Des millions d'Android sont exposés à des cyber-attaques

Les experts en sécurité ont découvert une faille de sécurité grave dans les téléphones Android qui pourrait laisser des millions d'utilisateurs vulnérables face aux pirates. La conclusion vient d'un chercheur en sécurité qui décrit comment faire sauter la protection par chiffrement des données sur les smartphones Android équipés de puces Qualcomm.

Chiffrer l’ensemble de ses données sur un support de stockage est un bon moyen de les protéger en cas de perte ou vol du dit support. Néanmoins, il n’est pas infaillible. Particulièrement sur les smartphones Android équipés de processeurs Qualcomm. C’est ce que démontre le chercheur en sécurité Gal Beniamini des Forces de défense israéliennes. Dans un document très détaillé, il indique comment contourner les systèmes de protection. Et plus particulièrement, « comment l’exécution du code TrustZone du noyau peut être utilisé pour briser efficacement le schéma de l’Encryption Full Disk d’Android », précise le chercheur. Le Full Disk Encryption (FDE), la technique de chiffrement du disque d’Android, est proposé par Google depuis la version 5.0 de l’OS mobile. Il permet de générer des clés de chiffrement maître et esclave de 128 bits. La clé maître, également appelée DEK (pour Device Encryption Key) est protégée par chiffrement à partir du mot de passe, du code PIN ou du schéma de déverrouillage choisi par l’utilisateur. La DEK est stockée sur le smartphone (ou la tablette) dans un espace non chiffré de l’appareil, le crypto footer. Et c’est là que le problème survient. À cause d’une faille dans les processeurs de Qualcomm.

Penser à une solution plus robuste

Le chiffrement de téléphone était au centre de la récente affaire du FBI impliquant Apple. En effet, les services secrets souhaitaient que l'entreprises débloque l’iPhone 5C d’un des tueurs de la fusillade de San Bernardino aux États – Unis. Selon Qualcomm, le « bug » n’est pas facile à corriger. La correction demandera probablement une modification de l’architecture des processeurs. Lesquels équipent aujourd’hui une majorité de smartphones Android de la planète. Néanmoins, le chercheur reste optimiste. « J’espère qu’en jetant la lumière sur le sujet, cette recherche va motiver les équipementiers et Google à se réunir pour penser à une solution plus robuste pour le FDE, écrit-il. […] Je crois qu’un effort concentré des deux côtés peut aider à rendre la prochaine génération d’appareils Android vraiment « inviolable ». »