iOS 14.5 : Safari agira comme un proxy pour éviter les fuites de données vers Google

Par Guillaume Belfiore, Rédacteur en chef adjoint.

Publié le 12 février 2021 à 12h27

Apple a décidé de renforcer davantage la sécurité de son navigateur Safari au sein d'iOS 14.5 et iPadOS 14.5. L'objectif est de masquer davantage l'historique de navigation de Google.

Apple a décidé de revoir l'implémentation de Google Safe Browsing, le dispositif de protection sur lequel repose Safari, afin d'en anonymiser les données.

Google Safe Browsing prochainement anonymisé

Google Safe Browsing est une base de données au sein de laquelle Google répertorie les sites frauduleux ou suspicieux. Lorsqu'un internaute utilisant un navigateur doté d'un système de sécurité se rend sur l'un de ces sites web, le navigateur envoie alors un avertissement, voire en bloque complètement l'accès.

Concrètement, Google envoie à Safari une liste des sites web avec un chiffrement des URLs. De son côté, Safari compare le site auquel l'internaute tente d'accéder avec cette liste. Lorsque qu'une page suspecte est repérée, Safari demande à Google l'URL dans son intégralité. Puisque les URLs sont chiffrées, Google ne sait pas quelles adresses web sont visitées par l'internaute.

Cependant, lors de la communication avec Safari, Google est en mesure de collecter les adresses IP. Et c'est précisément là qu'intervient la mise à jour iOS 14.5. Macrumors rapporte en effet qu'Apple a confirmé avoir mis en place un proxy « afin de limiter les fuites d'informations ».

iOS 14.5 : une mise à jour quasi-majeure

Pour Apple, c'est de nouveau une mesure de sécurité qui sera introduite dans cette prochaine version, et c'est une nouvelle manière de se positionner en tant que défenseur de ses consommateurs.

Après avoir obligé les éditeurs à montrer patte blanche et à dévoiler au grand jour sur l'App Store les données collectées, la société introduira également l'ATT, ou Application Tracking Transparency. Prochainement, ce seront donc les utilisateurs eux-mêmes qui choisiront ou non d'être pistés pour obtenir de la publicité personnalisée.

La dernière version bêta d'iOS 14.5 est sortie le 4 février dernier. Parmi les autres fonctionnalités clés, notons l'application Maps qui proposera des options similaires à Waze pour signaler un accident ou un radar.

Source : Macrumors

Par Guillaume Belfiore

Rédacteur en chef adjoint

Actualités Navigateur web

Apple

Internet & communication

Actualités High-Tech

Vous êtes un utilisateur de Google Actualités ou de WhatsApp ?
Suivez-nous pour ne rien rater de l'actu tech !

Commentaires (0)

Rejoignez la communauté Clubic

Rejoignez la communauté des passionnés de nouvelles technologies. Venez partager votre passion et débattre de l’actualité avec nos membres qui s’entraident et partagent leur expertise quotidiennement.

Commentaires (9)

Metaphore54

Apple attaque Google au porte monnaie, j’attends de voir la réaction de Google.

notolik

On parle d’iOS. Donc du traçage fait sur nos mobiles. Ceux-la même qui ont une IP qui change souvent.
En quoi cacher une IP qui bouge derrière une IP fixe Apple est une révolution?

Sur Mac OS encore, pour ne pas dire à Google : je suis Qanon, j’aime tuer des chatons, … pourquoi pas. Mais sur mobile, bof.

Les petits ruisseaux font de grandes rivières, mais il va en falloir bien plus je pense pour éroder le business de Google.

g-m1n1

À mon avis Google peut pas faire grand chose.

Ne plus payer pour être le moteur de recherche par défaut ?
Ne plus publier de mises à jour de leurs apps sur iOS et consorts?

Ils se tirent une balle dans le pied dans ce cas, les consommateurs iOS ont plus de valeur que les consommateurs Android (ils déboursent plus en moyenne) et il y a 1,5 milliards d’appareils connectés. Ils peuvent pas s’en passer à moins de perdre un CA colossal.

Bloquer Apple Music sur Android ce serait un procès assuré aussi.

toast

T’es sûr que tous les fournisseurs mobiles de la planète fonctionnent sur ce modèle ?
T’es jamais connecté en Wifi au bureau ou chez toi ?

Arobase40

Le plus drôle sera de voir la réaction de Apple quand il perdra les milliards de dollars que Google lui verse chaque année !!! ^^

Arobase40

Tu es bien naïf mon gars

Tu t’imagines une seule seconde que Apple va renoncer à tous les milliards de dollars que Google lui verse chaque année et que Google va continuer à payer s’il n’en tire rien avec son moteur de recherche ???

Le fait que les consommateurs iOS dépensent plus n’a strictement aucun impact sur le business de Google puisque toutes ses applis et tous ses services sont gratuits… ^^

De plus, c’est Apple qui se retrouverait encore plus (ce qu’il est déjà en fait) en situation d’abus de position dominante.

Donc, l’un comme l’autre ont tout à perdre et je suis prêt à prendre les paris qu’il y aura des négociations secrètes pour maintenir une forme de statu quo.

C’est juste de la COM !

notolik

Oui, car sinon il faudrait qu’ils allouent 297 654M d’adresses « mortes »
Il faut être fou pour vouloir passer par le wifi de sa boite (soumis lui-même à proxy, surveillance, filtrage, …) et qu’en wifi, ça revient à du desktop (Mac OS).

Je rappel quand même, que les « boites » qui utilisent des AV corporate, les utilisent quasi toujours comme proxy appairé avec le DNS (local). Le certificat des pages web XXXXXX ne sont pas certifiées pour XXXXXX, mais par ANTIVIRUSYYYYYY, du coup TOUS les mots de passe, TOUS les formulaires, TOUTES l’activité sensée être cryptée ne l’es que par cet intermédiaire, et que du coup, la « boite » en question est capable de capter TOUT en clair… TOUT

C’est un man in the middle parfait mais légal (pas sûr de ce dernier point)

Donc imaginer un seul instant que l’icône SSL « normal » vous protège sur un réseau d’entreprise est une grosse blague.

toast

Tu sais que le plus gros employeur de France c’est l’artisanat. Alors les jolies configurations réseau sécurisée et limitées des grosses boîtes… Une grande majorité en france va se connecter sur sa box à la maison ou sa box au boulot. Non vraiment, croire qu’on a rarement la même IP en mobile…

snoopyz

C’est bien d’avoir investigué la question mais il faut remettre les choses dans leur contexte.

D’abord le principe même d’un proxy est de contrôler le trafic qui passe vers un réseau public, ici l’internet et, éventuellement mettre du contenu en cache pour économiser de la bande passante.

Ce contrôle repose sur l’identification des clients (Kerberos, NTLM, IP machine…) et l’audit des services (protocoles, urls, payload, javascript…) auxquels ces clients accèdent.

Pour cet audit il est en effet nécessaire d’intercepter le trafic https (exactement comme dans le cas d’une attaque MITM) entre le proxy et le service publique pour ensuite signer la communication entre le client et le proxy avec un autre certificat.
Ce dernier est digne de confiance sur une machine de l’entreprise car l’Autorité de Certification qui l’a délivré est « trustée » (CA déployé dans le store ad-hoc).

La même requête avec toute autre machine renverra, dans le navigateur, une erreur de certificat.

En plus, nombreux sont les services (banques, santé…) qui détectent ces attaques ou ne supportent pas ce type d’inspection https… et coupent la communication.