Nouveau problème de sécurité sur les smartphones : Android percé à jour

Les utilisateurs de téléphones mobiles – donc une bonne partie de la population – vont finir par sombrer dans la paranoïa. Après avoir découvert qu’ils étaient potentiellement suivis à la trace via leur iPhone, voilà que leurs comptes Google peuvent être piratés. Concrètement, les utilisateurs risquent de se voir usurper leur identité, sur leur compte de messagerie Gmail, leurs contacts, ou encore Picassa. Ce sont trois chercheurs allemands qui ont révélé l’information sur leur blog, relayée notamment par le Daily Mail. « Nous voulions savoir s’il est vraiment possible de lancer une attaque d’usurpation d’identité contre les services Google et avons commencé notre propre analyse. La réponse est : oui, c’est possible, et assez facile à faire » indiquent les chercheurs. Techniquement, un défaut d’implémentation du protocole ClientLogin serait en cause. Un jeton d’authentification est envoyé à ClientLogin lors de la connexion de l’utilisateur, puis stocké pendant près de deux semaines dans un simple fichier texte. Les pirates n’auraient donc qu’à récupérer les informations dans le fichier concerné, pour accéder aux différentes données de l’utilisateur, ainsi exposé à des utilisations dangereuses. D’autant que les chercheurs indiquent : « l’attaque ne se limite pas à Google Agenda et Contacts, mais est théoriquement possible avec tous les services Google ». Les chercheurs ne se contentent pas de pointer le problème, ils livrent quelques solutions pour limiter les risques, en particulier le téléchargement de la nouvelle version Android 2.3.4, tout en conseillant à Google de revoir son système.