Ils voulaient protéger leurs biens et se sont exposés encore davantage en danger ! En cause, la caméra D-Link DCS-2132L a été passée au crible par les équipes d’ESET, l’éditeur d’antivirus spécialisés dans les objets connectés. Les résultats sont pour le moins inquiétants. En effet, ces chercheurs ont détecté de graves failles de sécurité qui pourraient donner au pirate le contrôle de la caméra. Que les propriétaires de ce modèle se rassurent, le fabricant, qui a été contacté sur-le-champ par l’éditeur, a eu le temps de rectifier le tir… en partie !
Des flux non cryptés
D’après le rapport publié par ESET, le flux de vidéo est transmis sans chiffrement, c’est-à-dire que de la caméra au Cloud, ou du Cloud à l’application de visualisation des images pour le client. Les données circulent donc librement dans les deux sens et sans protection. « Cela facilite notamment les attaques de type “homme au milieu” (Man-in-the-Middle) qui permettent aux intrus d’espionner les flux vidéo des victimes », indique Milan Fránik, chercheur au ESET Research Lab à Bratislava.
Un talon d’Achille
Autre sujet préoccupant : la caméra embarque un plug-in issu du navigateur web « MyDlink services ». Ce petit outil a été conçu pour faciliter l’accès aux images à partir de la caméra. Outre cette fonction, il gère aussi la création d’un réseau informatique que l’on appelle tunnel TCP ainsi que le play-back vidéo en live sur le navigateur du client. En outre, il orchestre la transmission des demandes des flux de données vidéo et audio. C’est là que le bât blesse : ces flux de données sont transférés via un port ouvert en écoute localement. « Cette vulnérabilité particulière aurait pu avoir des conséquences désastreuses sur la sécurité de la caméra, car elle permet aux pirates de remplacer le firmware du fabricant par leur propre version piégée » explique Milan Fránik. Si cette faille est désormais corrigée par le fabricant, grâce à une mise à jour du firmware, les problèmes liés à la transmission non chiffrée persistent…
Ségolène Kahn
Commentez