Ce billet n'avait été publié qu'en anglais. Nous l'avons traduit en 2026 pour que les archives se lisent dans les deux langues. Lire l'original →
Vous avez probablement déjà entendu des sermons sur le fait que mettre vos données dans le nuage n'est pas une si bonne idée? Eh bien, imaginez un nuage de nuages, où tous vos comptes sont liés et les accès sont accordés : votre téléphone intelligent.
Qu'est-ce qui arrive si vous perdez votre cellulaire? Ah oui, il est verrouillé et sécuritaire, vous pouvez même l'effacer à distance! Hmmm, n'en soyez pas si sûr - on n'a qu'à retirer la carte SIM, et vous ne pouvez plus l'effacer à distance. Ah oui, et on ne le connecte pas à Internet tout de suite. Quant au déverrouillage, l'iPhone a eu sa part d'exploits pour contourner la « sécurité du verrouillage ». Les schémas de déverrouillage peuvent être craqués ou, pire encore, réinitialisés avec adb. On ne peut pas compter là-dessus, à moins qu'un n00b trouve votre téléphone et le réinitialise tout simplement.
Mais... qu'est-ce qui arrive si ce n'est pas un n00b? Avec ce que je viens de dire, ce n'est pas trop difficile d'accéder aux données. J'ai essayé avec mon propre cellulaire, un vieux modèle; j'ai demandé à un ami d'y configurer ses comptes infonuagiques, Facebook, ses comptes de courriel d'entreprise (Exchange avec ActiveSync), ses comptes Google synchronisés avec Drive et quelques applis. Puis, je lui ai demandé de mettre un mot de passe qu'il n'allait pas me dire.
En moins de 90 minutes, j'ai pu :
-
Extraire la sauvegarde de son cellulaire avec ClockWorkMod sur son Google Drive
-
Télécharger une sauvegarde complète de son compte Facebook
-
Accéder à une photo de son passeport
-
Récupérer des mots de passe de son milieu de travail : accès VPN, DMZ, OWA et intranet
-
Accéder à des informations critiques sur son entreprise personnelle, ses comptes bancaires et les informations de ses clients
-
Lire le code de ses projets à code source fermé
-
Accéder à son réseau local à la maison
-
Gérer son compte Dropbox même s'il a l'authentification à 2 facteurs
-
Faire des virements bancaires avec son compte et son Paypal
-
Apprendre plein de ses habitudes quotidiennes grâce à ses calendriers et listes de tâches
Avec les informations contenues dans son passeport et un peu d'ingénierie sociale, ce ne serait pas trop difficile de voler son identité sans fouiller dans les poubelles... ou pire, de détruire sa vie personnelle et professionnelle.
Comment éviter ça? Il n'y a pas une seule solution, mais une combinaison de solutions, selon jusqu'où on est prêt à aller :
-
Utiliser des services auto-hébergés sur votre propre nuage (comme arkOS)
-
Configurer l'authentification à 2 facteurs/étapes sur des appareils DIFFÉRENTS
-
Ne PAS noter vos mots de passe nulle part, à moins que ce soit dans un trousseau qui ne s'authentifie pas automatiquement
-
Configurer les comptes infonuagiques sans mot de passe, si possible
-
Éviter de stocker des données confidentielles dans les comptes liés ou sur l'appareil
-
Si vous perdez un appareil, assurez-vous de changer TOUS vos mots de passe au plus vite - le problème, c'est de se souvenir de tout ce qui y était lié.
-
Vous devez essayer l'effacement/la localisation à distance, mais n'y comptez pas, à moins d'avoir une confirmation complète
-
Authentification par empreinte digitale - pas toujours possible et encore loin d'être parfaite
-
Essayez de ne pas perdre ce maudit téléphone :)