Selon plusieurs spécialistes, la faille concernerait la phase d’activation du VPN durant laquelle les données ne seraient pas protégées.
Plusieurs chercheurs en cybersécurité s’accordent à dire que, en raison d’une vulnérabilité sur iOS, les propriétaires d’iPhone ne seraient pas entièrement protégés lorsqu’ils installent un VPN. Cette faille existerait depuis plusieurs années et concernera probablement aussi l’iPhone 14, dont la sortie est prévue pour début septembre.
La procédure d’initialisation du VPN remise en cause
Michael Horowitz, un expert en sécurité informatique et blogueur, vient de publier un rapport confirmant que les VPN ne sont pas efficaces sur le système d’exploitation mobile d’Apple.
Il déclare avoir constaté des fuites de données massives avec plusieurs VPN différents lors de tests qu’il a réalisés depuis un iPad. Dans son billet, il indique alors : « Une inspection détaillée des données quittant l’appareil iOS, montre que le tunnel VPN fuit. »
Déjà en 2020, une faille similaire avait été signalée par l’entreprise ProtonVPN. Elle concernerait tous les iPhone tournant sous iOS 13.3.1 ou une version plus récente du système d’exploitation. Les conclusions rapportées par Michael Horowitz montrent que la vulnérabilité n’a jamais été comblée et court toujours.
Concrètement, tout viendrait de la phase d’activation du VPN. Durant cette étape, les connexions existantes ne seraient pas fermées et basculées instantanément dans un tunnel sécurisé, mais resteraient ouvertes pendant quelque temps. Certaines données seraient ainsi exposées, alors même que l’utilisateur pense qu’elles sont totalement à l’abri.
Peu de solutions possibles
Le spécialiste Michael Horowitz rappelle qu’il ne cherche pas à trouver la méthode qui permettra à Apple de combler cette faille et ne s’attend pas non plus à une réaction de la part de la firme de Cupertino. Il tient simplement à alerter sur l’inefficacité des VPN tiers sur iOS.
Il apporte néanmoins pour seule recommandation la possibilité de passer par un VPN sur un routeur plutôt que directement sur un iPhone.
Rappelons que, à ce jour, en dehors des outils de sécurité plus classiques comme les antivirus, les VPN sont vivement recommandés pour garantir la confidentialité des données. Les conclusions de ces chercheurs sont donc particulièrement regrettables. Face à un deuxième rapport choc, le groupe de Tim Cook réagira peut-être pour ouvrir la voie à des solutions de contournement de cette faille et permettre à chacun de mieux protéger ses données personnelles.
