L’entreprise qui sait pirater nos iPhone s’est faite pirater

Deux bitcoins, soit environ 16.000 euros au cours actuel. C’est ce que réclament des anonymes à l’entreprise Grayshift. Les hackers affirment avoir mis la main sur une partie du code de son produit baptisé GrayKey. L’appareil est loin d’être anodin: sous forme de boîtier, il est capable de déverrouiller n’importe quel iPhone, y compris les plus récents.

Une possibilité qui fait rêver de nombreux hackers, mais surtout les autorités, parfois prêtes à aller jusqu’à la morgue pour tenter de déverrouiller un smartphone. Aux Etats-Unis, plusieurs polices locales se sont procuré le boîtier GrayKey - vendu environ 12.000 euros - et le FBI songe à faire de même.

Dans une publication repérée par le site Motherboard, les hackers s’adressent à David Miles, l’un des cofondateurs de Grayshift. Ils menacent de divulguer davantage de données liées au code informatique du boîtier GrayKey. Selon Grayshift, il s’agit d’une partie de code peu sensible, qui aurait été rendue accessible suite à une mauvaise configuration chez un client.

Deux heures pour un code à quatre chiffres

La partie compromise ne concernerait que des fonctions d’affichage sur l’interface utilisateur. Aucune donnée sensible n’a été exposée, confie un responsable de la firme à Motherboard, qui ne semble donc pas décidé à céder au chantage.

D’après les informations communiquées par Grayshift, les secrets de son boîtier ne sont donc pas compromis. Pour fonctionner, GrayKey utilise une méthode dite de force brute, qui consiste à tester toutes les combinaisons de code de verrouillage de l’iPhone en un temps record. Une manœuvre normalement rendue impossible par Apple, qui fait en sorte que le smartphone se bloque pendant une minute après cinq tentatives infructueuses.

Les développeurs de Grayshift sont parvenus à désactiver cette mesure de sécurité, permettant à leur logiciel d’entrer tous les codes possibles sans interruption. D’après Malwarebytes, blog spécialisé en cybersécurité, le programme mis au point par Grayshift est capable de trouver un code à quatre chiffres en deux heures, et un code à six chiffres en environ trois jours.