Apple introduit le chiffrement de bout en bout pour la plupart d’iCloud • The Register

Apple affirme qu’il fournira un cryptage de bout en bout pour la plupart des services iCloud, après avoir abandonné son plan précédemment annoncé – puis discrètement mis de côté – pour vérifier la légalité des photos sur l’appareil avant la synchronisation dans le cloud.

Cupertino a annoncé mercredi trois améliorations de sécurité, dont l’une appelée Advanced Data Protection. “Advanced Data Protection est le plus haut niveau de sécurité des données cloud d’Apple, donnant aux utilisateurs le choix de protéger la grande majorité de leurs données iCloud les plus sensibles avec un chiffrement de bout en bout afin qu’elles ne puissent être déchiffrées que sur leurs appareils de confiance”, a expliqué Ivan Krstić, responsable de l’ingénierie et de l’architecture de la sécurité chez Apple, en une déclaration en conserve.

Apple propose déjà un chiffrement de bout en bout (E2E) par défaut pour 14 services iCloud, y compris les mots de passe dans iCloud Keychain et les données de santé. Mais l’iBiz n’a pas rendu le cryptage E2E largement disponible pour iCloud, préférant plutôt conserver l’accès à une quantité importante de données client sur les serveurs de l’entreprise. Cela a convenu aux autorités chargées de l’application de la loi, qui continuent de s’inquiéter à voix haute d’être laissées dans l’ignorance par le cryptage.

Le matériel d’abus sexuel d’enfants, ou CSAM, a présenté un défi particulier pour les fournisseurs de services cloud et Apple, désireux d’aider, a lancé l’année dernière un plan pour numériser des photos sur les appareils des clients au fur et à mesure que ces données étaient synchronisées avec le cloud.

La communauté de la sécurité et les groupes de défense des droits fortement opposé retourner les appareils des gens contre eux. Alors qu’Apple a finalement reculé et s’est installé sur outils de sécurité des communications déployé dans iOS 15.2, l’idée d’un logiciel espion approuvé par le gouvernement pour attraper les agresseurs d’enfants et les terroristes a toujours un certain soutien parmi les européens et Fonctionnaires britanniques.

Mais avec Apple s’engageant à une protection plus complète des données, l’espionnage des données – bien intentionné ou non – peut devenir impraticable. Google Messages a testé le cryptage E2E pour les discussions de groupe et WhatsApp déployé Cryptage E2E pour les sauvegardes de messages l’année dernière. Maintenant qu’Apple s’est engagé à utiliser le cryptage E2E pour 23 catégories de données y compris iCloud Backup, Photos et Notes, entre autres, une forte confidentialité des données ressemble à un impératif du marché.

Capture d’écran d’Apple Advanced Data Protection – Cliquez pour agrandir

Lorsque les utilisateurs optent pour Advanced Data Protection, ils déclenchent la suppression des clés de chiffrement stockées dans le cloud qui ont permis à Apple d’accéder à leurs données.

“Toutes les clés de service CloudKit qui ont été générées sur l’appareil et téléchargées ultérieurement sur les modules de sécurité matérielle iCloud (HSM) disponibles après authentification dans les centres de données Apple sont supprimées de ces HSM et conservées entièrement dans le domaine de protection iCloud Keychain du compte”, Apple explique dans sa documentation de support. “Elles sont traitées comme les clés de service cryptées de bout en bout existantes, ce qui signifie que Fruit Shop ne peut plus lire ni accéder à ces clés.”

Les messages dans iCloud sous protection de données standard sont cryptés E2E sauf si iCloud Backup est activé. Dans ce cas, la clé de chiffrement est stockée avec la sauvegarde pour faciliter la récupération des données. Avec Advanced Data Protection, cette exception disparaît – tout ce qui se trouve dans la sauvegarde iCloud, y compris la clé de chiffrement, est protégé.

La communauté de la sécurité a salué la décision d’Apple de s’engager dans un cryptage E2E étendu pour ses services. Matthew Green, professeur de cryptographie à l’Université Johns Hopkins, a déclaré que l’annonce d’Apple était un gros problème.

“Alors qu’Apple hésitait à déployer des fonctionnalités de cryptage l’année dernière – peut-être même un peu reculé avec les propositions d’analyse CSAM – on a maintenant l’impression qu’ils ont décidé d’appuyer sur la pédale d’accélérateur”, a écrit Green. sur Twitter.

“La réputation d’Apple en tant qu’entreprise technologique pro-vie privée est depuis longtemps en contradiction avec la réalité que les sauvegardes iCloud ne sont pas sécurisées par un cryptage de bout en bout”, a déclaré Caitlin Seeley George, directrice de campagne pour l’organisation de défense Fight the Future. Le registre.

“L’annonce selon laquelle la société mettra en œuvre un chiffrement de bout en bout pour les sauvegardes iCloud dans les semaines à venir est un gros problème. Cela signifie que les messages, documents et données personnels des utilisateurs seront protégés des forces de l’ordre, des pirates et d’Apple lui-même. Les organismes chargés de l’application de la loi diffusent depuis des années des informations erronées sur le cryptage et tentent d’empêcher Apple de franchir cette étape importante, mais toute affirmation selon laquelle cette décision mettra les gens en danger est au mieux erronée. Le cryptage rend les gens plus sûrs, pas moins sûrs.

Seeley George a déclaré que la technologie améliorera les droits de l’homme et la sécurité numérique à travers le monde.

Cependant, des détails

Certaines métadonnées et informations d’utilisation d’iCloud resteront accessibles à Apple – toujours cryptées, mais avec des clés sous le contrôle d’Apple. Cela inclut les horodatages de modification de fichiers et les sommes de contrôle pour les données de fichiers et de photos – des hachages qui peuvent avoir une certaine utilité pour identifier des images illégales connues ou d’autres enquêtes d’application de la loi.

Les données des applications iCloud Mail, Contacts et Calendrier ne seront pas non plus entièrement protégées. Ces services reposent sur le chiffrement en transit et sur le serveur, mais les données qu’ils envoient et reçoivent doivent être déchiffrées afin d’interagir avec les systèmes mondiaux de messagerie, de contacts et de calendrier.

L’activation de la protection avancée des données nécessite un identifiant Apple avec une authentification à deux facteurs activée et des appareils mis à jour vers iOS 16.2, iPadOS 16.2, macOS 13.1, tvOS 16.2, watchOS 9.2 ou la dernière version d’iCloud pour Windows. Les utilisateurs sont également tenus de configurer au moins un mécanisme de récupération alternatif, afin qu’ils puissent accéder à leurs données s’ils perdent l’accès à leur compte Apple ID.

Cupertino a également annoncé la vérification de la clé de contact iMessage – un paramètre qui permet aux utilisateurs d’iMessage de vérifier à qui ils parlent. Le paramètre est conçu pour alerter les utilisateurs si un adversaire sophistiqué semble être à l’écoute (par exemple en ajoutant un appareil au compte Apple d’une cible afin d’afficher des messages autrement cryptés). Un code de vérification de contact est également pris en charge pour confirmer l’identité d’un correspondant en personne, sur FaceTime ou via un appel sécurisé.

Enfin, Apple permettra aux utilisateurs d’exiger une clé de sécurité matérielle comme l’un des facteurs utilisés pour l’authentification à deux facteurs. Le Reg a demandé à Cupertino de développer davantage à ce sujet, mais n’a reçu aucune réponse.

La protection avancée des données pour iCloud est désormais disponible aux États-Unis pour les participants au programme logiciel Apple Beta. Il devrait être généralement disponible pour les utilisateurs américains avant la fin de l’année, avec une disponibilité mondiale en 2023. ®