Maisons intelligentes : des environnements fiables et sécurisés ?
Les maisons intelligentes sont de plus en plus interconnectées et intègrent toute une gamme d’objets connectés, des smartphones et téléviseurs intelligents aux assistants virtuels et caméras de vidéosurveillance. Ces appareils sont équipés de capteurs (caméras, microphones, etc.) permettant de détecter et de surveiller ce qui se passe dans notre espace le plus privé : notre domicile. Mais la question est : pouvons-nous faire confiance à ces appareils pour gérer et protéger en toute sécurité les données sensibles auxquelles ils accèdent ?
« Lorsque nous pensons à ce qui se passe chez nous, nous l’imaginons comme un espace privé et de confiance. En réalité, nous constatons que les objets connectés percent ce voile de confiance et de confidentialité, permettant à presque n’importe quelle entreprise de savoir quels appareils se trouvent chez vous, quand vous y êtes et où ils se trouvent. Généralement, ces informations ne sont pas communiquées aux consommateurs, et il est nécessaire d’améliorer la sécurité des domiciles », explique David Choffnes, professeur associé d’informatique et directeur exécutif de l’Institut de cybersécurité et de protection de la vie privée de l’Université Northeastern.
L'étude approfondie menée par l'équipe de recherche, intitulée « Dans la pièce où tout se passe : caractérisation des communications locales et des menaces dans les maisons intelligentes », a été présentée cette semaine à la conférence ACM sur la mesure d'Internet (ACM IMC'23) à Montréal, au Canada. Cet article explore, pour la première fois, les subtilités des interactions au sein du réseau local entre 93 objets connectés et applications mobiles, révélant un nombre important de menaces à la sécurité et à la confidentialité jusqu'alors inconnues, avec des conséquences concrètes.
Si la plupart des utilisateurs considèrent généralement les réseaux locaux comme un environnement fiable et sécurisé, les conclusions de l'étude mettent en lumière de nouvelles menaces liées à la divulgation involontaire de données sensibles par les objets connectés au sein des réseaux locaux, en raison d'une utilisation inappropriée de protocoles standards tels que UPnP ou mDNS. Ces données comprennent les noms uniques des appareils, les UUID et même les données de géolocalisation du domicile, qui peuvent être exploitées à l'insu de l'utilisateur par le secteur du marketing et des données numériques parallèles.
Selon Vijay Prakash, doctorant à NYU Tandon et co-auteur de l'article, « L'analyse des données collectées par l'outil IoTInspector a révélé que des objets connectés exposent involontairement au moins une information personnelle identifiable, comme une adresse MAC, un UUID ou un nom d'appareil unique, dans des milliers de maisons connectées. Si tout identifiant et toute métadonnée permettent d'identifier une maison, leur combinaison la rend unique et facilement identifiable à l'échelle mondiale. À titre de comparaison, un internaute profilé par la technique d'empreinte numérique la plus simple est aussi unique qu'une personne sur 1 500. Une maison connectée profilée à partir de seulement trois données d'objets connectés est aussi unique qu'une maison sur 1,12 million. »
Ces protocoles de réseau local peuvent servir de canaux auxiliaires pour accéder à des données censées être protégées par diverses autorisations Android, comme la géolocalisation du domicile. « Un canal auxiliaire est une méthode relativement furtive permettant d'accéder indirectement à des données sensibles. Par exemple, les développeurs d'applications Android sont censés demander l'autorisation du système pour obtenir le consentement de l'utilisateur afin d'accéder à des données telles que la géolocalisation. Or, nous avons démontré que certains logiciels espions et certaines sociétés de publicité exploitent les protocoles réseau locaux pour accéder discrètement à ces informations sensibles, à l'insu de l'utilisateur. Il leur suffit d'interroger poliment d'autres objets connectés déployés sur le réseau local via des protocoles réseau standard tels que UPnP »,explique Narseo Vallina-Rodríguez, professeur associé à IMDEA Networks et cofondateur d'AppCensus.
« Notre étude démontre que les protocoles réseau locaux utilisés par les objets connectés ne sont pas suffisamment protégés et exposent des informations sensibles concernant nos foyers et notre utilisation de ces appareils. Ces informations sont collectées de manière opaque et facilitent la création de profils de nos habitudes et de notre statut socio-économique», ajoute Juan Tapiador, professeur à l'UC3M. Implications plus larges :
L'impact de cette recherche dépasse largement le cadre universitaire. Ces conclusions soulignent l'urgence pour les fabricants, les développeurs de logiciels, les opérateurs de plateformes IoT et mobiles, ainsi que les autorités de réglementation, de prendre des mesures pour renforcer la protection de la vie privée et la sécurité des objets connectés et des maisons intelligentes. L'équipe de recherche a communiqué ces problèmes de manière responsable aux fournisseurs d'objets connectés vulnérables et à l'équipe de sécurité Android de Google, ce qui a déjà permis d'améliorer la sécurité de certains de ces produits.
