Les terminaux mobiles sont moins protégés que les PC

Les smartphones se multiplient dans les entreprises mais leurs utilisateurs sont ils conscients que ces terminaux sont potentiellement aussi vulnérables que des PC aux attaques informatiques ?

GL - Probablement pas, ce qui est doublement dangereux : d'une part les terminaux mobiles, bien que potentiellement aussi vulnérables que les PC, sont beaucoup moins protégés que ces derniers. Et d'autre part, l'impact est potentiellement pire que sur les PC; car si les mobiles possèdent des possibilités similaires aux PC, ils intègrent en sus un système de facturation quasi-direct (appel de numéro surtaxés, téléchargement de sonneries, fonds d'écran, jeux, etc...)

Pouvez vous évoquer des cas récents où les smartphones ont été impliqués dans de telles attaques ?

GL - On peut citer le cas de Flocker, qui s'appuie sur un service d'un opérateur indonésien permettant aux utilisateurs de cartes sim pre-payees de se transférer du temps de communication (donc de l'argent); c'est typiquement un vers sur mobile qui a quelque peu enrichi son concepteur en siphonnant les cartes Sim des victimes au début de cette année.

Windows Mobile, Blackberry, iPhone, Nokia Symbian, Google Android, le marché des smartphones est loin d'être aussi homogène que celui des PC. Certaines plates-formes sont elles plus vulnérables que d'autres ?

GL - En vérité, la vulnétabilité d'un système dépend surtout de sa diffusion. C'est pourquoi il n'existe pas de virus pour Linux, le parc étant trop petit pour permettre la propagation d'un virus spécifique.

Le fait que le marche des systèmes d'exploitation sur mobiles est relativement segmente explique sans doute pourquoi certaines évolutions des virus, anticipées depuis longtemps, n'ont toujours pas eu lieu (et c'est tant mieux, au passage!): Botnet sur mobile, DDoS, Adware, etc...

Pour autant, cette segmentation ne garantit en rien quelque immunité que ce soit pour le parc de mobiles, a moyen, voire a court terme. Prenons par exemple le cas du vers mobile Yxes, apparu en Chine en Février. Au lieu de se propager par l'envoi de MMS contenant le virus lui-même (ainsi que le fait Commwarrior, le virus mobile le plus prévalent aujourd'hui), ce dernier se contente d'envoyer par SMS une adresse pointant vers le virus. Et cette adresse est une adresse web tout a fait normale. Cela implique deux choses:

1. Les auteurs de ce vers ont intègré le fait que de nos jours, les mobiles qui sont vendus peuvent quasiment tous accéder au Web. Et que donc, intégrer le Web dans une stratégie de propagation devient pertinent.

2. Ils peuvent a tout moment modifier le virus sur le serveur web, puisque ce dernier leur appartient. Mieux (ou pire): le serveur pourrait retourner un fichier différent suivant le système d'exploitation du mobile s'y connectant.

Techniquement, c'est l'affaire de quelques lignes de php (les Exploits Packs style Mpack ou IcePack le font déjà, pour identifier le type et la version du navigateur de la victime potentielle), ce qui élimine en grande partie le problème de la segmentation du marche des OS mobiles. Reste a implémenter le virus pour les différents OS...

Concrètement, quelles sont les solutions proposées par un éditeur comme Fortinet pour sécuriser le "système d'information mobile" d'une entreprise ?

GL - Au niveau des entreprises, le problème est un peu plus délicat que pour le réseau informatique, car on ne peut se placer "entre" les terminaux et l'operateur, sauf à installer un antivirus sur le terminal lui-même. C'est ce que nous faisons, avec le FortiMobile. En outre, nous pouvons conseiller aux entreprises d'utiliser un operateur qui opère un filtrage antivirus au niveau du cœur de son réseau avec l'Appliance FortiCarrier.