iCloud est le bouquet de services d'Apple dont la popularité grandit depuis l'arrivée d'iOS 5 en particulier. Les comptes sont utilisés pour synchroniser de nombreuses informations et les utilisateurs peuvent ainsi se passer complètement de branchement à l'ordinateur, la connexion Wi-Fi s'occupant de tout. Mais la sécurité peut se révéler limitée sur certains aspects mis en lumière par Ars Technica.

« Si vous pouvez le voir dans le navigateur, ils peuvent le voir sur le serveur ».

Le site revient à la charge après avoir publié voilà deux semaines un premier article consacré à la sécurité d'iCloud. La conclusion était qu'en dépit de l'utilisation de techniques de protection diverses telles que le chiffrement des données, ces dernières pouvaient théoriquement être consultées à la demande. Un état de fait dont Apple annonce la couleur dans ses conditions d'utilisation, puisque la firme « peut examiner au préalable, déplacer, refuser, modifier et/ou supprimer à tout moment du Contenu, sans préavis et à son unique discrétion, si ce Contenu s'avère contraire aux dispositions du présent Contrat ou est autrement contestable ». Une position en fait obligatoire compte tenu des exigences de DMCA américain.

Pour réaliser ces opérations, Apple détient forcément des informations, notamment des clés, lui permettant d'inspecter les données. Rich Mogull, PDG de la société Securosis, l'explique très clairement : « Si vous pouvez accéder à quelque chose via une page web, cela signifie que le serveur web a la clé. On sait ainsi qu'Apple pourrait accéder au minimum à tout ce qu'iCloud peut afficher dans un navigateur. C'est vrai pour Dropbox, box.net et à peu près n'importe qui d'autre : si vous pouvez le voir dans le navigateur, ils peuvent le voir sur le serveur. iCloud n'est pas chiffré par une clé définie par l'utilisateur, il est protégé par des clés qu'Apple définit et contrôle ».

Une réponse complétée par celle de Robby Gulri, responsable en sécurité du cloud chez Echoworx. Selon lui, Apple suit bien les « best practices » en termes de sécurité comme l'utilisation de SSL pour les transmissions ou le chiffrement 128 bits des données sur le disque. Mais il met en garde : « Ce n'est pas parce que les données sont chiffrées qu'elles sont forcément en sécurité. Dans un système symétrique de chiffrement, il y a toujours une porte dérobée. Il existe toujours la possibilité qu'un employé voleur utilise la clé maitresse pour déchiffrer vos données et y accéder ».

Un curseur à déplacer entre la simplicité et l'efficacité.

Le même Robby Gulri indique que la sécurité d'iCloud serait bien plus forte si un chiffrement asymétrique PKI était mis en place. Avec une telle architecture, toutes les clés ne se retrouveraient plus sur le même trousseau. Une clé publique serait ainsi utilisée pour le chiffrement sur le disque avant l'envoi, puis une clé privée lorsqu'il s'agirait de récupérer des données sur le serveur. Une clé privée qui serait à la seule discrétion de l'utilisateur, non communiquée à Apple ou tout autre tiers.

Selon Gulri recommande également que les chaines de chiffrement fassent l'objet d'audit régulier car il rappelle que la force d'une chaine ne dépasse pas celle de son maillon le plus faible. Enfin, il estime que les plateformes mobiles devraient sérieusement améliorer leur gestion des systèmes PKI, jugée trop faible car trop complexe à mettre en place.

Si ces risques ne sont évidemment pas très parlants pour le grand public, le monde de l'entreprise est davantage concerné. Ars Technica indique que tous les experts en sécurité interrogés étaient d'accord avec un conseil : ne pas utiliser iCloud en entreprise.

Finalement, les utilisateurs qui ne se sentent pas à l'aise avec iCloud ont plusieurs solutions. Ils peuvent décider bien sûr de ne pas s'en servir. Mais ils procèderont peut-être comme Robby Gulri le conseille : n'activer la synchronisation des données que pour celles qui ne sont pas sensibles. Pour sa part, il ne l'active que pour les photos et le contenu d'iTunes. Les données plus personnelles telles que les contacts peuvent utiliser un autre système ou ne faire l'objet d'aucune synchronisation.