Puce T2 sur Mac : une sécurité matérielle complémentaire à un antivirus ?

La plupart des modèles récents de Mac intègrent une puce spécifique nommée T2, notamment destinée à renforcer la sécurité de macOS par un chiffrement AES. Cette nouveauté matérielle vient ainsi compléter une série de changements au niveau de la sécurité du Mac et de sa protection contre les logiciels malveillants. Voyons ce que cette puce permet, et comment elle vient compléter la sécurité du système, notamment par rapport à un antivirus

Le cliché du Mac immunisé contre les virus, comme on a déjà pu le voir, a pris du plomb dans l'aile ces dernières années. Sans céder au sensationnalisme, c'est un phénomène que l'on peut observer régulièrement. Certes, il serait totalement irresponsable d'affirmer que le Mac connaît aujourd'hui une crise similaire aux pires heures de Windows XP. Néanmoins, des menaces non négligeables font l'actualité de manière récurrente. En 2016, un ransomware déjouait le système de certificat des applications « légitimes » pour se glisser dans le client BitTorrent Transmission. Des études comme celle de Malwarebytes montrent une progression claire du nombre de menaces ciblant macOS, même si la majorité reste des adwares peu dangereux. En 2007, un Mac personnifié en jeans et t-shirt se vantait de ne pas avoir de virus dans la célèbre campagne « I'm a Mac/I'm a PC ». Disons qu'il serait un peu hors sujet en 2020.

Néanmoins, cette évolution s'est accompagnée d'une prise de conscience, certes lente, mais bien présente, de la part d'Apple sur la sécurité de macOS. Avec plusieurs mesures de plus en plus contraignantes sur la partie logicielle, la sécurisation du Mac a pris un tournant avec la sortie de l'iMac Pro, premier Mac à intégrer une nouvelle puce : le T2.

Du T1 au T2

La puce T2 fait suite au T1, déjà présent sur les MacBook Pro depuis 2016. Avant de passer au T2, revenons sur cette première génération qui coïncide avec l'arrivée de deux technologies sur les Mac : la Touch Bar et le capteur d'empreinte Touch ID. Le T1 est une puce basée sur l'architecture ARM, et chargée de gérer notamment ces deux composants. Pour la partie sécurité, c'est le second qui nous intéresse : avec TouchID vient le besoin d'une enclave sécurisée pour stocker les empreintes digitales. Sur iOS, cet emplacement est situé au cœur du SoC, le premier l'ayant intégré étant le processeur A7 qui équipait l'iPhone 5s, premier iPhone doté de TouchID. Sur Mac, c'était un des rôles du T1 intégré sur les MacBook Pro 2016.

En 2017, Apple va plus loin avec la sortie de l'iMac Pro. Bien qu'il ne soit pas équipé d'un capteur d'empreinte digitale ou d'un clavier pourvu de la Touch Bar, l'iMac Pro est le premier iMac à intégrer le « successeur » du T1, le fameux T2.

A quoi sert donc cette puce T2, et comment se présente-t-elle ? Déjà, le T2 est basé sur un cœur plus récent : celui de l'A10 que l'on trouvait sur les iPhone 7. Eh oui, les processeurs ARM sont déjà, quelque part, dans les Mac depuis cette époque. Depuis la sortie de l'iMac Pro, d'autres Mac ont intégré le T2, notamment les derniers MacBook Pro, MacBook Air et Mac Mini. Tous ont pour point commun d'utiliser un SSD comme seul périphérique de stockage. Les MacBook Pro et MacBook Air intègrent également TouchID.

Démarrage sécurisé

Concrètement, la puce T2 joue essentiellement deux rôles. Le premier est d'assurer un démarrage sécurisé du Mac. Cette procédure, déjà intégrée à iOS, va vérifier l'intégrité du système d'exploitation : pour démarrer, il doit être conforme à celui authentifié par Apple. Par exemple, si un malware avait modifié des composants de bas niveau du système, ces changements seraient détectés et macOS refuserait de se lancer.

C'est une procédure tout à fait similaire à celle d'iOS et son Boot ROM. Concrètement, lorsque vous allumez votre Mac, le T2 est la première puce activée, qui va charger le bootloader, puis Bridge OS, le « mini OS » de la puce, puis le système.

Chiffrement du SSD

L'autre rôle de la puce T2 concerne le chiffrement des données du SSD. C'est l'aspect le plus controversé du T2 pour certains : un Mac équipé d'une puce T2 ne peut démarrer que depuis son SSD interne, et d'autre part, il est impossible de lire les données du SSD d'un Mac équipé d'un T2 sur un autre Mac et pour une bonne raison : elles sont chiffrées.

Le T2 agit en effet comme un moteur de chiffrement AES qui décharge complètement le processeur principal de cette tâche, et qui se place au milieu du chemin entre le SSD et la mémoire, via des voies PCI Express. Là encore, c'est un comportement déjà commun dans iOS, où chaque appareil, selon Apple, est doté d'un moteur 256 bits entre le stockage flash et la mémoire système. Pendant le processus de fabrication d'un Mac équipé d'une puce T2, un identifiant unique est généré, permettant d'appairer les puces mémoires du SSD au processeur T2. Il est donc de ce fait impossible, par exemple, d'extraire ces puces pour lire leur contenu dans un autre Mac.

Le T2 dispense-t-il d'un antivirus ?

Avec une sécurité aussi présente au niveau matériel, on peut se demander si les Mac équipés d'un processeur T2 ont besoin d'un antivirus. Faisons le point :

• La puce T2 sécurise le démarrage : si un logiciel malveillant modifie des composants de bas niveau, le système ne se lance pas

• La puce T2 chiffre également les données du SSD à la volée
• macOS Catalina, en plus de nécessiter la signature numérique des
  applications, peut également lancer un scan aléatoire sur une app déjà
  installée pour vérifier si elle n'a pas été modifiée depuis
• Les dernières versions de macOS ont également des protections
  intégrées avec des alertes sur l'utilisation de certaines zones ou
  composants du système

D'accord. Et que peut alors apporter un antivirus ? Déjà, s'il est bien conçu, un antivirus est un filet de protection supplémentaire qui peut détecter des menaces encore inconnues, en observant des comportements suspects. Ensuite, il peut apporter d'autres services comme un pare feu qui va vérifier les connexions sur votre réseau, un anti ransomware qui peut empêcher les modifications sur certains dossiers comme les documents, ou une extension pour navigateur web qui va vous protéger des arnaques en ligne, des sites frauduleux ou des téléchargements abusifs.

Pour un utilisateur néophyte qui n'aurait pas nécessairement envie d'aller chercher des solutions ciblées en installant plusieurs applications, un antivirus et surtout une suite de sécurité apportent également un panel de fonctionnalités centralisées au sein d'une interface telle qu'un VPN pour surfer anonymement, un gestionnaire de mots de passe ou encore des outils de contrôle parental.

La puce T2 intégrée aux derniers Mac permet d'ajouter une couche de sécurité au système macOS, comme le font les dernières améliorations apportées depuis macOS Mojave et Catalina. Et comme pour ces dernières, un utilisateur prudent et averti n'aura pas forcément besoin de plus. Au contraire, certains "power users" se plaignent même des mesures de sécurité drastiques de Catalina. En revanche, là encore, l'antivirus a essentiellement deux rôles : sécuriser un utilisateur moins familier avec l'informatique et les rouages d'un système d'exploitation et apporter un filet de sécurité supplémentaire, notamment pour détecter de nouvelles menaces encore inconnues.