Le génie technologique de votre smartphone vous simplifie la vie et vous rassure contre les cas de piraterie informatique ? Détrompez-vous. Cet appareil envoie certes des e-mails, passe commande sur des sites marchands en ligne, géolocalise ou contrôle le verrouillage centralisé de la voiture. Mais il peut aussi se retourner contre son propriétaire.
Don Bailey et Mathew Solnick, deux hackers américains, ont démontré lors de la dernière conférence Black Hat de Las Vegas, la réunion mondiale de pirates informatiques, comment ils sont parvenus en deux heures seulement à voler une voiture à distance en hackant le réseau téléphonique mobile. Si la menace est théorique, la technique le permet. Le procédé s'appelle "War texting", en référence au "War driving", une autre méthode de piratage qui consistait à conduire une voiture en ville à la recherche de données sur les réseaux sans fil.
Techniquement, le procédé est complexe. Pour Don Bailey et Mathew Solnick, la première étape consiste à identifier quels sont les véhicules qui utilisent ces applications mobiles permettant de verrouiller et déverrouiller son véhicule grâce à son téléphone portable. Plusieurs véhicules produits par General Motors, Mercedes et BMW sont équipés de cette technologie, par exemple. Comment ça marche ? Par le réseau sans fil, le téléphone portable se connecte au serveur implanté dans la voiture. Le téléphone transmet une clé numérique sécurisée au module GSM de la voiture pour s'authentifier. La mission des chercheurs consiste à déceler le moyen d'entrer en communication avec le véhicule par le réseau mobile.
Les deux consultants en sécurité de la société américaine iSEC Partners sont parvenus à contourner cette difficulté. Grâce à l'ingénierie inversée, l'étude d'un objet technologique pour en déterminer le fonctionnement interne, ils ont simplement intercepté les messages – soit un SMS ou des données envoyées par GPRS – qui transitent entre le circuit GSM de la voiture et le réseau mobile, soit entre l'ordinateur de bord et le réseau. Ils ont ensuite réécrit ces données depuis un ordinateur portable. Et pris le contrôle du véhicule pour le déverrouiller, puis le démarrer. Les pirates professionnels n'ont pas dévoilé tous les détails de la technique et le nom des produits piratés, pour que les éditeurs de logiciels puissent corriger le tir à temps.
La technique du "War texting" est efficace sur une gamme variée de périphériques équipés du système de gestion à distance SCADA, de carte SIM et de GPS comme les appareils photo numériques, les distributeurs automatiques de billets ou les feux de signalisation routière. C'est un système peu coûteux et simple pour se connecter. Leur démonstration lors de la Black Hat de Las Vegas est un exemple de plus qui illustre la vulnérabilité des appareils munis de cartes SIM et dépendant du réseau sans fil pour fonctionner. Surtout, la facilité avec laquelle il est possible de les contrôler à distance grâce à la technologie de traçabilité pour nuire à leur propriétaire.
Don Bailey : "Les téléphones portables fonctionnent comme des agences de renseignements pour citoyens. Nous pouvons savoir où vous êtes, qui vous êtes, à qui vous parlez et vos vulnérabilités." En 2010, Don Bailey avait déjà démontré l'efficacité du "War texting" pour écouter les conversations ou attaquer d'autres téléphones en les inondant de SMS. Et faire ainsi grimper la facture téléphonique. Facile, d'autant plus que les outils à disposition des pirates pour infiltrer les téléphones portables ne manquent pas.
Dans le cadre de la Black Hat de Las Vegas, une entreprise israélienne a présenté l'application gratuite Anti qu'elle a développée pour Android. Elle permet de scanner les ordinateurs au sein d'un même réseau afin de trouver d'éventuelles failles pouvant être exploitées par des hackers malintentionnés. Anti offre une interface extrêmement simple, en cliquant sur des icônes (scanner, connecter, espionner ou attaquer). Anti n'est donc ni plus ni moins qu'un outil de hacking simple d'utilisation et adapté au grand public. Et pour des pirates mal intentionnés. Pas de quoi rassurer les utilisateurs de smartphones.
No comments:
Post a Comment