Ce contenu est réservé aux abonnés La Tribune
Apple va offrir jusqu'à 2 millions de dollars pour des chercheurs capables de trouver une faille de sécurité.
Apple
2 millions d’euros. Une somme qui peut faire rêver, mais sur le marché noir, c'est presque un standard. Depuis le 10 octobre, Apple renforce sa lutte contre les logiciels malveillants en revalorisant les primes offertes aux chercheurs en cybersécurité et aux hackers éthiques capables de découvrir une faille critique. Les récompenses peuvent aujourd’hui atteindre entre 500 000 et 2 millions de dollars, selon la gravité des vulnérabilités détectées. La vulnérabilité serait d’autant plus technique à identifier qu’Apple a renforcé sa puce avec plusieurs nouvelles couches de sécurité, rendant toute découverte particulièrement complexe et sophistiquée.
Ces montants ne sont pas anodins tant le marché illicite des failles est un business lucratif. Les découvertes se vendent souvent en quelques heures pour un million de dollars sur des forums spécialisés fréquentés par hackers, sociétés de logiciels espions et gouvernements. « C’est un marché extrêmement rentable pour ceux capables de trouver ces failles. Quant aux acheteurs, il peut s’agir de sociétés spécialisées dans la surveillance ou de gouvernements. Apple a raison de s’aligner sur ces sommets », nous explique Baptiste Robert, hacker éthique à la tête de Predicta Lab, lui-même à l’origine de plusieurs découvertes.
Apple en profite pour rappeler que ses nouveaux processeurs A19 et A19 Pro, qui équipent les iPhone 17 et iPhone Air, intègrent la technologie Memory Integrity Enforcement (MIE), conçue pour contrer l’un des procédés d’attaque les plus sophistiqués : le logiciel espion. Partant du constat que la mémoire est la cible privilégiée des attaques, chaque zone de stockage utilisée par le système reçoit une « signature » secrète, que le processeur vérifie à chaque accès. Si la signature ne correspond pas, l’opération est immédiatement bloquée et le processus suspect interrompu. L’objectif est d’empêcher l’injection de code malveillant dans la mémoire d’une application légitime, méthode la plus courante pour exécuter un logiciel espion à l’insu de l’utilisateur.
