Votre iPhone ou smartphone Android résisterait-il à une attaque des meilleurs hackers ?

En 2024, plusieurs entreprises fournissent des outils aux autorités pour débloquer des smartphones — ou tenter de les débloquer. L’entreprise israélienne Cellebrite s’est récemment illustrée dans le déverrouillage rapide du smartphone de Thomas Matthew Crooks, le jeune homme qui a tenté d’assassiner Donald Trump lors d’un meeting.

Pour les ingénieurs de ces entreprises, détruire la sécurité des smartphones promise par les marques aux utilisateurs est un enjeu sécuritaire, qui permet d’aider les enquêteurs. Mais pour Apple, Samsung ou Google, c’est un jeu du chat de la souris permanent pour corriger les failles qui sont exploitées par Cellebrite ou Grayshift, l’un de ses concurrents. D’autant plus pour Apple, qui fait régulièrement campagne sur la sécurité et le respect de la vie privée par ses outils.

Reste qu’il est difficile de savoir ce que ces entreprises sont réellement capables de faire : elles ne dévoilent pas leur méthodologie et rarement les produits qu’elles peuvent débloquer. Mais 404Media a récemment obtenu un document présenté aux clients de Cellebrite, confirmé par l’entreprise, qui donne une indication sur ce qu’elle était capable de déverrouiller en avril 2024. Aussi bien sur iOS que sur Android.

Les modèles d’iPhone déverrouillés par Cellebrite en avril 2024

Côté iOS, Cellebrite est capable de déverrouiller plusieurs modèles d’iPhone avec de bons succès de l’iPhone 6 à l’iPhone 11, sur des versions d’iOS qui ne sont pas la dernière en date. Quand Cellebrite note « Bientôt » ou « En cours de recherche » dans une case, c’est que l’entreprise ne sait pas craquer le modèle d’iPhone ou la version d’iOS qui est installée dessus. D’où l’intérêt de faire des mises à jour : on voit qu’en avril 2024, il n’est pas possible pour Cellebrite de craquer les derniers iPhone 15 et 15 Pro ou la dernière mise à jour mineure d’iOS 17.

Dans le tableau ci-dessous « BF » signifie « Brute Force », autrement dit une méthode de déverrouillage basée sur de multiples tentatives d’entrées jusqu’à ce que cela fonctionne et « Supersonic BF » désigne la technique plus avancée développée par Cellebrite, qui accélère le processus.

Les modèles Android déverrouillés par Cellebrite en avril 2024

Côté Android, c’est la foire à la saucisse. À part Huawei, Samsung et Google avec ses Pixel, on peut considérer que tout smartphone Android est craqué par une méthode brute force par Cellebrite. Du côté des trois grands noms du secteur, certains modèles résistent, par exemple les Pixel 6 à 8 s’ils sont éteints depuis plusieurs jours. Ces mêmes modèles résistent à la force brute côté mot de passe, mais Cellebrite peut quand même accéder aux données par une autre méthode.

Mais les Samsung, par exemple, ne résistent pas du tout à Cellebrite s’ils tournent sous Android 7 à 14. Paradoxalement, ce sont les modèles les plus anciens de Samsung que Cellebrite ne déverrouille pas — peut-être parce qu’ils n’ont pas d’intérêt commercial à le faire, vu leur faible part de marché.

Reste que pour Xiaomi, Sony, OnePlus, LG et les autres, le tableau de Cellebrite est si complet qu’ils ne s’embarrassent pas de lister tous les modèles.

Comment se protéger des attaques par Cellebrite

D’emblée, une chose est sûre, Cellebrite ne fournit pas un outil pour le tout venant. L’entreprise travaille principalement avec des États et des forces de l’ordre, dans des missions de sécurité ou d’espionnage. Dès lors, le risque pour que vous soyez la cible de Cellebrite est infime.

Mais si votre sécurité maximale est une priorité pour vous, nous ne pouvons vous donner que deux conseils quand il s’agit de smartphone grand public : achetez un iPhone de dernière génération et maintenez-le à jour. Notre guide peut vous aider à choisir le vôtre. Apple fera un gros travail de sécurisation de ses produits — la firme s’y engage — et à mesure que des entreprises comme Cellebrite trouveront des failles pour les craquer, Apple se chargera de les boucher, plus ou moins vite.

Si vous souhaitez un smartphone Android à tout prix, on ne peut que recommander des marques dont la sécurité est une priorité (notre guide) — Google et Samsung en Europe — et qui mettent à jour leurs smartphones le plus régulièrement possible.