Sécurité : pourquoi cette faille du réseau Localiser inquiète
Personne ne semble à l’abri de cette grave vulnérabilité.
Maintenant que l’iPhone 16e a été présenté, d’autres produits d’Apple sont particulièrement attendus par les consommateurs dans les prochaines semaines. On peut évoquer le MacBook Air M4, le Home Pod avec écran et même l’AirTag 2, qui arriverait en mai ou en juin d’après l’informateur Kosutami. Malheureusement, une enquête inquiétante sur le réseau Localiser pourrait bien freiner l’envie des consommateurs de se le procurer et même d’utiliser leur AirTag actuel.
Une grave vulnérabilité découverte dans Localiser
Des chercheurs de l’université George Mason font part de la découverte d’une importante vulnérabilité dans l’application Localiser. Il existe un moyen pour les pirates de localiser presque n’importe quel ordinateur ou appareil mobile grâce à l’attaque nommée « nRootTag ». Elle utilise l’adresse Bluetooth d’un appareil combiné au réseau Localiser d’Apple pour transformer les appareils cibles en sorte de balises de localisation. Ils parviennent à faire croire que celui-ci est un AirTag perdu.
« Cela revient à transformer n’importe quel ordinateur portable, téléphone ou même console de jeu en AirTag, sans que le propriétaire s’en rende compte. Et le pirate peut faire tout cela à distance, à des milliers de kilomètres de distance, avec seulement quelques dollars », explique Junming Chen, auteur principal de l’étude.
L’AirTag envoie alors des messages Bluetooth aux appareils Apple à proximité, qui relaient ensuite anonymement sa position via Apple Cloud à son propriétaire pour qu’il puisse le localiser.
Les chercheurs ont été en mesure de situer un ordinateur à trois mètres près, de suivre avec précision l’itinéraire d’un vélo électrique en mouvement dans une ville, et même de reconstituer la trajectoire exacte d’une console de jeu placée dans un avion, tout en identifiant le numéro de vol de celui-ci.
« Si le piratage de votre serrure intelligente est effrayant, il l’est encore plus si l’attaquant connaît également son emplacement. Avec la méthode d’attaque que nous avons introduite, l’attaquant peut y parvenir », s’inquiète le professeur Qiang Zeng. Autre donnée particulièrement alarmante : son taux de réussite. Les chercheurs sont parvenus à suivre des appareils grâce à cette méthode 90 % du temps.
Notez que l’université George Mason a informé Apple du problème en juillet 2024. L’entreprise américaine s’est engagée à corriger le problème dans ses futures mises à jour. Junming Chen estime qu’il faudra plusieurs années pour que tous les appareils touchés finissent par disposer des correctifs faisant disparaître la vulnérabilité. Les chercheurs conseillent aux utilisateurs de se méfier des applications qui demandent des autorisations Bluetooth et de garder leurs appareils à jour.
