VPN sur iPhone et iPad : le système laisse fuiter des données en dehors du tunnel
Des chercheurs en sécurité ont mis en lumière un problème de sécurité sur iOS 16 qui affecte les VPN sur iPhone. Ce problème de longue date n'est toujours pas corrigé par Apple ! C'est une mauvaise nouvelle, car cela signifie que le VPN peut laisser fuiter des informations en dehors du tunnel sécurisé en lui-même !
Apple effectue régulièrement des efforts pour améliorer la sécurité d'iOS, son système pour mobile. On peut citer par exemple la protection "Isolement " lancée par Apple en juillet 2022 dans le but de protéger les utilisateurs des logiciels espions. Une fonction qui n'a pas d'impact sur la partie VPN, mais qui montre qu'Apple fait des efforts en la matière. En effet, que le mode Isolement soit actif ou non, cela ne permet pas de sécuriser le tunnel VPN (c'est plutôt l'effet inverse).
À ce jour, les problèmes de sécurité liés aux tunnels VPN restent présents ! Les chercheurs en sécurité Tommy Mysk et Talal Haj Bakry sont là pour nous le rappeler, avec une nouvelle démonstration. Lorsque le tunnel VPN est initialisé, les connexions existantes ne sont pas réinitialisées, ce qui signifie que ces connexions continuent d'envoyer du trafic en dehors du tunnel VPN. Le flux en dehors du tunnel VPN peut être non chiffré, ce qui le rend vulnérable à certaines attaques, mais aussi à une éventuelle surveillance...
Toujours d'après ces deux chercheurs en sécurité, le mode Isolement a un effet néfaste et il empire la situation ! Lorsqu'il est activé, le trafic en provenance des notifications est envoyé en dehors du tunnel VPN, ce qui n'est pas le cas lorsque le mode Isolement est désactivé. En complément, lorsqu'un VPN est actif, l'appareil continue de communiquer avec les services d'Apple sans utiliser le VPN. C'est notamment le cas avec les applications Cartes, Plans, Santé, Apple Wallet ou encore l'Apple Store.
Update: The Lockdown Mode leaks more traffic outside the VPN tunnel than the "normal" mode. It also sends push notification traffic outside the VPN tunnel. This is weird for an extreme protection mode.
Here is a screenshot of the traffic (VPN and Kill Switch enabled) #iOS pic.twitter.com/25zIFT4EFa— Mysk 🇨🇦🇩🇪 (@mysk_co) October 13, 2022
Ce problème de sécurité affecte le système pour iPhone, à savoir iOS, ainsi que le système pour les tablettes iPad, à savoir iPadOS. Toutefois, elle ne semble pas nouvelle, car on en parle depuis iOS 13.3.1 disponible depuis janvier 2020 !
Pour le moment, Apple n'a pas communiqué à ce sujet. Quoi qu'il en soit, le VPN sur iPhone et iPad, c'est à éviter !
