22/11
Phishing : les pop-ups d’identification d’Apple sur iOS sont falsifiables très aisément
Les pop-ups d’identification sous iOS auxquels sont habitués les utilisateurs des produits de la pomme seraient falsifiables relativement facilement et impossibles à différencier des originaux. C’est ce qu’un développeur vient de prouver.
Felix Krause, un développeur autrichien a réussi à reproduire à l’identique la fenêtre qui vous demande le mot de passe de votre compte Apple sous iOS en exploitant une faille dans le système d’authentification.
Les utilisateurs Apple sont habitués à voir apparaître régulièrement cette fenêtre sous iOS qu’il s’agisse d’un achat in-app ou d’une mise à jour du système ou encore lorsqu’une application souhaite accéder à iCloud : elle apparaît. Felix Krause ironise d’ailleurs en guise d’introduction si vous voulez le mot de passe d’un utilisateur Apple “il suffit de lui demander poliment, il va probablement vous donner ses informations car il est formé pour”.
Le développeur n’a pas détaillé la marche à suivre pour reproduire la fenêtre d’authentification mais il précise que cela nécessite “moins de 30 lignes de code” et “que chaque développeur iOS pourrait rapidement créer son propre code de phishing”.
La copie de la fenêtre étant parfaite il est impossible en l’observant de savoir s’il s’agit d’une tentative de phishing ou d’une demande réelle. Néanmoins le développeur donne quelques astuces pour s’assurer de la véracité de la fenêtre lorsqu’elle se présente.
Si quand vous appuyez sur le bouton home l’application se ferme et que la boîte de dialogue disparaît il s’agissait bien d’un faux. En effet “les boîtes de dialogue système s’exécutent sur un processus différent, et non au sein d’une application iOS” elles restent donc visibles après avoir appuyé sur le bouton home.
Une autre solution proposée est de ne pas utiliser ce pop-up et vous rendre directement dans Paramètres pour renseigner votre mot de passe. Felix met en garde également en précisant que lorsque l’on tape quelque chose dans cette boite de dialogue et qu’on utilise le bouton “annuler” l’application a tout de même acces aux caractères saisis.
Nul doute qu’Apple réagira rapidement et comblera cette faille.