Les risques de détournement d’usage sont innombrables. Un minimum d’imagination – ou de réflexion – et ce sont nombre de scénarios catastrophe qui viennent à l’esprit.
Au rayon automobile, imaginons par exemple un système de gestion du trafic qui s’emmêle les pinceaux. Hormis un embouteillage monstre, on peut imaginer nettement pire. Quid en effet si les voitures de demain, douées de pilotage intelligent, préprogrammé et auto-adaptatif, deviennent le jouet de hackers, laissant leurs conducteurs totalement inopérants et impuissants?
Des voitures qui deviennent folles, via piratage à distance de certains composants électroniques. La démo en a été faite à maintes reprises, en ce compris par des chercheurs travaillant pour le centre CAESS (Center for Automotive Embedded Systems Security), lié aux universités de Washington et de San Diego) qui ont piraté des systèmes électroniques embarqués. Ils ont créé une brèche en empruntant le système de téléphonie embarquée destiné à communiquer avec les services d’assistance à distance. Résultat: mainmise sur le circuit électrique.
Lors de la conférence Def Con 2013, de joyeux drilles ont pris pour cible la Ford Escape et la Toyota Prius. Le piratage visait notamment l’indicateur de vitesse et les freins, ces derniers ayant tout simplement été rendus inopérants. Rebelote à la conférence Black Hat asiatique, cette année, avec un piratage à courte distance (via module Bluetooth) par injection de fausses commandes aux freins et aux phares. Le principe utilisé pourrait être extrapolé à un pilotage par smartphone. A plus longue distance, donc.
Imaginez, dans un contexte différent mais tout aussi inquiétant, des pompes à insuline, des biocapteurs ou des stimulateurs cardiaques qui donnent de mauvaises indications et/ou qu’on fait s’emballer et qui deviennent meurtriers. Ou, de manière plus anecdotique, un “mauvais plaisant” qui s’amuserait à pousser le chauffage ou la climatisation à fond dans une maison en l’absence de ses occupants…
Le piratage de systèmes embarqués, sophistiqués par définition et que l’on espère dûment sécurisés, exigera bien entendu de solides connaissances. Mais les hackers n’en sont certainement pas dépourvus…
Détournement d’objets
Les responsables de sociétés spécialisées dans le domaine de la sécurité Internet, par exemple Proofpoint et Qualys, ont a plusieurs reprises mis en garde contre des vulnérabilités touchant à des systèmes pour le moins critique. Et cela va des systèmes de chauffage ou de climatisation jusqu’aux… équipements médicaux. Pour ces derniers, Qualys a démontré que l’existence de “backdoors” (autrement dit, accès réservés aux techniciens censés assurer la maintenance et la mise à jour) étaient autant de points faibles exploitables par des pirates. De manière plus anodine mais pas pour autant moins déplaisante, Proofpoint a identifié de multiples types de téléviseurs, de routeurs domestiques et… de réfrigérateurs qui avaient été systématiquement infectés et détournés par des hackers afin de servir de plates-formes relais pour des attaques de spam. Sans parler de ces Américains qui se sont fait insulter… via leur webcam dont un pirate avait pris le contrôle.
Vint Cerf, l’un des inventeurs de l’Internet désormais Chief Internet Evangelist chez Google, a lui aussi déjà mis en garde par exemple contre des hackers qui prendraient le contrôle de systèmes de climatisation, “activés en masse et surchargeant le réseau électrique.”
Hypothétique, inimaginable? Pas le moins du monde. Il leur suffit de recourir par exemple au moteur de recherche Shodan qui explore spécifiquement le Net à la recherche de tout système connecté. Une fois repérés et identifiés (tout simplement parce qu’ils sont étiquetés grâce à IPv6) et s’ils ne sont pas correctement protégés contre les “curieux”, c’est la porte ouverte à une infection massive. Shodan peut tout débusquer, rappelait récemment Symantec: “des caméras de surveillance (domestiques comprises), des systèmes de chauffage télécommandés, des usines de traitement d’eaux usées, des voitures, des feux de signalisation, des moniteurs cardiaques ou des systèmes de contrôle de centrales électriques”.
Diverses analyses ont été été faites afin de déterminer le degré de protection d’installations critiques. Résultat: le pourcentage de systèmes connectés à Internet dont le mot de passe n’a pas été personnalisé et rendu moins basico-basique, est qualifié d’astronomique.
Daniel Miessler (HP): “Dans l’état actuel des choses, la sécurité de l’Internet des Objets semble concentrer toutes les vulnérabilités aujourd’hui distribuées dans plusieurs registres – réseau, application, mobilité, connexion Internet – en un même espace unique, encore moins sécurisé. Et c’est préoccupant.”
Parmi ces observateurs, l’entité Security Research de HP qui a publié, cet été, les résultats d’une étude qui avait pour but de documenter les risques de piratage de toute une série d’équipements (téléviseurs connectés, thermostats ‘intelligents’, prises connectées, serrures, alarmes, ouvre-porte…). Types de vulnérabilités répertoriées: virus, , mots de passe insuffisants, attaques de type déni de service, mécanisme d’authentification trop faible, interface Web non sécurisée, absence de chiffrement des données transférées… Au total, les experts de HP Security Research estiment que le nombre moyen de vulnérabilités par objet connecté est de… 25.
Découvrez-nous sur Facebook
Suivez-nous sur Twitter
Retrouvez-nous sur LinkedIn
Régional-IT est affilié au portail d’infos Tribu Médias.