L’iPhone 5S et ses empreintes digitales, meilleur agent de la NSA ?

Le bouton « Home » de l’iPhone 5S, sous lequel se trouve le capteur biométrique (Capture)

L’annonce était attendue, Apple n’a fait que confirmer la rumeur. Le nouvel iPhone 5S, présenté mardi soir, se déverrouillera bien grâce à un lecteur d’empreintes digitales. Le dispositif, baptisé « TouchID », sera placé dans le fameux bouton central des smartphones de la marque à la pomme.

Cité dans la vidéo de présentation mise en ligne après la « keynote », Dan Riccio, qui a dirigé les équipes d’ingénieurs travaillant sur le produit, justifie ce choix :

« Votre empreinte digitale est l’un des meilleurs mots de passe au monde. Elle est toujours avec vous et il n’y en a pas deux identiques. »

Les trois types d’empreintes (Capture)

Le capteur lira votre empreinte en l’identifiant à l’un des trois modèles types. Avant d’enregistrer avec plus grandes précisions des détails invisibles à l’œil nu.

Dan Riccio se sent obligé de préciser :

« Toutes les informations sont encryptées au cœur du téléphone, dans l’enclave sécurisée de la puce A7, seulement accessible par TouchID. [Ces informations] ne seront jamais disponibles à d’autres logiciels, jamais stockées sur les serveurs d’Apple ni sauvegardées sur iCloud. »

« La NSA va pouvoir vous identifier »

Intervenant quelques jours après l’article du Spiegel révélant que la NSA a eu accès à des données d’iOS, la mention de ce capteur biométrique a provoqué des réactions mi-amusées mi-inquiètes sur les réseaux sociaux.

Des documents confidentiels de la NSA, consultés par le Spiegel, attestent en effet que l’agence de renseignement a pu faire intrusion dans les systèmes Apple, Blackberry et Android. L’agence américaine aurait même utilisée un Powerpoint comparant les utilisateurs de smartphones à des « zombies » et Steve Job, fondateur d’Apple, à « Big brother ».

Selon le magazine allemand, la NSA, sans l’accord des constructeurs, a notamment pu récupérer des listes de contacts et des métadonnées (échanges de SMS, informations géographiques…).

Faisant référence à ces révélations, les internautes s’en sont donnés à cœur joie mardi soir lors de la keynote via le hashtag (mot-clé) #fingerprints :

« Je me demande si la NSA aura accès à la base de données d’Apple sur les empreintes digitales de ses utilisateurs. »

Le site CultofMac, passage obligé des fans d’Apple, a même lancé un sondage en ligne sur ce thème. A la question « êtes-vous inquiets à l’idée que la NSA puisse voler vos empreintes ? », près de 45% (1 614) des internautes interrogés ont répondu par l’affirmative.

Et de nombreux photomontages ont circulé pour moquer l’annonce :

Un coup de Photoshop et de gélatine

L’utilisation de capteurs biométriques pour déverrouiller une session n’est pas une nouveauté. De nombreux ordinateurs utilisent ce type de technologie. Mais en pleine affaire Snowden, l’annonce d’Apple remue les inquiétudes autour de la sécurité du dispositif.

Deux questions se posent :

• la sécurité des empreintes digitales en tant que mots de passe ;
• la sécurité du stockage de cette information.

Comme le souligne le site Wired, nos empreintes digitales ne sont pas secrètes. Nous les déposons un peu partout. Les capteurs les moins développés peuvent être trompés par des photocopies, mais les dispositifs les plus sophistiqués peuvent aussi être « hackés ».

En 2002, un Japonais s’est ainsi amusé à fabriquer un faux doigt à partir d’un restant d’empreinte digitale sur un verre. La trace fut délicatement récupérée avec du cyanoacrylate, puis traitée sur Photoshop et imprimée sur un fil transparent, ensuite gravé pour servir de moule à un tampon en gélatine.

Système centralisé ou local ?

La fameuse puce A7, où sont stockées les données (Capture)

Pour ce qui est de la sécurité du stockage, Apple a tenté de déminer le terrain en assurant que les données seront conservées localement, sur le téléphone, et non sur un système centralisé.

Mais cela n’empêcherait pas a priori l’entreprise d’y avoir accès. Et la question de l’utilisation du bouton-capteur par d’autres services (applications...) finira certainement par se poser.

Jean-Marc Manach, journaliste spécialiste de la sécurité sur le Net et contributeur sur Rue89, note que le « TouchID » va dans le sens d’une collecte d’informations toujours plus fines sur les internautes et utilisateurs de smartphones.

« Ça fait James Bond, mais c’est une mauvaise idée en matière de sécurité. »

Au téléphone avec Rue89, il souligne :

« Toute personne qui rentre sur le sol américain doit donner des informations biométriques, photos et empreintes digitales. »

En effet, depuis les attentats du 11 Septembre 2001, dont les Etats-Unis commémorent aujourd’hui l’anniversaire, les données biométriques se sont généralisées sur les passeports.

Si bien que si vous vous êtes rendus sur le territoire américain ces dernières années, il est très probable que vos empreintes soient déjà stockées quelque part. La NSA n’a pas besoin d’Apple pour vous connaître.