Des dizaines de millions d’appareils IdO peuvent avoir été piratés et intégrés de force dans l’armée de botnets zombies responsable de la récente interruption de service de Twitter et d’autres sites Internet populaires.
Mais devant ce chiffre impressionnant de millions d’appareils zombies, la plupart des gens n’ont qu’une question en tête :
Un de mes appareils #IdO a-t-il été #piraté et emporté du côté obscur de l’Internet ?
Et leur deuxième question en qualité de non-geek ne voulant pas se frotter de trop près au fonctionnement interne et aux flux de trafic de leur réseau privé (ou professionnel) est non moins essentielle :
En tant que non-geek, puis-je vérifier si aucun de mes appareils #IdO n’a été #piraté ?
Tous les appareils IdO ne sont pas de conception identique ni dotés par leurs fabricants des mêmes vulnérabilités susceptibles d’être piratées. Certains sont bien plus insécurisés que d’autres. Mal vous en a pris de posséder ces produits – car il suffit au botnet Mirai de quelques minutes de connexion en ligne pour les pirater. La bonne nouvelle étant que, si vous ne possédez pas ces produits spécifiques, il est en revanche moins probable que vous deveniez le combattant involontaire d’une armée de zombies.
Le chemin vers la rédemption IdO commence par cinq opérations faciles à réaliser
Elles vous permettront de savoir si vous vous situez du bon ou du mauvais côté de l’affaire.
- Identifiez vos appareils : la première opération consiste à inventorier l’ensemble de vos appareils IdO en consignant le type de produit et le fabricant dans une liste. Le catalogue d’appareils IdO s’élargissant plus rapidement que certains botnets, cette tâche peut s’avérer ardue. Les appareils IdO s’étendent aux appareils photo numériques, aux routeurs, aux enregistreurs vidéo et bien plus.
- Débarrassez-vous de la marque blanche (si vous le pouvez) : plusieurs fabricants pointés par les attaques récentes commercialisent leur marchandise en priorité sous marque blanche, celle-ci étant ensuite intégrée à d’autres appareils ou offres groupées d’équipement installées par un revendeur tiers. Tenter de les identifier est bien plus compliqué que de résoudre l’affaire des dangereux airbags Takata équipant certaines voitures de marque japonaise. En première place du classement parmi les suspects, on retrouve des cartes électroniques provenant du fabricant chinois XiongMai Technologies et utilisées dans des enregistreurs DVR et des caméras IP. Au vu du rappel de produit qu’il vient de lancer, agrémenté d’un message contrit pour le marché ouvert et d’une déclaration plus belliqueuse doublée de menaces de poursuites judiciaires pour les autres, il apparaît que cette entreprise a du pain sur la planche en matière de problèmes de sécurité à régler.
- Consultez la liste cible : le journaliste expert en sécurité Brian Krebs ainsi que d’autres chercheurs ont dressé une liste des appareils IdO croisés avec les mots de passe par défaut ayant intégré le code du botnet Miria. Cette liste de 68 noms d’utilisateur et de mots de passe n’est qu’un début. Ils soulignent à cette occasion que ces mots de passe sont génériques et pourraient aussi être utilisés sur l’ensemble des gammes de produits fabriquées par un fabricant. Si votre appareil figure sur cette liste, faites bien attention.
- Préparez-vous à vous débarrasser de vos appareils : certains appareils IdO sont insécurisés par nature, quelle que soit la configuration opérée par l’administrateur réseau. Par exemple, les appareils XiongMai fabriqués avant mai 2015 ont été produits avec le mot de passe xc3511 codé en dur. Mince alors ! Attendez-vous à voir gonfler cette liste d’appareils non sécurisés par essence.
- Personnalisez la configuration usine : ce n’est pas parce que vos appareils n’apparaissent pas sur la liste cible que vous pouvez dormir sur vos deux oreilles. Avez-vous pensé à modifier les paramètres de mot de passe de la configuration usine ? N’attendez plus pour le faire.
Évidemment, il existe des pistes plus techniques permettant de vérifier si des appareils ont été tentés par le diable. Mais pourquoi prendre cette direction ? L’Internet des Objets a pour vocation de simplifier la vie de tout un chacun à travers ces appareils connectés, et pas seulement celle des pros de l’informatique. En parallèle, en assurer la sécurité devrait également être à la portée du consommateur lambda.
