Google corrigera un exploit qui a laissé Home et Chromecast divulguer votre position
Google publiera un correctif pour son Google Home et Chromecast afin de résoudre un exploit qui pourrait permettre à des acteurs malveillants d’exploiter votre appareil domestique intelligent pour obtenir vos informations précises.
L’exploit a été découvert par Tripwire dans l’application Google Home. L’application est utilisée pour configurer les appareils Home et Chromecast. Pour la plupart, l’application communique avec le cloud de Google pour effectuer des actions. Cependant, l’application Home effectue certaines actions sur un réseau local avec un serveur HTTP non sécurisé.
Lisez ceci : Les meilleurs appareils Google Assistant
Ainsi, lorsque vous modifiez le nom de votre appareil Chromecast ou Home, ou même que vous les connectez au Wi-Fi, l’application Home utilise une méthode non cryptée qui peut facilement être piratée. En fait, Craig Young de Tripwire a fait exactement cela. Il a pu détourner l’écran de connexion dans l’application Home et l’a utilisé pour extraire les données de localisation de ses appareils qui identifiaient sa maison dans un rayon de 10 mètres.
Comment est-ce possible? Il tire parti de l’API de localisation de HTML 5, qui analyse les forces du signal dans les points Wi-Fi environnants pour trianguler la position d’un appareil. En fait, il n’a fallu qu’une minute à Young pour extraire les données et localiser sa propre maison.
Young avertit que cet exploit pourrait être utilisé dans des escroqueries par hameçonnage pour d’éventuelles menaces de chantage ou d’extorsion. Les escroqueries téléphoniques courantes, comme se faire passer pour l’IRS ou le FBI, pourraient utiliser ces informations pour ajouter un sentiment de crédibilité à leurs menaces. Alors que la méthode utilisée par Young était la reliure DNS, qui détourne essentiellement un navigateur, il prévient qu’elle pourrait également être exploitée par des extensions de navigateur et des applications mobiles en arrière-plan.
Il avertit également que cet exploit n’est pas limité aux appareils de Google. Tout au long de ses années d’audit d’appareils intelligents, il a déjà vu ce problème surgir plusieurs fois sur d’autres appareils, comme les téléviseurs intelligents. La solution de Google ajoutera probablement une couche de sécurité au serveur HTTP tout en demandant une sorte d’authentification avant de pouvoir changer le nom de l’appareil ou se connecter au Wi-Fi.