Les Mac équipés d'une puce T2 ou M1 ne peuvent pas être remis à l'état d'usine sans Apple,

Et ne peuvent plus être pleinement utilisés dans des environnements entièrement hors ligne

Apple n'a de cesse de mettre en avant la sécurité de ses plateformes et de ses appareils afin d'attirer davantage de consommateurs, mais aussi pour les fidéliser. Dans cet ordre, la société a ajouté dernièrement un nouveau dispositif de sécurité à ses appareils pour les protéger contre le vol. Désormais, les ordinateurs Apple modernes ne peuvent plus être pleinement utilisés et entretenus dans des environnements entièrement (100 %) hors ligne, ou d'une manière qui garantit raisonnablement que l'ordinateur est à l'abri de toute altération ordonnée par l'État.

Quelques rappels sur la puce de sécurité T2 et sur le nouveau M1 d'Apple

La puce "Apple T2 Security" est une puce en silicium pour les Mac de deuxième génération, conçue spécialement par Apple. La puce T2 offre des capacités à votre Mac, telles que le stockage chiffré et le démarrage sécurisé, le traitement amélioré du signal d’image et la sécurité des données Touch ID. Touch ID est un système de lecture d'empreinte digitale proposé par Apple, servant à déverrouiller les appareils iPhone, iPad, MacBook Pro et Air, à effectuer des achats dans l'App Store ou à payer ses achats en ligne ou dans des boutiques physiques ou sur Internet avec le système Apple Pay.

Le T2 est une puce basée sur l'architecture ARM et sur un cœur plus récent : celui de l'A10 que l'on trouvait sur les iPhone 7. Le premier ordinateur d'Apple à avoir intégré le T2 est l'iMac Pro, sorti en 2017, mais d'autres modèles l'ont aussi intégré depuis, notamment les derniers MacBook Pro, MacBook Air et Mac Mini. Tous ces modèles ont pour point commun d'utiliser un SSD comme seul périphérique de stockage. Les MacBook Pro et MacBook Air intègrent également la technologie Touch ID. La puce T2 est en fait une amélioration de la puce T1, déjà présente sur les MacBook Pro depuis 2016.


Le M1 d'Apple quant à lui est la première puce conçue spécifiquement pour Mac. Lors de sa présentation en novembre dernier, Apple a affirmé que la puce M1 offre des performances avancées, des technologies personnalisées, une très grande efficacité énergétique et de bonnes performances par watt. Le M1 a été conçu dès le début pour fonctionner avec le système d'exploitation de bureau "macOS Big Sur". « Ce n'est pas une mise à niveau. C'est une percée », a déclaré Apple à propos du M1. C'est une puce également basée sur l'architecture ARM.

Le M1 est déployé dans le MacBook Air (M1, 2020), le Mac mini (M1, 2020) et le MacBook Pro (13 pouces, M1, 2020). C'est la première puce d'ordinateur personnel construite selon un procédé à 5 nm. Apple affirme qu'elle possède le noyau CPU le plus rapide au monde "en silicium basse consommation" et la meilleure performance CPU au monde par watt. Le M1 possède quatre cœurs Firestorm haute performance et quatre cœurs Icestorm à faible consommation d'énergie, offrant de ce fait une configuration similaire à celle de l'ARM DynamIQ et des processeurs hybrides Lakefield et Alder Lake d'Intel.

Les puces T2 et M1 d'Apple intègrent une couche de sécurité avancée

Dans une analyse présentée sur son site Web personnel la semaine dernière, Jeffrey Paul, hacker et chercheur en sécurité vivant à Berlin et fondateur de l'EEQJ, une organisation de conseil et de recherche, a affirmé que les ordinateurs Apple modernes ne peuvent plus être pleinement utilisés et entretenus dans des environnements entièrement (100 %) hors ligne, ou d'une manière qui garantit raisonnablement que l'ordinateur est exempt de toute manipulation ordonnée par l'État. Il s'agit essentiellement des ordinateurs Apple équipés des puces M1 et T2. Mais pourquoi ?

En effet, Paul a remarqué que si vous souhaitez désormais restaurer entièrement et complètement ces appareils dans leur état d'origine pour quelque raison que ce soit (qu'il s'agisse d'un virus ou d'un logiciel malveillant, du retour d'une configuration de test ou de recherche, de la préparation à la revente, de la corruption des données du disque, etc.), le système d'exploitation de la section spéciale sécurisée du processeur (dans le M1) ou la puce de sécurité/chiffrement séparée (dans le T2) doit être restauré en premier pour que l'ordinateur puisse même penser à démarrer un système d'exploitation.

La seule façon d'y parvenir est d'obtenir une signature cryptographique d'Apple, spécifique à ce matériel. Apple les fournit librement, à condition que votre matériel ne soit pas marqué comme étant verrouillé sur un Apple ID particulier, auquel cas ils le donnent librement si vous fournissez les données d'authentification (nom d'utilisateur, mot de passe, etc.) pour cet appareil. Les puces T2 et M1 sont équipées d'un système d'exploitation spécial, spécifique à la sécurité, qui empêche toute réinstallation de l'appareil, sans avoir fourni la preuve que le matériel est bien le vôtre.


Dans le cas de la puce T2 par exemple, elle joue deux rôles (ou deux processus entrent en jeu pour assurer ce comportement) : un démarrage sécurisé et un chiffrement du SSD. Le démarrage sécurisé est un procédé qu'Apple utilise déjà sur les appareils iOS. Il permet de vérifier l'intégrité du système d'exploitation, c'est-à-dire que, avant de démarrer, la puce vérifie d'abord si le système d'exploitation est bel et bien conforme à celui authentifié par Apple. Dans le cas contraire (le cas où la vérification échoue), il ne démarre pas.

À titre d'exemple, si un logiciel malveillant avait précédemment modifié des composants de bas niveau du système, ces changements seraient détectés par la puce T2 et macOS refuserait de se lancer. Le système spécifique à la sécurité à l'origine de ce comportement de la puce T2 est appelé BridgeOS. Pour récapituler, lorsque vous démarrez votre Mac, c'est la puce T2 qui s'active en première position, charge ensuite le bootloader, puis Bridge OS, et enfin le système d'exploitation à proprement parler. Si ce dernier est corrompu, alors Bridge OS arrête le processus de démarrage.

Dans son second rôle, quelque peu controversé, le T2 chiffre toutes les données présentes sur le SSD interne. Plus encore, un Mac équipé du T2 ne peut démarrer qu'à partir de son SSD interne et, parce qu'elles sont chiffrées, il vous est impossible de lire les données du SSD de votre Mac sur un autre Mac. Apple a en effet conçu le T2 pour qu'il agisse comme un moteur de chiffrement AES à la place du processeur principal. Ensuite, lors de la fabrication, Apple attribue à chaque Mac équipé d'un T2 un identifiant unique permettant d'appairer les puces mémoires du SSD au processeur T2.

Une couche de sécurité avancée utile, mais...