Sign in with Apple ne serait pas encore assez sécurisé en phase bêta

Selon l’OpenID Foundation, organisme en charge de nombreux protocoles de sécurité en ligne, la nouvelle solution de connexion Sign in with Apple présenterait en l’état de vrais risques de sécurité.

Annoncé au WWDC en juin dernier, le système d’identification Sign in with Apple entend se substituer aux actuels S’identifier avec Facebook (ou Google) tout en apportant à l’utilisateur de produits Apple un niveau de sécurité supérieur et, surtout, de respect de ses informations privées. Toutefois, d’après l’OpenID Foundation, organisation gérant le système d’authentification du même nom, le système proposé par Apple dans la version bêta d’iOS 13 posséderait quelques défauts majeurs laissant les utilisateurs vulnérables à certaines failles de sécurité.

Dans une lettre ouverte adressée à Craig Federighi, vice-président en charge du développement logiciel chez Apple, Nat Sakimura, président de l’OpenID Foundation, met en garde la firme de Cupertino contre les divergences présentes entre sa plateforme et le système d’Apple. En voulant trop se démarquer de ses concurrents et en ne reprenant que partiellement la formule utilisée par OpenID Connect, basée sur le protocole de sécurité OAuth 2.0, Apple compromettrait la sécurité de ses utilisateurs. En effet, d’après les premiers tests réalisés, il semblerait que de nombreux sites ne soient pas compatibles avec le bouton de connexion Apple. Aussi, les utilisateurs de matériels de la marque devraient se résoudre à alterner entre deux systèmes, ce qui augmenterait inutilement les risques.

Nat Sakimura estime que les libertés prises par Apple dans la gestion du protocole OAuth 2.0 complexifient la tâche des développeurs d’OpenID et que le refus — pour l’instant — de la société de devenir membre de la fondation, à l’instar de Microsoft, Google et PayPal, ne facilite pas les échanges et l’amélioration des protocoles de sécurité. Ainsi, M. Sakimura demande à Apple de revoir sa copie, de rejoindre la fondation et d’assurer une compatibilité et une interopérabilité totales entre Sign in with Apple et les sites ou applications fonctionnant avec OpenID Connect.

Interface de Sign in with Apple. © Apple.

Un système d’inscription moins invasif

Pour rappel, lorsque vous vous inscrivez sur un site en utilisant un enregistrement via Facebook ou Google, selon le degré de permissions accordées, les sites en question ont au moins accès à vos nom, email, voire photo de profil. De plus, des entreprises telles que Facebook et Google, gagnant de l’argent sur des publicités ciblées, vont revendre à des annonceurs vos préférences de consommation.

Lancé avec iOS 13 à l’automne prochain, Sign in with Apple serait différent puisque, d’après la firme à la pomme, ne gagnant de l’argent qu’avec ses produits (iPhone, MacBook, etc.), elle n’a aucun intérêt à transmettre vos données aux sites et applications auxquels vous accédez. Aussi, lors de l’enregistrement (sécurisé avec Touch ID ou Face ID) avec son bouton de connexion, seul un email factice, simulé aléatoirement par le système d’Apple, serait utilisé. Un bon moyen de sécurité supplémentaire si les obstacles levés par OpenID ne s’avèrent pas vraiment problématiques avant la version finale.

User's blog

Sign in with Apple ne serait pas encore assez sécurisé en phase bêta

Un système d’inscription moins invasif

Leave a Reply Cancel reply