Peut-on pirater votre téléphone par un tag ?
En principe, tout code qui analyse une entrée non fiable peut comporter des défauts, et le logiciel qui lit un tag ne fait pas exception. En pratique, l'attaque qui fonctionne est sociale : un tag vous montre une adresse, vous la suivez, et tout ce qui suit relève de la persuasion plutôt que d'un téléphone cassé.
La surface d'attaque réelle
Quelque chose sur le téléphone lit des octets sur un tag et les interprète comme un message structuré. Cette analyse est du code, et le code qui traite une entrée non fiable est là où logent les défauts.
C'est une catégorie réelle et il serait malhonnête de dire autrement. C'est la même catégorie que l'analyse d'une image, d'une police ou d'un document.
Ce qui diffère, c'est l'ampleur de l'occasion, et c'est la plus petite de tous les canaux d'entrée d'un téléphone.
Pourquoi elle est étroite
L'attaquant doit se trouver à deux centimètres d'un téléphone qu'il ne maîtrise pas, ou convaincre son propriétaire de l'y amener.
Il obtient de quelques centaines d'octets à quelques kilo-octets, une fois, sans pouvoir réessayer en s'adaptant ni observer ce qui s'est passé.
L'analyse a lieu à l'intérieur du traitement propre à la plateforme, qui est maintenu et corrigé, et ce qui parvient à une application est déjà structuré.
Comparez avec une page web, qui livre des mégaoctets de contenu maîtrisé par l'adversaire, de façon répétée, depuis n'importe où sur terre. L'économie de l'attaque n'est pas comparable.
L'attaque qui fonctionne
Un tag dans un lieu public portant une adresse qui mène à une page demandant quelque chose. Un autocollant sur un horodateur. Un tag posé par-dessus un tag légitime.
Tout ce qui est nuisible dans cette séquence a lieu après la lecture, dans un navigateur, du fait de la personne qui tient le téléphone.
Ce qui veut dire que la défense est celle qui fonctionne partout ailleurs : regarder où l'on vous envoie, et se méfier de tout ce qui demande d'installer, de se connecter ou de payer.
Un tag est un support de livraison pour un lien, de la même façon qu'une affiche imprimée, et le fait d'être invisible est son seul avantage sur le papier.
Réduire ce qu'il y a
Tenir le téléphone à jour, puisque c'est là qu'arrivent les correctifs d'analyse et que c'est la seule mesure technique qui compte ici.
Lire les tags inconnus avec un outil plutôt que de laisser le téléphone agir dessus, ce qui transforme une action automatique en décision.
Couper la lecture en arrière plan si vous le préférez, en acceptant de perdre le confort, la mécanique étant traitée du côté smartphone.
Et ne pas en faire un motif d'alarme. Le téléphone dans votre poche affronte en continu des risques plus grands par des canaux qui n'inquiètent personne.
Questions fréquentes
Y a-t-il une surface d'attaque réelle ?
Oui, dans l'analyse du contenu d'un tag, comme pour toute entrée non fiable. C'est le canal d'entrée le plus étroit d'un téléphone.
Comment une telle attaque m'atteindrait-elle ?
Il faudrait que quelqu'un se trouve à deux centimètres de votre téléphone, avec une tentative et quelques centaines d'octets.
Que se passe-t-il en pratique ?
Un tag propose une adresse, vous la suivez, et la page vous persuade de faire quelque chose. Le téléphone n'a jamais été cassé.
Que faut-il faire ?
Tenir le téléphone à jour, lire les tags inconnus au lieu d'agir dessus, et juger l'adresse avant de la suivre.