Des chercheurs universitaires ont découvert une vulnérabilité importante au sein des puces informatiques de la série M d’Apple, mettant potentiellement en danger la sécurité des clés cryptographiques privées.
Le même jour, le ministère américain de la Justice (DOJ) a déposé une plainte antitrust contre le fabricant d’iPhone, alléguant des pratiques monopolistiques préjudiciables aux consommateurs, aux développeurs et aux concurrents.
La vulnérabilité
L’équipe de recherche a identifié la vulnérabilité du préfetcher dépendant de la mémoire (DMP) des puces.
George, analyste crypto expliqué que DMP est une optimisation matérielle qui anticipe et précharge les données dans le cache du processeur avant la demande. Cependant, il est confronté à un problème dans lequel il confond parfois des données sensibles, telles que des clés de chiffrement, avec des adresses mémoire.
Ce phénomène, connu sous le nom de « pointeurs de déréférencement », crée une vulnérabilité appelée « attaques par canal secondaire ».
Les chercheurs ont démontré la capacité d’extraire diverses clés de chiffrement, notamment RSA, Diffie-Hellman, Kyber et Dilithium, en 1 à 10 heures à l’aide d’une attaque GoFetch. Cependant, cet exploit nécessite des applications de chiffrement malveillantes et ciblées pour fonctionner sur le même cluster de processeurs.
Pour que l’attaque réussisse, l’application malveillante doit fournir des entrées à l’application de chiffrement et l’inviter à exécuter des opérations, divulguant ainsi progressivement la clé. Cet exploit est interactif plutôt que passif et doit contourner les mesures de sécurité macOS pour fonctionner sur le système.
Malheureusement, corriger ce défaut n’est pas simple car il provient de la conception microarchitecturale des puces, ce qui les rend impossibles à patcher. Cependant, la mise en œuvre de mesures défensives au sein d’un logiciel de chiffrement tiers peut atténuer le risque.
Problèmes juridiques
Les autorités américaines, soutenues par 16 procureurs généraux d’État, ont intenté des poursuites judiciaires contre Apple pour son modèle économique de « jardin clos », qui a contribué à établir un monopole prétendument illégal sur le marché des smartphones.
Le procès alléguait qu’Apple avait mis en œuvre « des règles et des restrictions changeantes dans ses directives de l’App Store et ses accords de développement qui permettraient à Apple d’obtenir des frais plus élevés, de contrecarrer l’innovation, d’offrir une expérience utilisateur moins sécurisée ou dégradée et de limiter les alternatives concurrentes ».
Ils ont ajouté que ces règles répressives étaient appliquées à divers produits, notamment la messagerie texte, les montres intelligentes et les portefeuilles numériques, entre autres.
Les membres de la communauté crypto ont souligné l’importance de ce procès pour l’industrie, avec Hish Bouabdallah, le fondateur de Tribes Protocol, en disant:
« Si Apple perd cette bataille, cela pourrait ouvrir la voie aux paiements cryptés aux États-Unis, permettant des transactions transparentes en utilisant des services comme Coinbase Wallet avec un simple double clic et FaceID. »