Le code source du micrologiciel iBoot, un logiciel propriétaire et confidentiel d’Apple, circule depuis au moins quatre mois sur Internet, auprès des spécialistes de la sécurité et autres pirates.

Ce micrologiciel est exécuté à chaque démarrage d’appareils iOS (iPhone, iPad, iTV, etc.). Le démarrage est une étape clé pour établir ou circonvenir la sécurité d’un système d’exploitation.

iBoot est un démarrage de second niveau. S’il y a un problème, iBoot lance le mode de récupération de l’appareil. Si tout va bien, iBoot vérifie que la version d’iOS est légitime, la lançant le cas échéant.

En tant qu’étape clé pour maintenir et défendre l’intégrité d’un système, la gestion du démarrage est fortement protégée, stockée sous forme chiffrée.

L’une des violations les plus populaires de cette étape de démarrage est le jailbreaking, pour contourner toute limitation imposée par Apple. Elle peut également être détournée pour installer un rootkit, un type de logiciel malveillant tenace dont il est remarquablement difficile de se séparer.

 

S’il était relativement difficile d’obtenir son code source, son accès a été démocratisé depuis un jour ou deux, en se retrouvant sur la très populaire plateforme de code source GitHub. GitHub permet aux développeurs, open source ou non, d’héberger leur code, de gérer les versions, de gérer un projet, de documenter le code, et d’être examiné par des pairs.

Le référentiel a été très vite bloqué par Apple qui s’est appuyé sur la loi Digital Millennium Copyright Act de 1988.

Toutefois, pas assez rapidement pour empêcher des personnes de dupliquer le code, et de le publier à nouveau, de façon moins visible, toujours sur GitHub.

Il est recommandé aux lecteurs curieux de s’abstenir d’obtenir, de diffuser, de vendre ou de lire le code : c’est illégal et Apple a montré à maintes reprises sa propension à faire travailler ses cabinets d’avocats.

Il n’y a pas de risque direct pour le possesseur d’appareil iOS. Le fait que le code source du iBoot soit en libre circulation facilitera toutefois le travail des développeurs de logiciels malveillants.

Cette nouvelle est peu glorieuse pour Apple, qui s’est déjà fait remarquer avec les multiples vulnérabilités de la dernière version de son système d’exploitation macOS High Sierra à l’automne 2017.