Faille d'AirDrop exploitée par la Chine : Apple était au courant depuis 2019 de cette vulnérabilité

Quand des chercheurs en sécurité partagent l'existence d'une faille à Apple, l'entreprise fait généralement tout son possible pour boucher la faille avec une mise à jour iOS. À la surprise générale, Apple était au courant de la faille d'AirDrop aujourd'hui exploitée par les autorités chinoises. Cette faille qui permet de connaître le numéro de téléphone et l'adresse mail de la personne qui réalise le AirDrop existe depuis plusieurs années et Apple n'a jamais voulu rien faire.

Une faille inquiétante pour la confidentialité

La découverte d'une vulnérabilité dans AirDrop a récemment fait le buzz dans l'actualité Apple. Cette faille, exploitée par un institut soutenu par l'État chinois, a révélé une brèche inquiétante dans la protection des données personnelles des utilisateurs qui émettent des fichiers à d'autres utilisateurs Apple. Plus alarmant encore, cette vulnérabilité n'était pas inconnue d'Apple, la firme de Cupertino étant au courant depuis 2019, ce qui laisse largement le temps pour faire travailler des développeurs afin de complètement supprimer la faille. L'exploitation de cette faille permet l'accès aux numéros de téléphone et aux adresses e-mail des utilisateurs, exposant ainsi leurs données personnelles à des risques de suivi et d'utilisation malveillante.

Dans des contextes politiquement sensibles, comme à Hong Kong, AirDrop s'est transformé en un outil de résistance au système. Les militants anti-gouvernementaux l'ont utilisé pour diffuser des informations sur les manifestations, échappant ainsi à la censure traditionnelle. Cet usage a naturellement attiré l'attention des autorités chinoises, motivées par le désir de contrôler l'information et de surveiller les activités anti-gouvernementales. La vulnérabilité d'AirDrop leur a fourni un moyen d'identifier les personnes impliquées dans la distribution des informations.

En 2021, Alexander Heinrich, un chercheur de la TU Darmstadt, a informé Apple de deux défauts majeurs dans le protocole d'AirDrop, malgré ces avertissements, la réponse d'Apple a été jugée insuffisante. Avec la sortie d'iOS 16, la société n'a pas complètement résolu le problème, laissant les utilisateurs dans une situation de vulnérabilité. Cette réponse tardive et incomplète d'Apple pose des questions sérieuses sur sa politique de gestion des failles de sécurité et sur son engagement envers la protection des données de ses utilisateurs. D'habitude l'entreprise est réputée pour être fiable et rapide dès qu'une faille lui est remontée, mais cette fois-ci c'est tout le contraire.

Avec l'exploitation de la faille par les autorités chinoises, Apple pourrait très rapidement boucher définitivement la faille d'AirDrop, ce qui provoquerait l'interruption de la récupération du numéro de téléphone et de l'adresse mail sur des personnes suspectées de participer à des mouvements anti-gouvernement. Pour l'instant, Apple ne s'est pas exprimé sur cette affaire.

Via