{"id":4484,"date":"2015-04-24T16:00:52","date_gmt":"2015-04-24T16:00:52","guid":{"rendered":"http:\/\/kasperskydaily.com\/france\/?p=4484"},"modified":"2020-02-26T15:52:13","modified_gmt":"2020-02-26T15:52:13","slug":"internet-of-crappy-things-2","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/internet-of-crappy-things-2\/4484\/","title":{"rendered":"L&rsquo;inqui\u00e9tant Internet des objets, deuxi\u00e8me partie : la conf\u00e9rence RSA"},"content":{"rendered":"<p>SAN FRANCISCO \u2013 Tout le monde sait que l\u2019industrie de la s\u00e9curit\u00e9 a totalement \u00e9chou\u00e9 dans sa mission qui consiste \u00e0 prot\u00e9ger les ordinateurs et les r\u00e9seaux ainsi que toutes les donn\u00e9es qui transitent sur Internet.<\/p>\n<p>Force est de constater que la protection des ordinateurs traditionnels et des autres dispositifs en g\u00e9n\u00e9ral\u00a0 reste un d\u00e9fi de grande envergure. Durant la majeure partie des dix derni\u00e8res ann\u00e9es, <a href=\"https:\/\/www.kaspersky.fr\/blog\/gadgets-mobile-world-congress\/4375\/\" target=\"_blank\" rel=\"noopener\">les appareils mobiles ont pr\u00e9sent\u00e9 l\u2019industrie avec un ensemble de d\u00e9fis<\/a> \u00e0 la fois nouveaux et similaires. Il ne serait probablement pas exag\u00e9r\u00e9 d\u2019affirmer que le combat pour la protection des ordinateurs de bureau ainsi que celle des ordinateurs portables est pour le moment tr\u00e8s ralenti\u00a0par\u00a0les hackers\u00a0et autres criminels.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2015\/04\/06093404\/rsaconf-featured-VK.jpg\" alt=\"\" width=\"640\" height=\"420\"><\/p>\n<p>Marcher dans la salle d\u2019exposition du Moscone Center de San Francisco, o\u00f9 a lieu la conf\u00e9rence RSA, est une r\u00e9alit\u00e9 \u00e0 la fois absurde et ironique. Je ne sais pas combien de millions de dollars sont investis dans des stands qui ont pour but de vendre une multitude de solutions et de services de s\u00e9curit\u00e9 \u00e0 un nombre incalculable de professionnels de la s\u00e9curit\u00e9. Pendant ce temps, malgr\u00e9 les investissements colossaux requis pour le d\u00e9veloppement de ces produits, des personnes comme Billy Rios, <a href=\"https:\/\/www.kaspersky.fr\/blog\/piratage-des-scanners-de-la-securite-des-aeroports-est-ce-possible\/2635\/\" target=\"_blank\" rel=\"noopener\">connu pour avoir donn\u00e9 une conf\u00e9rence sur\u00a0 le piratage de la s\u00e9curit\u00e9 a\u00e9roportuaire l\u2019an dernier<\/a>, et David Jacoby, effectuent des d\u00e9monstrations lors desquelles ils prennent le contr\u00f4le total de syst\u00e8mes domotiques, de r\u00e9seaux ou encore de de dispositifs.<\/p>\n<blockquote class=\"twitter-pullquote\"><p>(L\u2019inqui\u00e9tant) Internet des Objets: d\u00e9couvrez-en davantage sur\u00a0l\u2019ins\u00e9curit\u00e9 de l\u2019#IdO en direct de la #RSAC<\/p><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fkas.pr%2F7fkH&amp;text=%28L%26rsquo%3Binqui%C3%A9tant%29+Internet+des+Objets%3A+d%C3%A9couvrez-en+davantage+sur%C2%A0l%26rsquo%3Bins%C3%A9curit%C3%A9+de+l%26rsquo%3B%23IdO+en+direct+de+la+%23RSAC\" class=\"btn btn-twhite\" data-lang=\"en\" data-count=\"0\" target=\"_blank\" rel=\"noopener nofollow\">Tweet<\/a><\/blockquote>\n<p>Pour \u00eatre juste, une grande partie de l\u2019activit\u00e9 qui a lieu ici \u00e0 la RSA est centr\u00e9e sur le B2B. Il ne s\u2019agit pas d\u2019une conf\u00e9rence grand public sur la s\u00e9curit\u00e9. Pourtant, les gros titres les plus r\u00e9cents, ainsi que de nombreuses conf\u00e9rences mondiales portant sur le sujet nous d\u00e9montrent clairement que les ordinateurs ne sont pas s\u00fbrs, qu\u2019ils soient chez vous ou au bureau. Mais malgr\u00e9 tout cela, l\u2019industrie des technologies poursuit sans rel\u00e2che et \u00e0 une \u00e9chelle exponentielle, sa brillante id\u00e9e de tout vouloir connecter. C\u2019est ce qu\u2019on appelle l\u2019\u00a0\u00ab\u00a0Internet des Objets\u00a0\u00bb, et il n\u2019est pas du tout s\u00e9curis\u00e9.<\/p>\n<p>Il n\u2019est donc pas surprenant que <a href=\"https:\/\/twitter.com\/XSSniper\" target=\"_blank\" rel=\"noopener nofollow\">Billy Rios<\/a>, fondateur de l\u2019entreprise de s\u00e9curit\u00e9 Laconicly, ait pu exploiter une faille vieille de deux ans dans un dispositif de domotique Vera et cette derni\u00e8re lui a donn\u00e9 un acc\u00e8s total \u00e0 tous les autres dispositifs, r\u00e9seaux et ordinateurs qui \u00e9taient rattach\u00e9s au syst\u00e8me.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">So <a href=\"https:\/\/twitter.com\/XSSniper?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@XSSniper<\/a> is going to demo a home automation hack at <a href=\"https:\/\/twitter.com\/RSAConference?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@RSAConference<\/a>, using Pac-Man to illustrate it: <a href=\"http:\/\/t.co\/LJW27SsAWJ\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/LJW27SsAWJ<\/a><\/p>\n<p>\u2014 Kelly Jackson Higgins (@kjhiggins) <a href=\"https:\/\/twitter.com\/kjhiggins\/status\/588849908259631104?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 16, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Rios a exploit\u00e9 une faille de type \u00ab\u00a0cross-site\u00a0request forgery\u00a0\u00bb (CSRF) dans un syst\u00e8me domotique Vera et l\u2019a forc\u00e9 \u00e0 accepter une mise \u00e0 jour de son micro logiciel. En r\u00e9alit\u00e9, Rios a utilis\u00e9 une m\u00e9thode d\u2019hame\u00e7onnage qui consiste \u00e0 forcer sa victime \u00e0 visiter un site Web malveillant.<\/p>\n<p>Le m\u00e9canisme de mise \u00e0 jour du micro logiciel du syst\u00e8me Vera a ensuite \u00a0\u00e9t\u00e9 d\u00e9sactiv\u00e9, ce qui a permis \u00e0 Rios de pouvoir t\u00e9l\u00e9charger son propre micro logiciel, qui, dans ce cas, \u00e9tait une copie de Pac-Man. Le\u00a0micro logiciel \u00ab\u00a0malveillant\u00a0\u00bb de Rios \u00e9tait plut\u00f4t amusant, mais il aurait \u00e9galement pu t\u00e9l\u00e9charger tout ce qu\u2019il voulait comme, par exemple, un dispositif con\u00e7u pour contr\u00f4ler des centaines d\u2019autres dispositifs IdO, tels que des serrures intelligentes, des thermostats, des lampes, des syst\u00e8mes d\u2019alarme ou encore des portes de garage pour n\u2019en citer que quelques-uns.<\/p>\n<p><a href=\"http:\/\/www.darkreading.com\/vulnerabilities---threats\/popular-home-automation-system-backdoored-via-unpatched-flaw\/d\/d-id\/1320004?_mc=sm_dr_editor_kellyjacksonhiggins\" target=\"_blank\" rel=\"noopener nofollow\">Kelly Jackson Higgins de Dark Reading nous fait<\/a> savoir que Vera corrigera ce bug gr\u00e2ce \u00e0 une mise \u00e0 jour du micro logiciel qui n\u2019a pas encore \u00e9t\u00e9 publi\u00e9e.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Nice wrap up of <a href=\"https:\/\/twitter.com\/hashtag\/IoT?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#IoT<\/a>-related talks at <a href=\"https:\/\/twitter.com\/hashtag\/TheSAS2015?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#TheSAS2015<\/a>: \"Internet of Crappy Things: <a href=\"https:\/\/t.co\/ORygHSJs9W\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/ORygHSJs9W<\/a><\/p>\n<p>\u2014 Eugene Kaspersky (@e_kaspersky) <a href=\"https:\/\/twitter.com\/e_kaspersky\/status\/568726530391543809?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">February 20, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Le jour suivant, <a href=\"https:\/\/twitter.com\/JacobyDavid\" target=\"_blank\" rel=\"noopener nofollow\">David Jacoby<\/a>, chercheur expert en s\u00e9curit\u00e9 chez Kaspersky Lab, a d\u00e9ploy\u00e9 un ensemble de codes malveillants, d\u2019exploits et de techniques d\u2019hame\u00e7onnage\u00a0 afin de compromettre le dispositif du r\u00e9seau de stockage rattach\u00e9 au r\u00e9seau de son domicile en Su\u00e8de. Sa pr\u00e9sentation fait partie d\u2019un <a href=\"https:\/\/www.kaspersky.fr\/blog\/comment-jai-pirate-ma-maison\/3495\/\" target=\"_blank\" rel=\"noopener\">grand projet qui consiste \u00e0 pirater une maison<\/a>, et qui a longuement \u00e9t\u00e9 comment\u00e9\u00a0 sur Kaspersky Daily.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Researcher <a href=\"https:\/\/twitter.com\/JacobyDavid?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@JacobyDavid<\/a> on home hacking at <a href=\"https:\/\/twitter.com\/hashtag\/RSAC?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#RSAC<\/a>: <a href=\"http:\/\/t.co\/InHS8GcBhj\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/InHS8GcBhj<\/a><\/p>\n<p>\u2014 Securelist (@Securelist) <a href=\"https:\/\/twitter.com\/Securelist\/status\/590931391568814080?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 22, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Comme Jacoby l\u2019explique la plupart des fournisseurs qui fabriquent ce type de produits ne s\u2019est pas du tout int\u00e9ress\u00e9e aux vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 qu\u2019il leur a signal\u00e9. \u00a0Il affirme d\u2019ailleurs que la segmentation des r\u00e9seaux repr\u00e9sente la meilleure fa\u00e7on de contrer ces failles. Malheureusement, la segmentation des r\u00e9seaux est une solution assez compliqu\u00e9e pour les utilisateurs moyens.<\/p>\n<p>20 minutes apr\u00e8s le discours de Jacoby, <a href=\"https:\/\/twitter.com\/jinyier\" target=\"_blank\" rel=\"noopener nofollow\">Yier Jin<\/a>, un pirate de hardware et professeur \u00e0 l\u2019Universit\u00e9 Centrale de Floride, nous a montr\u00e9 une backdoor au sein des c\u00e9l\u00e8bres syst\u00e8mes de thermostat intelligents de Nest.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">A few demos generated by a customized toolchain on the Nest Thermostat is released. <a href=\"https:\/\/t.co\/KCg3Wdy8gV\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/KCg3Wdy8gV<\/a><\/p>\n<p>\u2014 Yier Jin (@jinyier) <a href=\"https:\/\/twitter.com\/jinyier\/status\/499275862286811136?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">August 12, 2014<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Jin a donc trouv\u00e9 une backdoor dans les syst\u00e8mes de Nest qui lui a permis d\u2019installer un micro logiciel malveillant. De plus, il a trouv\u00e9 le moyen de surveiller les donn\u00e9es que les dispositifs Nest transmettent aux serveurs Cloud de la compagnie et affirme qu\u2019il s\u2019agit souvent de donn\u00e9es sensibles. Si elles sont surveill\u00e9es correctement, un pirate pourrait obtenir toutes sortes d\u2019informations sur la pr\u00e9sence ou l\u2019absence d\u2019un utilisateur chez lui. De plus, l\u2019utilisateur n\u2019a aucun moyen de d\u00e9sactiver la collecte de ces donn\u00e9es. Et comme si cela ne suffisait pas, l\u2019acc\u00e8s root de Jien peut lui permettre de basculer sur d\u2019autres dispositifs du m\u00eame r\u00e9seau, de trafiquer l\u2019appareil Nest, de voir les identifiants du r\u00e9seau en texte clair et bien plus encore.<\/p>\n<p>Malgr\u00e9 l\u2019investissement de centaines de milliards de dollars, les ordinateurs traditionnels, sans parler de <a href=\"https:\/\/www.kaspersky.fr\/blog\/inquietant-internet-objets\/4303\/\" target=\"_blank\" rel=\"noopener\">l'(inqui\u00e9tant) Internet des Objets<\/a>, restent d\u00e9sesp\u00e9r\u00e9ment expos\u00e9s aux attaques.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Chaque ann\u00e9e, la conf\u00e9rence RSA \u00e0 San Francisco, en Californie, porte sur l\u2019Internet des objets et d\u00e9montre comment aucune somme d\u2019argent ne pourra r\u00e9gler la question de la s\u00e9curit\u00e9 informatique.<\/p>\n","protected":false},"author":42,"featured_media":4485,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[1099,1098,552,124,1100,61],"class_list":{"0":"post-4484","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news","8":"tag-conference-rsa","9":"tag-ido","10":"tag-internet-des-objets","11":"tag-piratage","12":"tag-rsac","13":"tag-securite"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/internet-of-crappy-things-2\/4484\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/internet-of-crappy-things-2\/4773\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/internet-of-crappy-things-2\/5682\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/internet-of-crappy-things-2\/5895\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/internet-of-crappy-things-2\/7612\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/internet-of-crappy-things-2\/8518\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/internet-of-crappy-things-2\/7450\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/internet-of-crappy-things-2\/7612\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/internet-of-crappy-things-2\/8518\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/internet-of-crappy-things-2\/8518\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/conference-rsa\/","name":"Conf\u00e9rence RSA"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/4484","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=4484"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/4484\/revisions"}],"predecessor-version":[{"id":14285,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/4484\/revisions\/14285"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/4485"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=4484"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=4484"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=4484"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}