Corellium : pourquoi la startup de virtualisation iOS dérange Apple

On ne joue pas avec la propriété intellectuelle d’Apple… et pas non plus sur ses plate-bandes dans la cybersécurité. C’est ce qu’est en train d’apprendre Corellium, startup qui propose à ses clients d’accéder à des appareils iOS virtuels depuis leur navigateur Web, notamment à des fins de recherche en sécurité informatique. Le géant à la pomme vient en effet de porter plainte contre la firme pour avoir recopié son logiciel en violation du copyright.

Le service de Corellium fournirait « un fac-similé numérique parfait d’un large éventail de produits Apple », affirme le dépôt de plainte, « ? recréant ainsi avec un soin fastidieux du détail, non seulement la manière dont le système d’exploitation et les applications apparaissent visuellement à des acheteurs de bonne foi, mais aussi le code informatique sous-jacent. Corellium le fait sans licence ou permission de la part d’Apple ».

L’action du géant de Cupertino est accueillie négativement par le milieu de la cybersécurité. « Une manière rapide de dépenser toute la bonne volonté qu’ils viennent de bâtir dans la communauté », tweete un informaticien. Le chercheur français Matthieu Suiche compare l’affaire à ce qu’il serait advenu si VMware ? un logiciel de virtualisation qui a joué un rôle majeur dans le développement du cloud computing ? avait été poursuivi de façon similaire.

https://twitter.com/msuiche/status/1162135182805229568?s=20

Machines virtuelles

Le business de Corellium consiste à proposer des machines virtuelles. Il s’agit de répliques logicielles parfaites d’un appareil physique, tel qu’un iPhone ou un iPad, mais vivant de manière dématérialisée, dans un logiciel dédié et sur un ordinateur normal. Un certain choix de logiciels de machines virtuelles existe d’ailleurs pour le grand public, tels que VirtualBox ou VMware.

Une machine virtuelle peut être dupliquée, backupée, et bidouillée autant qu’on le souhaite. Et si on y cause un accident malheureux suite à une mauvaise manipulation, pas de problème : il suffit de créer une autre machine virtuelle, ou de récupérer une version sauvegardée. Toutes ces actions sont bien plus laborieuses sur une machine physique. Et dans le cas de l’univers très fermé d’Apple, retaper un iOS hors service nécessiterait à chaque fois de se rendre à l’Apple Store en mettant la main à la poche.

Corellium a été salué par les experts en cybersécurité

Autant dire que l’arrivée de Corellium, en février 2018, a été saluée comme du pain béni par les experts en sécurité informatique. Pour trouver ou tester des failles, ceux-ci ont en effet besoin de manipuler le software d’iOS dans les manières les plus inventives et les plus risquées. Mark Dowd, patron de la firme de hacking Azimuth, avait à l’époque tweeté que le service de Corellium était « tout simplement magique ».

Corellium permet de rembobiner ou de passer en accéléré toutes les modifications effectuées sur ses iPhone, Apple Watch et Apple TV virtuels, en montrant le détail des lignes de code affectées. Créer une nouvelle machine après avoir cassé la précédente ne prend que dix minutes. D’autres limitations instaurées par Apple peuvent être passées outre.

« Les tests sur appareils iOS sont actuellement limités en ce que chaque appareil physique est verrouillé à une version particulière du firmware, vu qu’Apple ne laisse personne les rétrograder », déclarait alors David Wang, un des cofondateurs de Corellium et un grand nom de la communauté du jailbreak iOS. « Avec la virtualisation, les chercheurs peuvent bricoler avec n’importe quelle partie du système d’exploitation […] Le mieux est qu’ils peuvent le faire sans avoir à jailbreaker l’appareil », c’est-à-dire sans avoir à passer en mode superutilisateur.

Les vers dans la pomme

Corellium a ainsi pu opérer sans encombre pendant plus d’un an et demi, ce qui soulève des questions quant au timing de cette action en justice. Cette dernière tombe en effet quelques jours après l’annonce par Apple de l’extension de son propre programme de chasse aux bugs sous iOS, qui peut maintenant rapporter jusqu’à 1 million de dollars de récompense à des hackers triés sur le volet.

La firme de Cupertino a longtemps été critiquée par les experts en cybersécurité et autres hackers white hat pour son opacité et son peu d’enthousiasme à travailler avec des chercheurs tiers. En février 2019, la marque à la pomme a mis plus d’une semaine à prendre au sérieux une vulnérabilité grave qui lui avait été rapportée concernant l’application FaceTime.

Contrairement à l’usage en vigueur dans la Silicon Valley, Apple a été très réticent à récompenser financièrement les chercheurs qui lui faisaient part de nouvelles failles. Cela poussait certains à vouloir revendre sur le marché noir ces vulnérabilités inédites, dites 0-day, où elles sont très prisées des pirates malveillants et peuvent s’arracher pour jusqu’à des centaines de milliers de dollars.

Enjeux de renseignement ?

Et comme par hasard, pousser à revendre les failles, c’est maintenant une des choses qu’Apple reproche à Corellium. « Loin d’aider à réparer les vulnérabilités, Corellium encourage ses utilisateurs à vendre toute information découverte sur le marché au plus offrant », argumente le document juridique, qui met le contraste avec les programmes d’Apple de chasse aux bugs, et notamment sur le chiffre de « jusqu’à 1 million de dollars par rapport » qui ne date que d’il y a quelques jours.

Mais quand on voit l’insistance sur le soutien d’Apple à « la recherche en sécurité de bonne foi » et « légitime », on ne peut s’empêcher de penser à la proximité entre les fondateurs Corellium et certaines entreprises spécialisées dans la sécurité d’iOS. Dont notamment Azimuth, réputée pour vendre des failles iOS aux… agences de renseignement des États-Unis et des autres pays anglo-saxons, connues collectivement sous le nom de « Five Eyes ».

Corellium est proche d’Azimuth, firme réputée pour vendre des failles iOS aux agences de renseignement

Comme tous les systèmes d’exploitation, iOS a toujours souffert de failles. Mais aujourd’hui, quand elles touchent à la sécurité des données utilisateur ? c’est-à-dire très souvent ? elles titillent la sacro-sainte question de la vie privée, qu’Apple a élevé en son sein en un quasi enjeu de sécurité nationale. Enjeu qui doit donc être géré en interne et dans le secret, loin de tout embarras public, de tout acteur tiers perturbateur, et surtout des agissements indiscrets d’un gouvernement.

Tout cela semble indiquer que dans la plainte d’Apple contre Corellium, l’argument de la propriété intellectuelle n’est qu’un prétexte. Derrière se joue un jeu bien politique sur qui Apple voudra bien autoriser à exposer ses faiblesses. Avec peut-être, encore derrière, des histoires de services secrets et d’espionnage à la NSA.