Le FBI aurait payé plus de 7 fois le salaire annuel de son directeur pour débloquer l'iPhone de San Bernardino,
Soit plus de 1,3 million USD

Le , par Michael Guilloux, Chroniqueur Actualités
Après quelques mois de bataille, le FBI a abandonné ses poursuites contre Apple dans la tuerie de San Bernardino où 14 personnes ont perdu la vie. Au milieu de ce conflit opposant le bureau fédéral au fabricant de smartphones haut de gamme, se trouvait l’iPhone 5C exécutant iOS 9 de l’un des deux auteurs de l’attaque. Le dispositif en possession du FBI implémente en effet un système de chiffrement offert par la dernière version de l’OS mobile d’Apple en plus d’une fonctionnalité de sécurité. Cette dernière aurait causé la suppression des données du téléphone, après des tentatives infructueuses du FBI d’y accéder.

Face à un risque de perdre des informations précieuses qui auraient pu faire avancer le FBI dans son enquête sur l’affaire de San Bernardino, le bureau fédéral a saisi le tribunal pour obtenir la collaboration de la firme de Cupertino. Le tribunal a donc sommé Apple d’apporter une assistance technique au FBI, ce que le fabricant d’iPhone a refusé. Face au refus d’Apple de collaborer, le FBI s’est payé les services d’une partie tierce pour débloquer l’iPhone du terroriste. Les dernières nouvelles provenant des sources du Washington Post ont révélé que le bureau fédéral aurait eu recours à des hackers professionnels chasseurs de primes pour accéder aux données de l’iPhone, en contrepartie d’une somme forfaitaire. Mais combien cela a-t-il coûté à la police fédérale américaine ?

Interrogé par un modérateur à l’Aspen Security Forum, une conférence sur la sécurité à Londres, sur la somme décaissée par le FBI, James B. Comey, le directeur de l’agence a fait savoir que cela a coûté beaucoup d’argent au FBI pour obtenir les failles zero-day qui ont été exploitées pour débloquer l’iPhone en sa possession. Pour nous donner une idée, il parle de beaucoup plus que tout ce qu’il va gagner le reste de sa carrière au poste de directeur du bureau fédéral des États-Unis. Si vous vous demandez combien alors, sa réponse était : « beaucoup ». Il continue ensuite pour dire : « À coup sûr, plus que ce que je vais gagner tout le temps qui me reste à ce poste, c'est-à-dire sept ans et quatre mois ». « Mais à mon avis, cela en valait la peine », a-t-il ajouté.

Comme le rapporte Reuters en se référant aux chiffres du FBI et de l’US Office of Management and Budget, le salaire annuel de monsieur James Comey s’élevait à 183 300 dollars US en janvier 2015. C’est-à-dire que si l’on fait fi des éventuels bonus et augmentations de salaire, sur le temps qui lui reste à passer à ce poste, James Comey pourra encore gagner au moins 1,3 million de dollars US.

Le FBI aurait-il donc payé plus de 1,3 million de dollars US pour débloquer l’iPhone en sa possession dans l’affaire de San Bernardino ? Si oui, cela suggère donc que le FBI a battu le record des primes jamais payées à des hackers, parmi celles qui ont été divulguées à ce jour. Le record était détenu par la firme US Zerodium qui dans le cadre de son programme Zerodium's million Dollar iOS 9 Bug Bounty avait payé un million de dollars US à une équipe de hackers pour la soumission d’une faille zero-day dans la dernière version du système d'exploitation mobile d'Apple.

Source : Reuters

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

Le FBI aurait eu recours à des hackers professionnels pour débloquer l'iPhone du terroriste de l'attaque de San Bernardino


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de AoCannaille AoCannaille - Membre chevronné https://www.developpez.com
le 22/04/2016 à 11:32
Citation Envoyé par psychadelic Voir le message
@ AoCannaille >>

>> Et bien sur le plan théorique, la réponse est simple, plus il y a d'acteurs, moins il y a de sécurité.
On connaît tous cette formulation.
Elle est simpliste et imprécise, donc inexacte. mieux, c'est une règle, mais elle n'a pas valeur de vérité absolue ; Il existe des systèmes ayant plus d'une « entrée » qui sont bien mieux sécurisés que d'autre n'en ayant qu'une seule.
La sécurité c'est surtout un problème de moyens pour un objectifs donné, plutôt qu'un simple comptage de portes; faut pas tout confondre.

Mais tu a rajouté :
>> Quelque soit ta mise en œuvre.
Alors que c'est ce qui justement fait toute la différence !

Une phrase plus exacte serait: pour un même niveau de sécurité, ajouter des acteurs ajoute à la complexité.

>> Et l'acharnement vient de là : tu refuses d'admettre une règle simple de sécu….
« acharnement », [parce que je] « Refuse d'admettre », t'es sérieux la ?
Donc d’après toi, je fais de l’obscurantisme ou je ne sais quoi de super mal ??
Je ne te trouve pas vraiment tolérant sur le coup !
Pour ma part, je te laisse avoir tes idées sur toutes les questions qui te plaises; mais STP, laisses moi avoir mes idées différentes des tiennes, même si tu les considères comme des utopies ou je ne sais quoi d'autre.

Cette règle, c'est un axiome de la sécurité, du bon sens pur. La remettre en cause, c'est comme si en mathématique tu remettais en cause que 2+2=4 en affirmant que 2+2=5, mais que pour ça tu ne passais pas par l'addition mais par tout un tas d'autres outils mathématiques. La fin est la même : si a la fin tu as 2+2 = 5, c'est que tu t'es trompé dans tes calculs.

Et on en parle pas d'idée, mais de réalité, on en parle pas religion, politique, ou musique, on parle d'une science exacte. Et du coup, ta notion d'obscurantisme est parfaite : a force de répeter un truc faux à tout le monde, certains non initiés pourront te croire!


>> Ce n'est pas ce que j'ai dit. pour adapter encore plus l'exemple, toi tu force les fabricants de serrures à fournir un double des clefs à l’État (ou autre) pour chaque porte
Ton analogie ne correspond toujours pas. je te propose :
Ce système impose les fabricants à fournir N clés incomplètes à N sociétés indépendantes. Cad aucun de ces tiers ne dispose d'une clé complète, pour des portes dont ils ne connaissent pas l'adresse. Ce qui ne donne pas vraiment des acteurs, mais des témoins partiels.

Des entreprises "témoins partiels" remplis d'employés faillibles et intéressés qui avec un peu de recherche se débrouilleront vite pour redevenir des acteurs malveillants.


>> Le pourquoi est là pour essayer de remettre en question le débat: Pourquoi faire tout ça? Est-ce que c'est légitime?

J'ai justement répondu à cette question : Je ne fais que défendre mes idées et ma réflexion intellectuelle sur le plan théorique de ce sujet.
C'est interdit ???
Je n'ai le pas le droit d'utiliser ce forum pour exprimer mes idées ???
Ou alors, c'est un sujet pour lequel il est interdit d'y réfléchir ???

Rassure moi, J’espère que tu ne crois pas que le fait de penser, ou d'écrire dans un forum (et y blablater) puisse avoir un caractère illégitime...
Le pourquoi ne concerne pas la question "Pourquoi on débat?", mais "Pourquoi on mettrait tout ça en place?". Le débat est intéressant et ne doit pas être limité. C'est ce que tu propose qu'on ne doit pas être mis en place.

Tu es passée d'une argumentation sur un sujet précis (qui visiblement n'est pas ton fort, tu as du l'apprendre sur le tas ou te contenter d'article de presse par-ci par là) avec quelques piques personnelles (qui j'ignore à chaque fois) à un GROS glissement de sujet du genre "Je ne peux pas avoir tort car tout le monde peut avoir ses idées. Et toi là, tu essaye de m'empêcher de les exprimer"
Ce qui est évidement complètement faux. D'ailleurs si je n'étais pas là pour te répondre, tu ne les exprimerais pas ces fameuses idées...
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 22/04/2016 à 11:37
Si j'ai bien compris :
- Apple bloque une enquête en refusant d'exécuter une injonction du tribunal, tout en ayant aucune répercussion judiciaire sur le refus d'exécuter l'injonction (puisque les poursuites ont été abandonnées)
- C'est le contribuable qui se retrouve à payer le service qu'Apple a refusé de rendre

Apple est allé trop loin. Son image de chevalier blanc de la vie privée se ternit. Apple a banni la pornographie et les anti-virus sur leur matériel mais le terrorisme en revanche ça ne lui pose aucun problème.

En effet si Apple exécute les demandes du FBI pour les déblocages individuels mais a refusé la backdoor généralisée comme il le prétend dans sa version des faits, pourquoi le FBI aurait eu besoin des services d'un hacker pour pénétrer un téléphone bien spécifique, via une faille qui concerne un modèle spécifique d'iPhone, le 5C (qui ne doit pas être l'un des plus répandus) et sous une version bien particulière d'iOS, et ça pour un coût exorbitant ?

D'un autre côté je reste surpris sur l'aspect "feuilleton" de cette histoire.
Avatar de Médinoc Médinoc - Expert éminent sénior https://www.developpez.com
le 22/04/2016 à 14:21
Citation Envoyé par Chuck_Norris Voir le message
En effet si Apple exécute les demandes du FBI pour les déblocages individuels mais a refusé la backdoor généralisée comme il le prétend dans sa version des faits, pourquoi le FBI aurait eu besoin des services d'un hacker pour pénétrer un téléphone bien spécifique, via une faille qui concerne un modèle spécifique d'iPhone, le 5C (qui ne doit pas être l'un des plus répandus) et sous une version bien particulière d'iOS, et ça pour un coût exorbitant ?
La réponse est pourtant simple: Avant, Appel gardait un double des clés, et les fournissait au FBI sur simple "demande". Suite au tollé qui a suivi diverses révélations liées, Apple a modifié la fonctionnalité de cryptage des données d'iOS 9 pour qu'il soit entièrement côté client. Apple n'en a donc plus les clés, et il n'ont plus d'autre moyen pour satisfaire une demande du FBI que de saboter le système (ce qui fragiliserait la sécurité de tous les téléphones sous iOS 9), ce qu'ils ont refusé de faire.
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 22/04/2016 à 14:45
Citation Envoyé par Médinoc Voir le message
La réponse est pourtant simple: Avant, Appel gardait un double des clés, et les fournissait au FBI sur simple "demande". Suite au tollé qui a suivi diverses révélations liées, Apple a modifié la fonctionnalité de cryptage des données d'iOS 9 pour qu'il soit entièrement côté client. Apple n'en a donc plus les clés, et il n'ont plus d'autre moyen pour satisfaire une demande du FBI que de saboter le système (ce qui fragiliserait la sécurité de tous les téléphones sous iOS 9), ce qu'ils ont refusé de faire.
Oui, tout à fait je suis tout à fait conscient que dans le cadre d'un chiffrement si personne n'a de double ou d'universel on ne peut pas déchiffer le téléphone, sauf à exploiter une faiblesse de l'algorithme (mais si c'était le cas, l'algo devrait être changé).

Cependant, dans le cas de l'affaire de l'iPhone 5C, il n'était pas a priori question de chiffrement, mais d'une simple sécurité d'auto-effacement de l'appareil au bout de dix essais. Il n'y avait donc aucune clé de chiffrement à donner ou à casser, mais une sécurité à faire sauter. Chose qui serait, normalement, possible à faire, même si évidemment je ne connais pas l'électronique ou le logiciel interne d'Apple pour pouvoir juger de la faisabilité réelle de la chose.

Mais tout ça suppose bien sûr qu'on nous dit bien la vérité, or je suspecte qu'il y a pas mal de faux ou d'omissions dans les faits qui nous sont rapportés.
Avatar de ternel ternel - Expert éminent sénior https://www.developpez.com
le 22/04/2016 à 14:59
Ca ne te viendrais pas à l'idée que la sécurité à faire sauté, c'est justement la donnée à trouver pour déchiffrer le contenu?
Parce que pour toi, un mot de passe sert à quelque chose si les données sont accessibles en se contentant de lire la mémoire (par exemple, en la branchant sur un pc?)
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 22/04/2016 à 15:01
Citation Envoyé par leternel Voir le message
Ca ne te viendrais pas à l'idée que la sécurité à faire sauté, c'est justement la donnée à trouver pour déchiffrer le contenu?
Dans ce cas, pourquoi un hackeur peut faire quelque chose qui est certifié impossible par Apple si je te comprends bien ?

De toute façon même si un brute forte est requis pour le déchiffrement, Apple a la possibilité de passer outre le risque d'effacement au bout de dix tentatives, personne n'osera affirmer le contraire. Ce qui veut dire qu'Apple a le pouvoir de rendre le brute force possible pour découvrir la clé de chiffrement, là où un brute-force sans l'aide d'Apple risque l'effacement total du périphérique si l'option correspondante est active.

Donc à ce titre Apple n'a pas de légitimité de refuser son aide, même si elle ne peut pas faire le brute-force elle-même.
Avatar de Médinoc Médinoc - Expert éminent sénior https://www.developpez.com
le 22/04/2016 à 15:33
Citation Envoyé par Chuck_Norris Voir le message
Dans ce cas, pourquoi un hackeur peut faire quelque chose qui est certifié impossible par Apple si je te comprends bien ?
Ça a été dit dans l'article, ils ont utilisé une faille zero-day quelque part. Une faille que Apple ne connaissait évidemment pas, car s'il la connaissaient, ils l'auraient corrigée.
Apple a la possibilité de passer outre le risque d'effacement au bout de dix tentatives, personne n'osera affirmer le contraire. Ce qui veut dire qu'Apple a le pouvoir de rendre le brute force possible pour découvrir la clé de chiffrement, là où un brute-force sans l'aide d'Apple risque l'effacement total du périphérique si l'option correspondante est active.

Donc à ce titre Apple n'a pas de légitimité de refuser son aide, même si elle ne peut pas faire le brute-force elle-même.
Si un téléphone accepte un update sans être déverrouillé d'abord, c'est qu'il a des trous béants de sécurité. La fameuse faille zero-day consistait probablement à trouver un moyen de passer ça.
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 22/04/2016 à 16:01
Citation Envoyé par Médinoc Voir le message
Si un téléphone accepte un update sans être déverrouillé d'abord, c'est qu'il a des trous béants de sécurité. La fameuse faille zero-day consistait probablement à trouver un moyen de passer ça.
Je suis d'accord là-dessus, mais je ne pensais pas à une mise à jour logicielle. Je pensais plutôt à une ouverture physique de la machine et intervenir directement sur les composants pour lire le contenu de la mémoire depuis l'extérieur, chose que seul Apple pourrait raisonnablement faire en connaissant le schéma de construction exact. Après évidemment c'est plus facile à dire qu'à faire, surtout si Apple n'a pas prévu ce genre d'opérations lors de la conception de l'appareil.
Avatar de Médinoc Médinoc - Expert éminent sénior https://www.developpez.com
le 22/04/2016 à 17:07
Citation Envoyé par Chuck_Norris Voir le message
Je suis d'accord là-dessus, mais je ne pensais pas à une mise à jour logicielle. Je pensais plutôt à une ouverture physique de la machine et intervenir directement sur les composants pour lire le contenu de la mémoire depuis l'extérieur, chose que seul Apple pourrait raisonnablement faire en connaissant le schéma de construction exact. Après évidemment c'est plus facile à dire qu'à faire, surtout si Apple n'a pas prévu ce genre d'opérations lors de la conception de l'appareil.
Ça j'y pensais aussi, Apple aurait pu extraire les données cryptées physiquement de l'appareil, puis les passer au FBI pour qu'ils fassent leur brute force. Le problème, c'est qu'à ma connaissance le FBI exigeait plus que ça.
Avatar de LSMetag LSMetag - Expert confirmé https://www.developpez.com
le 23/04/2016 à 0:40
Citation Envoyé par Médinoc Voir le message
Ça j'y pensais aussi, Apple aurait pu extraire les données cryptées physiquement de l'appareil, puis les passer au FBI pour qu'ils fassent leur brute force. Le problème, c'est qu'à ma connaissance le FBI exigeait plus que ça.
Apple a toujours collaboré avec la justice jusqu'à présent. Je pense qu'il aurait parfaitement pu retirer ce système de sécurité sur le téléphone incriminé. Après le déchiffrage par brute force (s'il était question de code PIN évidemment (ça peut être un mot de passe) aurait fait le reste.

Mais le FBI demandait qu'on lui fournisse des failles, ou alors qu'on lui en crée. Ou encore que Apple fournisse l'outil qu'il a utilisé pour contourner la sécurité. C'est là qu'Apple n'a pas coopéré, et pour moi il a eu raison.

Que le FBI paye des hackers pros pour leur trouver des failles zero-day qu'ils ne divulguent pas ok. Mais je trouve sain qu'Apple n'ait pas à se rendre complice de ça.
Contacter le responsable de la rubrique Accueil