-
Ajouter aux favoris
Soyez plus intelligents que les objets intelligents !
vendredi 16 septembre 2016
Parmi les objets connectés qui ont fait leur apparition ces derniers temps, les serrures dites "intelligentes" embarquant un module Bluetooth deviennent de plus en plus populaires, mais elles ne sont pas aussi fiables que les fabricants le prétendent. L'expert indépendant Anthony Rose a fait des recherches sur la fiabilité des serrures-Bluetooth et, comme il s'est avéré, douze serrures sur seize sont très faciles à forcer.
Dans certains cas, Rose a été en mesure de le faire à partir d'une distance de 400 mètres, écrit The Register.
L'ensemble des "outils de piratage" a coûté environ 200$ au chercheur.
Quatre serrures testées envoyaient le mot de passe en texte clair, de sorte qu'il n'était pas difficile de les pirater. Cinq autres dispositifs se sont avérés vulnérables aux attaques de type replay, durant lesquelles un attaquant peut intercepter le signal et l'utiliser pour déverrouiller la serrure. En outre, l'expert a pu provoquer une défaillance de l'un des dispositifs en envoyant un paquet spécialement conçu.
Selon Rose, les fabricants des serrures-Bluetooth continuent à commettre des erreurs basiques qui rendent les dispositifs vulnérables. Par exemple, la serrure Quicklock permet d'utiliser un mot de passe à six chiffres qui est facile à forcer en utilisant la méthode de la force brute.
Rose a contacté les fabricants des serrures vulnérables, mais les résultats ont été décevants. Dix entreprises ont simplement ignoré l'avertissement de l'expert, alors que l'un des producteurs a admis l'existence du problème, mais a refusé d'y remédier.
C'est l'avenir dans toute sa splendeur ! La possibilité de surveiller le propriétaire (d'un appartement, d'une société) via ses appareils mobiles, d'attendre le moment où il ne sera pas là et de pénétrer chez lui. Ceci sans effraction ni passe-partout !
La situation avec les appareils intelligents d'aujourd'hui est paradoxale :
- Un matériel assez puissant et miniature permet de réaliser des fonctions dans un facteur de forme minimum et à un prix abordable. Mais les mêmes fabricants se plaignent que le manque de plates formes puissantes ne leur permet pas de créer des dispositifs plus sécurisés dotés de systèmes de chiffrement et résistants au piratage, à la substitution d'un logiciel, etc.
- D'autre part, il existe une certaine négligence de la part des utilisateurs vis-à-vis de la sécurité informatique. Malgré le fait que les différents sondages révèlent un intérêt pour les problèmes de sécurité, dans la vie réelle, les gens préfèrent souvent des solutions moins chères et moins sécurisées. Surtout s'il s'agit de jeunes gens ou de personnes qui s'intéressent aux nouveautés.
Le résultat est prévisible : les fabricants font attention à la sécurité uniquement s'il y a des facteurs qui les alertent. Ici, il y a deux problèmes.
Le premier est vieux comme le monde et concerne les ordinateurs personnels. Les gens ne se soucient pas des mises à jour. L'existence d'exploits contenant des solutions pour des vulnérabilités connues depuis longtemps le prouve. Mais les objets intelligents ont apporté quelque chose d’autre : des choses intelligentes exigent que les utilisateurs soient aussi intelligents. Faire un nouveau firmware de sorte que l'appareil ne se transforme pas en « brique », ne répondant plus à aucune commande ni touche clavier, n'a rien à voir avec une simple pression sur la touche " Mettre à jour ".
Et le deuxième problème est typique du nouveau monde des objets : beaucoup d'entre eux ne peuvent pas être mis à jour. Pourquoi ? Parce que finalement, ce ne sont que des objets qui ont des fonctionnalités élargies !
Le projet Lumières sur la sécurité recommande
Ne croyez pas aux promesses de miracles. Malheureusement, les miracles se produisent seulement dans les films ou dans les contes.
Pendant la rédaction de la publication...
Les chercheurs ont détecté une vulnérabilité dans une prise de courant intelligente permettant de configurer l'heure d’ouverture et de fermeture des appareils électriques. La vulnérabilité consiste en l’utilisation d'un mot de passe faible par défaut pour accéder au point d'accès. Or, le fabricant n’avertit pas les utilisateurs qu'il faut changer ce mot de passe qui représente un risque pour la sécurité.
Le deuxième problème est que l’application mobile envoie des informations d’authentification pour l'’accès au Wi-Fi en texte brut, et que les attaquants peuvent les intercepter facilement. Le transfert de données entre l’application et le serveur du fabricant n’est pas chiffré non plus.
Connaissant le mot de passe du fabricant et l’adresse MAC de l’appareil, un attaquant est en mesure d'utiliser à distance les vulnérabilités afin d’intercepter les données et modifier la configuration (la planification des allumages et des arrêts).
![[Twitter]](http://st.drweb.com/static/new-www/social/no_radius/twitter.png "Partagés 14 fois")
Nous apprécions vos commentaires
Pour laisser un commentaire, vous devez accéder au site via votre compte sur le site de Doctor Web. Si vous n'avez pas de compte, vous pouvez le créer.
Commentaires des utilisateurs
razgen
20:04:57 2018-07-13