Les Belkin WeMo vulnérables, ou le risque des maisons connectées

Les prises électriques connectées WeMo de la marque Belkin semblent souffrir d’importantes failles de sécurité. Lesquelles ? Quelles sont les conséquences potentielles pour leurs utilisateurs ?

Le concept des prises de courant WeMo de Belkin est assez original : connectées en Wi-Fi et contrôlables à distance par un smartphone (iOS, Android), elles permettent de gérer autrement l’allumage, l’extinction ou la programmation de vos appareils multimédia ou électroménagers branchés dessus. Elles peuvent aussi accueillir un détecteur de présence en accessoire. Bon, admettons que ce soit utile pour les distraits qui oublient d’éteindre la cafetière, ou pour les vacanciers qui veulent simuler leur présence chez eux.

Mais il y a un hic : en plus d’une installation particulièrement fastidieuse, les équipements WeMo de Belkin ne sont pas vraiment sécurisés, d’après les constatations d’IOActive :

• Prise frauduleuse de contrôle à distance des équipements
• Possibilité de suggérer des mises à jour illégitimes et malveillantes (firmware)
• Surveillance à distance des appareils (dans certains cas)
• Accès distant au réseau local

Les conséquences sont à la fois nombreuses et fâcheuses :

• Possibilités d’incendie (ex : allumage prolongé d’appareils chauffants)
• Surveillance de la présence à domicile (notamment via les capteurs de présence, si installés)
• Accès aux données personnelles échangées et stockées sur les différents équipements du réseau (ordinateurs, tablettes, serveurs multimédia, etc.)

Pour l’heure, la société Belkin n’a souhaité répondre à aucune des sollicitations d’IOActive…

Mike Davis, le chercheur IOActive ayant découvert ces failles (clé d’accès et mot de passe enregistrés dans le firmware, aucun certificat de sécurité, vulnérabilité aux injections XML, etc.), se veut clairvoyant :

En effet, l’Internet des Objets offre chaque jour de nouveaux produits connectés, plus ou moins pratiques, plus ou moins utiles, mais toujours conçus pour notre divertissement, rarement pour la sécurité de nos données personnelles et de notre intimité. Les fabricants réussiront-ils à rectifier le tir avant que tout soit inter-connecté ?

Source : IOActive.com
Image : Flickr / Bonneau Mathias / CC BY-NC-SA 2.0