IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Le gouvernement américain poursuit son combat contre Apple
Et veut l'obliger à débloquer l'iPhone dans le cas de New York

Le , par Stéphane le calme

220PARTAGES

8  0 
Malgré le fait que le FBI a réussi à débloquer l’iPhone de l’un des auteurs de l’attentat de San Bernardino (Californie) sans l’aide d’Apple, le gouvernement américain compte bien contraindre Apple à l’aider à extraire des données d’un iPhone dans une autre enquête cette fois-ci à New York. Ici, Jun Feng, le défendeur, a déjà plaidé coupable dans une affaire de drogue. Cependant, les forces de l'ordre sont persuadées que les données dans son téléphone pourraient les aider durant leur enquête sur le réseau de drogue.

Vendredi dernier, le département de la justice a adressé une lettre au juge fédéral Margo K. Brodie dans laquelle il a avancé : « le gouvernement soumet respectueusement cette lettre en réponse à la demande de la Cour datée du 29 mars 2016 qui exige que le gouvernement fasse savoir à la Cour s’il a l’intention de modifier son application datée du 7 mars 2016. Le gouvernement n’a pas l’intention de modifier son application datée du 7 mars 2016. La demande du gouvernement n’est pas théorique et le gouvernement continue de requérir l’assistance d’Apple pour accéder aux données qu’un mandat autorise à rechercher ».

Une action en justice qui vient seulement quelques semaines après le bras de fer entre le FBI et Apple et qui s’est soldée par un retrait des poursuites contre Apple. Toutefois, ce cas est différent en de nombreux points. Dans le cas précédent, étant donné qu’Apple avait avancé ne pas être en mesure d’avoir accès aux données du téléphone, une injonction lui a demandé de concevoir un logiciel permettant de contourner la sécurité autour du déverrouillage du dispositif tournant sur iOS 9. Dans celui-ci par contre Apple a la possibilité d’avoir accès aux données du téléphone verrouillé qui tourne sur iOS 7, mais l’entreprise refuse de le faire bien qu’elle a déjà coopéré avec les forces de l’ordre par le passé.

L’action en justice tend à s’opposer au verdict pris le 29 février dernier : James Orenstein, un juge fédéral de New York s'est prononcé en faveur d'Apple sur l'affaire l'opposant au FBI. Il avait estimé qu’il est anticonstitutionnel de se reposer sur le All Writs Act de 1789, qui autorise les cours fédérales américaines à « émettre toutes les ordonnances nécessaires ou appropriées à l’appui de leurs juridictions respectives et conformément aux usages et aux principes du droit ». Selon lui, aucun des facteurs qu’il a examinés pour ce cas ne « justifie qu'il soit imposé à Apple d'aider le gouvernement à mener son enquête contre sa volonté ». Le gouvernement veut donc s’en référer à la Cour suprême qui devra donc décider si le All Writs Act est adapté pour exiger d’une entreprise qu’elle aide à déchiffrer des données qu’elle n’a pas en possession.

Si la Cour suprême se range du côté du gouvernement, cela pourrait créer une jurisprudence qui lui donnerait les moyens de contraindre les entreprises à coopérer de la sorte pour récupérer les données lors d’enquêtes des forces de l’ordre. Dans le cas contraire, il est possible que, selon les recommandations du juge James Orenstein, un débat législatif ait lieu étant donné que, selon lui, seul le Congrès est habilité à prévoir dans la loi ces éventuelles obligations de coopération auxquelles seront soumises les entreprises.

Source : New York Times

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de pascaldm
Membre actif https://www.developpez.com
Le 22/09/2016 à 17:46
Pour répondre à plusieurs interrogations, le travail réalisé par Sergei Skorobogatov a pris plusieurs mois et mobilisé des compétences rares et des ressources humaines et matérielles non accessibles au premier venu.

Le reverse engineering de la mémoire flash de l'iPhone 5c a consisté à :
- obtenir le diagramme et la schématique du circuit du SoC A6 de l'iphone 5c qui n'est pas disponible publiquement. Le composant de mémoire flash utilisé dans le package LGA60 n'est pas documenté par les fabricants (Toshiba, SK hynix, Samsung et SanDisk).
- Sergei a mis en évidence qu'Apple utilise un contrôleur mémoire dédié avec un brochage de la puce NAND modifié pour qu'une tentative de reverse endommage la puce (permutation des broches VCC et GND).Le protocole a du être reversé par écoute du bus et acquisition des commandes.

L'analyse montre que l'accès aux composant NAND sur la carte est protégé par des écrans métalliques soudés, par une résine epoxy et enfin par une proximité de 0,05 mm avec le PCB. Cela rend le déssoudage de la NAND délicat à cause du risque d'endommager la puce mémoire. Là il faut des compétences et du savoir-faire. Le processus a été complexe.

Ensuite, il a fallu connecter les broches de la NAND avec des straps au PCB. L'iPhone plantait car une distorsion des signaux de communication provenait du parasitage de la capacitance et de l'inductance à cause du déport des broches avec des fils. Les problèmes à ce stade ont été nombreux. La source d'horloge du SoC a aussi requis l'insertion de résistance sur les lignes du signal.

Un circuit imprimé spécifique a été construit pour connecter un oscilloscope et un analyseur logique aux broches de la NAND pour l'écoute du bus.

Une rétro-ingénierie du protocole a permis d'implémenter les commandes pour la lecture, l'effacement et l'écriture de la mémoire flash. Ce reverse a requis la construction d'un programmateur de circuit intégré pour débuguer les commandes avec la puce NAND et comprendre l'agencement des blocs et unités d'informations.

Le backup de la puce NAND a été effectué sur une autre puce NAND identique provenant d'un autre iPhone grâce à une carte de test spécialement conçue à base de microcontroleur PIC PIC24EP512GP806. Le backup de 8 Go a duré 1h20...

Après le backup, la puce NAND a été reconnectée à l'iPhone. Après le boot (35 sec), 6 mots de passe sont entrés puis l'iPhone est éteint car à partir du 7ème mots de passe infructueux, le délai d'attente s'incrémente trop. Il faut encore attendre 10 sec avant de retirer la NAND et la brancher sur la carte de test. Un balayage de la NAND comparé au backup permet de trouver les blocs à effacer puis à réécrire. La mémoire NAND est éteinte puis reconnectée à l'iPhone et on continue à tester les mots de passe par 6. Il faut environs 40 heures pour un passcode de 4 digits (cela devient prohibitif pour 6 à 8 digits). Comme la méthode ne tient pas compte du wear levelling, une usure prématurée de la mémoire flash peut la rendre inutilisable, il a donc fallu pouvoir la cloner.

Le clonage a eu aussi son lot de surprise, le processus a permis de créer un clone de la NAND (y compris pour des pages mémoires fantômes supérieures à 16 Go!). L'iPhone a réussi à démarrer depuis le clone de la NAND.

En conclusion, il sfaut comprendre qu'il s'agit d'un PoC dans un cadre académique. La méthode n'est donc pas automatisée et requiert des interventions manuelles (beaucoup de branchement/débranchement de la puce NAND). Avec un passcode >= 6 digits, les tests deviennent trés long.

Le coût "réduit" ne concerne que la quincaillerie électronique nécessaire pour reproduire le PoC. Le coût réelle du reverse et de l'analyse est très différent. L'étude nécessite un oscilloscope, un analyseur logique, une station de soudage de précision, un PC, des iPhones, un microscope électronique, sans parler des 4 mois de jours/hommes de plusieurs experts. La facture réelle se chiffre en centaines de K€. Pour que la méthode soit industrielle, il faudrait monter un banc de test automatisé évitant les interventions manuelles. Ce n'est pas l'objet de ce très bon travail académique, il s'agissait de démontrer la faisabilité ce qui a été fait, dont acte !

La video de démo par Sergei sur Youtube:
10  0 
Avatar de LSMetag
Expert confirmé https://www.developpez.com
Le 14/04/2016 à 10:37
C'est pas un scoop que le FBI ait fait appel à des hackers professionnels. Que ce soit une boîte Isrëlienne ou des particuliers ne fait aucune différence. Et je pense que c'est la bonne solution et que ça aurait dû être fait dès le départ. Le FBI et la NSA sont des services secrets. Leurs méthodes sont secrètes et doivent rester secrètes (pour le bien de tous). Qu'Apple corrige par la suite une vulnérabilité qui court-circuite le hack n'a rien à voir avec une opposition aux autorités. Les autorités devront juste de nouveau faire appel à des professionnels, ou alors en embaucher.

Ca s'arrête là. Le FBI, avec cette procédure judiciaire, n'a fait qu'afficher une certaine incompétence qui justement a données des pistes à des bandits pour se protéger. Au diable les lois liberticides et les polémiques judiciaires. On développe comme on veut et comme on peut. On sait qu'il y aura toujours plus fort que nous. Aux autorités d'en tirer partie sans nous faire ch...
9  0 
Avatar de Médinoc
Expert éminent sénior https://www.developpez.com
Le 22/04/2016 à 14:21
Citation Envoyé par Chuck_Norris Voir le message
En effet si Apple exécute les demandes du FBI pour les déblocages individuels mais a refusé la backdoor généralisée comme il le prétend dans sa version des faits, pourquoi le FBI aurait eu besoin des services d'un hacker pour pénétrer un téléphone bien spécifique, via une faille qui concerne un modèle spécifique d'iPhone, le 5C (qui ne doit pas être l'un des plus répandus) et sous une version bien particulière d'iOS, et ça pour un coût exorbitant ?
La réponse est pourtant simple: Avant, Appel gardait un double des clés, et les fournissait au FBI sur simple "demande". Suite au tollé qui a suivi diverses révélations liées, Apple a modifié la fonctionnalité de cryptage des données d'iOS 9 pour qu'il soit entièrement côté client. Apple n'en a donc plus les clés, et il n'ont plus d'autre moyen pour satisfaire une demande du FBI que de saboter le système (ce qui fragiliserait la sécurité de tous les téléphones sous iOS 9), ce qu'ils ont refusé de faire.
9  0 
Avatar de Zirak
Inactif https://www.developpez.com
Le 13/04/2016 à 9:12
Citation Envoyé par psychadelic Voir le message
Le gouvernement US (et d'autres) ne sont pas près de lâcher l'affaire.
En restant arc-bouté sur leur position absurde* Apple va finir par se retrouver dans une position d'illégalité.

* => Apple préfère préserver la liberté individuelle au détriment de la liberté collective, hors il ne peut y avoir l'une sans l'autre => cours de philo en classe de seconde.
Et les gouvernements veulent faire sauter les libertés individuelles ET collectives, c'est sûr que c'est mieux...

Cela fait 50 fois que l'on t'explique, et que l'on te montre, que ce que réclame les gouvernements apportent plus de mal que de bien, il suffit de regarder en France avec l'état d'urgence et tout ce qui a été mis en place depuis les attentats => moins de libertés individuelles, moins de libertés collectives, et quel résultat ? On empêche des gens de manifester pour des sujets n'ayant aucun rapport, on assigne à demeure des écologistes, on tape sur des étudiants et des vieilles, etc etc, Ah c'est sûr que les terroristes ont du soucis à se faire...
9  1 
Avatar de ticNFA
Membre confirmé https://www.developpez.com
Le 13/04/2016 à 9:51
Citation Envoyé par psychadelic Voir le message
Le gouvernement US (et d'autres) ne sont pas près de lâcher l'affaire.
En restant arc-bouté sur leur position absurde* Apple va finir par se retrouver dans une position d'illégalité.

* => Apple préfère préserver la liberté individuelle au détriment de la liberté collective, hors il ne peut y avoir l'une sans l'autre => cours de philo en classe de seconde.
Et réciproquement => cours de 1ère ?

Le FBI a débloqué des téléphones, toute cette affaire est une utilisation de l'opinion publique non consciente dont tu sembles faire partie, contre, non Apple, mais la protection de la vie privée.
7  0 
Avatar de eldrad95
Membre habitué https://www.developpez.com
Le 15/04/2016 à 21:09
le problème vient du fait que les gouvernements ont abusé de la liberté d'accès aux données qu'ils avaient.
si les téléphones n'avaient pas été pillé par les politiciens pour avoir accès au des infos sur leur concurens par exemple. on ne réclamerait pas cette sécurité.

Aujourd'hui, le consommateur, souhaitant garder sa vie privée, privée justement, a en quelque sorte demandé aux fabricants de développer des systèmes aux quels eux même ne peuvent plus avoir accès.

si les états ne voulaient pas se servir de ces appareils comme moyen de surveillance et de contrôle excepté pour les tueurs et les terroristes, la population n'aurait pas exigé cette sécurité.

il faut bien garder en tête que le principe de sécurité physique, électronique etc... est toujours une réponse à une agression, à une intrusion.

Apple a donc, pour moi, raison (même si je les défend pas d'habitude). On leur a pas demandé les infos dans les portables, mais un outils.
un peu comme si on demandais à un fabricant de maison des passes pour les policiers. c'est louable en cas de problèmes, mais si après les flics décident d'entrer pour voir si tu as pas quelque chose d'interdit chez toi ? sans autorisation.
vous allez me dire j'ai rien à me reprocher, oui certes, mais si ils entrent pour regarder chez vous et vérifier, il sauront tout de vous. ceux qui me disent que ça ne les gènes pas, je leur propose d'installer des webcam dans l'ensemble de leur pièces et de mettre la diffusion sur un site web, parce que ça revient au même, donc comme ça gène pas .

le FBI aurait pu entrer dans n'importe quel os 7 après ça, et il ne se serai pas gêné. c'est pour ça qu'apple a eu raison.
reprenons l'exemple des portes, si ça arrivait le premier réflexe de la plupart des gens serait de changer les serrures ... Apple n'est pas idiot non plus.
7  0 
Avatar de AoCannaille
Expert confirmé https://www.developpez.com
Le 19/04/2016 à 14:15
Citation Envoyé par goomazio Voir le message
Ce dont parle psychadelic n'est pas vraiment du "double-sens" comme vous l’appelez mais plutôt du "sens unique à 2 voies"

Tentative d'explication : le mot de passe est connu uniquement du propriétaire. C'est sécurisé. Mais psycha ne parle pas forcément de rendre le mot de passe non obligatoire, mais, par exemple, de stocker ce mot de passe à deux endroits (1 fois dans la mémoire de l'utilisateur, et une autre fois dans un coffre fort protégé par le FBI au milieu du pentagon).

Bien sur que c'est "moins" sécurisé, mais c'est ce qu'on pourrait appeler une sécurité à deux portes et qui ne me semble pas être un truc à éviter absolument. La porte de secours (le code PUK) peut être encore plus sécurisé que la porte principal (l'utilisateur qui connait le mot de passe mais qui résiste moins d'une seconde à la torture, ou parle trop quand il est bourré, ou chantonne son mot de passe en le tapant...).

Et donc, soutenez-vous simplement que deux portes = moins sécurisé que 1 porte (à porte égale) ? Ou bien vous n'aviez pas saisis toutes les possibilités de la "sécurité à 2 voies", que vous confondiez avec la sécurité à "double sens", qui sont en fait la même chose ? Dans les meilleurs cas, les deux portes sont équivalentes et donc la sécurité n'en pâtis pas tant que ça (deux jumeaux qui connaissent le mot de passe) et dans les pires cas, la deuxième entrée laisse à désirer (la porte de devant en acier fermée à triple tour et celle du jardin est grande ouverte).
Merci des rectifications. Alors effectivement, en sécurité à double sens, je pensais au chiffrement/déchiffrement (2 sens donc) et j'évoquais de manière pas spécialement claire la "sécurité à 2 voies".

Je soutiens donc que deux portes est moins sécurisé qu'une seule. Et en particulier quand vous n'avez aucun contrôle sur celui qui peut ouvrir la deuxième porte. Que ce soit le FBI ou Apple, même combat, je doit faire confiance à des tiers de "confiance" (ou de trahison, pour reprendre perspicace). Ce que je ne veux absolument pas faire. D'une part Apple à des intérêts économiques, et en tant que Français, le FBI n'a aucune légitimité à recevoir ma confiance.

Dans un exemple imagé, imaginons une serrure qui peut s'ouvrir avec plusieurs clefs et qu'on a pas les autres clefs.
Entre deux visites vers la pièce fermée par la serrure, on ne peut pas être certain que personne d'autre que nous y ait fait un tour.

Plus on ajoute d'accès, plus on ajoute de faille. Fatalement, et sans exception.
7  0 
Avatar de AoCannaille
Expert confirmé https://www.developpez.com
Le 20/04/2016 à 15:18
Citation Envoyé par psychadelic Voir le message
@ AoCannaille (désolé, j'ai du découper ton précédent post pour mieux y répondre)

Question hors sujet. Et de toutes façon Apple à les moyens de payer pour ce genre de service.
C'est hors sujet parce que la question de fond est de s'interroger sur la possibilité d'avoir une qualité de protection équivalente ou supérieure à ce que propose Apple pour les données privées, tout en offrant en plus la possibilité d'accéder ponctuellement au contenu d'un smartphone récupéré sur un criminel, et cela sans compromettre la sécurité et le caractère privé pour les citoyens.
Apple oui, et les autres? On ne fait pas de lois dirigée comme ça. Et si apple est le seul à faire ça, ça ne servira à rien.

Affaiblissement obligatoire de la sécurité : cette phrase est une affirmation gratuite, elle est impossible à démontrer.
Et si, je vois très bien les problèmes d'éthique derrière ces questions, merci.

Le ticket ce peut être une mini-mémoire Flash, et on l'utilise pour attribuer la seconde clé de cryptage a l'iPhone, lors de son achat.
J'aurai du préciser : cela permet d'activer le smartphone, donc ce serai incontournable.

On ne force par les utilisateurs à communiquer cette clef publique.
La fabrication des tickets génère la partie clé publique et les N parties de la clé privée, on a juste une référence pour la correspondance des 2, qui reste visible sur le smartphone.
Il est impossible de savoir à l'avance la référence qu'un smartphone aura.

La production des tickets doit bien sur être surveillée, mais ça c'est juste un problème de logistique.
Je ne sais pas pour toi, mais j'ai travaillé dans des enceintes sécurisées avec des gardes armés jusque dans les salles informatique.
Une fois les tickets réalisés, on à plus besoin de gardes.

Ok, donc les générations de tickets sont toujours centralisés chez un tiers de confiance. la démonstration de la faible sécurité est là : Plus d'acteurs => moins de sécurité, c'est immuable comme règle!
Alice veut parler à Bob, Charlie ne doit pas intervenir. Le reste c'est du blabla.
Ce blabla peut rapprocher le process de la sécurité originale, mais par définition ça ne peut jamais l'atteindre.


Oui, et alors ? Je ne veux pas non plus qu'on puisse donner une clef qui ouvre toute les portes.
Ton exemple ne s'applique pas à ce que je propose.

Ce n'est pas ce que j'ai dit. pour adapter encore plus l'exemple, toi tu force les fabricant de sérrures à fournir un double des clefs à l'Etat (ou autre) pour chaque porte


Je ne vois pas le sens de ce pourquoi…
Le pourquoi est là pour essayer de remettre en question le débat: Pourquoi faire tout ça? Est-ce que c'est légitime?


Personnellement je me suis demandé pourquoi un tel acharnement à penser qu'une telle sécurité ne puisse pas être réalisable.
Bien sûr qu'elle est réalisable. On peut effectivement baisser la sécurité pour faire plaisir à nos dirigeants. La question n'est pas "Est-ce que c'est réalisable", mais "Est-ce que c'est souhaitable".

je ne souhaite ni de prés ni de loin menacer la sécurité de la vie privée de personne.
Je ne fais que défendre mes idées et ma réflexion intellectuelle sur le plan théorique de ce sujet.
Et bien sur le plan théorique, la réponse est simple, plus il y a d'acteurs, moins il y a de sécurité. Quelque soit ta mise en oeuvre.

Et l'acharnement vient de là : tu refuse d'admettre une règle simple de sécu : Plus d'acteurs implique moins de sécurité. Ce débat ne sert à rien. Ta solution ne sera Jamais aussi sécurisé que l'existant, et il n'y a aucun intérêt légitime à baisser la sécurité.
7  0 
Avatar de eric.c
Membre actif https://www.developpez.com
Le 25/04/2016 à 15:42
J'aimerais bien savoir ce qu'ils vont trouver dans cet I-phone. S'ils ont payé plus d'un million de $ pour lire x centaines de messages du type "Ce soir c'est moi qui prends le pain" je ne suis pas sûr que le pognon des contribuables soit bien dépensé
7  0 
Avatar de AoCannaille
Expert confirmé https://www.developpez.com
Le 29/04/2016 à 16:14
Citation Envoyé par obs-psr Voir le message

Le secret total est illegal (constitution ...) partout.
Lien de la constitution Française : https://www.legifrance.gouv.fr/affic...XT000006071194

Rien trouvé qui parle d'interdiction du secret. Les seules fois où apparait le mot, c'est par rapport à des votes qui eux sont secrets....
7  0