Touch ID : pas la panacée, mais une amélioration du niveau moyen de sécurité
Il n’aura fallu que quelques jours pour que le système Touch ID, l’innovation majeure du nouvel iPhone, ne soit contourné.
Il n’aura fallu que quelques jours pour que le système Touch ID, l’innovation majeure du nouvel iPhone, ne soit contournée. Le groupe CCC a été le premier à publier une technique de hack, et à qualifier l’utilisation d’empreintes digitales comme une méthode de sécurité « complètement stupide ». Comme le rappelle de son côté le chercheur Marc Rogers, il faut toutefois prendre du recul par rapport à cette vision des choses…Il est certain qu’une approche radicale de la sécurité informatique voudrait que chacun utilise des mots de passe très complexes et très longs. Cela ne sera jamais le cas, en particulier dans le grand public. Pire : des contraintes trop fortes amèneront un rejet pur et simple des solutions de sécurité.
De manière plus pragmatique, si les nombreux utilisateurs de smartphones, qui n’avaient jusqu’ici aucun mot de passe, utilisent le déverrouillage par empreinte digitale, Touch ID et ses concurrents de demain représenteront une avancée en termes de sécurité. Il apparaît tout de même plus complexe d’imiter une empreinte digitale avec du matériel spécifique que de casser (ou d’espionner par–dessus l’épaule) un mot de passe qui se limite souvent à 4 chiffres et qu’un logiciel pourrait contourner en quelques secondes !
A noter que l’utilisation de Touch ID s’accompagne nécessairement de la définition d’un code de déverrouillage, utilisé comme solution alternative si la lecture d’empreintes ne fonctionne pas pour une quelconque raison. Ce code est également exigé lorsque le téléphone est redémarré, ou n’a pas été déverrouillé depuis plus de 48 heures. L’une des clés de l’utilisation sécurisée de Touch ID est peut-être là : il faudra conseiller aux utilisateurs de choisir un code de secours particulièrement long et complexe. Cela ne sera pas forcément vu comme une contrainte, puisqu’il ne sera presque jamais utilisé.
Si l’on adopte d’ailleurs une démarche classique d’analyse des risques de sécurité, on peut distinguer en première approche trois cas de figure :
- Si une personne malveillante vole le téléphone pour le revendre, il n’y a aucune différence entre les différentes méthodes de sécurité : c’est le matériel qui l’intéresse.
- S’il s’agit d’une volonté d’accéder aux données par une personne disposant de peu de moyens, Touch ID semble être un moyen plus robuste qu’un code de déverrouillage, surtout avec un code de secours complexe.
- S’il s’agit d’une attaque par un groupe disposant de moyens conséquents, ce n’est ni une empreinte digitale, ni un mot de passe même robuste qui stoppera l’attaque sur ce type de terminal.
Touch ID n’est donc pas la panacée de la sécurité informatique
Mais permet (en l’état actuel des connaissances sur le système) de faire progresser le niveau de sécurité moyen de ces terminaux tout en privilégiant l’ergonomie.Pour les entreprises, il ne sera pas possible, avec les prochaines fonctions MDM autorisées par Apple, de forcer un utilisateur à l’utiliser : la fonction pourra être soit interdite, soit autorisée, mais pas obligatoire.
Si Touch ID focalise l'attention, il ne faut pas oublier que l'iPhone 5s et iOS7 permettent d'autres avancées en terme de sécurité et de gestion : le processus 64 bits offre de nouvelles possibilités (notamment en termes de virtualisation sécurisée), les applications tierces (non développées par Apple) disposent des mêmes mécanismes de chiffrement de données que les applications Apple.
De nouvelles fonctions de MDM font leur apparition : celles qui permettent de bloquer les nouvelles fonctions (Touch ID, AirDrop…) et celles qui offrent de nouvelles possibilités – comme monter une connexion VPN dédiée par application, bloquer la réactivation d’un téléphone perdu ou volé même après qu’il soit effacé…