Apple poursuit actuellement en justice Corellium LLC, une société américaine basée en Floride qui fournit des outils de virtualisation iOS, pour violation de droit d’auteur et pour quelques autres raisons. Le procès qui dure depuis quelques mois maintenant a vu Corellium accuser à son tour Apple de vouloir contrôler la façon dont les recherches sur la sécurité sont menées afin de limiter ce que le public apprend sur les vulnérabilités de son système. Corellium a aussi allégué qu’Apple cherche à s’en prendre au Jailbreaking.
En août 2019, Apple a intenté une action en justice contre Corellium, une entreprise qui fournit les frameworks d’un simulateur iOS utilisé par les chercheurs en sécurité. Dans sa plainte, Apple a allégué que la société de logiciels a copié le système d’exploitation, l’interface utilisateur graphique et d’autres aspects des appareils sans autorisation. Elle accuse Corellium d’avoir agi sous prétexte d’aider à découvrir des bogues dans le système d’exploitation de l’iPhone, mais de vendre ensuite l’information « sur le marché libre au plus offrant ».
En réponse à la plainte d’Apple, Corellium a accusé Apple d’utiliser des « pratiques commerciales déloyales auxquelles le tribunal doit mettre fin ». Selon Corellium, Apple connaissait et encourageait son activité jusqu’à ce qu’il décide de proposer son propre produit concurrent. La première version de la poursuite d’Apple accusait Corellium de violation de droits d’auteur. Une nouvelle version a été déposée le 27 décembre et allègue à la fois la violation des droits d’auteur et le trafic illégal d’un produit utilisé pour contourner les mesures de sécurité en violation de la DMCA.
« La dernière plainte d’Apple devrait donner aux chercheurs en sécurité, aux développeurs d’applications et aux jailbreakers des raisons de s’inquiéter », a déclaré Amanda Gorton, PDG de Corellium, en réponse aux allégations d’Apple. « Nous sommes profondément déçus par la diabolisation persistante du Jailbreaking par Apple. Dans l’industrie, les développeurs et les chercheurs s’appuient sur les jailbreaks pour tester la sécurité de leurs applications et des applications de tiers, des tests qui ne peuvent être effectués sans un appareil jailbreaké », a-t-elle expliqué.
Selon Corellium, la plainte d’Apple suggère que quiconque fournit un outil qui permet à d’autres personnes de faire des jailbreaks et quiconque aide à créer un tel outil viole la DMCA. « Apple utilise cette affaire comme un ballon d’essai dans un nouvel angle pour réprimer les jailbreaks et cherche à établir un précédent pour éliminer les jailbreaks publics », a-t-elle ajouté. Cependant, Apple réplique en soutenant que les violations présumées de la DMCA par Corellium permettent à la fois des violations du copyright d’Apple et la propagation de vulnérabilités de sécurité.
Apple devient plus agressif
Les avocats d’Apple ne reculent pas pour essayer d’en savoir plus sur Corellium. En effet, Apple a assigné à comparaître la Santander Bank et l’entrepreneur de renseignement évalué à 50 milliards de dollars L3Harris Technologies pour obtenir des informations sur leur utilisation de Corellium.
Dans les deux assignations, Apple exige qu’Azimuth Security, filiale de L3Harris, et Santander fournissent des données comprenant : toutes les communications entre les entreprises et Corellium, des détails sur la façon dont ils utilisent la technologie de virtualisation de l’iPhone, toutes les communications internes sur l’utilisation de la technologie, tous les contrats et toutes les informations dont ils disposent sur le cofondateur de la startup Chris Wade.
Le fait qu’Apple tente de forcer deux grandes structures à partager des données sur leur utilisation de Corellium montre jusqu’où le fabricant d’iPhone est prêt à aller dans la lutte contre les entreprises qu’il considère comme une menace pour sa technologie protégée par le droit d’auteur.
Pour les avocats de l’entrepreneur de renseignements, des outils comme Corellium peuvent les aider à briser la sécurité d’Apple, potentiellement pour aider les agences de renseignement à surveiller les iPhone des cibles, mais aussi à identifier les faiblesses des téléphones et appareils du gouvernement.
Apple a fait appel à Azimuth Security, la filiale de L3Harris, qui est connue pour rechercher des vulnérabilités à la fois pour sécuriser et hacker des iPhone. Si Apple venait à obtenir ce qu’il veut, il pourrait alors avoir accès aux vulnérabilités de l’iPhone qu’il ne connaissait pas, ce qui pourrait entraîner des correctifs, mais également perturber les opérations de renseignement. Ce n’est donc pas une problématique simpliste.
Pour Santander, il n’est pas exclu qu’Apple ait émis l’hypothèse selon laquelle la branche britannique du géant bancaire espagnol était un client de Corellium, bien qu’elle se soit contentée de faire des tests de la technologie, selon des sources connaissant la relation des entreprises.
L’action en justice d’Apple contre Santander pourrait avoir été déclenchée par des tweets datant d’août 2019 du chef de la recherche de la banque, Dan Cuthbert, qui étaient très élogieux envers Corellium : « je vais juste dire ceci, @CorelliumHQ vous êtes évidemment tous d’une autre planète étant donné qu’EN AUCUN CAS ceci n’a pu être réalisé par des humains. Alien tech et moi-même accueillons nos nouveaux suzerains. C’est magique et ça va vraiment changer les choses ».
Dans sa citation à comparaître, Apple a pointé du doigt Daniel Cuthbert, chef de la recherche en cybersécurité au Royaume-Uni à Santander et expert réputé de l’industrie. Apple demande à la banque de fournir des documents concernant « l’utilisation et l’évaluation du produit Corellium Apple par Cuthbert ».
Santander a déclaré qu’il ne pouvait pas commenter les assignations, mais a confirmé qu’il n’était pas un client Corellium.
Pour l’avocat de Corellium, Apple est un tyran
« Apple tente d’intimider un partisan de Corellium en assignant son employeur, Santander, même si Santander n’a aucun lien avec Corellium », a déclaré David Hecht, l’avocat de Corellium et partenaire de Pierce Bainbridge, qui a décrit Apple comme étant un « tyran ».
« Apple tente de nuire aux activités et à la réputation de Corellium depuis l’échec de son acquisition de Corellium en 2018 et délivre désormais des assignations à témoigner au client de Corellium. Corellium va tout faire pour faire annuler les deux assignations ». Apple a reconnu dans des dossiers judiciaires avoir eu des discussions avec Corellium au sujet d’une acquisition tout au long de 2018, un an avant de poursuivre la société en août 2019.
« Nous continuerons d’exposer les tactiques de mauvaise foi d’Apple et, en fin de compte, prévaudrons contre cela », a ajouté Hecht.
Apple : Corellium aurait « harcelé » Craig Federighi
De son côté, Apple a affirmé dans des lettres déposées auprès du tribunal que son directeur du développement logiciel et employé de longue date, Craig Federighi, avait été « harcelé » par les avocats de Corellium.
Les avocats d’Apple ont fait valoir que Federighi ne devrait pas être tenu de témoigner, car d’autres connaissent mieux ses relations avec Corellium, bien que le vice-président logiciel ait rencontré à plusieurs reprises Wade et ses collègues. Ils affirment que les tentatives de Corellium de signifier des documents juridiques à Federighi chez lui équivalaient à du harcèlement.
Selon ses propres mots, tels qu’ils ont été déposés auprès du tribunal, Federighi a déclaré : « Le samedi 8 février 2020, un huissier se trouvait à l’extérieur de mon domicile. Il est venu à ma porte d’entrée et a tenté de me signifier une assignation, mais ma femme l’a chassé ».