Les “certificats d’entreprise” d’Apple utilisés pour espionner les utilisateurs iPhone

Depuis l’affaire récente du retrait par Apple de l’accès aux certificats d’entreprise pour Facebook et Google, pour les remettre quelques jours ou heures plus tard, on a appris que d’autres développeurs peu scrupuleux utilisaient ce programme d’Apple.

Le site TechCrunch avait notamment révélé plus d’une vingtaine d’apps de pornographie et de paris qui utilisaient le certificat d’entreprise d’Apple pour une distribution en dehors de l’App Store. Cette fois-ci il a été découvert de fausses apps d’opérateurs mobiles qui espionnent les utilisateurs.

Des experts en sécurité informatique de la firme Lookout, ont découvert plusieurs applications iPhone en Italie et au Turkménistan, qui se faisaient passer pour des applis publiées par des opérateurs mobiles.

Ces dernières pouvaient être téléchargées sur iPhone en passant par Safari et en utilisant un certificat d’entreprise Apple. Elles utilisaient des éléments officiels de branding, et promettaient des fonctionnalités supplémentaires aux abonnés des opérateurs.

Ces apps demandaient tous les accès possibles à l’iPhone pour suivre la position de l’utilisateur, collecter les contacts du carnet d’adresses, accéder à la pellicule photo, mais aussi écouter les conversations téléphoniques des utilisateurs.

Cette utilisation est bien évidemment en violation des conditions d’utilisation du programme. Celles-ci stipulent que cela doit servir uniquement à distribuer des apps internes aux employés d’une entreprise.

Selon TechCrunch, il est très facile d’obtenir un certificat d’entreprise. Il suffit de remplir un formulaire en ligne, de payer 299 dollars à Apple et de s’engager à utiliser ce certificat uniquement pour distribuer des apps aux employés de l’entreprise.

Après les différentes affaires récentes autour de l’utilisation frauduleuse des certificats d’entreprise, on s’attend à ce que la firme de Cupertino commence à sévir sur une partie des apps exploitant le certificat d’entreprise.

Depuis le 27 février dernier, tous les comptes développeur doivent utiliser l’identification à deux facteurs. Cela pourrait potentiellement aider à éviter ces abus du programme de certificat d’entreprise, mais il faudrait des mesures supplémentaires.

Source

i-nfo.fr - App officielle iPhon.fr

Par : Keleops AG

4.4 / 5

613 avis

App Store