Des millions d'appareils "intelligents" vulnérables à une attaque appelée DNS rebinding, Réactions à la publication du 20/06/2018

[Lionel]

Un développeur, Brannon Dorsey, a décidé de se lancer dans le hacking, depuis chez lui, s'amusant à tenter de pirater les appareils présents chez lui. Il a découvert à cette occasion que les appareils (dits) intelligents qu'il avait chez lui étaient vulnérables à divers degrés à une attaque appelée DNS rebinding.
Il a testé avec un succès plus ou moins grand ses attaques sur des appareils Google Home, Chromecast, Sonos, Roku et des thermostats.
A chaque fois, il a pu accéder à plus de données qu'il n'aurait dû normalement le faire ou rendre les appareils inaccessibles.

Tous les détails ne sont pas données mais la communauté de la sécurité informatique s'émeut de plus en plus de l'arrivée massive de ces appareils dans les foyers alors que la sécurité ne semble pas au niveau de ce que l'on pourrait espérer pour des produits dotés de micros, haut-parleurs ou chargés de prendre en charge certains aspects de notre vie quotidienne.

Lien vers le billet original

[zedmel]

c'est peut etre justement voulu.

écouter, ou voir si caméra, épier, pour le marketing, puis , le grand pas espionner par quelqu'un d'autre.

[maclinuxG4]

non c est toujours la même histoire, les couts et rien d'autres

l'attaque des cameras n'as pas eut l'impact

dont worry, cela finira par se retourner contre eux tôt ou tard

c'est malheureusement inévitable

[brenda]

Ça me fait penser à un bouquin de SF écrit dans les années 70 ou début 80 par un auteur français qui raconte l'histoire d'une famille (ou d'une personne seule) qui se fait kidnapper dans sa maison par l'IA chargée de gérer le fonctionnement de la maison.
Déjà que grâce à internet et aux téléphones portables nos vies s'étalent de plus en plus au grand jour, mais si en place les objets présents à la maison nous mouchardent ...

[Fafnir]

Il faut respecter la loi de Murphy.

-----

Est ce que Lionel a repris la présentation de Swift 4.2 qui a une procédure pour éviter le DNS?

Ce message a été modifié par Fafnir - 20 Jun 2018, 07:00.

[otto87]

S’équiper de ce genre de chose (le home pod en fait partie), c'est faire une croix sur sa vie privée que ce soit par la volonté de la NSA (les chinois sont maintenant bien dans la course aussi), le tirage des prix vers le bas, les appétits des gafam en data, les non mise à jour de sécurité, ou la combinaison a divers degrés de tout ça.

Mais ce n'est pas grave, pour du *confort* ridicule qui tend à la transformation de l'humain en larve abasourdie de flux d'informations inutiles et de plus en plus contrôlées (a notre avantages bien sur ), 99% de la population achètera bien sagement les barreaux de sa prison...

Et la france lance en quatimini un programme de vidéo surveillance similaire a celui de la chine...

Ce message a été modifié par otto87 - 20 Jun 2018, 07:05.

[Pat94]

Pour une sécurité maximum sur la vie privée le plus simple, c'est de ne pas avoir d'engin connecté, un interrupteur pour allumer la lumière par exemple c'est peut-être archaïque mais cela ne fonctionne sans micro, bien que ... Enedis le surveille avec son Linky .
Et pour la musique si on ne peut plus lever con c.., pour mettre un disque, ou un CD c'est que l'on devient grabataire.

[olrik]

Et cela a donné un film. Dans la villa : l'épouse reste seule et devient prisonnière de l'informatique. Assez flippant d'autant qu'à la fin l'IA va provoquer une grossesse et faire enfanter la pauvre femme. Je vous conseille de voir ce film de SF très flippant. Le premier qui me donne le titre du film gagne un HomePod connecté à ce cher SIRI version Homme euh Home euh...

[VSD]

Bien d'accord avec otto87 et Pat94
Cela ira bien plus loin encore... Dans quelques années on apprendra que le robot de Madame Machin a tué son mari et l'a ensuite violée !
Voilà la belle Intelligence Artificielle à venir...
On n'a pas assez de "détraqués" faut en rajouter...
Que cela servent aux handicapés (es) soit c'est un plus. et encore, ceux et celles qui pourront l'acheter ! (c'est un budget lourd !)

[WipeOut]

Leurs fameux départements (Google) qui cherchent les failles devraient un peu plus ce concentré sur leurs produits aussi !!!

Ce message a été modifié par WipeOut - 20 Jun 2018, 08:19.

[Carnivoreimac007]

Et cela a donné un film. Dans la villa : l'épouse reste seule et devient prisonnière de l'informatique. Assez flippant d'autant qu'à la fin l'IA va provoquer une grossesse et faire enfanter la pauvre femme. Je vous conseille de voir ce film de SF très flippant. Le premier qui me donne le titre du film gagne un HomePod connecté à ce cher SIRI version Homme euh Home euh...

=Generation PROTEUS

contact moi en MP pour le HomePod

[gregoz]

j'avais prévenu ma voisine à ce sujet qu'elle devait arrêter de se marstur... devant youp... avec sa caméra de surveillance "connectée", car quelqu'un finira par la voir... omg, elle le ferait exprès ???

[yves62]

et quid du homepod ?
faut-il le déconnecter à chaque fois ?

[macdan]

Bien d'accord avec otto87 et Pat94

Bien d'accord aussi !
On va "se bouffer" la vie avec tous ces gadgets inutiles qui, de plus, coûtent excessivement chers !

[raoulito]

On va "se bouffer" la vie avec tous ces gadgets inutiles qui, de plus, coûtent excessivement chers !

pas si simple, le téléphone portable également est un vecteur d'attaque très puissant, on ne le qualifie "d'inutile" que dans les moments ou le cerveau est éteint. De nombreux "gadgets" ne se révéleront pas inutile, ou pas plus qu'un programmateur de machine à laver ou un thermostat électronique.

moi je reproche surtout aux constructeurs de se moquer de la secu informatique en 2018, c'est quand même du moquage de figure

[olrik]

En effet c'est bien ce titre : Génération Proteus. A noter que le film est parfois coupé à la fin pour enlever la scène un peu chaude. C'est selon le bon vouloir des chaînes de TV ou de l'heure de diffusion.

Pour le HomePod je te l'envoie dès réception de 349 € plus frais de port cela va de soi.

Ce message a été modifié par olrik - 20 Jun 2018, 12:08.

[linus]

Dans le dernier Pour la Science il y a un article qui explique qu’il est ectrêmement facile de pièger une IA. Il suffit de changer un pixel bien choisi pour tromper la reconnaissance d’image et on peu modifier de façon invisible à l’oeil N’importe quelle image pour que l’IA l’identifie comme n’importe quoi de pré dé terminé.
Ça laisse de beaux jours aux pirates !

[djdoxy]

et quid du homepod ?
faut-il le déconnecter à chaque fois ?

Du coup quand on a besoin d'allumer la lumiere, on branche l'appareil à qui on demande d'allumer la lumiere pour nous eviter à avoir à brancher la lampe.

Ne serait il pas plus sûr de demander à Alexa d'allumer le Google Home afin de pouvoir lui demander d'allumer le home pod afin qu'on puisse demander à siri d'allumer la lumiere ?

[raoulito]

ha oui? et comment tu allumes Alexa??
pff faut vraiment penser à tout ici

[kenzo05000]

Rm9sbG93ZXJz

[macdan]

On va "se bouffer" la vie avec tous ces gadgets inutiles qui, de plus, coûtent excessivement chers !

pas si simple, le téléphone portable également est un vecteur d'attaque très puissant, on ne le qualifie "d'inutile" que dans les moments ou le cerveau est éteint.

Tsss, tsss, tu parles des "smartphones" là, un téléphone portable basique est bien suffisant pour téléphoner et n'est pas spécialement un vecteur d'attaque ... et, franchement, pour ma part, j'envisage de plus en plus d'y revenir (surtout quand on voit le prix des iPhones), en souhaitant que ces "basiques" perdurent ... quant aux cerveaux éteints, ce sont plutôt ceux qui cèdent à toutes les sirènes des modes technologiques sans en avoir calculé les dangers !

[raoulito]

Tsss, tsss, tu parles des "smartphones" là, un téléphone portable basique est bien suffisant pour téléphoner et n'est pas spécialement un vecteur d'attaque ... et, franchement, pour ma part, j'envisage de plus en plus d'y revenir (surtout quand on voit le prix des iPhones), en souhaitant que ces "basiques" perdurent ... quant aux cerveaux éteints, ce sont plutôt ceux qui cèdent à toutes les sirènes des modes technologiques sans en avoir calculé les dangers !

bah, les voitures c'est très dangereux aussi et de nos jours on peut tout faire par internet, travail, achats et livraisons.. donc les voitures aussi c inutile?

[Lionel]

Tsss, tsss, tu parles des "smartphones" là, un téléphone portable basique est bien suffisant pour téléphoner et n'est pas spécialement un vecteur d'attaque ... et, franchement, pour ma part, j'envisage de plus en plus d'y revenir (surtout quand on voit le prix des iPhones), en souhaitant que ces "basiques" perdurent ... quant aux cerveaux éteints, ce sont plutôt ceux qui cèdent à toutes les sirènes des modes technologiques sans en avoir calculé les dangers !

bah, les voitures c'est très dangereux aussi et de nos jours on peut tout faire par internet, travail, achats et livraisons.. donc les voitures aussi c inutile?

Raisonnement par comparaison totalement biaisé, désolé. La voiture a remplacé le cheval qui a remplacé les jambes.
Les smart Appareils remplacent quoi ? Rien. Ils tentent de créer un besoin artificiel visant à faire consommer de manière plus rapide, plus impulsive.

[raoulito]

tiens? moi j'y vois plutôt une évolution de l'existant. chauffage > thermostat > thermostat connecté.
t-shirt > Damart thermolactyle > tissus aux nanoparticules > ships intégrés...
électricité > compteur électrique > linky
etc...

Ce message a été modifié par raoulito - 20 Jun 2018, 18:18.

[broitman]

Malheureusement, aucune solution

Tout objet numerique "connecte" est totalement vulnerable

La vitesse de la prise de controle depend du temps et des moyens consacres

C'est le basique qui est enseigne en premiere annee de l'ANSSI

les belles promesses n'engagent que ceux qui y croient

[kenzo05000]

tiens? moi j'y vois plutôt une évolution de l'existant. chauffage > thermostat > thermostat connecté.
t-shirt > Damart thermolactyle > tissus aux nanoparticules > ships intégrés...
électricité > compteur électrique > linky
etc...

A l'avantage de qui ?
Par ce que désolé, mais un thermostat connecté en rapport aux peu d'avantages qu'il va donner, c'est un cout plus important a l'achat, une durée de vie surement largement inférieure et un risque de piratage.
Qu'on change un thermostat qui a 50 ans pour plus de finesse de réglage, d'accord, mais le changer pour faire le "kikoulol" sur un smartphone ..... c'est beaucoup plus futile.
C'est juste un moyen de faire changer un appareil qui n'en avait pas vraiment besoin, et au passage, s'imiscer dans la vie des gens, encore un peut plus ......

[Hebus]

Effet generationnel, difficile d’aller contre ce genre d’evolution.

Pensez à la vie de vos parent ou grand parent...

Perso j’evite ce genre de chose... là domotique pour l’instant chez moi c’est un robot aspirateur Neato non connecté
Mais quand ce sera au point nos enfants adultes se jetteront dessus comme on s’est jeté sur la TV ou le telephone y a 50 ans, et la voiture il y a bien plus longtemps et les smartphones il y a peu.

Ce message a été modifié par Hebus - 20 Jun 2018, 20:59.

[Cekter]

Effet generationnel, difficile d’aller contre ce genre d’evolution.

Pas sûr que ça soit aussi évident que pour les "évolutions" précédentes : d'abord parce que les gens sont informés, et plus qu'avant (pas forcément mieux mais c'est un autre débat) et ensuite (et c'est lié) parce qu'il y a de plus en plus d'interrogations et d'enquêtes au moment même de la sortie des bidules (et non plus 20 à 30 ans plus tard comme pour l'amiante ou la cigarette par exemple).

pour Linky cf ici : Enquête Linky

Edit et petit rajout : d'ailleurs on se rend compte que la mode du "tout connecté" commence à faire grincer des dents, y compris et surtout chez les jeunes. Des fois pour des raisons éthiques, des fois pour des raisons plus "spécieuses" comme par exemple le fait de ne pas avoir envie de se faire gauler en train de faire une connerie... A voir donc.

Ce message a été modifié par Cekter - 20 Jun 2018, 21:04.

[SartMatt]

A l'avantage de qui ?
Par ce que désolé, mais un thermostat connecté en rapport aux peu d'avantages qu'il va donner, c'est un cout plus important a l'achat, une durée de vie surement largement inférieure et un risque de piratage.
Qu'on change un thermostat qui a 50 ans pour plus de finesse de réglage, d'accord, mais le changer pour faire le "kikoulol" sur un smartphone ..... c'est beaucoup plus futile.
C'est juste un moyen de faire changer un appareil qui n'en avait pas vraiment besoin, et au passage, s'imiscer dans la vie des gens, encore un peut plus ......

Un thermostat connecté, ça peut permettre de faire des économies importantes sur le chauffage, en l'adaptant beaucoup plus finement que ce que permet un thermostat classique.

Par exemple, quand tu n'as pas des horaires de travail fixe, ça te permet de relancer le chauffage un peu avant de rentrer, et de ne pas chauffer des heures pour rien. Idem quand tu fais tes courses, va au cinéma, etc... Personne ne s'embête à adapter son programmateur de chauffage pour ces situations. Avec un thermostat connecté, ça devient super simple, et ça gère même en partie ça de façon totalement automatique (détection d'absence).

Avec moins de 100€ d'écart entre un thermostat programmable et un thermostat connecté, pour ceux qui sont frileux et/ou n'ont pas une excellente isolation, ça peut s'amortir très vite.

[raoulito]

Avec moins de 100€ d'écart entre un thermostat programmable et un thermostat connecté, pour ceux qui sont frileux et/ou n'ont pas une excellente isolation, ça peut s'amortir très vite.

Sartmatt réfléchit avec son esprit, malheureusement ici il est seul...

Pour en revenir au connecté ou pas, BIEN EVIDEMMENT que dans 20ans on nous regardera avec effrois lorsqu'on racontera ce monde ou les smartwatch commençaient à peine et étaient grosses et où on avait peur de son compteur connecté. Bien que je l'ai parfaitement connu comme pas mal de monde ici, je ne regrette absolument pas la période sans téléphone mobile, et non plus celle sans smartphone.
MON temps me vaut cher, plus cher que toutes ces choses connectée qui m'en font gagner. (mais là encore, je vais me faire rentrer dedans par les vieillard installés sur le banc du village corse qui regardent passer les trains...)