Cette vulnérabilité n’est pas exploitée dans le monde réel. Ce n’est pas une chose qui devrait vous inquiéter particulièrement, mais un rappel qu’aucune plate-forme n’est totalement sécurisée.
Qu'est-ce qu'un profil de configuration?
Les profils de configuration sont créés avec l'utilitaire de configuration iPhone d'Apple. Ils sont destinés aux services informatiques et aux opérateurs cellulaires. Ces fichiers portent l’extension de fichier.mobileconfig et constituent essentiellement un moyen simple de distribuer les paramètres réseau aux appareils iOS.
Par exemple, un profil de configuration peut contenir des paramètres de restriction Wi-Fi, VPN, e-mail, agenda et même de mot de passe. Un service informatique peut distribuer le profil de configuration à ses employés, ce qui leur permet de configurer rapidement leur appareil pour se connecter au réseau d'entreprise et à d'autres services. Un opérateur de téléphonie mobile pourrait distribuer un fichier de profil de configuration contenant ses paramètres de nom de point d'accès (APN), permettant aux utilisateurs de configurer facilement les paramètres de données cellulaires sur leur appareil sans avoir à saisir manuellement toutes les informations.
Jusqu'ici tout va bien. Cependant, une personne mal intentionnée pourrait théoriquement créer ses propres fichiers de profil de configuration et les distribuer. Le profil peut configurer le périphérique pour utiliser un proxy ou un réseau privé virtuel malveillant, permettant ainsi à l'attaquant de surveiller tout ce qui se passe sur le réseau et de le rediriger vers des sites Web de phishing ou des pages malveillantes.
Les profils de configuration peuvent également être utilisés pour installer des certificats. Si un certificat malveillant était installé, l'attaquant pourrait effectivement se faire passer pour des sites Web sécurisés tels que des banques.
Comment les profils de configuration pourraient être installés
Les profils de configuration peuvent être distribués de différentes manières. Les moyens les plus préoccupants sont les pièces jointes et les fichiers de pages Web. Un attaquant pourrait créer un email de phishing (probablement un email spear-phishing ciblé) encourageant les employés d'une entreprise à installer un profil de configuration malveillant associé à cet email. Ou bien, un attaquant pourrait configurer un site de phishing essayant de télécharger un fichier de profil de configuration.
Gestion des profils de configuration installés
Vous pouvez voir si des profils de configuration sont installés en ouvrant l'application Paramètres sur votre iPhone, iPad ou iPod Touch et en sélectionnant la catégorie Général. Recherchez l'option Profil au bas de la liste. Si vous ne le voyez pas dans le volet Général, aucun profil de configuration n’est installé.
Il s’agit plus d’une vulnérabilité théorique, car nous ne sommes au courant de personne qui l’exploite activement. Néanmoins, cela démontre qu'aucun périphérique n'est complètement sécurisé. Soyez prudent lorsque vous téléchargez et installez des éléments potentiellement dangereux, qu’il s’agisse de programmes exécutables sous Windows ou de profils de configuration sous iOS.
