2013 sera-t-elle l’année des menaces sur la sécurité de nos mobiles ?

Si l'on en croit les spécialistes du secteur, les téléphones portables sont de plus en plus exposés aux cyber-attaques. En conséquence, les réflexions autour de la sécurité de ces derniers devraient être au cœur de l'actualité de l'année 2013.

Interrogé par le site mobilemarketer.com, John Ceraolo responsable de la sécurité chez 3Cinteractive, confirme les craintes des spécialistes : "La sécurité des mobiles prendra de plus en plus de place en 2013, les temps d'utilisation et notre dépendance à l'objet augmentant de manière exponentielle."

Parmi les menaces les plus sérieuses, on compte les traditionnels vers informatiques, les infections par "drive-by download" (infection d’un ordinateur par un logiciel malveillant lors d’une simple visite d’un site Web), les botnets (infection par un réseau de "machines zombies") et bien d'autres menaces concrètes.

Le système d'exploitation open source Android est actuellement sous le feu des critiques. Une impressionnante vague de logiciels malveillants déferle actuellement sur les systèmes Android en Chine et en Russie. Le taux d'infection des mobiles Android dans ces deux pays avoisine les 40%. Presque un mobile sur deux serait donc infesté, un chiffre qui fait froid dans le dos et qui alerte Google, le propriétaire du système d'exploitation, qui a récemment fait évoluer son système de défense sur les mobiles. Une stratégie tardive qui mettra du temps à impacter réellement sur les quelques 5441 "applications malicieuses" qui ont été recensées au sein du "market" de Google selon une étude réalisée par Kaspersky Labs.

Perspective encore plus sombre : il existe une possibilité de voir apparaître en 2013 un "ver de masse" qui serait capable de se propager lui-même sur le système Android à travers les SMS, si l'on en croit Ryan Naraine, chargé de la sécurité à Kaspersky Lab.

"Amenez vos propres mobiles"

Aux Etats-Unis, on connait ce phénomène sous le nom de "Bring your own device", littéralement "Amenez vos propres terminaux". Cette pratique consiste à utiliser ses équipements personnels (téléphone, ordinateur portable,etc.) dans un contexte professionnel. En 2013, les attaques qui utilisent comme entrée un téléphone professionnel pourraient devenir légion. "De plus en plus de sociétés permettent à leurs employés d'amener leurs propres appareils et de les relier au réseau de l'entreprise. Cela laisse planer un risque sur les données de l'entreprise si un logiciel malveillant parvient à s'introduire dans le système ou si le mobile est perdu ou volé.", précise Ryan Naraine.

Les attaques d’infrastructure constituent également une menace réelle pour l'année 2013. "Quand on parle d'attaques d'infrastructures critiques, beaucoup pensent qu'il s'agit obligatoirement d'infrastructures concernant l'électricité ou l'eau. Or, les inquiétudes autour de la colonne vertébrale qui assure la communication entre nos mobiles feraient mieux d’être abordées plus sérieusement par nos décideurs.", précise John Ceraolo pour mobilemarketer.com.

Dans un article publié sur le site internet de 3Cinteractive, le spécialiste en sécurité expose d'ailleurs 10 trucs et astuces pour protéger efficacement son téléphone mobile :

1 - Mettre en place un mot de passe sur son mobile, même pour la carte Sim. Pour savoir quel mot de passe choisir, c'est ici.

2- Ne pas "jailbreaker" son téléphone. Le déverrouillage/débridage d'un mobile est le meilleur moyen de perdre les barrières de sécurité installées dans sa version original.

3- Sauvegarder ses données. Sans sauvegarde, les fichiers perdus le seront pour toujours. Avec l'apparition des nouveaux systèmes de clouding, sauvegarder ses données est devenu un jeux d'enfant.

4- Connaitre l'origine des applications téléchargées. Privilégiez les applications "mainstream" et fuyez celles dont la source vous parait peu fiable.

5- Comprendre et savoir gérer les permissions. Quand votre téléphone vous pose une question, ne répondez pas toujours "oui". Essayez de rentrer dans le détail, d'étudiez ce que les applications vous demandent et vous imposent réellement.

6- Installer des applications de sécurité qui peuvent effacer votre téléphone à distance en cas de perte ou de vol. Elles fourmillent sur l'App Store et sur l'Android Market et certaines d'entre elles sont même gratuites.

7- Accepter les patchs et les mises à jour. Beaucoup de ces mises à jour ajoutent des barrières de sécurité ou comblent des failles répertoriées par les utilisateurs.

8- Faire attention au Wifi. Le caractère poreux des réseaux Wifi publics peut être dangereux. Si possible, optez plutôt pour un réseau 3G ou votre propre réseau Wifi.

9- Effacer les données avant de dire définitivement adieu à un appareil. Les nouveaux mobiles remplacent les vieux et souvent les propriétaires oublient d'effacer l'historique de leurs anciens téléphones. 

10- Toujours signaler un téléphone volé. Cela permettra à l'opérateur de bloquer l'appareil à distance, le rendant alors complètement inutile pour un voleur.

Trois questions à Hervé Debar, professeur à Télécom SudParis et responsable du département Réseaux et Services de Télécommunications (RST) et à Hervé Sibert, spécialiste et architecte chargé de la technologie Sécurité au sein de ST-Ericsson.

Atlantico : Devons-nous être particulièrement inquiets par une recrudescence des attaques malveillantes sur les mobiles en 2013 ?

Hervé Debar : Oui, ces objets sont des cibles de choix, pour de multiples raisons: relative faiblesse de la sécurité, utilisateurs peu avertis et peu méfiants, puissance de calcul et connectivité, nombreuses informations exploitables pour d'autres attaques (informations personnelles comme adresse et numéro de téléphone, localisation, liste détaillée d'amis, etc.)

Hervé Sibert : Les menaces mentionnées dans l’article sont réelles, et effectivement, il y a de nombreuses raisons d’être inquiet pour l’année 2013. Les vulnérabilités ne vont cependant probablement pas être beaucoup plus élevées en 2013 qu’en 2012, et au contraire je pense que la robustesse des trois ou quatre principaux systèmes d’exploitation mobiles (Android, iOS, Windows, Blackberry) va croissant. Reste que l’intérêt des attaquants pour ces OS croît aussi, particulièrement les deux plus gros (Android et iOS), sur lesquels on peut effectivement parier sur une recrudescence des attaques, exploitant non pas forcément de nouvelles failles, mais des vulnérabilités connues et du social engineering (phishing etc…). Et il est clair que derrière le BYOD se cache un besoin de sécurisation énorme, sans laquelle cette pratique est extrêmement risquée.

Comment expliquez-vous que la plateforme Android soit si touchée par les attaques malveillantes ? Que fait Google pour palier à ce problème ?

Hervé Debar : Android est une plate-forme ouverte dont l'essor est formidable. L'attaquant privilégie la facilité, donc le volume et l'existence de vulnérabilités. Les fabricants de terminaux font la course à la fonctionnalité, donc prennent des raccourcis, donc encore plus de vulnérabilités. Contrairement aux plates-formes PC, la culture de la maintenance logicielle (mises à jour) reste à la traîne  De plus, la sécurité de ces plates-formes est intrinsèquement plus faible, en raison de certaines faiblesses et jeunesses de la plate-forme Android.

Comment s'en sort Apple ? L'iPhone est-il vraiment plus sécurisé ?

Hervé Debar : Apple maintient un écosystème plus fermé que celui de Google, mais les problèmes sont extrêmement similaires. La seule question est le facteur d'échelle, la diffusion du produit.

Hervé Sibert : Comme mentionné ci-dessus, Apple s’en sort mieux grâce au fait qu’il ne pâtit pas des inconvénients du modèle Android : iOS fonctionne sur une plateforme matérielle unique, la gestion des versions est simplifiée et le déploiement des mises à jour est beaucoup plus pro-actif et aligné entre les différents modèles. A noter aussi que les utilisateurs d’iOS sont largement incités et volontaires pour mettre à jour leurs appareils et rester à la page, tandis qu’une nouvelle version d’Android ne fait pas autant de bruit qu’une nouvelle version d’iOS.Cependant, non, l’iPhone n’est pas beaucoup mieux sécurisé. Le garde-fou de l’examen des applications de l’AppStore, et l’obligation (hors jailbreak) de passer par l’AppStore pour installer des applications, joue un rôle crucial sans lequel l’iPhone serait, je pense, en très mauvaise posture. Et le pendant de la quasi-unicité d’iOS est que si une vulnérabilité générique, accessible via une interface facilement accessible (bug dans le browser exploitable par un serveur, ou dans la couche de communication modem ou Wifi), est découverte par une organisation malveillante, une attaque de grande ampleur pourrait avoir lieu.

Les conseils distillés par John Ceraolo vous paraissent-ils pertinents ?

Hervé Debar : Je suis totalement d'accord avec les conseils n° 2, 4, 7, 8 et 10.

Concernant le premier conseil, je tiens à préciser qu'il convient d'utiliser 2 codes PIN différents, l'un pour le mobile (qui sera souvent saisi donc qui peut être facilement vu par d'autres) et l'autre pour la carte SIM (saisi moins fréquemment mais plus sensible).

Sur le troisième, il est nécessaire de préciser un point : sauvegarde oui, dans le cloud non. Une information sauvegardée dans le cloud est une information qui est au mieux donnée à l'hébergeur pour du marketing de masse, au pire disponible sans contrôle pour desutilisations malveillantes. Il me semble plus pertinent d'effectuer des sauvegardes chez soi.

Sur le cinquième, je serai plus nuancé. Les permissions sous Android sont incompréhensibles pour un utilisateur non initié, et sont de granularité bien trop grande pour un utilisateur expert. Le seul vrai choix, c'est l'installation ou non, les permissions sont aujourd'hui difficilement utilisables. Par exemple, sous Android on ne peut que donner l'accès réseau globalement (donc une application peut utiliser toute la connectivité qu'elle désire quel que soit le coût ou la bande passante disponible). L'accès aux informations personnelles, notamment agenda, localisation, carnet d'adresses, est également globalisé. Enfin, toutes les applications abusent dans leurs demandes de permission. Le système d'Apple est un peu meilleur de ce coté, mais reste difficile pour un utilisateur non initié. Il convient également de noter que c'est cohérent avec l'ensemble des pratiques de l'internet (voir les différentes histoires "Facebook" et politique de confidentialité), et que ces paramètres dépendent de la sensibilité de l'utilisateur, qui change au cours du temps. L'utilisateur en vieillissant devient conscient de la valeur de ces données, mais ce qui est publié l'est souvent de manière irréversible et intemporelle.

Je ne suis pas d'accord avec le sixième conseil. Pour la plupart d'entre elles, ces applications sont du "scareware". Elles sont peu efficaces (même celles des grands noms du domaine), et facilement contournables car l'adhérence au support matériel est très faible.

Concernant le neuvième conseil, je crois que la seule vraie solution consisterait à mettre l'appareil dans un électro-aimant, ce qui a des conséquences ... Autrement, il reste relativement facile de récupérer des données qui ont l'apparence d'être effacées.

Voici pour finir un conseil de mon cru : faites attention aux données de géolocalisation, qui deviennent une cible privilégiée, et dont certains réseaux sociaux demandent l'utilisation. Ces données ne devraient pas être autorisées à d'autres applications qu'une cartographie/GPS, et si possible désactivées dés que possible, car le téléphone les stocke et les transmet fréquemment.

Hervé Sibert : Ces conseils me semblent pertinents mais pas toujours réalistes. De nombreux conseils sont en effet un substitut à une action bien plus bénéfique dont la responsabilité incomberait à Google et aux fabricants.

J’ai quelques remarques sur les conseils suivants :

>> 8 - Très bon conseil, mais là encore un peu un vœu pieu. C’est ici que le BYOD peut en fait apporter de la sécurité, en forçant à utiliser un VPN pour se connecter via des réseaux Wifi inconnus, et finalement établir un tunnel sécurisé qui repasse par le réseau corporate pour donner accès à internet, tunnel qui est inintelligible par les attaquants qui sont connectés au même réseau wifi.

Deux conseils additionnels :

-         pour les utilisateurs avertis, mieux vaut se renseigner et choisir un appareil dont à la fois la base matérielle (plateforme processeur) et le portage Android effectué par le fabricant sont robustes. En effet, les conseils 6 et 10 ne seront utiles que s’il est difficile pour le voleur de reflasher le téléphone ou d’en prendre le contrôle.

-         activer le chiffrement du stockage, si la fonctionnalité est disponible. Par exemple, sur Android, cela assurera qu’un voleur ne puisse pas accéder à vos données après un reflashage du logiciel du téléphone.

Propos recueillis par Jean-Benoît Raynaud