a la une

L'iPhone donne un peu trop facilement son numéro

Par Yann Guégan | Rue89 | 29/09/2009 | 19H48

C'est le site spécialisé Mac4Ever qui a levé le lièvre ce mardi, annonçant avoir décelé une brêche dans le système d'exploitation qui fait tourner le téléphone best-seller d'Apple. Elle permet aux concepteurs des « applis » (ces petits programmes que l'utilisateur installe à sa guise) de récolter les numéros de téléphone des utilisateurs d'iPhone.

Un Espagnol découvre l'iPhone 3GS à Madrid le 19 juin (Susana Vera/Reuters)

Mac4Ever explique avoir découvert le problème grâce notamment aux témoignages des utilisateurs de l'application MogoRoad, qui propose des informations routières :

« Quelques semaines après installation, un opérateur vous appelle, afin de vous vendre la version payante.

Lorsque vous lui demandez comment votre numéro a été récupéré, les réponses varient, comme en témoignent les nombreux commentaires sur iTunes, mais généralement, la personne vous dit qu'Apple leur a transmis votre numéro au moment de l'achat. Ceci est évidemment faux. »

Le riverain qui a conçu l'application Rue89 sur iPhone confirme :

« C'est bien un bug. Il faut qu'il y ait accord explicite de l'utilisateur pour récupérer son numéro. Apple va corriger ce point dans la prochaine version du firmware [le logiciel interne du téléphone, que l'utilisateur est invité à mettre à jour régulièrement via l'application iTunes, ndlr]. »

« Développeur certifié » par la firme, il ajoute que les consignes reçues par les programmeurs sont claires :

« Dans le guide fourni aux développeurs, il est mentionné que le numéro de téléphone n'est normalement pas accessible et ne doit pas être récupéré via une application. »

Apple est plus prudent avec les informations de localisation

Pas franchement convaincu, le site iGénération indique que la commande incriminée est connue depuis longtemps. Ajoutée au logiciel de l'iPhone il y a un an (avec le firmware 2.1), elle est facile à trouver sur des forums d'entraide entre développeurs et peut être utile pour certaines applications :

« Ce numéro n'est obtenu que si l'on a renseigné le champs ad hoc dans iTunes [le logiciel qui gère le téléphone depuis l'ordinateur où il est connecté, ndlr] ou directement le champ “Mon numéro” dans le menu “Réglages > Téléphone”. Dans le cas contraire, aucun numéro ne peut être lu. »

Certes, me répond Didier Pulicani, directeur de la publication de Mac4Ever, mais au vu des réactions qu'il a pu collecter, beaucoup d'utilisateurs renseignent cette information sans se méfier :

« Ce qui est bizarre, c'est qu'Apple donne accès au numéro sans demander l'autorisation à l'utilisateur à chaque fois, ce qui est le cas pour les informations de localisation du GPS intégré. »

125 000 développeurs et 2 milliards de téléchargements

Apple a enregistré 125 000 développeurs iPhone dans le monde, qui ont
concocté plus de 85 000 applications pour l'App Store, le magasin d'applications mis à disposition par Apple,
et téléchargées deux milliards de fois. Avant d'être mis en rayon, les programmes sont retenus pour validation -procédure qui peut prendre plusieurs semaines.

A cette étape, la firme peut vérifier « les types de données que le programme fait transiter », note Didier Pulicani. Elle a pourtant donné son feu vert à MogoRoad.

Le téléphone d'Apple est déjà sur la sellette après une série d'« explosions » d'écran cet été. Dans ce dossier, la Commission européenne a haussé le ton lundi, menaçant de demander la suspension des ventes de l'appareil.

Photo : un Espagnol découvre l'iPhone 3GS à Madrid le 19 juin (Susana Vera/Reuters)

Addendum le 2/10 à 10h20. L'application mogoRoad a été retirée de l'App Store. Dans un communiqué, son PDG explique que la société a recueilli les numéros de téléphone concernés en respectant les règles en vigueur. Côté Mac4ever, on prend acte de cette défense, en indiquant que l'information initiale sur la faille de sécurité de l'iPhone reste valable.

16 votes

18079 visites  |  35 réactions

5 commentaires sélectionnés

Portrait de oomu

De oomu

20H22 | 29/09/2009 | Permalien

pff, juste de la polémique pour aigris.

les applications iphone, c'est l'utilisateur qui décide consciemment de les mettre. Un auteur qui utiliserait à mauvais escient mon iphone se voit très vite dénoncer sur l'app store et je n'aurais aucun scrupule à en rajouter. Ici, on voit que l'info circule vite.

ensuite, imaginons qu'un auteur de programme abuse, pour apple il est nullement anonyme et toute poursuite contre l'auteur est du coup facile à faire.

-
Comme avec tout logiciel tiers (de quelqu'un qu'on connait PAS ! ), on doit un minimum être vigilant. Je n'utilise pas un logiciel sans que j'ai eu un peu de retour, de la part de site ou utilisateurs.

-
Les logiciels sur l'iphone sont censés pouvoir travailler avec les données que vous donnez à l'iphone. Si vous considérez comme secret votre iphone, ne lui ajoutez pas de logiciels qui communiquent sur internet, encore moins de programmes n'ayant pas un peu de réputation.

-
tout cela n'est pas magique.

Portrait de solinvictus

De solinvictus

Burgonde | 01H59 | 30/09/2009 | Permalien

Bof bof …Erica Sadun, la gouroute de l'iPhone (plus mignonne que Steve Jobs, y a pas photo) avait déjà levé cet ersatz de lièvre l'an passé.
D'autre part, il existe sur les Smartphones de chez SonyEricsson (les séries Pxx et X) la même case à remplir avec les mêmes effets.
D'autres marques doivent avoir la même fonctionnalité ….
Mais le business modèle d'Apple est bon ==> le développeur en question va payer cher son indélicatesse (je pressens une empreinte de pointure 46 fillette sur son fondement et un vol plané hors de l'AppStore).

Vae victis, il s'est grillé tout seul, éventuellement, il ne lui restera plus qu'à aller proposer ses service pour l'AppMarket de « chez-Bill-les -gars-d'en-face ».
J'ai entendu dire qu'ils étaient un peu aux abois, prêts à recruter tout ce qui bouge pour arriver à avoir au moins 1/100e du nombre de logiciel de l'AppStore. Ils seront moins regardant.

Portrait de Tyrian

De Tyrian

Informaticien | 07H07 | 30/09/2009 | Permalien

Tout le processus de certification Apple, ayant pour but de soit-disant gérer la sécurité des utilisateurs, etc… Il sert à quoi ?

Car niveau sécurité, c'est raté. Par contre niveau censure et mettre des bâtons dans les roues d'autres firmes tel que Google, c'est réussis.

Portrait de Tyrian

De Tyrian

Informaticien | 07H08 | 30/09/2009 | Permalien

Sauf qu'Apple se vante de tout un processus de certification des applications… qui pour l'instant ne semble pas vraiment assuré la sécurité, mais d'autres objectifs.

Portrait de Keldan

De Keldan

Polytoxicomane à temps partiel | 13H19 | 30/09/2009 | Permalien

Mort de rire (deux fois en 1/4h, moi aussi je vais exploser : D)

Ca y est, on y est enfin, l'un des credos marketing vendeur d'Apple va enfin tomber ! ha ha ha (rire de grand méchant de films d'action pourri : D)
Je pressens que d'ici peu de temps, on aura enfin le droit au virus pour iPhone, et par extension pour tout Apple. Enfin ils connaitront la joie de l'infection : D

Plus sérieusement, c'est quand même bien naïf de créer une fonction pour récupérer le numéro du téléphone et penser que personne ne s'en servira pour de telles fins.

Que la fonction existe n'est pas un problème en soi, après tout cela peut servir, par exemple si l'on veut un super soft qui demande à un site web de nous passer des coups de fil pour échapper à une réunion, une discussion avec sa femme, se donner l'air important devant ses amis ou plus simplement montrer à tout le monde qu'on a un téléphone qui coûté cher donc qu'on est riche donc qu'on est un très bon candidat pour la reproduction.

Mais qu'au moins ils blindent leur truc, ne serait-ce qu'en demandant confirmation à l'utilisateur, le genre de fonctionnement standard sur les navigateurs web.
Et vu que c'est le genre de chose très simple à valider (puisque l'interface ce limite à une méthode « request »), je pense qu'il faudrait fouetter le concepteur ou le chef de projet qui a fait passer cette sécurité à la trappe…

En attendant, je vais peut être en acheter un, juste pour développer un super virus qui à l'insu des gens filme et enregistre tout en indiquant la position par GPS. Le tout transmis en direct sur le Web, sur psychopathe.com, et bien sur sélectionné pour avoir les meilleurs moments (en clair : les fifiles à poipoil : D).
Ha merde, ça existe déjà comme concept, ça s'appelle Loft Story : D

Tous les commentaires

Vous avez aimé cet article ? Achetez votre plaque et soutenez l'indépendance de Rue89

Appelez le 08 99 78 00 93 (1,68 € / appel)

Envoyez « RUE » par SMS au 81027 (1,5 € / SMS)

En savoir plus

Accrochez une plaque Rue89 sur votre page de membre et dans vos commentaires. Votre plaque, qui comportera votre numéro de riverain, apparaîtra pendant un mois.

123456
Rentrez le code que vous recevrez dans le cadre ci-dessous pour activer votre plaque

Connectez-vous pour entrer votre code