Cours de sécurité

informatique
Sujet : Android trois énorme failles qui menacent la
sécurité de million des mobiles

TRAVAIL FAIT PAR :

NZUZI MAWESI
NSIMBA MAWESI
NSENGA KABANGO
NSAPU MUKULE
KUTANI LUMBAMBUKU
NGOMA MAKIENGE
GODA GERENGBO
KAMUANYA KABWIKA
NGOMA LEMVO
KIBOL NGUNZA
YASUPENGO HULETE
MUAMBA MUAMBA
WALENGE KAZAGBO
BONKONO
Introduction
Le système Android connait un succès
croissant auprès des développeurs d’applications embarquées (de type ordi
phones, mais également tablettes, téléviseurs connectés, et pourquoi pas demain
réfrigérateurs, etc.).
Ce succès commercial s’accompagne d’un
nombre croissant de publications autour de la sécurité du produit ... ainsi que
d’un nombre croissant d’incidents de sécurité.

Ce qui met en évidence d’exposer ces

appareils à risque accru des piratages et d’espionnage. Pire encore l’ensemble de
ses failles permettent carrément l’exécution du code arbitraire à distance.

En effet, se propose de réaliser un tour d’horizon des attaques connues contre

le système Android, ainsi que des faiblesses intrinsèques héritées de la structure
du marché de la téléphonie mobile.
Android : trois énormes failles menacent la sécurité de millions de mobiles

Pour Les utilisateurs possédant un

smartphone Android, il est probable qu’il embarque une puce de marque
Qualcomm ou MediaTek. Trois énormes failles de sécurité qui visent de
nombreux modèles de puces de smartphone. Cette faille de sécurité affecte les
décodeurs audio de ces puces : exploitée correctement, elle permet à n’importe
quel pirate d’accéder à distance à des fichiers ainsi qu’à un flux streaming des
conversations audio.
Ce qui, à l’évidence, expose ces appareils à un
risque accru de piratage et d’espionnage. Pire encore, prises ensemble ces failles
permettent carrément d’exécuter du code arbitraire à distance. Tout ce qu’ont
à faire les pirates est de construire un fichier audio malicieux et de conduire leur
victime à le jouer. On imagine facilement comment, avec une pincée d’ingénierie
sociale des acteurs malicieux peuvent conduire des cibles à ouvrir ce type de
fichiers.
Surtout à l’heure où de nombreuses
personnes préfèrent communiquer par messages audio enregistrés plutôt que
par texte. Néanmoins les pirates ont également d’autres options encore plus
discrètes pour exploiter ces failles, avec des conséquences potentiellement très
inquiétantes. “L’impact de la vulnérabilité RCE va de l’exécution de malware à
la prise de contrôle des données multimédia d’un utilisateur dont le streaming
de la vidéo issue de la caméra de l’appareil.

Par ailleurs, une application Android dénuée

de privilèges est susceptible d’utiliser ces vulnérabilités pour monter en
privilèges et obtenir l’accès à des données média ainsi que des conversations de
l’utilisateur”. Les trois failles, CVE-2021-0674, CVE-2021-0675 et CVE-
2021-30351 résident pour l’essentiel dans un problème avec la version open
source du codec ALAC
Si Apple met régulièrement à jour la version
propriétaire du format ALAC dans ses logiciels et systèmes d'exploitation, le
code open-source n'a pas fait l'objet d'un suivi aussi consciencieux. En fait, il
n'a connu aucun correctif depuis… 2011. Et c'est un sérieux problème,
puisqu'on trouve ces bibliothèques dans de nombreux appareils et applications
d'autres plateformes que celles d'Apple.

Qualcomm et MediaTek, deux des plus

importants fournisseurs de puces mobiles pour les smartphones Android,
intègrent la version open-source de l'ALAC dans leurs décodeurs audio qui sont
utilisés dans plus de la moitié des téléphones dans le monde. Cela concerne des
terminaux sous Android 8.1, 9.0, 10.0 et 11.0.
 Pour la solution à notre humble opinion
nous estimons que il serait mieux de mettre en place un algorithme basé sur le
cryptage AES afin de permettre de stocker les fichiers multimédia se trouvant
dans les téléphones sous une forme crypté, cela rendra impossible la
manipulation de ceux-ci en cas d’intrusion par un hackeur, à cet effet seul le
téléphone lui-même peut être capable de décrypter les fichiers multimédia pour
les rendre exploitable uniquement lorsque l’utilisateur veut exécuter une action
sur les fichiers.

Conclusion
Le système Android n’a malheureusement
pas profité de l’opportunité unique qui lui était donnée : repartir de la feuille
blanche et créer un système d’exploitation Sur sa conception.
A cause d’un héritage logiciel peu fiable, ainsi
que des contraintes matérielles et commerciales issues du monde de la
téléphonie mobile, le système résultant est un compromis qui laisse une large
place à la créativité des attaquants.