Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

  1. #1
    Chroniqueur Actualités
    Avatar de Patrick Ruiz
    Homme Profil pro
    Redacteur web
    Inscrit en
    février 2017
    Messages
    901
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Redacteur web
    Secteur : Communication - Médias

    Informations forums :
    Inscription : février 2017
    Messages : 901
    Points : 30 284
    Points
    30 284
    Par défaut Sécurité : combien d’ampoules faut-il pour mettre un réseau informatique à mal ? Juste une
    Sécurité : combien d’ampoules faut-il pour mettre un réseau informatique à mal ?
    Juste une s’il s’agit d’un modèle dit intelligent

    C’est, de façon brossée, la conclusion à laquelle on arrive en s’appuyant sur une récente publication de la firme Check Point qui dévoile des failles susceptibles de permettre à un pirate informatique d’injecter des rançongiciels ou d'autres logiciels malveillants aux réseaux professionnels et domestiques en prenant le contrôle d’ampoules connectées et de leurs contrôleurs.

    Nom : 20.png
Affichages : 21249
Taille : 121,6 Ko

    La publication de la firme Check Point s’inscrit dans la suite de celle d’une équipe de chercheurs en sécurité issus d’universités en Israël et au Canada. En effet, c’est en 2017 que cette dernière a montré comment prendre le contrôle d'ampoules intelligentes et comment créer une réaction en chaîne qui peut se propager dans une ville moderne.


    Leur publication soulevait une question intéressante : des pirates informatiques peuvent-ils combler le gap entre le réseau physique de l'Internet des objets (les ampoules) et le réseau informatique de nos maisons, de nos bureaux ou même des villes intelligentes à venir ? D’après ce qui ressort de la dernière note d’information de la firme de sécurité Check Point, la réponse est OUI.

    La publication de Check Point porte sur des ampoules de la gamme Philips Hue. Elle met en avant une ouverture sur les réseaux d’entreprises et domestiques de potentielles victimes en s’appuyant, primo sur la possibilité de prendre à distance le contrôle d’une ampoule connectée et personnaliser son firmware (travaux des chercheurs publiés en 2017) et deuxio, sur une faille dans le protocole Zigbee.

    En substance, l’attaque consiste (à partir de la prise de contrôle de l’ampoule) à contrôler à distance la couleur ou la luminosité de l’ampoule pour faire croire à l’utilisateur qu’il y a un souci. La manœuvre a pour effet de rendre l’ampoule inaccessible via l’application de contrôle de l’utilisateur qui va donc tenter une réinitialisation en la supprimant de l’application puis en demandant à la passerelle de contrôle de procéder à une nouvelle découverte. L’ampoule compromise est alors réintégrée dans le réseau. C’est alors que la vulnérabilité Zigbee entre en scène pour permettre de déclencher un débordement de tampon sur la passerelle ; les chercheurs y parviennent en envoyant une importante quantité de données. Le pirate installe ensuite un logiciel malveillant sur la passerelle, qui est à son tour connectée au réseau professionnel ou domestique cible. Le logiciel malveillant se reconnecte au pirate qui, à l'aide d'un exploit connu (tel que EternalBlue), peut alors infiltrer le réseau IP cible à partir de la passerelle pour diffuser des rançongiciels ou des spywares.

    Ci-dessous, une vidéo qui montre comment les chercheurs en sécurité ont exploité les failles de la passerelle Philips Hue afin de s'infiltrer dans le réseau informatique de la victime, ce, pour ensuite s'attaquer à un ordinateur en son sein en utilisant l'exploit EternalBlue.


    Check Point a mis Philips et Signify (propriétaire de la marque Philips Hue) au courant de ces développements en novembre 2019. Signify a confirmé l'existence de la vulnérabilité dans leur produit, et a publié une version de firmware corrigée (Firmware 1935144040) qui est maintenant disponible sur leur site. Si la publication de Check Point porte sur des ampoules intelligentes Philips, il faut dire que la mention de vulnérabilités ZigBee étend ces exposés à d’autres marques. Attention donc aux utilisateurs de dispositifs Ring d’Amazon, SmartThings de Samsung ou encore Xfinity Home de Comcast… Check Point n’a pas souhaité apporter plus de détails techniques pour permettre aux possesseurs des dispositifs concernés de pouvoir effectuer la mise à jour.

    Source : Check Point

    Et vous ?

    Qu’en pensez-vous ?
    Faites-vous usage d’ampoules connectées ? Voyez-vous un quelconque intérêt à le faire ?
    De quelles précautions d’usage vous entourez-vous pour ne pas être victime d’attaques dans ce genre ?

    Voir aussi :

    IoT : la Californie est sur le point de prendre une loi pour réglementer les objets connectés, et deviendra ainsi le premier État américain à le faire
    IoT : des pirates s'appuient sur le thermostat connecté d'un aquarium pour pénétrer le réseau d'un casino, et extirper 10 Go de data
    Une faille de sécurité de dispositifs IdO rend un demi-milliard d'appareils en entreprise vulnérables, les imprimantes sont aussi un vecteur d'attaque
    IoT : plusieurs marques de caméras sur IP sont vulnérables à des attaques, d'après une publication de la firme de sécurité F-Secure
    L'Inde est accusée d'être un « Etat de surveillance » après avoir autorisé 10 agences fédérales, à fouiner dans n'importe quel ordinateur
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre régulier Avatar de sitexw
    Homme Profil pro
    Développeur Web
    Inscrit en
    février 2015
    Messages
    43
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Développeur Web

    Informations forums :
    Inscription : février 2015
    Messages : 43
    Points : 107
    Points
    107
    Par défaut
    Je trouve ça dingue que, aujourd'hui encore, des applications se font hacker avec des dépassements de tampon. Corrigez-moi si je me trompe, mais ce n'est pas l'un des risques de sécurité les plus connus ? Certains développeurs ne sont toujours pas au courant de ça ? Je pense que de nombreuses méthodes existe pour contrer ce problème.
    (mon niveau dans ce domaine est faible)

  3. #3
    Expert éminent
    Avatar de transgohan
    Homme Profil pro
    Développeur Temps réel Embarqué
    Inscrit en
    janvier 2011
    Messages
    2 942
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Maine et Loire (Pays de la Loire)

    Informations professionnelles :
    Activité : Développeur Temps réel Embarqué

    Informations forums :
    Inscription : janvier 2011
    Messages : 2 942
    Points : 8 678
    Points
    8 678
    Par défaut
    Une ampoule connectée au réseau électrique. Oui.
    Une ampoule connectée au réseau de l'entreprise... Sérieux ???
    Je suis resté aux ampoules télécommandables, mais passer à celles à connecter sur mon réseau certainement pas...
    Je n'en vois pas l'intérêt...

    « Toujours se souvenir que la majorité des ennuis viennent de l'espace occupé entre la chaise et l'écran de l'ordinateur. »
    « Le watchdog aboie, les tests passent »

  4. #4
    Futur Membre du Club
    Homme Profil pro
    Étudiant
    Inscrit en
    novembre 2014
    Messages
    2
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 23
    Localisation : France, Bas Rhin (Alsace)

    Informations professionnelles :
    Activité : Étudiant

    Informations forums :
    Inscription : novembre 2014
    Messages : 2
    Points : 6
    Points
    6
    Par défaut
    Je trouve ça dingue que, aujourd'hui encore, des applications se font hacker avec des dépassements de tampon. Corrigez-moi si je me trompe, mais ce n'est pas l'un des risques de sécurité les plus connus ? Certains développeurs ne sont toujours pas au courant de ça ? Je pense que de nombreuses méthodes existe pour contrer ce problème.
    (mon niveau dans ce domaine est faible)
    <troll> Je te renvoie vers l'article suivant : baisse générale du niveau scolaire </troll>

    Plus sérieusement, pour bosser assez souvent en parallèle d'une équipe liée à du développement d'outils soit-disant sécurisés, je peux te dire que ce problème apparemment si connu de buffer overflow ne semble pas les déranger plus que ça, et pourtant ce sont des personnes diplômées avec des connaissances en la matière... Il y en a toujours pour se dire que ça n'arrivera pas ou que quelqu'un d'autre le corrigera.

  5. #5
    Membre éprouvé
    Homme Profil pro
    chomeur
    Inscrit en
    avril 2015
    Messages
    544
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 75
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : chomeur
    Secteur : Distribution

    Informations forums :
    Inscription : avril 2015
    Messages : 544
    Points : 1 090
    Points
    1 090
    Par défaut
    Il y en a toujours pour se dire que ça n'arrivera pas ou que quelqu'un d'autre le corrigera.
    ca fera du travail pour la personne qui corrigera le bug
    Plus vite encore plus vite toujours plus vite.

  6. #6
    Membre chevronné

    Profil pro
    Inscrit en
    janvier 2014
    Messages
    902
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : janvier 2014
    Messages : 902
    Points : 2 180
    Points
    2 180
    Par défaut
    ce troll... laisser des imperfections béante, c'est éthique, c'est pour diminuer le chômage... xD

    Citation Envoyé par transgohan Voir le message
    Je suis resté aux ampoules télécommandables, mais passer à celles à connecter sur mon réseau certainement pas...
    Je n'en vois pas l'intérêt...
    Ne plus avoir de multiples télécommandes dans une même pièce pour :
    - la télé
    - la box
    - le lecteur DVD
    - la chaine hi-fi
    - la console
    - la clim
    - les volets roulants
    - la lumière

    ...par exemple.
    Pensez à utiliser les pouces d’appréciation, pour participer à la visibilité de l'apport d'un propos, ou l'intérêt que vous y prêtez... qu'il soit positif ou négatif.

  7. #7
    Membre actif
    Homme Profil pro
    Développeur Web
    Inscrit en
    juin 2013
    Messages
    68
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : juin 2013
    Messages : 68
    Points : 287
    Points
    287
    Par défaut
    Citation Envoyé par Steinvikel Voir le message
    ce troll... laisser des imperfections béante, c'est éthique, c'est pour diminuer le chômage... xD


    Ne plus avoir de multiples télécommandes dans une même pièce pour :
    - la télé
    - la box
    - le lecteur DVD
    - la chaine hi-fi
    - la console
    - la clim
    - les volets roulants
    - la lumière

    ...par exemple.
    Perso j'ai trouvé des solutions alternatives pour ne pas avoir à tout mettre sur réseau :
    -> la télé et lecteur DVD sur la même télécommande
    -> position calculée et stratégique pour les interrupteurs de volets et lumières, par exemple j'ai mesuré ma gestuelle le matin et ai fait en sorte que lorsque ce que je m'étire en me réveillant, le dessus de ma main tape dans l'interrupteur qui allume la lumière. Un autre interrupteur est proche de l'angle du mur pour quand je vais me coucher, je m’appuie toujours sur ce mur pour m’asseoir sur le lit.

    Alors certes ce n'est pas moderne, mais ça fait que je n'ai jamais ressentis le besoin de contrôler ces objets à distance.
    Et tant que mon lit ne bouge pas, que je ne change pas la hauteur du sommier, l'épaisseur du matelas et ses matériaux (si le matelas se déforme on perd en précision), ça continuera de bien fonctionner

    Et ce pour toutes les pièces, que ce soit la chambre, le bureau, la salle de bain etc...
    Pas besoin d'avoir un interrupteur sur toutes les portes, mettez le là où vous passez, là où vous vous reposez, car avec ou sans télécommande vous vous y déplacerez quoi qu'il arrive...

  8. #8
    Membre actif
    Profil pro
    Inscrit en
    novembre 2010
    Messages
    174
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : novembre 2010
    Messages : 174
    Points : 249
    Points
    249
    Par défaut
    Il faut être clairement allumé pour acheter et installer des ampoules, chacune connectée individuellement au réseau.

    Il faut vraiment ne pas avoir la lumière à tous les étages pour ne pas imaginer l'impact que cela peut avoir, aussi bien côté sécurité, côté environnemental et même côté financier, s'il faut remplacer toute l'électronique à chaque fois qu'une ampoule grille.

    Éventuellement, je pourrais imaginer avoir des ampoules toute à fait normale, mais reliée à une partie du réseau électrique qui serait contrôlé, lui, via le réseau, via du matériel dédié, et ainsi limiter la quantité d'appareil relié au réseau, et garder chaque spécialisation chez soi (le contrôle de l’électricité d'une part, et la lumière d'autre part).

    Et enfin, les développeurs qui ont laissé des failles pareilles ne sont pas des lumières.

  9. #9
    Nouveau membre du Club Avatar de dvassart
    Homme Profil pro
    Apprenti développeur web
    Inscrit en
    novembre 2019
    Messages
    11
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 35
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Apprenti développeur web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : novembre 2019
    Messages : 11
    Points : 32
    Points
    32
    Par défaut
    Qu’en pensez-vous ?
    Que ce n'est pas la première fois qu'une faille de ce genre est mise en lumière (sans mauvais jeu de mot...) sur des dispositifs IoT, et que ce ne sera certainement pas la dernière. On peut même, allez, carrément se demander si ce n'est pas délibéré de la part de ces firmes, pour nous siphonner des données personnelles et/ou sensibles pour leur compte ou le compte d'une LEA.
    A partir du moment où on commence à utiliser ce genre de technologie, on est censé être au courant des potentiels menaces que cela représente pour la sécurité de nos données. Tout comme avec les ordinateurs et les smartphones.
    Qu'on soit néophyte ou expérimenté, on est tous sujets à une possible attaque. Après, c'est sûr que quelqu'un d'expérimenté donnera toujours plus de fil à retordre à son assaillant.

    Faites-vous usage d’ampoules connectées ? Voyez-vous un quelconque intérêt à le faire ?
    Oui, j'ai 4 ampoules Hue, que j'ai acheté pour réguler plus efficacement mon rythme circadien, qui était sujet à des dérèglements. La possibilité de programmer un réveil lumineux le matin et une extinction progressive le soir avec transition vers une couleur 100% rouge (seulement en hiver; en été il fait clair trop tard...) m'a permis de maîtriser beaucoup mieux mon cycle veille/sommeil.

    De quelles précautions d’usage vous entourez-vous pour ne pas être victime d’attaques dans ce genre ?
    Pour une attaque comme celle décrite dans cet article, à part être vigilant vis à vis d'éventuels dysfonctionnements du système, il n'y a malheureusement pas grand chose à faire. Si je le pouvais, je prendrais une ligne internet séparée du reste pour contrôler les ampoules, mais ce n'est pas possible chez moi.
    Mais d'une façon générale, je ne stocke pas de données sensibles sans protection conséquente. Mes disques durs sont chiffrés avec VeraCrypt et une phrase de passe robuste et montés sur l'ordi seulement quand c'est nécessaire. L'ordi lui-même n'est allumé et connecté au réseau que lorsque je m'en sers et rien de sensible n'est stocké dessus.
    Je ne me sers jamais de wi-fi public, plutôt du partage de connexion de mon smartphone. Quand ce n'est pas possible, wi-fi public avec un bon VPN.
    Mais même comme ça, je ne suis jamais tranquille

  10. #10
    Candidat au Club
    Inscrit en
    juillet 2010
    Messages
    6
    Détails du profil
    Informations forums :
    Inscription : juillet 2010
    Messages : 6
    Points : 4
    Points
    4
    Par défaut Ampoules
    @dvassart : je n'y crois pas à ton histoire.

  11. #11
    Nouveau membre du Club Avatar de dvassart
    Homme Profil pro
    Apprenti développeur web
    Inscrit en
    novembre 2019
    Messages
    11
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 35
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Apprenti développeur web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : novembre 2019
    Messages : 11
    Points : 32
    Points
    32

Discussions similaires

  1. Des conseils pour mettre en réseau un jeu.
    Par ohhztr dans le forum Réseau/Web
    Réponses: 0
    Dernier message: 12/04/2016, 23h50
  2. Faut t'il mettre l'extension pour les liens (ex : faq.php ou faq ?)
    Par anxious dans le forum Général Conception Web
    Réponses: 2
    Dernier message: 25/11/2009, 00h36
  3. Réponses: 0
    Dernier message: 12/11/2007, 15h13
  4. Réponses: 6
    Dernier message: 29/06/2006, 16h10

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo