Zerodium, spécialiste du cyberespionnage pour le compte de gouvernements et institutions estime que les failles de sécurité sont désormais si nombreuses sur iPhone, qu’il n’est plus nécessaire d’acheter en permanence de nouvelles failles à des chercheurs. Et de conclure que la sécurité d’iOS est « foutue ».
Chyaoukri Bekar, patron de Zerodium, une firme qui vend des solutions de cyberespionnage à des gouvernements et forces de police, s’est attaqué dans l’un de ses tweets à la sécurité du système d’exploitation des iPhone. Il explique sur Twitter : « la sécurité d’iOS est foutue. Seuls les dispositifs de certificats d’attributs de privilèges (PAC) et de non-persistance tiennent et l’empêche d’atteindre zéro… on voit néanmoins pas mal d’exploits qui parviennent à contourner le PAC, et il existe quelques exploits autour de la persistance (0-days) qui fonctionnent sur tous les iPhone/iPads. Espérons qu’iOS 14 fera mieux ».
Dans le cadre de son activité, Zerodium achète en temps normal des failles 0-Day à des chercheurs, pour des montants compris entre 100 000 et 2 millions de dollars, en fonction de la sévérité de la faille. Les failles 0-day sont celles qui n’ont pas été encore officiellement découvertes et pour lesquelles il n’existe aucun correctif. Du coup en même temps que le tweet de Chyaoukri Bekar, Zerodium a également fait une annonce : « Nous n’achèterons plus de failles autour d’iOS LPE, Safari RCE ou d’évasion de sandbox pour les prochains deux ou trois mois ».
Zerodium précise que la décision a été prise « à cause du grand nombre de soumissions liés à ces vecteurs ». Et que par conséquent « les prix [des exploits] sans persistance vont vraisemblablement chuter dans un futur proche ». L’explosion du nombre de failles est un fait assez inédit et inquiétant pour iOS. Le système d’exploitation, nettement plus fermé qu’Android, est normalement considéré comme étant plus sécurisé que ce dernier. Apple garde néanmoins un avantage : si une faille est officiellement découverte, la firme peut très facilement et rapidement mettre à jour l’ensemble de son parc d’appareils.
