LAS VEGAS — La récente prise de contrôle médiatisée d’une Jeep grâce à une faille de son système électronique n’est qu’un aperçu des dangers sur la route menant à un environnement dominé par des objets connectés.
Les possibilités de voler les données, voire de contrôler totalement des appareils rendus «intelligents» par une connexion Internet sont un thème central des présentations à la conférence Black Hat sur la sécurité, qui s’est tenue la semaine dernière à Las Vegas.
« Presque aucun des fabricants d’appareils connectés n’a de véritable équipe dédiée à la sécurité», indique Jeff Moss, fondateur de la conférence et également organisateur du rassemblement de pirates Def Con qui la suivra.
« Les criminels sont des génies pour déterminer comment utiliser ceci à mauvais escient», prévient-il, estimant que «le piratage du Jeep n’est que le début ». Une allusion à la récente prise de contrôle à distance par deux chercheurs d’un Jeep Cherokee, qui a conduit son constructeur Fiat Chrysler à rappeler 1,4 million de véhicules aux États-Unis.
Depuis un ordinateur portable à leur domicile, Charlie Miller et Chris Valasek s’étaient introduits dans le système électronique de divertissement embarqué, qui est connecté à Internet. Ils avaient réussi à manipuler la radio, les essuie-glaces, ainsi que la vitesse et le freinage.
« Nous sommes peut-être bons dans ce que nous faisons, mais c’était un projet pour la fin de semaine», a commenté Charlie Miller en présentant des détails de l’opération mercredi dernier dans une salle comble à Las Vegas. «Qu’est-ce que ça serait si nous faisions cela à temps plein, ou si nous étions payés pour cela?»
Charlie Miller, chercheur en sécurité chez Twitter, et Chris Valasek, qui travaille pour la société de cybersécurité IOActive, disent avoir creusé les problèmes présentés par les voitures connectées parce que les dangers physiques étaient évidents.
« Les constructeurs automobiles dépensent des millions de dollars pour la sécurité, et maintenant ceci est une part de la sécurité, que ça leur plaise ou non», a commenté Chris Valasek.
PORTES D’ENTRÉE
Si les spectaculaires piratages de voitures ou d’armes à feu attirent l’attention à Las Vegas, beaucoup de participants évoquent des dangers bien plus vastes.
Jeff Moss imagine par exemple qu’un grille-pain connecté soit piraté et serve de porte d’entrée pour une attaque, qui passerait ensuite par l’intermédiaire des connexions sans fil à d’autres objets connectés de la maison, comme l’équipement audio-vidéo, puis se transmettrait au domicile du voisin.
Les données collectées par les objets connectés peuvent servir à découvrir comment l es gens vivent ou leurs routines quotidiennes, des informations utiles pour des voleurs, par exemple. Les caméras de ces appareils peuvent aussi être activées pour espionner des moments intimes que les victimes préféreraient garder privés.
Une partie du problème, c’est que les objets connectés, comme l’électroménager intelligent, par exemple, sont conçus pour durer, mais que leurs logiciels ne sont pas mis à jour, laissant aux pirates le temps de trouver et d’exploiter leurs failles.
« Nous nous précipitons vers un avenir où tout est connecté; rien ne peut être mis à jour, et tout va durer 10 ans, souligne Jeff Moss. Après, c’est un jeu de chiffres. À un million, c’est un problème; à une centaine de millions, c’est un désastre.»
Ce qui dérange particulièrement Jeff Moss, c’est la possibilité de pirater des compteurs intelligents. Les attaquants pourraient ainsi viser non seulement des domiciles individuels, mais aussi tout un réseau, peut-être en coupant et rallumant de manière répétée l’électricité dans tout un quartier.
L’essor des objets connectés risque de poser la question de la responsabilité des concepteurs de logiciels, prévient Jennifer Granick, directrice responsable des libertés civiles au Center of Internet and Society de l’Université de Stanford, qui intervenait à la conférence Black Hat.
Ils y ont jusqu’ici échappé, car la plupart des gens ne pensent pas à poursuivre le concepteur du logiciel quand leur ordinateur tombe en panne, mais les choses risquent de changer quand ce sera un accident de voiture, raisonne-t-elle.
«Un objet ayant maintenant un logiciel qu’il n’avait pas avant va nous exploser à la figure, estime Jennifer Granick. La responsabilité des [créateurs de] logiciels est inévitable, et elle est nécessaire.»
Les constructeurs dépensent des millions de dollars pour la sécurité, et maintenant ceci est une part de la sécurité, que ça leur plaise ou non — Chris Valasek, de la société de cybersécurité IOActive.
> Lire la nouvelle en ligne sur le site du Journal Le Soleil
