Ampoules connectées : des vulnérabilités permettent de voler des informations

Ces vulnérabilités permettent aux attaquants de voler le mot de passe Wifi de leurs victimes. TP-Link Tapo L530E est une ampoule intelligente fonctionnant avec l'application de gestion TP-link Tapo, téléchargée et installée plus de dix millions de fois par les utilisateurs sur le Google Play.

La première vulnérabilité permet à un attaquant d'usurper l'identité de la machine de l'utilisateur durant l'échange de clés de sessions, afin de récupérer les mots de passe de la victime et de manipuler ses appareils connectés. La seconde est exploitable lors de la somme de contrôle des mots de passe, que les attaquants peuvent récupérer par force brute ou en décompilant l'application Tapo. La troisième faille de gravité moyenne concerne une génération de caractères aléatoires insuffisante lors du chiffrement symétrique, permettant de deviner le schéma cryptographique. La dernière faille provient de l'absence de vérification du rafraîchissement des messages reçus qui deviennent lisibles par les attaquants, dû au maintien des clés de sessions valides pendant 24 heures. Suite à leurs découvertes, les chercheurs ont averti le fournisseur, qui a indiqué que les correctifs seront bientôt déployés pour l'application et le micrologiciel de l'ampoule. Cependant, l'entreprise n'a pas précisé si ces correctifs ont déjà été mis à disposition ni quelles versions restent vulnérables aux attaques.

Ces découvertes sont préoccupantes à plusieurs égards. Tout d'abord, le fait que l’application soit téléchargée et installée plus de dix millions de fois sur le Google Play Store montre à quel point elle est répandue. Cela signifie que de nombreux foyers sont potentiellement concernés par ces vulnérabilités, ce qui en fait une question de sécurité majeure.

De plus, les utilisateurs de produits connectés sont souvent des technophiles qui possèdent d'autres objets connectés tels que des caméras de sécurité et des babyphones. Ces appareils sont souvent très intrusifs dans la vie privée, ce qui rend les vulnérabilités encore plus préoccupantes. Une attaque réussie pourrait potentiellement permettre une intrusion dans les maisons des utilisateurs, avec la possibilité d'écouter et de manipuler les appareils connectés, ainsi que de voler des informations sensibles ou même de déployer un rançongiciel.

Mais, il est important de noter que ces vulnérabilités sont limitées à la portée du WiFi, ce qui signifie qu'une présence physique est nécessaire pour les exploiter. Bien que cela réduise le risque d'attaques, cela reste une menace potentielle à prendre au sérieux. Il est également rassurant de savoir que les chercheurs ont informé le fournisseur de ces vulnérabilités dans un processus de “partage responsable”.

Notons que les correctifs ne sont utiles que s’ils sont appliqués, ce qui nous rappelle que les mises à jour automatiques sont recommandées pour nos objets connectés grand public.