Continuity d'Apple : une fuite du Bluetooth permet de récupérer vos informations

La fonction Continuity - ou Continuité - d'Apple permet de facilité l'interaction dans l'écosystème en passant d'un appareil à un autre sans perte de productivité. Utilisant le BLE - Bluetooth Low Energy - ce protocole émet en permanence un signal avec parfois des données utiles pour les appareils concernés.

Deux chercheurs français, Guillaume Celosia et Mathieu Cunche, du laboratoire Inria Privatics de l’Insa de Lyon ont mis en évidence une faille qui permet à une personne malveillante de suivre les déplacements des AirPods, de connaitre l'état des accessoires HomeKit chez vous, ou encore de récupérer votre numéro de téléphone ou email via AirDrop.

 

Continuité met à mal vos données

Grâce à Continuité, les utilisateurs peuvent donc commencer à rédiger un email sur l'iPhone pour le finir sur iPad ou Mac à proximité. De même, il est possible de téléphoner depuis son Mac avec l'iPhone à côté, de déverrouiller son Mac avec son Apple Watch ou bien ouvrir une page qu'on consulte sur iPhone pour la lire confortablement sur son Mac. Il existe de nombreuses applications de ce protocole.

A chaque fois, les appareils dialoguent en continue par Bluetooth LE, Apple y incorporant des informations utiles pour le workflow. C'est logiquement là que les fuites arrivent. En effet, consommation très peu d'énergie de base, le BLE permet d'inclure des données dans un espace dédié. De quoi faire augmenter sa consommation mais surtout les risques. C'est ce qu'à expliqué Mathieu Cunche à Sciences et Avenir qui relaie l’étude de l'INRIA.

Les menaces potentielles du BLE

Voici les trois atteintes à la vie privée potentielles avec Continuity et le BLE :

• Suivre les déplacements d'un utilisateur d’AirPods malgré un système aléatoire anti-tracking qui change l'adresse à chaque fois. On peut également connaitre le niveau de batterie ou le nombre d'ouverture du boitier.
• Suivre les accessoires HomeKit. Dans une maison connectée, il est possible de connaitre l'état d'une lampe, d'une caméra ou d'un détecteur de présence. Idéal pour un cambrioleur qui voudrait analyser les habitudes des habitants sans avoir la vue directe.
• Enfin, la fonction AirDrop laisse apparaitre l’adresse mail et le numéro de téléphone pendant les échanges. Bien que chiffrées, les données peuvent être sniffées et ensuite décryptées assez facilement d'après les chercheurs.

L'étude a conduit à plusieurs avertissements pour Apple, mais aussi les constructeurs Eve et Osram. Nous ne savons pas si Apple a prévu des patchs ou correctifs, car il semble que l'ensemble fonctionne grâce à ces petits détails.