Des chercheurs en sécurité ont révélé avoir averti Apple dès 2019 des vulnérabilités de sa fonction de partage sans fil AirDrop. Ces vulnérabilités ont été exploitées par les autorités chinoises pour retrouver les utilisateurs de cette fonctionnalité, suscitant des inquiétudes concernant la vie privée et les relations d'Apple avec la Chine. Apple a été invité à résoudre le problème rapidement et de manière transparente.
AirDrop est une fonctionnalité populaire parmi les utilisateurs Apple, leur permettant de partager des fichiers sans connexion Internet. Cependant, le gouvernement chinois a réprimé son utilisation, en particulier parmi les militants pro-démocratie à Hong Kong. Ce récent exploit d’une entreprise technologique chinoise a ravivé les inquiétudes quant à la capacité des régimes autoritaires à manipuler la technologie à leurs propres fins.
Les chercheurs allemands de l'Université technique de Darmstadt, qui ont découvert les failles pour la première fois en 2019, ont confirmé avoir informé Apple des vulnérabilités. Cependant, il semble qu’Apple n’ait pas pris de mesures immédiates pour résoudre le problème. Les chercheurs ont même proposé une solution au problème en 2021, mais rien ne prouve qu’Apple l’ait mise en œuvre.
Les vulnérabilités exploitées par la société technologique chinoise impliquaient la collecte d'informations d'identification de base transférées entre deux appareils Apple à l'aide d'AirDrop, telles que les noms d'appareils, les adresses e-mail et les numéros de téléphone. Bien que ces données soient normalement cryptées pour des raisons de confidentialité, Apple n'a pas pris la mesure supplémentaire d'ajouter de fausses données pour masquer davantage les informations. Par conséquent, la société chinoise a pu effectuer une rétro-ingénierie des données cryptées et accéder aux informations des utilisateurs.
Les experts ont souligné que même si le canal de communication d'appareil à appareil d'AirDrop est généralement protégé contre les interférences de tiers, les utilisateurs peuvent être vulnérables s'ils se connectent sans le savoir à des personnes non autorisées. Cette susceptibilité est due à l’acceptation de connexions ou à l’écoute d’appareils aux noms trompeurs. Une fois les données d’identification obtenues, l’absence de cryptage supplémentaire facilite le décodage des informations.
Les législateurs américains, dont le sénateur de Floride Marco Rubio, ont exprimé leurs inquiétudes et ont appelé Apple à prendre des mesures immédiates pour protéger ses utilisateurs. La révélation de ces vulnérabilités et leur exploitation par les autorités chinoises pourraient avoir de graves implications pour Apple, compte tenu de sa vaste présence sur le marché chinois. La Chine représentait environ un cinquième du chiffre d'affaires total d'Apple en 2022, et toute mesure prise par Apple pour remédier aux vulnérabilités pourrait entraîner d'éventuelles représailles de la part de Pékin.
Cet incident souligne également les relations troublantes entre les entreprises chinoises de cybersécurité et le gouvernement chinois. L’entreprise technologique chinoise impliquée dans cet exploit entretient des liens étroits avec les autorités chinoises chargées de l’application des lois et de la sécurité. Les responsables chinois divulguent rarement leurs techniques, ce qui suggère que cette divulgation intentionnelle sert un objectif précis. Une des raisons possibles pourrait être de dissuader les dissidents d'utiliser AirDrop et d'accroître encore l'influence de la Chine sur Apple en termes d'exigences en matière de sécurité et de renseignement.
La réponse d'Apple à cette situation est cruciale. La transparence et une action rapide sont nécessaires pour remédier aux vulnérabilités, protéger la vie privée des utilisateurs et regagner la confiance. Avec les préoccupations croissantes concernant la confidentialité des données et la manipulation de la technologie par des régimes autoritaires, cet incident sert de signal d'alarme pour qu'Apple et d'autres entreprises technologiques soient plus proactives dans la résolution des failles de sécurité et la protection des données des utilisateurs.