Dans un post de blog publié le 26 juillet 2018, un chercheur de Cisco Talos explique avoir découvert 20 failles de sécurité au sein de SmartThings Hub, la plateforme dédiée à la maison connectée de Samsung.
“Avec l'IoT, personne n'est à l'abri”, voilà un mantra que les entreprises conceptrices de solutions connectées devraient retenir. Cette fois-ci, c'est la firme coréenne Samsung qui doit retenir cette leçon.
Dans un post de Blog daté du 26 juillet 2018, Claudio Bozzato, chercheur en sécurité chez Cisco Talos, a mis au jour 20 failles trouvées au sein de la plateforme IoT SmartThings. Ce membre de la division cybersécurité de l'équipementier a découvert que l'on pourrait ainsi prendre le contrôle des équipements de la maison connectée.
SmartThings Hub : un centre de contrôle à la merci des hackers
En effet, SmartThings Hub a été conçue par Samsung comme une plateforme de connexion pour différents produits : caméras connectées, serrures intelligentes, lampes et prises connectées ou encore thermostats intelligents. Les failles provenaient du firmware du Hub. Ce contrôleur central permet d'observer et de gérer ces différents objets connectés. Il fonctionne comme une passerelle sur laquelle l'utilisateur se connecte avec son smartphone. Le fameux firmware fonctionne sur une base Linux et gère de nombreux protocoles de communications comme le WiFi, l'Ethernet, le Z-Wave, le Bluetooth ou encore le Zigbee.
Les failles multiples auraient pu entraîner des attaques d'envergure. Le chercheur précise que le déverrouillage des serrures serait alors possible, que les caméras de surveillance pourraient être utilisées à distance, les détecteurs de mouvement désactivés, les prises éteintes et les thermostats pilotés par une personne non autorisée.
Cependant, Claudio Bozzato explique que certaines failles de sécurité sont difficilement exploitables. C'est plutôt leur accumulation et la combinaison de certaines d'entre elles qui auraient pu servir à lancer une attaque importante. Il a détecté au moins trois chaines qui permettaient de compromettre le centre de contrôle sans authentification préalable.
Des failles déjà corrigées par Samsung
Cisco Talos n'a pas seulement prévenu le public de ce problème. Elle a travaillé avec Samsung afin de corriger les bugs du firmware de SmartThings Hub et vérifier qu'ils n'étaient plus exploitables. Heureusement, les techniques de développement des équipes de Samsung ont permis de rapidement résorber les failles de sécurité.
La firme coréenne a commencé à distribuer sa mise à jour pour SmartThings Hub il y a un peu moins d'un mois, dès le 9 juillet 2018. Dans la plupart des cas, le centre de contrôle ne demande pas d'intervention de son utilisateur, à part valider l'exécution de la mise à jour. En effet, le Hub V2 est automatiquement mis à jour. Les utilisateurs doivent cependant vérifier que la version du firmware est bien la suivante : 0.22.13. Pour cela, il suffit de se rentre dans les paramètres de l'application mobile SmartThings Hub ou d'accéder à la console Web.
- Partager l'article :
