Quelle triste nouvelle ! D’après des chercheurs allemands de l’université d’Ulm, il semblerait que le système d’exploitation Android seraient vulnérables aux intrusions permettant de récupérer des données personnelles stockées sur les serveurs distants de Google. Voilà une faille critique que Google a intérêt de combler rapidement, sous peine d’être rapidement exploitée…

En effet, le problème viendrait du protocole d’identification ClientLogin, utilisé dans Android 2.3.3 et dans ses versions antérieures. Comme son nom le laisse deviner, ce protocole a la lourde tâche d’effectuer le login à distance de l’utilisateur lorsqu’il configure son compte sur son téléphone. Pour cela, le protocole utilise un système de jeton d’accès unique valable 14 jours mais il semblerait qu’en plus il soit envoyé en clair sur le réseau. Autant dire que tout le monde qui sait sniffer un réseau peut le récupérer et s’en servir à des fins malveillantes…

Les chercheurs expliquent que Google a réussit à combler ce trou important de sécurité en version 2.3.4, mais cela malgré lui. Eh oui, le simple fait d’ajouter le protocole HTTPS pour certains de ces services permet de crypter le flux de données lors de la communication. Cependant, il reste encore des services qui n’utilisent pas ce protocole (comme Picasa) et donc qui rendent les téléphones encore vulnérables.

Google a bien évidemment été averti et a annoncé travailler pour trouver au plus vite un correctif. Cependant ce type de faille est vraiment important et d’une grande ampleur. Elle ne sera pas comblée et résolue dès demain. Il faut dire qu’il est souvent long et difficile de faire passer une mise à jour sur tous les systèmes vendus, surtout quand on ne les maîtrise pas. Il faut dire que certains utilisateurs ne savent même pas que leur téléphone peut se mettre à jour. Alors bon…

En tout cas, on ne peut que vous recommander l’extrème prudence, d’éviter au maximum les réseaux ouverts qui pourraient être écouté par des personnes mal-intentionnées. Cela vient mettre un petit coup au système quand même…

Source : RWW