Apple va offrir une récompense de deux millions de dollars aux hackers qui réussiront à contourner le mode Lockdown d'iOS 16

[Indigostar]

Conçu pour protéger les personnes à haut risque de cyberattaques

Apple offrira une récompense de 2 millions de dollars, le montant de récompense le plus élevé de l’industrie, aux hackers qui réussiront à contourner le mode Lockdown d’iOS 16. Ce dernier est un mode de défense à l’intention des personnes à haut risque de cyberattaques (les dirigeants mondiaux, les célébrités, les lobbys, les journalistes, les activistes, etc.) qui leur permet de rester en communication tout en limitant le risque de se faire hacker. De ce fait, l’appareil bloquera par exemple toutes les pièces jointes et images des messages et en désactivera l’aperçu. Il en va de même pour les albums partagés dans Photos. En plus de bloquer les pièces jointes des messages, l’activation du Lockdown Mode interdira les aperçus de liens, les invitations et les appels Face Time d’expéditeurs inconnus. Le mode désactivera aussi certaines technologies de navigation Web par défaut, et il fermera également les connexions filaires aux ordinateurs ou autres accessoires.

Apple a officiellement lancé une nouvelle fonctionnalité appelée Lockdown mode (littéralement Mode de verrouillage) lors de l’édition 2022 de la WWDC, sa conférence dédiée aux développeurs qui s’est tenue cette année du 6 au 10 juin. Cette nouvelle fonctionnalité est fournie avec le système iOS 16, iPadOS 16 et macOS Ventura et est spécialement conçue pour contrer les cyberattaques.

L’objectif annoncé est de contrer l’augmentation massive des menaces des logiciels espions développés par des entreprises privées, ou des groupes parfois parrainés par des États, comme Pegasus. L’utilisateur pourra alors activer lui-même ce nouveau mode de verrouillage s’il suspecte une cybermenace.

« Le mode verrouillage est une capacité qui reflète notre engagement inébranlable à protéger les utilisateurs contre les attaques les plus rares et les plus sophistiquées », a déclaré Ivan Krstić, responsable de l’ingénierie et de l’architecture de sécurité chez Apple. « Alors que la grande majorité des utilisateurs ne seront jamais victimes de cyberattaques très ciblées, nous travaillerons sans relâche pour protéger le petit nombre d’utilisateurs qui le sont. Cela inclut de continuer à concevoir des défenses spécifiquement pour ces utilisateurs, ainsi que de soutenir les chercheurs et les organisations du monde entier qui effectuent un travail d’une importance cruciale pour exposer les entreprises mercenaires qui créent ces attaques numériques ».

Le mode verrouillage offre un niveau de sécurité extrême et facultatif pour les très rares utilisateurs qui, en raison de qui ils sont ou de ce qu’ils font, peuvent être personnellement ciblés par certaines des menaces numériques les plus sophistiquées, telles que celles du NSO Group et d’autres sociétés privées qui développement des logiciels espions mercenaires parrainés par l’État. L’activation du mode verrouillage dans iOS 16, iPadOS 16 et macOS Ventura renforce encore les défenses de l’appareil et limite strictement certaines fonctionnalités, réduisant considérablement la surface d’attaque qui pourrait potentiellement être exploitée par des logiciels espions mercenaires hautement ciblés.

Un logiciel espion pour téléphones portables appelé “Pegasus” a envahi plus de 50 pays à travers le monde. Selon les rapports, le nombre de personnes surveillées par ce logiciel malveillant pourrait atteindre 50 000. Une fois que “Pegasus” est déployé sur un téléphone portable, il peut extraire des messages texte, des photos, des e-mails, enregistrer des appels et allumer à distance le microphone et l’appareil photo du téléphone à l’insu de l’utilisateur. Cela constitue une grande menace pour la vie privée des utilisateurs. Pegasus est développé par la société israélienne de surveillance logicielle NSO pour espionner les personnes les plus influentes telles que les journalistes, les avocats et les politiciens. NSO Group a été poursuivi par Apple et placé sur une liste noire commerciale par des responsables américains.

L’histoire du meurtre de Jamal Khashoggi, chroniqueur de 59 ans pour le Washington Post, au consulat saoudien d’Istanbul en 2018 mérite d’être rappelée. Selon les analyses numériques américaines, les agences de renseignement des Émirats arabes unis ont installé le logiciel espion Pegasus sur le téléphone de la fiancée du journaliste des mois avant sa mort.

Au lancement, le mode verrouillage inclut les protections suivantes :

• Messages : la plupart des types de pièces jointes aux messages autres que les images sont bloqués. Certaines fonctionnalités, telles que les aperçus de liens, sont désactivées.
• Navigation Web : certaines technologies Web complexes, telles que la compilation JavaScript juste-à-temps (JIT), sont désactivées à moins que l’utilisateur n’exclue un site de confiance du mode de verrouillage.
• Services Apple : les invitations entrantes et les demandes de service, y compris les appels FaceTime, sont bloquées si l’utilisateur n’a pas déjà envoyé d’appel ou de demande à l’initiateur.
• Les connexions filaires avec un ordinateur ou un accessoire sont bloquées lorsque l’iPhone est verrouillé.
• Les profils de configuration ne peuvent pas être installés et l’appareil ne peut pas s’inscrire dans la gestion des appareils mobiles (MDM) lorsque le mode de verrouillage est activé.
  La nouvelle fonctionnalité sera disponible pour des tests par les développeurs cet été, avec une sortie officielle prévue pour l’automne.

La récompense de 2 millions de dollars

Pour inviter les commentaires et la collaboration de la communauté des chercheurs en sécurité, Apple a également créé une nouvelle catégorie au sein du programme Apple Security Bounty pour récompenser les chercheurs qui trouvent des contournements du mode de verrouillage et aident à améliorer ses protections. Les primes sont doublées pour les découvertes éligibles en mode verrouillage, jusqu’à un maximum de 2 000 000 $ - le paiement de prime maximum le plus élevé de l’industrie.

Apple accorde également une subvention de 10 millions de dollars, en plus des dommages-intérêts accordés dans le cadre du procès intenté contre NSO Group, pour soutenir les organisations qui enquêtent, exposent et préviennent les cyberattaques hautement ciblées, y compris celles créées par des entreprises privées développant des logiciels espions mercenaires parrainés par l’État. La subvention sera versée au Fonds Dignité et Justice créé et conseillé par la Fondation Ford - une fondation privée dédiée à la promotion de l’équité dans le monde - et conçue pour mettre en commun des ressources philanthropiques pour faire progresser la justice sociale dans le monde. Le Dignity and Justice Fund est un projet financé par le New Venture Fund, un organisme de bienfaisance public 501(3).

« Le commerce mondial des logiciels espions cible les défenseurs des droits humains, les journalistes et les dissidents ; il facilite la violence, renforce l’autoritarisme et soutient la répression politique », a déclaré Lori McGlinchey, directrice du programme Technologie et société de la Fondation Ford. « La Fondation Ford est fière de soutenir cette initiative extraordinaire visant à renforcer la recherche et le plaidoyer de la société civile pour résister aux logiciels espions mercenaires. Nous devons nous appuyer sur l’engagement d’Apple, et nous invitons les entreprises et les donateurs à rejoindre le Fonds Dignité et Justice et à apporter des ressources supplémentaires à cette lutte collective ».

Le Fonds Dignité et Justice prévoit d’accorder ses premières subventions à la fin de 2022 ou au début de 2023, en finançant initialement des approches pour aider à exposer les logiciels espions mercenaires et protéger les cibles potentielles qui incluent :

• Renforcer les capacités organisationnelles et accroître la coordination sur le terrain des groupes de recherche et de plaidoyer nouveaux et existants de la société civile sur la cybersécurité.
• Soutenir le développement de méthodes d’analyses numériques normalisées pour détecter et confirmer l’infiltration de logiciels espions qui répondent aux normes de preuve.
• Permettre à la société civile de s’associer plus efficacement aux fabricants d’appareils, aux développeurs de logiciels, aux entreprises de sécurité commerciales et à d’autres entreprises concernées pour identifier et traiter les vulnérabilités.
• Sensibiliser les investisseurs, les journalistes et les décideurs politiques à l’industrie mondiale des logiciels espions mercenaires.
• Renforcer la capacité des défenseurs des droits humains à identifier et répondre aux attaques de logiciels espions, y compris des audits de sécurité pour les organisations confrontées à des menaces accrues sur leurs réseaux.
  « Il existe désormais des preuves indéniables issues des recherches du Citizen Lab et d’autres organisations que l’industrie de la surveillance mercenaire facilite la propagation des pratiques autoritaires et des violations massives des droits de l’homme dans le monde », a déclaré Ron Deibert, directeur du Citizen Lab, un groupe de recherche à l’Université de Toronto. « Je félicite Apple d’avoir créé cette subvention importante, qui enverra un message fort et aidera à nourrir les chercheurs indépendants et les organisations de défense des droits tenant les fournisseurs de logiciels espions mercenaires responsables des dommages qu’ils infligent à des personnes innocentes ».

Sources : Apple, ios.developpez.com

[TicaDown]

@indigostar von se faire un grand plaisir les hackers 2 millions de dollars

[Violence]

C’est un peu comme du bug bounty…
Bonne initiative que voilà

[Foque411]

Petit rappel : la NSA en propose 10 avec en supplément une amnistie pour les futures poursuites !
:enjoy:

[Ashura]

Comme pour face lock un simple gamin de 10 ans va réussir

[Psyckofox]

@violence

J’ai failli le dire lol.
Comme Sony qui pond ce genre de procédé pour appâter les dev indépendants.
Quand ils trouvent des failles software dans les firmware des machines Sony, ils divulguent tous ça à la firme moyennant backchich au lieu de sortir la faille en public (et par la suite Sony bouche la faille avec une maj firmware)