Les sauvegardes iCloud sont-elles sécurisées?

17

Les sauvegardes iCloud sont-elles cryptées, à la fois lorsqu'elles sont transmises et stockées? Est-il possible pour quelqu'un chez Apple d'accéder à toute sauvegarde effectuée sur les données saisies?

J'ai entendu dire que lorsque les applications ont été retirées de l'App Store, elles ont également supprimé les sauvegardes iCloud, donc si elles peuvent être modifiées par Apple, elles ne sont sûrement pas stockées en toute sécurité?

J'ai beaucoup de mes mots de passe pour les sites Web et les applications enregistrés, donc je suppose qu'ils sont également stockés dans les sauvegardes?

— Jonathan.
source

Au cas où cela ne serait pas clair dans les réponses - vos applications ne sont pas stockées dans iCloud mais téléchargées depuis la boutique une fois que les données iCloud pour les applications sont restaurées. Donc, si une application est supprimée de la boutique (et pas seulement retirée de la vente) - les données ne peuvent rien faire car il manque un tout. Il n'y a aucune indication qu'Apple élague des fichiers à partir d'une sauvegarde, sauf lorsque vous lui demandez de désactiver la sauvegarde d'une application spécifique. Faites-moi savoir si vous souhaitez une réponse explicite ci-dessous ...

— bmike

Avez-vous une source sur Apple supprimant des applications dans les sauvegardes iCloud?

— Nicolas Barbulesco

@bmike - C'est intéressant ... et un peu inquiétant. La restauration télécharge-t-elle la bonne version depuis l'App Store? Ou la dernière version (compatible)?

— Nicolas Barbulesco

1

@NicolasBarbulesco Vous voudrez synchroniser, sauvegarder puis restaurer avec iTunes pour vous assurer que les versions compatibles soient rechargées. Je n'ai pas eu de problème avec iCloud qui ne trouve pas d'application compatible - mais mon intuition est que vous pourriez obtenir une application supprimée si l'application n'était pas correctement taguée dans la boutique par le développeur (pour permettre les téléchargements hérités, etc.) )

— bmike

6

ArsTechnica vient d'écrire un excellent article à ce sujet .

Un aperçu rapide:

La réponse simple est que vos données sont au moins aussi sûres qu'elles le sont lorsqu'elles sont stockées sur un serveur distant, sinon plus. Toutes les données sont transférées vers les ordinateurs et les appareils mobiles à l'aide de la couche de sockets sécurisés via WebDAV, IMAP ou HTTP. Toutes les données, à l'exception des e-mails et des notes (plus d'informations plus loin), sont stockées et chiffrées sur disque sur les serveurs d'Apple. Et des jetons d'authentification sécurisés sont créés sur les appareils mobiles pour récupérer des informations sans transmettre de mot de passe en permanence.

Et les sauvegardes sont stockées et transférées cryptées. Quant à un employé pouvant accéder à une sauvegarde, seul un employé d'Apple pourrait répondre correctement à cette question.

Si une application a été retirée du magasin, il n'est peut-être pas nécessaire d'aller dans votre sauvegarde pour la supprimer. Toutes les applications ont un identifiant unique, et si quelque chose elles peuvent simplement supprimer cette sauvegarde pour tout le monde (pensez aux sauvegardes stockées individuellement plutôt qu'à un gros fichier ZIP si vous voulez). Encore une fois, cela est interne à Apple, donc personne ne peut répondre pleinement à cette partie.

Enfin, les sauvegardes incluent le trousseau, mais celui-ci est également crypté et la clé est liée à l'appareil qui a effectué la sauvegarde.

À partir de divers endroits que j'ai lus en ligne, Apple respecte ou dépasse (le plus souvent le cas) les procédures de sécurité standard à cet égard.

— jmlumpkin
source

13

La bonne nouvelle. Les données sont cryptées à l'aide de SSL lors de leur transfert entre votre ordinateur et les serveurs iCloud. De plus, les données sont chiffrées lorsqu'elles sont "au repos", stockées sur les serveurs iCloud (à quelques exceptions près; voir ci-dessous). Le cryptage est invisible, facile à utiliser et automatique (activé par défaut).

Les moins bonnes nouvelles.iCloud utilise le chiffrement côté serveur, pas le chiffrement côté client. Lors de l'envoi de données vers le cloud, elles sont cryptées sur votre machine avec SSL, puis décryptées sur les serveurs iCloud, puis recryptées à l'aide d'une clé de cryptage que Apple connaît pour le stockage. Cela signifie que les employés d'Apple ont la capacité technique de lire vos données. Il peut y avoir des contrôles procéduraux, techniques ou politiques pour rendre cela improbable, mais la capacité est là. Cela signifie que si le cloud d'Apple était compromis par un attaquant sophistiqué, l'attaquant pourrait potentiellement accéder à toutes vos données. En d'autres termes, toute violation de données ou accident de la part d'Apple pourrait potentiellement exposer vos données. Cela peut ne pas être trop probable, mais étant donné que même des entreprises respectées comme Google ont été violées, une violation ou une autre exposition des serveurs iCloud n'est pas impensable.

Les e-mails et les notes ne sont pas stockés sous forme cryptée, tandis que sur les serveurs d'Apple. Les e-mails contiennent souvent des informations sensibles - par exemple, les mots de passe des comptes, réinitialiser les liens - c'est donc un peu dangereux.

Si les forces de l'ordre demandent à Apple une copie de vos données, Apple les partagera avec elles. Apple n'exige pas nécessairement un mandat. L'EFF n'accorde à Apple qu'une étoile sur quatre pour la protection des données des utilisateurs dans son rapport, Quand le gouvernement vient frapper, qui a le dos? et condamne Apple à ne pas être transparent sur les demandes d'accès à vos données du gouvernement et à ne pas informer les utilisateurs lorsque leurs données ont été divulguées au gouvernement.

Les risques ne se limitent pas aux demandes du gouvernement. Si vous êtes poursuivi ou aboutissez à un divorce litigieux, les avocats de la partie adverse pourraient assigner vos données à Apple, et Apple serait tenu de les leur divulguer. Notez que le seuil pour une assignation à comparaître est relativement bas: principalement, que les données ont une probabilité d'être pertinentes pour le cas.

La sécurité de vos données sur iCloud est seulement aussi bonne que la phrase secrète sur votre identifiant Apple. Par conséquent, si vous souhaitez que vos données soient sécurisées, vous devez choisir une phrase de passe longue et forte. Malheureusement, certains aspects des systèmes actuels ont tendance à inciter les utilisateurs à choisir des phrases de passe courtes et faibles. Le système d'exploitation refuse de stocker cette phrase secrète dans le trousseau, vous obligeant à la taper fréquemment. Si vous utilisez un appareil iOS, vous devrez fréquemment taper votre phrase secrète Apple ID (par exemple, chaque fois que vous installez ou mettez à jour une application). Étant donné que la saisie d'une phrase de passe longue et forte est une douleur majeure sur un iPhone, de nombreux utilisateurs peuvent finir par choisir une phrase de passe courte et mauvaise juste pour des raisons de commodité - ce qui laisse malheureusement leurs données iCloud mal sécurisées. Ainsi, la conception actuelle peut avoir tendance à encourager de nombreux utilisateurs à utiliser un mot de passe faible,

Lectures complémentaires. The Economist a un excellent argument résumant les implications pour la sécurité du stockage de vos données sur le cloud, et les différents niveaux de sécurité offerts par différents fournisseurs ; à titre de comparaison, iCloud est similaire à DropBox dans ses propriétés de sécurité et plus faible que SpiderOak. Pour comprendre pourquoi Apple a peut-être choisi l'architecture particulière qu'il a choisie, vous pouvez consulter l'article de blog de Ben Adida: Le chiffrement n'est pas une sauce; il a des implications importantes pour l'utilisabilité. .

Sommaire. Les pratiques de sécurité d'iCloud sont largement conformes aux pratiques courantes dans ce domaine. iCloud semble avoir une architecture de sécurité raisonnable et conçue par des professionnels. Bien qu'il existe certains risques de sécurité, pour la plupart des gens, la sécurité d'iCloud est probablement suffisante, et les avantages de commodité d'iCloud l'emporteront probablement sur tous les risques pour la plupart des gens.

Cependant, le stockage de vos données dans le cloud augmente le risque. Pour certains utilisateurs particulièrement sensibles - par exemple, les dossiers de santé, les institutions financières ou d'autres sociétés disposant de données sensibles - il peut être prudent d'éviter de stocker les données les plus sensibles dans le cloud.

— DW
source

Très bonne réponse. Mais depuis l'avènement de Touch ID, la fréquence à laquelle vous devez saisir à nouveau votre mot de passe Apple ID a été considérablement réduite, si vous le souhaitez.

— Mike Chamberlain

"iCloud utilise le chiffrement côté serveur, pas le chiffrement côté client." Cette affirmation est-elle toujours exacte? apple.com/business/docs/iOS_Security_Guide.pdf (daté de mars 2017) indique que "les fichiers sont sauvegardés sur iCloud dans leur état crypté d'origine." (bien que dans le contexte de "fichiers ... créés dans des classes de protection des données qui ne sont pas accessibles lorsque l'appareil est verrouillé").

— jhfrontz

1

@jhfrontz, Pour autant que je sache, oui. C'est par conception. Essayez le test de la flaque de boue: blog.cryptographyengineering.com/2012/04/05/… .

— DW

OK, merci - je ne savais pas qu'il y avait un service "iForgot" (et j'ai donc supposé que le mot de passe iCloud était utilisé localement pour crypter avant la transmission au cloud [i]).

— jhfrontz

2

Il existe de la documentation couvrant ce sujet. Remarque:

Sécurité
iCloud iCloud sécurise votre contenu en le chiffrant lors de son envoi sur Internet, en le stockant dans un format chiffré et en utilisant des jetons sécurisés pour l'authentification.

Vous pouvez en trouver plus sur:

http://support.apple.com/kb/HT4865

Cependant, vous ne devriez probablement pas envoyer vos mots de passe à un serveur cloud. En tout cas, c'est un mauvais choix en ce qui concerne votre sécurité et vos informations.

— soxman
source