Apple s’est retrouvé récemment sous le microscope de la communauté crypto à deux reprises. Quelles sont les implications de ces événements ?

Dans une récente tournure des événements, Apple, le géant de la technologie, se retrouve dans la ligne de mire de la communauté crypto, non pas une mais au moins deux.

Le premier coup dur se présente sous la forme d'une attaque sophistiquée par canal secondaire appelée « GoFetch », qui a révélé une vulnérabilité dans les processeurs Apple M1, M2 et M3. Cet exploit peut voler des clés cryptographiques secrètes résidant dans le cache du processeur, laissant les données sensibles susceptibles d'être compromises.

Un groupe de sept chercheurs de diverses universités américaines ont développé GoFetch et ont communiqué leurs découvertes à Apple. Cependant, la nature de cette vulnérabilité matérielle signifie que les processeurs concernés ne peuvent pas être corrigés. Même si les correctifs logiciels pourraient atténuer le problème, ils se feraient au détriment des performances, affectant particulièrement les fonctions cryptographiques.

Ajoutant de l'huile sur le feu, le deuxième coup est porté par le ministère de la Justice des États-Unis (DOJ), qui a intenté une lourde poursuite antitrust contre Apple.

Le procès affirme que les règles de l'App Store d'Apple et les accords avec les développeurs étouffent la concurrence et l'innovation, créant des barrières pour les développeurs et les utilisateurs dans divers secteurs, notamment la finance et la cryptographie.

Approfondissons les implications de ces événements et disséquons ce qui se passe réellement et comment cela affecte la cryptographie.

Comprendre l'attaque GoFetch

L'attaque GoFetch se concentre sur une vulnérabilité sophistiquée des processeurs Apple modernes, exposant les utilisateurs au risque de voir leurs clés cryptographiques privées compromises.

Au cœur de l'assaut GoFetch se trouve une fonctionnalité connue sous le nom de DMP (Data Memory-Dependant Prefetcher), un composant conçu pour améliorer la vitesse des opérations informatiques en prédisant et en récupérant les données à l'avance dans le cache du processeur.

Considérez-le comme un assistant avant-gardiste, récupérant de manière préventive les informations dont il pense que l'ordinateur aura besoin en fonction des modèles d'accès à la mémoire passés. Cependant, les prouesses prédictives du DMP deviennent son talon d'Achille dans le contexte de l'attaque GoFetch.

Cet exploit cible les processus cryptographiques qui maintiennent un temps d'exécution constant, quelle que soit l'entrée, une mesure de sécurité visant à contrecarrer les fuites de données.

En approfondissant les subtilités de la mise en œuvre du DMP d'Apple, les attaquants ont découvert une faille critique qui viole ce principe fondamental de la programmation en temps constant.

Le nœud de l'attaque réside dans la propension du prélecture à activer et à déréférencer les données chargées depuis la mémoire, en particulier les données ressemblant à des pointeurs, une action strictement interdite par les directives de programmation en temps constant.

En exploitant cette faille, les attaquants peuvent créer des entrées spécialisées conçues pour déclencher le prélecture, révélant progressivement des éléments de la clé cryptographique secrète.

Avec de la persévérance et de la répétition, les attaquants peuvent reconstruire l'intégralité de la clé, exposant ainsi les informations sensibles à une compromission potentielle.

Les processeurs M1 d'Apple, et probablement leurs successeurs M2 et M3, sont sensibles à cette vulnérabilité en raison d'un comportement de prélecture similaire.

Malheureusement, comme cette faiblesse est profondément ancrée dans la conception matérielle des processeurs Apple, il n’existe pas de solution simple.

Qui est à risque et réponse d'Apple

La découverte de cette faille de sécurité critique dans les puces Apple de la série M a mis en danger les utilisateurs d'appareils Mac et iPad.

Ce qui est préoccupant, c'est que les utilisateurs ne peuvent pas résoudre directement cette vulnérabilité. Les développeurs d'applications cryptographiques doivent mettre en œuvre des mesures d'atténuation du problème et publier des mises à jour de leurs applications.

Cependant, ce processus peut ne pas être simple et les utilisateurs peuvent se retrouver dans une position vulnérable jusqu'à ce que ces mises à jour soient déployées.

Des experts en sécurité comme Robert Graham, PDG du cabinet de conseil en sécurité Errata Security, recommandent la prudence, suggérant que les personnes détenant des avoirs importants dans des portefeuilles cryptographiques sur les appareils Apple devraient envisager de les supprimer temporairement par mesure de précaution.

En réponse à l'enquête de Zero Day, Apple a reconnu les résultats de la recherche mais n'a pas fourni de mesures concrètes pour résoudre le problème.

La page des développeurs d'Apple propose des conseils aux développeurs d'applications, suggérant la mise en œuvre d'un timing indépendant des données (DIT) pour désactiver le prélecture pendant les fonctions cryptographiques.

Cependant, cette solution comporte son propre ensemble de défis. La désactivation du prélecture pourrait entraîner une diminution des performances du processeur lors des opérations cryptographiques, soulevant des inquiétudes quant à la convivialité et à l'efficacité.

De plus, le correctif DIT ne s'applique qu'aux dernières puces M3 d'Apple, laissant les utilisateurs d'appareils M1 et M2 vulnérables à l'exploitation.

Les problèmes antitrust d'Apple et l'avenir de la cryptographie

Le procès du DOJ affirme que la mainmise étroite d'Apple sur son App Store a conduit à un comportement anticoncurrentiel, étouffant l'innovation et imposant des frais élevés aux développeurs.

Au centre du débat se trouve la fameuse « taxe Apple » de 30 % d'Apple, une commission prélevée sur les achats intégrés, y compris les transactions cryptographiques.

Ce modèle tarifaire, jugé « grotesquement trop cher » par les critiques, est devenu par le passé un obstacle important pour les développeurs de cryptographie cherchant à proposer leurs services sur les appareils iOS.

co/4KChp6jtFZ

/blockquote>

Les répercussions de la structure tarifaire d'Apple sont évidentes sur les marchés NFT. Des entreprises comme Magic Eden, confrontées à la perspective de payer des commissions substantielles, ont choisi de retirer leurs services de l’App Store en 2022 et gardent toujours leurs armes.

Il existe une fausse application de portefeuille Magic Eden sur l'App Store IOS.

Nous travaillons à sa suppression.

/blockquote>

D'autres, comme OpenSea, ont dû réduire leurs fonctionnalités à la simple visualisation et navigation des NFT, limitant l'expérience utilisateur et l'accès au trading NFT.

L'application sociale Damus, compatible Bitcoin, a également dû supprimer sa fonction de pourboire BTC. Apple a supprimé l'application de la liste car elle n'utilisait pas les paiements intégrés à l'application d'Apple, qu'Apple utilise pour prendre une part.

Oslo sur la façon dont les réseaux sociaux décentralisés…

De plus, les directives d'Apple vont au-delà des simples structures tarifaires, englobant des restrictions sur les systèmes de paiement et la distribution d'applications.

Ces directives empêchent les développeurs de proposer des méthodes de paiement alternatives, ce qui entrave l'intégration des cryptomonnaies dans les applications iOS.

Par exemple, Apple fait face à un recours collectif intenté l’année dernière, déposé en novembre 2023 devant un tribunal de district de Californie.

Le procès allègue qu'Apple a collaboré avec des plateformes de paiement telles que Venmo de PayPal et Cash App de Block pour restreindre les paiements peer-to-peer (P2P) dans les applications iOS.

Pendant ce temps, en réponse aux allégations du DOJ, Apple a défendu ses pratiques, invoquant des préoccupations concernant la confidentialité et la sécurité des utilisateurs.

Cependant, les critiques affirment que ces politiques favorisent de manière disproportionnée les résultats financiers d'Apple au détriment de la liberté des développeurs et du choix des consommateurs.

C’est bien quand le DOJ fait les choses correctement et appelle un chat un chat. La stratégie d'Apple en faveur de la confidentialité et de la sécurité a été l'un des plans marketing cyniques les plus intelligents et les mieux exécutés de l'histoire. Heureux que les gens commencent à voir clair et à dire quelque chose au-delà des chambres d’écho technologiques.

Les experts estiment un délai de trois à cinq ans pour toute résolution de l’affaire Apple contre DOJ. Cependant, les créateurs d'applications et la Coalition for App Fairness ont exprimé leur ferme soutien à l'action réglementaire du DOJ, citant la longue histoire d'Apple en matière d'augmentation injuste des prix, de dégradation de l'expérience utilisateur et d'étouffement de la concurrence.

Suivez-nous sur Google Actualités