Récemment, lors du Symposium IEEE sur la sécurité et la confidentialité, un groupe de chercheurs du laboratoire informatique de l'Université de Cambridge à propos d'une nouvelle vulnérabilité dans les smartphones qui permettait et permet toujours de surveiller les utilisateurs sur Internet. La vulnérabilité découverte s'est avérée irréversible sans l'intervention directe d'Apple et de Google et a été trouvée dans tous les modèles d'iPhone et seulement dans quelques modèles de smartphones fonctionnant sous Android. On le retrouve par exemple dans les modèles Google Pixel 2 et 3.
Les experts ont signalé la découverte de la vulnérabilité à Apple en août de l'année dernière et Google en a été informé en décembre. La vulnérabilité s'appelait SensorID et était officiellement désignée CVE-2019-8541. Apple a éliminé le danger identifié avec la sortie d'un correctif pour iOS 12.2 en mars. Quant à Google, il n'a pas encore répondu à la menace identifiée. Cependant, nous répétons encore une fois que si l’attaque SensorID a été facilement menée sur presque tous les modèles de smartphones Apple, très peu de smartphones sous Android se sont révélés vulnérables.
Qu’est-ce que SensorID ? D'après le nom, il est facile de comprendre que SensorID est un identifiant unique pour les capteurs. Une sorte de signature numérique de l'appareil, qui correspond dans la plupart des cas à un smartphone spécifique et appartient donc presque toujours à une personne spécifique.
Grâce aux efforts des chercheurs en sécurité, une telle signature était un ensemble de données sur l'étalonnage des capteurs magnétomètres, accéléromètres et gyroscopes (pour des raisons évidentes, la production de capteurs s'accompagne d'une dispersion de paramètres). Les données d'étalonnage sont écrites dans le micrologiciel de l'appareil en usine et vous permettent d'améliorer les performances des smartphones équipés de capteurs, en augmentant la précision du positionnement et la réponse du smartphone aux mouvements. Lors de la visualisation d'une page sur Internet à l'aide de n'importe quel navigateur ou lors du lancement d'une application, le smartphone entre vos mains reste rarement immobile. Les sites lisent librement les données d'étalonnage pour s'adapter au smartphone et cela se produit presque instantanément. Cet identifiant peut ensuite être utilisé pour suivre un utilisateur déjà identifié sur d'autres sites. Où il va, ce qui l'intéresse. Cette méthode est définitivement bonne pour la publicité ciblée. Aussi, par des actions simples, un tel identifiant peut être lié à une personne avec toutes les conséquences qui en découlent.
La vulnérabilité totale des smartphones Apple à l'attaque SensorID s'explique par le fait que presque tous les iPhones peuvent être classés comme des appareils premium, dont la fabrication, y compris l'étalonnage en usine des capteurs, est d'assez haute qualité. Dans ce cas, ce scrupule a fait défaut à l’entreprise. Même une réinitialisation d'usine n'efface pas la signature numérique SensorID. Les smartphones sous Android sont une autre affaire. Il s'agit pour la plupart d'appareils peu coûteux, dont les réglages d'usine sont rarement accompagnés d'un étalonnage des capteurs. En conséquence, la plupart des smartphones Android ne disposent pas de signature numérique pour mener une attaque SensorID, bien que les appareils haut de gamme soient garantis d'être assemblés avec la bonne qualité et puissent être attaqués sur la base de données d'étalonnage.
Source: 3dnews.ru