Apple et le FBI viennent d’échanger une nouvelle passe d’armes. L’agence a fourni au tribunal ses arguments pour attaquer les points soulevés par l’entreprise dans son objection au tribunal. Un document au ton très particulier qui a provoqué chez Apple un certain agacement.
Au cœur du débat, on trouve un iPhone 5c verrouillé dont les données chiffrées intéressent le FBI au plus haut point. Le smartphone a été récupéré sur l’auteur de la fusillade de San Bernardino, Syed Rizwan Farook, en décembre dernier. Sans posséder le code à quatre chiffres, les enquêteurs sont bloqués. Le FBI exige donc d’Apple qu’elle s’occupe de cet appareil et en extrait les données via un outil spécifique.
Apple, soutenue pas de nombreuses entreprises, refuse catégoriquement, par crainte d’un précédent : rien n’empêcherait le FBI de lui envoyer par la suite tous les appareils impliqués dans des affaires (200 pour le seul État de New York). L’entreprise s’est donc opposée à l’ordonnance du tribunal, en focalisant sa défense sur la mauvaise utilisation faite de la loi All Writs Act. Cette dernière permet de requérir l’aide d’une entreprise à moins que cela ne représente une charge excessive pour elle. Un point sur lequel un juge de New York a déjà donné raison à Apple dans une autre affaire.
Ce qui est demandé à Apple ? Une simple broutille
La réponse de l’agence fédérale était attendue. Son contenu n’est finalement pas surprenant, mais le ton dénote. Rédigée par la procureur fédérale Eileen Decker, elle contient une liste d’exceptions attaquant point par point les arguments soulevés par Apple, le tout émaillé d’un certain nombre de répliques ironiques, voire sarcastiques.
L’un des principaux points abordés est d’abord l’All Writs Act. Pour le FBI, la charge réclamée à Apple n’est en rien excessive. L’agence estime qu’il ne faudrait pas plus de dix personnes pour concevoir la solution technique. Une véritable goutte d’eau dans les 100 000 employés de la société. Un point intéressant, mais qui occulte deux informations cruciales.
D’une part, il faudrait se limiter au nombre d’employés capables de plonger dans les entrailles d’iOS pour en modifier les fonctionnalités de sécurité. On peut sans doute estimer que le pourcentage est de fait assez faible, puisqu’il faudrait chercher dans les ingénieurs travaillant directement à la conception du système. D’autre part, le FBI ne répond pas sur le danger pour l’entreprise de briser la confiance de ses clients en perçant ses propres défenses, avec un impact potentiel sur son chiffre d’affaires.
Par ailleurs, le FBI accuse Apple de chercher par tous les moyens à faire croire que l’affaire va plus loin qu’un seul iPhone, provoquant l’angoisse d’un précédent qui mettrait tous les smartphones en « danger ». Pourtant, c’est bien le directeur du FBI en personne, James Comey, qui avait fini par indiquer que la décision du tribunal, quelle qu’elle soit, influerait forcément sur les autres affaires en cours.
Le FBI insiste sur l'aspect raisonnable de sa requête
Le document aborde un peu plus loin le point central de la demande du FBI : ce qui est demandé à Apple. L’agence tient ainsi à rappeler qu’elle a expressément demandé une solution ne pouvant fonctionner que sur l’iPhone 5c, afin qu’une éventuelle fuite ne puisse pas se retourner contre l’entreprise. Elle souligne également que le logiciel, même s’il devait s’échapper des mains de son créateur, ne pourrait pas fonctionner avec d’autres, du fait d’une signature numérique unique, correspondant à l’appareil pour lequel elle a été conçu.
Dès lors, pourquoi refuser une requête si raisonnable ? D’autant qu’Apple n’est pas étrangère aux accommodations. En Chine par exemple, la firme a accepté que les données des comptes iCloud soient stockées sur des serveurs locaux. En outre, Apple a déjà fourni les données stockées dans 4 000 iPhones aux forces de l’ordre chinoises. La résistance au FBI n’a donc pas lieu d’être selon Eileen Decker, d’autant que la manière dont les enquêtes sont conduites sur le sol américain ne devrait pas être influencée par le danger d’une tâche d’huile à l’étranger. Une remarque qui concerne la crainte d’Apple que les autres ne fassent des demandes semblables, et ce pour tous les constructeurs.
L'erreur du mot de passe iCloud n'en était pas vraiment une
Le document aborde également le cas de la sauvegarde iCloud, qui n’avait pas pu être faite à cause d’un changement de mot de passe. Il est révélé qu’une autre demande avait déjà été faite le 22 octobre, soit un mois et demi avant les évènements tragiques de San Bernardino. La dernière sauvegarde datant de trois jours avant, le document indique que même si les données avaient pu être récupérées, elles n’auraient pas nécessairement servi à grand-chose. Un argument curieux, puisque le FBI a bel et bien reconnu avoir commis une erreur sur ce point la semaine dernière.
Le FBI accuse également Apple de ne pas avoir montré de bonne volonté dans l’aide fournie au FBI. Dans un document regroupant les déclarations secondaires, un agent du FBI indique ainsi que le responsable Apple Erik Neuenschwander (qui s’occupe de la vie privée) a refusé toute discussion sur la faisabilité technique de ce qui était demandé. À la place, il aurait fourni une liste de manipulations à effectuer. Le FBI indique que les agents les avaient déjà tentées, mais qu’elles ont été reproduites par sécurité, sans plus de résultats.
Apple dénonce « de fausses accusations et insinuations »
Évidemment très vite informée de ce document, Apple n’a guère mis de temps à réagir. La réponse est venue à peine quelques heures plus tard, par la voix de Bruce Sewell, directeur juridique de l’entreprise, lors d’une conférence de presse organisée pour l’occasion.
Sewell a indiqué ne pas comprendre pourquoi le document ressemblait tant à une « mise en cause », alors même qu’Apple a été saluée plusieurs fois pour sa coopération dans les enquêtes, y compris par James Comey en personne. Pourquoi dès lors s’employer à salir la réputation de l’entreprise avec « de fausses accusations et insinuations » ? Il déplore « une allégation selon laquelle Apple aurait délibérément effectué des changements pour bloquer les demandes d’accès des forces de l’ordre », qu’il trouve particulièrement « choquante ».
Concernant les allégations sur la Chine, elles sont décrites comme « ridicules », insinuant qu’il existerait « une sinistre relation » avec le pays asiatique. Par ailleurs, bien que les données iCloud soient stockées en Chine, elles sont chiffrées et ne sont accessibles qu’à travers un processus juridique américain. On signalera cependant que le chiffrement des données iCloud dépend d’une clé qu’Apple possède bel et bien, et que l’entreprise peut tout à fait fournir ces informations en cas de mandat. Par ailleurs, Sewell ne répond pas sur les 4 000 iPhone mentionnés par la réponse du FBI.
Apple n’est ni « le diable » ni « anti-américaine »
Apple indique ne pas comprendre ce « coup bas » du FBI : « Nous aidons quand on nous le demande. Nous sommes honnêtes sur ce que nous pouvons faire et ne pas faire ». Pour Sewell, la réponse du FBI cherche surtout « à cacher les vrais problèmes ». D’ailleurs, plutôt que de garder la tête froide, le responsable a décidé de rester dans le ton de la réponse de l’agence : « Je ne peux qu’en conclure que le département de la Justice est désespéré au point d’en oublier complètement le protocole ».
Sewell se veut en tout cas clair sur un point : « Nous ajoutons des fonctionnalités de sécurité pour protéger nos clients des pirates et des criminels. Le FBI devrait nous soutenir sur ce point puisqu’il s’agit de garder tout le monde en sûreté. Suggérer le contraire est dégradant ». Le responsable l’affirme d’ailleurs : l’entreprise n’est ni « le diable » ni « anti-américaine », sous le seul prétexte qu’elle s’oppose au département de la Justice.
Rendez-vous le 22 mars au tribunal
En dépit de cette longue liste de points d'opposition, il n’est pas certain que le débat ait gagné en profondeur. Le ton de la réponse du FBI est globalement corrosif et teinté de condescendance, Bruce Sewell ayant suivi avec quelques sarcasmes à son tour. Pour autant, et encore une fois, les deux camps risquent de batailler sur des points précis de lois, alors que le contexte législatif rend justement très difficile de trancher une telle affaire.
Comme déjà indiqué, un juge de New York a donné raison à Apple sur sa critique de l’utilisation faite de l’All Writs Act. Le magistrat estimait ainsi que le FBI cherchait à obtenir par les tribunaux des pouvoirs expressément refusés l’année dernière par le Congrès américain lors du vote sur la loi CALEA II. Dans sa réponse à Apple, le FBI nie un tel acte, insistant sur le caractère unique de la demande. Un soupçon de mauvaise foi, car il est impossible qu’une affaire aussi importante n’ait pas de répercussions sur les autres enquêtes impliquant des iPhone verrouillés.
Apple n’a que jusqu’au 15 mars pour rédiger sa réponse. Le 22 mars, l’entreprise fera face au FBI au tribunal de Riverside pour enregistrer les dépositions. La décision du juge, quant à elle, pourrait prendre plusieurs mois.
Commentaires (32)
#1
Après la série fleuve Apple VS Samsung, maintenant que l’histoire s’essouffle, ils font un spin-off Apple VS FBI?
" />
Ils ont trop regardé Stargate, les californiens?
#2
Résumé de l’affaire:
#3
Risin’ up, back on the street
Did my time, took my chances
Went the distance now I’m back on my feet
Just a man and his will to survive
So many times it happens too fast
You trade your passion for glory
Don’t lose your grip on the dreams of the past
You must fight just to keep them alive
It’s the eye of the tiger
It’s the thrill of the fight
Rising up to the challenge of our rival
And the last known survivor
Stalks his prey in the night
And he’s watching us all
With the eye of the tiger
…
#4
On est vendredi,il reste à profiter du pop corn.
#5
Evidemment je me range du côté d’Apple même si je ne suis pas un Apple Fan boy.
#6
merci, c’est sympa en ce début de week-end.
" />
#7
Petite question…
Qu’est ce qui empêche le FBI de réaliser une empreinte binaire de tout l’espace de stockage de cet iphone,
De faire leur 10 tentatives, puis de restaurer l’empreinte à chaque fois que ça échoue ?
Parce que bon, je ne crois pas que les composant de stockage de l’iphone aient un système made in apple propriétaire, c’est comme partout ailleurs, une suite de 0 et de 1…
Du coup, qu’est ce qui les empêchent de faire cette copie, et de rejouer autant qu’ils veulent.
et j’irai même plus loin. avec tous les moyens qu’ils ont, ils pourraient même reproduire un iphone en système logiciel, pour automatiser tout ça. (on sait bien émuler une PS2).
(et c’est une question, pas un troll).
#8
#9
En fait, le problème n’est pas technique. Le FBI pourrait le résoudre, au pire en demandant l’aide de la NSA qui sait sans aucun doute le régler. En plus, l’iphone en question ne contient probablement aucune information susceptible d’aider le FBI.
Non, le problème est que le FBI veut un moyen juridique pour forcer les entreprises à briser la sécurité de leur systèmes sur demande, pour gagner du temps. CALEA II a échoué dans ce but, ils tentent une autre voie.
#10
#11
Moi je pense que la backdoor existe déjà,
c’est juste un cinéma pour protéger le business de la silicon valley
#12
+1
https://reflets.info/apple-versus-fbi-le-choc-des-pipeaux/
#13
Très INtéressant! Merci pour le partage!
" />
#14
#15
Cette affaire juridique en pleines Primaires présidentielles, ça ressemble à un débat public FBI (Républicains) vs Apple&SiliconValley (Démocrates).
#16
#17
#18
Pour la défense d’Apple (je ne pensais pas dire ça un jour), le bypass ne permet pas de déverrouiller le téléphone, mais juste de permettre une attaque par bruteforce.
Le souci c’est que la taille du mot de passe est limité (4 chiffres), et donc le bruteforce est très facile.
Mais il n’y a pas de solution miracle.
Soit le système est résistant mais il faut un mot de passe compliqué que les gens vont perdre/oublier.
Soit le système a un mot de passe simple et une limitation sur le nombre d’essais, mais du coup un point faible qui est le « gestionnaire » de limitation.
C’est la même chose avec les cartes bleue.
#19
#20
#21
#22
Pour la partie SIM/CB/etc… y’a la puce, et après y’a ce qu’on appel l’OS et les softs.
Si y’a pas de faille hard das la puce, alors c’est pratiquement impossible de capter le PIN qui est stocké chiffré sur le support.
Quand tu tapes ton code de CB, le lecteur envoi un hash du code, la carte répond simplement “oui” ou “non”. a chaque fois que tu “crames” un code, c’est écrit dans une portion de la carte, au bout de 3, le lecteur reçoit l’ordre de zigouiller la puce, données perdues.
Le soucis du brutforce c’est de pouvoir le faire sur un algo factorisable/faible.
Pour le moment, et officiellement, l’AES 256 avec des “mots” de 128bits est inviolé. y’a eu une factorisation, ce qui fait qu’il est passé d’un chiffrement réel de 256 à 254 bits de mémoire.
#23
pourquoi le FBI n’utilise pas une dizaine de leurs stagiaires pour cracker le téléphone? Ca leur ferait gagner du temps et de l’argent.
Voir même demander à leur responsable de la propreté des bâtiments du FBI, encore meilleur marché qu’un vendeur lambda qui ne sait pas comment fonctionne les produits qu’ils doivent vendre
#24
En fait si APPLE peut, c’est inquiétant.
Créer un mécanisme de stockage crypté qui résiste à une attaque avec un avantage mieux que 1⁄2^100 est assez facile en principe (mais une mauvaise implémentation peut tout ruiner en ouvrant la porte à des attaques de type timing par exemple) et c’est largement dans les compétences des gars d’Apple.
Si c’est le cas, je ne vois pas ce qu’Apple peut faire pour le FBI, sauf peut-être pousser une update dans tous les iPhones pour qu’ils fassent une attaque distribuée sur des millions de processeurs.
En dehors de ça seule la NSA ou une organisation mafieuse ayant la main sur des millions de PC “zombies” infectés par un virus a la puissance de calcul (et encore il faudra être patient).
#25
#26
#27
Potentiellement, y’a toujours un moyen, mais tu vas faire des essais sur des puces dont tu n’as rien à faire pour valider al théorie.
Généralement ce type de méthodes utilise le refroidissement partiel ou total de la puce pour suivre les changements d’états.
Pour les histoires de code, si c’est en dur dans la puce, ça ne peux pas se changer.
Si c’est dans la partie “soft” de la puce, avec le bon logiciel et en écrivant au bon endroit avec les bonnées clés (si la zone est chiffrée) tu peux le modifier. Mais ça fait beaucoup de “si”.
Après, pour les soucis de chiffrement, tout dépend du type d’algo utilisé et l’implémentation faite.
La remarque st valable aussi pour la partie NFC des téléphones et des CB d’ailleurs, où des cartes sans contact de transport, que ce soit sur Paris, Londre, New York, Tokyo, …
#28
#29
#30
#31
L’industrie (et donc ses clients, cád nous) a tout à perdre et rien à gagner, évidemment.
Et je ne dis pas qu’ils ont l’obligation de donner accès à leur système, mais que le FBI le cherche en provoquant un effet levier par cette affaire. Ce n’est pas comme si toutes les agences gouvernementales US ne le réclamaient pas depuis des mois après le tollé provoqué par l’affaire Snowden.