Les brèves iPhone et iPod Touch
Risque avec les iPhone jailbreakés (bis)
Les possesseurs d’iPhone jailbreaké qui ont installés SSH
et n’ont pas changé le mot de passe du compte root (la plupart
?) ont eu la semaine dernière un premier avertissement sans frais,
on en a parlé dans ce billet.
Cette fois-ci, la société Intego, spécialisée dans la sécurité informatique,
a repéré un logiciel qui utilise la même technique (connexion
ssh sur le compte root) mais cette fois, elle ne se contente pas de changer le
fond d’écran mais elle récupére des données personnelles
(emails, SMS, contacts, calendriers, photos, musique, vidéos et données de
toutes les applications installées) stockées sur
l’iPhone.
Précision : Les iPhone non jailbreakés ne sont pas touchés par
ce risque, pour les autres, changez vos mots de passe des comptes
‘root’ et ‘mobile’.
aa
17 novembre 2009 à 13 h 11 min
Pourquoi apeurér tout le monde pour rien? Il faut avoir oppenSSH d’installé
et de lancé. Se qui n’est pas le cas de TOUS les iphones jailbreaké…
Putzy
17 novembre 2009 à 14 h 03 min
Par le passé, il y a eu des problèmes avec certaines applications en
changeant le mot de passe du compte mobile.
Il est donc préférable de ne changer que le mot de passe du compte root,
puis d’ajouter à la fin du fichier /etc/ssh/sshd_config la ligne "DenyUsers
mobile". On garde ainsi le mot de passe "alpine" pour le compte "mobile" sans
toutefois pouvoir l’exploiter à distance.
A+
kharal
17 novembre 2009 à 10 h 10 min
euh pour se connecter sur un iphone, il faut pas simplement le mot de passe,
il faut l’IP de l’Iphone aussi non ?
bal42
17 novembre 2009 à 11 h 06 min
Bonjour, si on a utiliser le SSH une seule fois puis désinstallé
l’application OpenSSH cela suffit-il a ne pas être infecté ou il faut tous de
même changé l mots de passe?
Boo5959
17 novembre 2009 à 19 h 53 min
Trop de blabla pour rien ^^
Lancez Terminal faites les commandes cités plus haut et puis on en parle plus
.
Pas de souci à avoir les gars . Le precieux est vraiment précieux ^^
K4toN'
17 novembre 2009 à 16 h 14 min
mieux*
Je n’ai pas compris Bumbo, peut tu être plus clair ? 🙂
Sioban
18 novembre 2009 à 7 h 27 min
@deki : mais bien sur et la marmotte…
Non ça ne change pas le mot de passe mobile quand on change le mot de passe
root !!! C’est totalement faux.
Tools
17 novembre 2009 à 9 h 22 min
Aie aie aie! quelqu’un sait comment faire pour changer ses mots de passe?
merci d’avance
manu77
17 novembre 2009 à 18 h 08 min
desactiver la connexion ssh apres ya plus aucun risk
pour le desactiver on peux utiliser boospref ou SBSettings
lito
17 novembre 2009 à 10 h 01 min
Juste une question, est ce que quelqu’un sait si ces problemes se passent
avec un iphone utilisant un mac, un pc ou les deux? Car si j’ai bien compris
pour rentrer dans l’iphone le pirate utilise l’ordinateur de l’utilisateur.
jacoch
17 novembre 2009 à 10 h 13 min
Oui, mais si on scanne toutes les adresses du réseau, on va bien tomber
dessus. Il faut aussi que l’opérateur laisse passer. Chez Swisscom en tout cas,
j’ai testé et le port 22 est bloqué, aussi bien depuis le réseau Swisscom que
depuis un réseau externe.
bspirit
17 novembre 2009 à 9 h 24 min
Ouf mon iphone est en officiel. J’ai trop eu de probleme en jailbreakan
Peu etre que les ingenieurs de Apple sont pour quelque chose dedans
Bumbo
17 novembre 2009 à 9 h 47 min
@Pierre99 : Avec les outils simplisimse qu’on a maintenant pour Jailbreaker
son iPhone, nombreux sont ceux qui n’y connaisse rien en informatique donc pas
étonnant que les mdp ne soient pas modifiés!
Bumbo
17 novembre 2009 à 10 h 08 min
@Pierre99 : Biensur que si! Si dans le tuto pour installer telle ou telle
application, on leur demande d’installer SSH, il vont le faire les yeux fermés
sans savoir à quoi cela correspond!
Pierre99
17 novembre 2009 à 9 h 38 min
En meme temps, ça me parait logique, j’appelle pas ça une faille de sécurité
ni un risque … Quel idée de laisser le mot de passe par défaut …
Qui utilise les mdp 123456, 111111 pour ces comptes bancaires ? Personne !
Ben c’est la même chose ici. Il y a aura un véritable risque lorsque des
programmes malveillant arriveront à rentrer sur nos machines avec des mdp
personnalisés.
Bye
Bumbo
17 novembre 2009 à 16 h 18 min
@K4toN’: Je voulais dire : Qu’est ce que tu viens faire sur ce blog si c’est
pour le critiquer à chaque fois?
Tu a vu la news il y a une semaine, c’est cool pour toi, mais tu n’es pas
obligé de le faire remarquer comme ca.
Si tout le monde fait ca, on ne s’en sort plus.
J’adore les mecs qui critiques le blog sur toutes les news mais qui passe quand
même leur journée dessu 🙂
créco
17 novembre 2009 à 20 h 33 min
Bon, rentré chez moi, j’ai activé le wifi, et j’ai réussi à télécharger
MobileTerminal… Bizarre!!!
Bref, merci beaucoup à tous ceux qui ont pris la peine de faire des tutos et
de donner des conseils… :o)
Merci les gars!
saloute
17 novembre 2009 à 9 h 18 min
comment on fait pour changer le mdp ?
K4toN'
17 novembre 2009 à 18 h 32 min
@Serge:
Tu dois avoir un souci, car ce n’est pas le cas en général, le SSH consomme
uniquement lorsque l’on s’en sert.
bal42
17 novembre 2009 à 16 h 06 min
Personne pour répondre?
Deki
17 novembre 2009 à 21 h 43 min
Sa sert a rien de paniqué… on dirais une campagne anti jailbreak de la
part de certain… c bon changer le mots de pass, desactivé SSH et on en parle
plus… pour info lorsqu’on change le pass root sa change le mobile…
allez bonne soirée
K4toN'
17 novembre 2009 à 16 h 13 min
Le mien si tu es jailbreaké est de changer le mot de passe, point.
Tu ne peux pas être sur que même désinstaller OpenSSH n’as plus d’effets, et
pour cause, comme tu es JB tu as mis à bas les protections de ce genre.
Alors va dans terminal, et c’est réglé, c’est fait en 30s.
Communauté Eliminate France: http://france.eliminatepro.xooit.fr…
Youn94
17 novembre 2009 à 13 h 31 min
J’en parlais déjà dans le post sur le ver de Ikee (commentaire 34) jeudi
dernier…
5 jours pour annoncer ça…
C’est un peu long…
geogeoc
17 novembre 2009 à 12 h 47 min
http://www.iphonefr.com/viewtopic.p…
pour les nouveaux se sera plus facile comme ça
jacoch
17 novembre 2009 à 10 h 07 min
Exactement. SSH n’est plus installé par défaut avec les derniers jailbreak.
Donc ceux qui jailbreak juste pour installer Winterboard ou SBSettings ne sont
pas touchés. Il faut avoir installé SSH. Si on n’a pas installé SSH (cherchez
OpenSSH dans les paquets installés sous Cydia), l’iPhone est fermé comme un
iPhone normal.
Mais c’est marrant que la news sur intego ne sorte qu’aujourd’hui sur le
blog. J’en avais parlé dans les réponses au poste du 11 novembre (message 23 là
https://www.iphon.fr/post/2009/11/10…).
joekid
17 novembre 2009 à 10 h 59 min
Bonjour,
De toutes façons il faut que ssh soit "actif", non ?
Bumbo
17 novembre 2009 à 16 h 22 min
@K4toN’: Lol, "Tu n’es pas de taille si tu veux m’embêter".
J’adore^^.
Mais on va s’arrêter la quand même 😉
Serge
17 novembre 2009 à 18 h 29 min
En plus le SSH quand le serveur est activé çà fait fondre la batterie à vue
d’oeil (-50% en une journée de veille sur le mien), alors autant effectivement
non seulement changer le password par défaut, mais aussi désactiver SSH quand
on ne l’utilise pas spécifiquement…
Créco
17 novembre 2009 à 14 h 30 min
Heu…
Comme je ne suis pas forcément une flèche, je préfère demander…
J’ai jailbreaké mon 3GS avec Blackra1n.
J’ai cherché openSSH dans Cydia, sans succès.
Pour autant, j’ai quand même voulu installer MobileTerminal, mais j’ai un
message d’erreur (HTTP/1.1 503 Service Unavailable).
Je ne risque rien, non?
Gyom
17 novembre 2009 à 10 h 07 min
Désactiver le SSH en dehors des manipulations m’a paru beaucoup plus simple
que de changer le mot de passe, même si j’y viendrai surement.
Quel dommage qu’apple ne regarde pas plus du côté des applications/mods
jailbreak pour ses MaJ. On se faisait la reflexion avec mon frère l’autre
jour.
A part pour SBSettings et les accusés réception, tester à la rigueur
quelques applis (je note au passage que nous avons acheté toutes les applis qui
nous plaisaient, même TomTom Europe, c’est dire !), le jailbreak ne nous sert à
rien.
Y a t il un endroit ou faire des suggestions à apple pour les futures MaJ,
du genre avec des votes et tout ? Parce que les toggle SBSettings sont quasi
indispensables à quiconque veut gérer efficacement sa batterie et les
fonctionnalités de connectique !
K4toN'
17 novembre 2009 à 15 h 51 min
Ça c’est de la news!
Fait juste presque une semaine qu’elle est sur les autres blogs…
xender
17 novembre 2009 à 9 h 22 min
C’est quoi ce compte "mobile"?
Jamais entendu parlé de ce compte. La dernière fois vous n’avez évoqué que
"root" avec mpd "alpine".
K4toN'
17 novembre 2009 à 16 h 20 min
Ok, j’avais donc bien compris, tu parle donc pour ne rien dire 🙂
Moi j’adore les mecs qui viennent critiquer ce que disent les autres parce
qu’il n’ont définitivement pas grand chose à dire =)
Tu n’es pas de taille si tu veux m’embêter, retourne jouer avec tes big-Jims
😉
thoraph
17 novembre 2009 à 22 h 57 min
Bonsoir comment et ou on voit si openSSH est activer dans cydia
merci
K4toN'
17 novembre 2009 à 17 h 20 min
Tu vas surtout devoir être forcé de t’arrêter, comme tu n’as rien à dire
d’utile…
C’est aussi bien.
bal42
17 novembre 2009 à 14 h 36 min
Si on a désinstallé OpenSSH le SSH continu t-il a tourné?
K4toN'
17 novembre 2009 à 18 h 16 min
@Manu
Attention cependant, celle-ci se réactive à chaque reboot/respring, donc il
faut obligatoirement changer le mdp pour une sécurité effective.
Sioban
17 novembre 2009 à 19 h 14 min
J’ai fait avec un autre membre un tuto de sécurisation ssh pour les plus
paranos d’entre vous : http://forum.iphonezine.fr/viewtopi…
On commence par le facile et on finit par le plus compliqué, mais si avec ça
vous vous faites pirater votre iphone par ssh, c’est qu’on vous en veut
vraiment 😀
kenshigros
19 novembre 2009 à 12 h 09 min
le changement du mot de passe pour ROOT marche correctement mais pas pour
MOBILE ???
Des que je rentre alpine,rien ne se passe????
Pourquoi ?
Youn94
18 novembre 2009 à 19 h 12 min
@Sioban
Et si, @deki a absolument raison.
Pas besoin de faire:
su mobile
passwd