-
Ajouter aux favoris
Clavier piégé
mardi 20 décembre 2016
Les développeurs du clavier SwiftKey ont désactivé la fonction de synchronisation Cloud après avoir reçu des messages d'utilisateur ayant vu des adresses email de personnes inconnues et leurs numéros de téléphone apparaître dans ligne de saisie prédictive. Les utilisateurs racontent que le clavier qui utilise l'option de saisie prédictive leur propose des numéros de téléphone et des adresses email appartenant à des personnes qu’ils ne connaissent pas. De plus, il est arrivé que les paramètres de langue aient été modifiés à l'insu de l'utilisateur.
Le clavier SwiftKey sauvegarde dans le Cloud tous les textes que vous avez saisis. Il utilise ces informations pour personnaliser la saisie prédictive, afin que cette fonction soit personnalisée pour chaque utilisateur. Mais il s'est avéré qu'une erreur a provoqué le mélange de données provenant de différents utilisateurs.
Actuellement, la société affirme qu'il n'y a aucune raison de paniquer, et que tout ce qui s'est passé n'a rien voir avec des problèmes de sécurité.
https://blog.swiftkey.com/important-information-relating-to-the-status-of-our-sync-services
Le clavier intelligent a confondu les préférences des utilisateurs. Encore heureux qu’il n’ait pas exécuté d’actions à leur place !
I reversed engineered the Logitech dongle DFU process so they can run custom firmware and be used for nRF24L sniffing/injection.
https://twitter.com/marcnewlin/status/756229468851695616
Il a reprogrammé ces Unifying Dongle comme des sniffers. D’après ce que nous avons pu comprendre, il est possible, avec les claviers Logitech, d'envoyer des fausses touches clavier vers le dongle.
Autrement dit, supposons que vous êtes parti en verrouillant l'écran du PC, mais que le dongle (clé matérielle) du clavier sans fil reste connecté, un attaquant pourrait alors déverrouiller à distance l'ordinateur et effectuer une action ?
Les claviers sans fil peuvent aussi servir d’outils de surveillance :
Le hacker nommé Samy Kamkar a créé un dispositif qui recueille de façon transparente des données depuis des claviers sans fil de plusieurs fabricants, y compris Microsoft.
Le dispositif de Kamkara ressemble à un chargeur USB ordinaire. Il suffit de le placer dans une pièce où on utilise des claviers sans fil et l'appareil commence à enregistrer chaque frappe clavier.
Le dispositif peut être alimenté par une batterie intégrée ou une prise de courant standard : si vous le débranchez, le voyant rouge s'éteint mais il continue à fonctionner.
Une liste des composants, des instructions de montage et des liens vers des logiciels de KeySweeper ont été publiés dans un blog de Samy Kamkara sur GitHub.
https://tjournal.ru/p/keysweeper
http://www.securitylab.ru/news/469775.php
Les claviers sans fil de Hewlett-Packard, Toshiba, Kensington, Insigne, Radio Shack, Anker, General Electric et EagleTec sont affectés par la vulnérabilité qui permet à un attaquant d'intercepter les frappes à partir d'une certaine distance jusqu'à 75 mètres.
Il s'est avéré que 8 claviers sur 12 ne chiffrent pas les données envoyées.
" Pour autant que je sache, il n'y a aucun moyen de mettre à jour le firmware de ces dispositifs, puisque tous les logiciels de gestion sont enregistrés dans la puce de la carte. Par conséquent, il est impossible de résoudre le problème en activant le chiffrement de quelque manière que ce soit", - explique Newlin.
Auparavant, Mark Newlin, chercheur à Bastille Networks a signalé une possibilité de frappes d'entrée à distance via une souris sans fil. Le chercheur a été en mesure d'envoyer des commandes à la souris en simulant des frappes clavier à une distance de 225 mètres. Et le système d'exploitation a correctement interprété ces signaux en exécutant la fonction appropriée.
Le projet Lumières sur la sécurité recommande
Malheureusement, les fabricants d'appareils se préoccupent peu de la sécurité des utilisateurs.
De nombreux dispositifs IoT (IdO) n'ont pas de mécanisme de mise à jour ou bien cette procédure est peu pratique et incommode. Pour exemple, prenons le retrait de 1,4 million de voitures Fiat Chrysler en 2015 sous prétexte de correction d'une vulnérabilité, grâce à laquelle un malfaiteur avait pu pirater l'automobile en utilisant le réseau sans fil. Ces véhicules devaient repasser par les revendeurs Fiat Chrysler afin d'installer les mises à jour manuellement, sinon les propriétaires devaient le faire eux-mêmes à l’aide d’une clé USB. La vérité est qu'il est fort probable que dans la majorité des cas, ces mises à jour ne seront pas installées, car le processus de mise à jour est difficile pour les utilisateurs, par conséquent, ils sont souvent exposés au risque d’attaques informatiques, surtout si la voiture fonctionne bien à tous autres égards.
https://www.internetsociety.org/sites/default/files/report-InternetOfThings-20151221-ru.pdf
L'antivirus n'y peut rien (ainsi que d’autres moyens de protection) à moins qu'il ne soit installé sur l'appareil attaqué par l'utilisateur lui-même (ce qui est peu probable). L’utilisateur ne sera certainement pas en mesure d’installer un antivirus sur ces dispositifs.
" Demandez-le en pharmacie " disent souvent les publicités en ce qui concerne les médicaments. Et si nous demandons aux fabricants quelles sont les mesures qu’ils ont prises pour notre protection, et s’il est possible, en cas de détection d'une vulnérabilité (ce qui arrivera tôt ou tard), de mettre à niveau le firmware de l’appareil ? Quelle sera leur réponse ? Peut-être devrons-nous suivre la recommandation de
Bastille Networks qui recommande à tous les propriétaires de claviers ayant la vulnérabilité d'arrêter de les utiliser et de prendre un clavier avec fil ou BlueTooth.
![[Twitter]](http://st.drweb.com/static/new-www/social/no_radius/twitter.png "Partagés 14 fois")
Nous apprécions vos commentaires
Pour laisser un commentaire, vous devez accéder au site via votre compte sur le site de Doctor Web. Si vous n'avez pas de compte, vous pouvez le créer.
Commentaires des utilisateurs
razgen
13:31:56 2018-07-29
Bernard
16:47:19 2016-12-20