Vos systèmes Philips Hue et Nest pourraient être attaqués

Lorsque nous parlons de sécurité – et nous parlons de la cybersécurité de nos maisons – la plupart d'entre nous envisageons des pirates de niveau film Bond dans des pièces sombres, exploitant de manière experte nos caméras, alarmes et serrures de porte.

Mais alors que les appareils intelligents s'emmêlent dans les écosystèmes numériques – Nest, Google Assistant et Alexa pour n'en citer que quelques-uns – même un maillon faible peut laisser tous les appareils ouverts aux attaques. Et de nouvelles recherches montrent que ce sont nos ampoules intelligentes et nos cafetières connectées qui pourraient mettre nos maisons en danger.

Grand verdict: avis Philips Hue

Une équipe d'informaticiens du College of William & Mary a testé la sécurité de plusieurs produits de maison intelligente actuellement sur le marché et a découvert des vulnérabilités importantes qui pourraient obliger les entreprises technologiques à repenser la façon dont leurs appareils interagissent.

L'équipe a examiné une attaque appelée "escalade latérale des privilèges", qui compromet un appareil ou une application à faible enjeu pour accéder à un appareil à enjeu élevé comme une caméra de sécurité. Les résultats révèlent des failles, pas nécessairement dans les appareils eux-mêmes, mais dans l'architecture des plates-formes qui servent de hub central de la maison intelligente.

Et bien que trop souvent ces vulnérabilités se retrouvent sur des appareils sans nom appartenant à une poignée de personnes, l'équipe de recherche a découvert des problèmes nécessitant une amélioration des produits Philips Hue et Nest lors de leur évaluation.

"C'est un problème logiciel qui se répand dans l'environnement physique, et ce n'est pas quelque chose que vous pouvez résoudre immédiatement", a déclaré l'auteur de l'étude Adwait Nadkarni, professeur adjoint d'informatique à William & Mary. "Si vous ne sécurisez pas ces appareils à faible sécurité, même une communication indirecte entre ces deux appareils peut mettre votre maison intelligente en danger."

Nadkarni et ses collègues ont utilisé une configuration de maison intelligente simulée où ils ont connecté plusieurs appareils à une plate-forme de maison intelligente et ont vu jusqu'où les attaques pouvaient aller. Avec plus de 20 milliards de produits pour la maison intelligente qui devraient être utilisés d'ici 2020, leur travail a des implications considérables pour la sécurité physique des utilisateurs. L'étude a été acceptée à la conférence de l'Association for Computing Machinery (ACM) sur la sécurité et la confidentialité des données et des applications et sera présentée en mars 2019.

S'infiltrer dans vos routines

La domotique est pilotée par la mise en œuvre de routines, qui sont des séquences d'actions d'applications et d'appareils qui sont exécutées sur un ou plusieurs déclencheurs. Par exemple, lorsque vous activez le système d'alarme avant de quitter la maison, vous pouvez programmer votre thermostat intelligent pour qu'il s'éteigne automatiquement afin d'économiser de l'électricité. Les plates-formes de maison intelligente telles que Google Works with Nest, Samsung SmartThings et Philips Hue gardent une trace de tous les appareils connectés et de leurs états via des variables dans un magasin de données centralisé.

"Un capteur de présence indiquera si un utilisateur est à la maison et ajustera cette variable dans le magasin de données centralisé en conséquence", a déclaré Nadkarni. "Ensuite, le reste des appareils réagira comme vous le souhaitez lorsque vous êtes à la maison – les lumières s'allument, le thermostat s'allume, etc. – mais dans certains cas, ces variables peuvent être exploitées."

Par exemple, les pirates pourraient compromettre un appareil à faible sécurité comme vos lumières, qui ont accès à la variable de présence. S'ils changent son état pour dire à tort à la plate-forme que vous êtes chez vous alors que vous êtes vraiment à des kilomètres en vacances, les attaquants pourraient modifier les actions des dispositifs de haute sécurité comme les caméras et les serrures de porte.

Les chercheurs ont découvert que les routines prises en charge par Nest permettent aux appareils et aux applications à faible sécurité de modifier indirectement l'état des appareils à haute sécurité en modifiant les variables partagées sur lesquelles ils reposent tous les deux. Ils ont pu effectuer une élévation latérale des privilèges en compromettant l' application Kasa, modifiant indirectement l'état d'une variable, qui a désactivé la caméra de sécurité Nest.

"Si les choses continuent comme elles sont, le nombre de problèmes de sécurité augmentera de façon exponentielle à mesure que les gens ajoutent plus d'appareils à leurs maisons intelligentes", a déclaré l'auteur de l'étude Denys Poshyvanyk, professeur agrégé d'informatique à William & Mary. "Cependant, si des efforts systématiques sont déployés pour reconcevoir ces plates-formes dans un souci de sécurité, ces attaques peuvent être évitées – mais cela nécessiterait l'adoption de certaines normes communes par ces entreprises."

Plusieurs des entreprises mentionnées dans l'étude, dont Google et Philips, ont confirmé à Nadkarni et Poshyvanyk que leurs ingénieurs se penchaient sur ces problèmes de sécurité. Joshua Meyer, analyste associé en sécurité au cabinet de conseil Independent Security Evaluators, qui n'a pas participé à l'étude, estime que les fabricants doivent prendre en compte la sécurité dès les premières étapes de conception d'un produit ou d'une plate-forme. Mais il reconnaît également que les applications tierces peuvent introduire des risques de sécurité inattendus sur le réseau.

« Chaque application ou appareil qu'ils ne contrôlent pas peut introduire des risques de sécurité sur le réseau. Le domaine de la maison intelligente est problématique à cet égard, car plusieurs appareils de plusieurs fabricants devraient fonctionner en coopération », a déclaré Meyer.

"Les plates-formes de maison intelligente doivent anticiper l'insécurité inhérente à certains appareils et fournir des contrôles de sécurité solides pour les autres appareils sur un réseau."

Bien sûr, les entreprises technologiques se battent sur tous les fronts pour sécuriser les appareils domestiques intelligents. Alors que l'accès illégal aux appareils est une question, l'asservissement des appareils dans le cadre des botnets en est une autre – et une menace bien documentée pour les années à venir. Cela montre que, comme l'a conclu Mayer, il est crucial que les responsables des écosystèmes qui fonctionnent dans nos maisons soient aussi concentrés sur la sécurité que sur les nouvelles fonctionnalités.