En direct
Best of
Best of du 1er au 7 août
En direct
Articles populaires
Période :
24 heures
7 jours
01.

La dégringolade de la France dans le top 10 des puissances économiques mondiales est-il purement mécanique (lié à notre démographie et au développement des pays sous-développés à forte population) ou le reflet d’un déclin ?

02.

Franck Dubosc signe le pire score d'audience en prime-time de l'histoire de TF1

03.

Le télétravail va-t-il provoquer la fin de l'invulnérabilité des cadres sur le marché mondial du travail ?

04.

Du glyphosate concentré utilisé comme arme chimique pour détruire une exploitation bio

05.

Pourquoi le Coronavirus ne repartira plus jamais

06.

Le Liban sous mandat français ? Peut-être, mais est-on sûr que Macron soit de taille ?

07.

Coronavirus : ces mesures prises ailleurs dont la France aurait grand besoin pour maîtriser une rentrée à risques

01.

Pourquoi le Coronavirus ne repartira plus jamais

02.

Savez-vous pourquoi des centaines de "jeunes" se sont affrontés à Etampes ? Parce qu’ils étaient empêchés d’aller au bled

03.

Explosion de la violence en France : comment expliquer la faillite de l’Etat (puisque le Hezbollah n’y est pour rien ici...) ?

04.

Covid-19 : ce que les bonnes nouvelles en provenance de Suède et d’Italie pourraient nous apprendre pour maîtriser le retour du virus

05.

Loi bioéthique : le naufrage moral de l’amendement sur l’interruption médicale de grossesse

06.

Ces répliques du Hezbollah et de l’Iran auxquelles s’expose Emmanuel Macron

01.

Explosion de la violence en France : comment expliquer la faillite de l’Etat (puisque le Hezbollah n’y est pour rien ici...) ?

02.

Loi bioéthique : le naufrage moral de l’amendement sur l’interruption médicale de grossesse

03.

Edwy Plenel est en très, très grande forme : il assimile la police d'aujourd'hui à celle de Vichy en 1942 !

04.

La morphologie des dingos, des chiens sauvages d’Australie, a fortement évolué au cours des 80 dernières années, les pesticides seraient en cause notamment

05.

Covid-19 : ce que les bonnes nouvelles en provenance de Suède et d’Italie pourraient nous apprendre pour maîtriser le retour du virus

06.

Orange mécanique, le retour : mais que cachent ces tabassages en série pour des histoires de masques ?

ça vient d'être publié
pépites > Politique
Bras de fer démocratique
Biélorussie : la candidate d'opposition Svetlana Tikhanovskaïa demande à Alexandre Loukachenko de céder le pouvoir
il y a 14 min 31 sec
pépites > Terrorisme
Investigations
Attaque au Niger : le parquet antiterroriste français ouvre une enquête pour "assassinats en relation avec une entreprise terroriste"
il y a 1 heure 18 min
décryptage > Santé
Anticipation

Coronavirus : ces mesures prises ailleurs dont la France aurait grand besoin pour maîtriser une rentrée à risques

il y a 3 heures 27 min
décryptage > Politique
Disraeli Scanner

Traité d’antidiplomatie

il y a 4 heures 4 min
décryptage > International
Retour vers le passé

Le Liban sous mandat français ? Peut-être, mais est-on sûr que Macron soit de taille ?

il y a 4 heures 47 min
décryptage > France
La ruée vers l'Ouest

Quel impact des canicules sur l’immobilier ?

il y a 5 heures 1 min
décryptage > Histoire
Atlantico Business

Les femmes qui ont changé le monde et le cours de l’Histoire. Aujourd’hui, Cléopâtre

il y a 5 heures 29 min
pépites > International
Drame
Niger : six touristes français et leurs deux guides tués par des hommes armés
il y a 20 heures 38 min
pépite vidéo > Environnement
Cassandre
Canicule : le bulletin météo de 2050 basé sur des prévisions climatiques est déjà devenu réalité
il y a 22 heures 8 min
pépite vidéo > Europe
Les "jeunes" à la plage
Belgique : émeutes sur des plages pour cause de "distanciation" non respectée
il y a 23 heures 1 min
décryptage > Economie
Les entrepreneurs parlent aux Français

L'État, sauveur du jour, tueur du lendemain. Mr Darmanin est-ce l’image que vous voulez donner de votre mandat ?

il y a 36 min 45 sec
pépite vidéo > International
Liban
De nouveaux incidents à Beyrouth lors de manifestations, trois ministres ont démissionné
il y a 1 heure 46 min
décryptage > Economie
Baisse des prix

Le Covid-19 est déflationniste

il y a 3 heures 42 min
rendez-vous > High-tech
La minute tech
Incognito, vraiment ? Pourquoi la navigation en mode privé ne correspond pas vraiment à ce que vous croyez
il y a 4 heures 25 min
décryptage > High-tech
Fake news

Vidéos trafiquées : les deepfakes deviennent de plus en plus faciles à produire et de plus en plus crédibles

il y a 4 heures 53 min
décryptage > Economie
Classement

La dégringolade de la France dans le top 10 des puissances économiques mondiales est-il purement mécanique (lié à notre démographie et au développement des pays sous-développés à forte population) ou le reflet d’un déclin ?

il y a 5 heures 14 min
light > Media
Accident industriel
Franck Dubosc signe le pire score d'audience en prime-time de l'histoire de TF1
il y a 20 heures 25 min
pépites > France
Mais que fait la police ?
En moyenne, un maire ou un adjoint est agressé chaque jour en France
il y a 21 heures 51 min
pépite vidéo > International
Catastrophe écologique
Ile Maurice : des images aériennes montrent l'étendue de la marée noire qui menace
il y a 22 heures 24 min
rendez-vous > Science
Atlantico Sciences
Une galaxie au premier stade de l'évolution débusquée grâce à l'IA ; Voici ce qu'il se passe quand un trou noir ne « fonctionne » pas
il y a 1 jour 1 heure
© Reuters
© Reuters
Risques de piratages

Risques de piratages : ces 146 failles pré-installées sur les smartphones Android

Publié le 18 novembre 2019
Les dizaines de nouvelles vulnérabilités au « firmware », réparties sur 29 fabricants de smartphones Android, montrent à quel point ces appareils dernier cri sont en réalité peu sûrs.
Franck DeCloquement
Suivre
Vous devez être abonné pour suivre un auteur.
Abonnez-vous
«Vos abonnements garantissent notre indépendance»
Franck DeCloquement est praticien et expert en intelligence économique et stratégique (IES). Membre du CEPS (Centre d'Etude et Prospective Stratégique), de la CyberTaskForce et membre fondateur du Cercle K2, il est en outre professeur à l'IRIS (Institut...
Voir la bio
Ajouter au classeur
Vous devez être abonné pour ajouter un article à votre classeur.
Abonnez-vous
«Vos abonnements garantissent notre indépendance»
Lecture Zen
Vous devez être abonné pour voir un article en lecture zen.
Abonnez-vous
«Vos abonnements garantissent notre indépendance»
Les dizaines de nouvelles vulnérabilités au « firmware », réparties sur 29 fabricants de smartphones Android, montrent à quel point ces appareils dernier cri sont en réalité peu sûrs.

Atlantico : La société de sécurité « Kriptoware » annonce avoir découvert 146 vulnérabilités préinstallées potentiellement préjudiciables sur les téléphones fonctionnant sous Android. Quels peuvent-en être les risques ?

Franck DeCloquement : Les chercheurs de la société Kryptowire ont par exemple identifié le Galaxy S7 comme l'un des smartphones intégrant le plus de ces failles potentielles. Samsung conteste pourtant leur gravité. Bien connu des spécialistes, la sécurité de l’écosystème digital des appareils tournant sous Android – le système d'exploitation mobile fondé sur le noyau Linux, développé par Google et lancé en 2007 – a toujours été assez compliquée à garantir. D’autant plus, depuis que les experts spécialisés se penchent sur les « firmwares ». Lorsque l’on acquière un nouveau smartphone, on doit souvent compter avec la multitude d’applications préinstallées sur nos appareils. Et selon un rapport publié le 16 novembre dernier par la société d’expertise Kryptowire, une entreprise spécialisée en sécurité informatique, ces applications seraient aussi des nids à failles de sécurité. 146 failles de ce type auraient en effet été découvertes dans les firmwares d’au moins 33 fabricants de smartphones selon le magazine Wired. 

Mais qu’est-ce au juste qu’un « firmwares » ? Dans un système informatique, un « firmware » (ou micro-logiciel, microcode, logiciel interne, logiciel embarqué, ou encore microprogramme), est en réalité un programme intégré dans un matériel informatique (ordinateur, photocopieur, disque dur, routeur, automate API, APS, appareil de photo numérique, etc.) pour qu'il puisse fonctionner. Le « firmware » permet donc à un matériel informatique d’évoluer – via des mises à jour – et d'intégrer dans le temps de nouvelles fonctionnalités, sans avoir pour cela besoin de revoir complètement le design du hardware.  

Pléthores de ces vulnérabilités ont été retrouvées chez les fournisseurs d’appareils téléphoniques qui sont aussi, très souvent, d’obscures marques asiatiques… Mais également – et c’est beaucoup plus préoccupant – chez des acteurs institutionnels beaucoup plus connus du secteur de la téléphonie mobile, à l’image de Samsung, Asus, ou Xiaomi. Chez ces trois derniers opérateurs, les failles sont mêmes présentes en très grand nombre. Et selon Kryptowire, 33, 26 et 15 vulnérabilités auraient d’ailleurs été respectivement retrouvées chez eux. L’affaire est donc sérieuse. Parmi les 146 failles détectées, on découvre un peu de tout : des chargements de code à la volée, des exécutions de commandes, des installations d’applications, des enregistrements sauvages de voix/vidéo, des modifications de paramètres systèmes ou réseau. Pour les déceler, la société d’expertise « Kryptowire » s’est appuyée sur une plateforme qui scanne les firmwares de manière automatisée. Elle est non seulement capable de détecter les failles, mais aussi de fournir les éléments techniques pour quérir techniquement la preuve manifeste de celles-ci. Ce qui facilite aussi grandement les analystes quant à  la création d’exploits.

A l'heure ou sonnent partout dans les médias, le tocsin des augures sombres de la guerre digitale, comment se protéger de ce type d’actions malveillantes potentielles ?

Franck DeCloquement : Ce risque est toujours à gérer avec finesse. Ce dernier rapport montre que dans tous les cas de figure, les « firmwares » des différentes marques sont le nouveau talon d’Achille des fournisseurs de smartphones fonctionnant sous Android. Ceux-ci agrègent dans leurs surcouches une pléthore d’applications dont certaines proviennent très souvent en droite ligne d’éditeurs tiers. Mais la qualité logicielle intrinsèque de ces applications n’est visiblement pas assez testée par les laboratoires des marques, ou très peu mise à l’épreuve. 

Ce n’est toutefois pas la première fois que ce problème est en outre soulevé par les experts du secteur. Il s’agit même d’une sorte de « marronnier » que l’on retrouve périodiquement dans la presse informatique spécialisée. En août 2018, Kryptowire avait déjà publié une liste de 38 failles découvertes dans 25 smartphones de marques. En avril 2019, un groupe de chercheurs avait aussi publié les résultats d’une analyse de 82 501 applications préinstallées, avec un résultat plutôt calamiteux in fine. Cette problématique persiste également sur les écrans radars de la firme Google, qui passe très régulièrement les firmwares de ses partenaires au peigne fin depuis 2017. Mais visiblement, pour un résultat opérationnel très suffisant.

Pour les firmes impliquées telles que Samsung ou Asus, quels sont les dangers liés à la persistance de ces vulnérabilités ?

Franck DeCloquement : Résumons : enregistrer vos conversations, modifier les réglages de votre téléphone à votre insu, installer des applications malveillantes sans votre accord pour exécuter des commandes cachées, toutes ces opérations peuvent être ainsi concrètement mises en œuvre sur votre smartphone Android. Et ceci, avant même que vous le sortiez de son emballage. Les vulnérabilités détectées concernent pour l’essentiel la modification de certaines propriétés système et l’installation d’application. Mais pour pour 5,5 % d’entre elles, l’enregistrement audio également... Certaines d’entre elles ne sont pas directement accessibles, mais d’autres sont en revanche explorables à partir d’une application téléchargée du Play Store.

Interrogée par Wired, la firme Samsung conteste vivement les conclusions de Kryptowire. D’après le fournisseur sud-coréen, les 33 failles mises en avant dans le rapport ne pourraient pas être exploitées, grâce au cadre de sécurité d’Android. Les experts de la Kryptowire de leur côté ne sont pas d'accord : l’entreprise d’expertise estime que leur exploitation est bel et bien réalisable et parfaitement exécutable en l’état. Dans le cadre d’une d’infection virale ou d’une application malveillante, l’utilisateur pourrait intervenir. Mais comme l’a récemment indiqué le PDG de « Kryptowire » dans la presse, Angelos Stavrou, la situation est bien plus problématique et scabreuse lorsqu’il s’agit d’une application préinstallée : « Si le problème se situe à l’intérieur de l’appareil, cela signifie que l’utilisateur n’a pas d’options. Parce que le code est profondément enfoui dans le système lui-même. Et l’utilisateur ne peut rien faire pour supprimer la fonctionnalité en question. » Samsung a averti les fabricants concernés qui décideront de fournir une mise à jour… Ou pas.

Les commentaires de cet article sont à lire ci-après
Commentaires (0)
Ecrire un commentaire
Vous devez être abonné pour rédiger un commentaire.
Abonnez-vous
«Vos abonnements garantissent notre indépendance»
Nos articles sont ouverts aux commentaires sur une période de 7 jours.
Face à certains abus et dérives, nous vous rappelons que cet espace a vocation à partager vos avis sur nos contenus et à débattre mais en aucun cas à proférer des propos calomnieux, violents ou injurieux. Nous vous rappelons également que nous modérons ces commentaires et que nous pouvons être amenés à bloquer les comptes qui contreviendraient de façon récurrente à nos conditions d'utilisation.
*Toute validation est définitive, vous ne pourrez pas rééditer votre commentaire.
Pas d'autres commentaires