La sécurité des appareils  » intelligents  » est un sujet qui déchaîne les passions. On trouve des articles sur comment les hackers et les chercheurs ont exploité des failles, sur les voitures par exemple, ou sur les réfrigérateurs et même sur les systèmes d’alarmes de maisons ou d’hôtels. On regroupe toutes ces attaques sous le sigle IdO (Internet des Objets), et c’est l’un des sujets les plus tendance du moment pour ceux qui côtoient ce secteur. Le seul problème avec ce type de recherches c’est qu’on ne peut pas complétement s’y fier. J’ai commencé à réfléchir sur le sujet, puis j’en ai conclu que si on ne peut pas se protéger des menaces actuelles, quel intérêt il y a-t-il à chercher celles du futur ?

En général, dans une maison moderne il y a environ 5 appareils branchés sur le réseau local. Et je ne vous parle ni des ordinateurs, ni des tablettes, ni des téléphones portables mais d’appareils comme un téléviseur numérique, une console de jeux, un serveur de stockage en réseau et un genre de lecteur mp3/décodeur satellite.

J’ai décidé d’entamer un projet de recherche afin de déterminer à quel point cela pouvait être facile de pirater sa propre maison. Les appareils connectés sur mon réseau sont-ils vulnérables ? Que peut-on faire si un pirate réussit à contrôler mes appareils ? Ma maison peut-elle être  » piratée  » ? Avant de commencer mes recherches je pensais que ma maison était plutôt sécurisée car j’ai travaillé dans le domaine de la sécurité pendant plus de 15 ans, et je suis plutôt du genre paranoïaque quand il s’agit de patchs de protection, etc. Je me disais quand même qu’il doit y avoir plein d’autres maisons plus  » piratables  » que la mienne, parce que je n’ai pas beaucoup de matériel high-tech.

Au cours de mes recherches, je ne me suis pas concentré sur les ordinateurs, les tablettes ou les téléphones portables mais plutôt sur tous les autres appareils qui sont branchés sur le réseau local. A ma grande surprise, il se trouve qu’en fait j’ai une multitude d’appareils branchés sur mon réseau. La plupart d’entre eux sont des appareils de divertissement : téléviseur numérique, antenne satellite, lecteur Blu-ray/DVD, serveur de stockage en réseau et consoles de jeux. Aussi, en ce moment je suis en train de déménager dans une nouvelle maison, et j’ai abordé le sujet avec ma société de sécurité. Ils me suggèrent d’installer une alarme dernier cri qui serait connectée au réseau et que je pourrais contrôler à distance… Après ce que j’ai appris de mes recherches, je  ne suis pas sûr que ce soit une bonne idée.

Voici quelques exemples d’appareils connectés à mon réseau :

• Un serveur de stockage en réseau du fournisseur n°1 sur le marché
• Un serveur de stockage en réseau du fournisseur n°2 sur le marché
• Un téléviseur numérique
• Une antenne satellite
• Un routeur de chez mon fournisseur Internet
• Une imprimante

Pour considérer qu’un objet a été piraté, l’une des conditions suivantes doit être remplie :

• Pouvoir accéder à l’appareil, par exemple: accéder aux fichiers sur le serveur de stockage en réseau ;
• Pouvoir accéder à l’appareil en tant qu’administrateur ;
• Etre en mesure de transformer/modifier l’appareil en fonction de mes intérêts (porte dérobée, etc.)

Avant d’effectuer mes recherches, j’actualisais tous mes appareils avec la dernière version du firmware. Au cours de ce processus, j’ai remarqué que tous les appareils ne se mettaient pas à jour automatiquement, ce qui est assez embêtant. J’ai aussi remarqué que la plupart des produits ne se fabriquait plus l’année suivante ou que simplement plus aucune mise à jour n’était disponible.

Le piratage

Après des recherches sur le serveur de stockage en réseau, j’ai trouvé plus de 14 vulnérabilités qui permettraient à un pirate de prendre le contrôle du système à distance avec le statut d’administrateur. Non seulement ces deux appareils avaient une interface Web vulnérable, mais leurs paramètres de sécurité étaient aussi très faibles. La sécurité des mots de passe est faible, plusieurs fichiers de configuration ont des permissions incorrectes et leurs mots de passe sont en texte brut. Pour plus de détails sur le piratage de ces appareils consultez la version longue de ce post sur Securelist.

Au cours de mes recherches, je suis tombé par hasard sur d’autres appareils ayant des fonctionnalités  » cachées « . L’un d’entre eux était le routeur ADSL que j’ai obtenu par mon fournisseur Internet. J’ai découvert qu’il possédait de nombreuses fonctionnalités auxquelles je n’avais pas accès. J’en ai donc conclu que mon fournisseur Internet ou le vendeur avaient un contrôle total sur cet appareil, et pouvaient en faire ce qu’ils voulaient, y compris accéder aux fonctionnalités qui m’étaient interdites. Il suffit de lire le nom de ces fonctionnalités  » cachées  » pour savoir que mon fournisseur pouvait par exemple créer des tunnels et ainsi connecter n’importe quel appareil à mon réseau. Et si ça tombait dans de mauvaises mains ? J’imagine que les fournisseurs Internet utilisent ces fonctionnalités pour assister un client en cas de panne, mais même quand vous vous connectez en tant qu’administrateur vous ne pouvez pas totalement contrôler votre propre appareil, et c’est plutôt effrayant. Surtout si le nom de ces fonctionnalités est tout aussi effrayant :  » webcam « ,  » configuration avancée de la téléphonie « ,  » contrôle d’accès « ,  » détection du réseau étendu  » et  » mises à jour « .

Je suis toujours à la recherche de ces fonctionnalités pour enfin savoir à quoi elles servent vraiment. Si je trouve quelque chose d’intéressant je vous garantis que je publierai un autre post.

Pour pirater un téléviseur numérique ou tout autre appareil de divertissement, il faut faire marcher son imagination. Je dois me faire à l’idée que je suis le pirate, j’ai accès aux deux serveurs de stockage en réseau, et après je fais quoi ? Les appareils de divertissement sont les plus à même d’avoir accès aux informations enregistrées sur les appareils de stockage (auxquels j’ai déjà accès). A ce stade, je cherchais un moyen d’exploiter les vulnérabilités du téléviseur numérique ainsi que celles du lecteur DVD, mais étant donné que j’ai payé le prix fort pour ces appareils, je n’ai pas été plus loin dans mes recherches. Ce n’est pas seulement une question d’argent, si jamais je cassais mon nouveau téléviseur LCD comment j’allais l’expliquer à mes enfants ? Sur quoi allaient-ils regarder Scooby Doo ? Cependant, j’ai trouvé un étrange problème de sécurité sur mon téléviseur numérique. Quand l’utilisateur veut accéder au menu principal du téléviseur, si l’appareil a accès au réseau, toutes les vignettes de l’appareil se téléchargent à partir du serveur du vendeur. Lors du téléchargement, le téléviseur n’a pas eu besoin d’identification ou de chiffrage, ce qui signifie que le pirate peut lancer une attaque de l’homme du milieu sur le téléviseur et modifier les images de l’interface administrateur ; le pirate peut aussi télécharger n’importe quel fichier JavaScript sur le téléviseur, ce qui n’est pas très rassurant. L’une des actions caractéristiques de cette attaque est l’utilisation de JavaScript pour lire des fichiers enregistrés dans l’appareil. Mais je suis en train d’en discuter avec le vendeur pour déterminer si c’est vraiment possible ou pas. Pour conserver une preuve de mon piratage j’ai remplacé une des vignettes par la photo de quelqu’un que tout le monde aime : Borat. Yakshemash !

Conclusion

Ce post ne mentionne aucun fabricant de téléviseur, serveur de stockage en réseau ou routeur ADSL en particulier, et ce n’est pas un hasard. Le but de mes recherches n’est ni de me vanter en exposant toutes les vulnérabilités que j’ai découvertes ni de souligner les problèmes de sécurité existant sur cette gamme d’appareils de divertissement. Il faut comprendre qu’il y aura toujours des vulnérabilités sur ces appareils, cependant on peut le comprendre sans pour autant l’accepter. Ce que je veux dire c’est qu’on doit trouver une vraie solution au problème. On doit déterminer quel impact cela peut avoir et partir du principe que nos appareils peuvent être, ou sont déjà soumis à des attaques de pirates. On doit commencer à envisager qu’ils sont vulnérables et que les pirates peuvent et pourront y avoir accès.

Pour conclure, je dirais qu’en tant qu’individus et entreprises, nous devons prendre conscience des risques que cela implique. Nous devons aussi comprendre que nos données ne sont pas en sécurité juste parce qu’elles sont protégées par un bon mot de passe ou parce qu’on a installé un logiciel de protection. On doit comprendre qu’il y a plein de choses que l’on ne peut pas contrôler, et que le pouvoir est dans les mains des fournisseurs de logiciels. J’ai mis moins de 20 minutes à trouver et vérifier d’importantes failles dans le système d’un appareil considéré comme sécurisé, un appareil soit disant fiable et dans lequel on enregistre toutes les données que l’on cherche à protéger.

On doit trouver des solutions alternatives qui pourraient aider les individus et les entreprises à améliorer leur système de sécurité. Ce n’est pas le genre de problème qu’on résout simplement en installant un patch. Cependant je voudrais terminer en disant que, même si l’industrie des appareils de divertissement n’accorde aucune d’importance à la sécurité, chez KL c’est différent. Simplement en appliquant quelques  astuces vous pourrez augmenter le niveau de sécurité sur vos appareils. Mais heureusement, après avoir lu cet article, certains vendeurs amélioreront leur système de sécurité, mais entre-temps voici quelques conseils que vous pouvez appliquer :

• Assurez-vous que vous avez bien installé les dernières mises à jour des antivirus. C’est un problème récurrent sur les appareils de travail ou de divertissement, et c’est encore la meilleure chose à faire si vous voulez éviter d’être à la merci des pirates. Cela vous permet aussi de savoir si l’appareil télécharge encore de nouvelles mises à jour ou s’il n’est plus commercialisé.

• Changez régulièrement les identifiants et mots de passe. C’est la première chose que va tester un pirate s’il veut prendre le contrôle de vos appareils. Et souvenez-vous que, même si c’est un produit  » stupide  » comme une antenne satellite ou un serveur de stockage, les interfaces administrateurs sont souvent vulnérables.

• Chiffrez vos données, et même les fichiers enregistrés sur votre serveur de stockage en réseau. Si vous ne pouvez pas les chiffrer, déplacez-les simplement vers un fichier ZIP protégé par un mot de passe, c’est toujours mieux que de ne rien faire du tout.

• Sur la plupart des routeurs et des switchs, on peut installer plusieurs DMZ/VLAN différents. Cela signifie que vous pouvez installer votre propre réseau  » privé  » pour vos appareils en réseau, ce qui restreindra l’accès au réseau à partir et vers vos appareils.
• Faites preuve de bon sens et considérez que tout peut être piraté, et pas seulement votre matériel informatique.
• Si vous êtes vraiment paranoïaque, vous pouvez toujours surveiller le trafic de données sortantes pour voir s’il se passe quelque chose de bizarre, mais pour cela il vous faut avoir quelques connaissances en la matière. Vous pouvez aussi restreindre l’accès des appareils en réseau aux sites sur lesquels ils ne sont pas censés se connecter et les autoriser uniquement à exécuter les mises à jour.