Alors qu’elles sont censées nous protéger, les caméras de surveillance sur IP ont en fait un très faible niveau de sécurité informatique et peuvent facilement être hackées.
C’est un peu l’histoire de l’arroseur arrosé. Très à la mode dans nos sociétés hypersécuritaires, les caméras de surveillance sur IP sont censées nous apporter un meilleur niveau de protection des biens et des personnes. Or, en vérité, un grand nombre de ces caméras sont des passoires informatiques. Résultat : des cybercriminels peuvent, sans grande difficulté, y accéder, visionner les flux vidéos, espionner des réseaux locaux, voire les transformer en botnet. C’est un comble.
En effet, deux chercheurs en sécurité de la société Qualys – Sergey Shekyan et Artem Haruthunya – se sont récemment penchés sur le problème. Ils ont présenté leurs conclusions lors de la conférence Hack in the Box, qui s’est déroulée à Amsterdam les 10 et 11 avril derniers. Grâce à Shodan, un service qui référence tout un tas d’appareils connectés sur internet, ils ont identifié plus de 100 000 caméras dans le monde. En dépit d’un grand nombre de modèles et de marques différentes, la plupart d’entre elles s’appuient sur des bases matérielles et logicielles similaires, et de surcroît faiblement sécurisées.
Un toolkit pour hacker les caméras
agrandir la photo
Ainsi, environ 20 % des caméras identifiées sont totalement ouvertes, et accessibles sans mot de passe par l’identifiant « admin ». Et dans 99 % des cas, le système d’exploitation des caméras identifiées (firmware) est suffisamment vulnérable pour court-circuiter la procédure d’authentification, grâce à une faille critique découverte en mars 2013. Une fois pénétré dans le Saint des Saints, presque tout est possible. A titre d’exemple, les chercheurs ont fait une démonstration avec des caméras de la marque Foscam, qui est particulièrement présente dans le marché des caméras de surveillance low-cost. Les chercheurs ont développé un toolkit qui permet de créer une porte dérobée et de modifier le firmware pour y insérer, par exemple, un service proxy.
Ce n’est pas la première fois que les caméras IP sont pointées du doigt. En janvier dernier, les webcams de la marque TrendNet ont été épinglées, car elles sont très facilement accessibles. Des hackers avaient même créé une carte Google mondiale des webcams ouvertes à tous, histoire d’attirer l’attention sur cette faille de sécurité béante. Le problème, c’est que ces appareils sont rarement mis à jour par leurs propriétaires. Donc même quand une faille est découverte et documentée, les vulnérabilités subsistent longtemps...
Lire aussi :
Sources :
La faille critique de mars 2013
La présentation de Sergey Shekyan et Artem Haruthunya
Le service Shodan, également appelé le « Google des hackers »
La présentation de Sergey Shekyan et Artem Haruthunya
Le service Shodan, également appelé le « Google des hackers »
