Internet des objets, le cauchemar commence, Réactions à la publication du 31/03/2017

[Lionel]

Nous vous avons souvent relaté les risques de sécurité liés à l'internet des objets et nous en avons déjà subi plus ou moins directement les conséquences quand des caméras IP ont été utilisées par des pirates pour créer un réseau de BotNets qui avaient ralenti pendant un moment nombre de services sur la toile.
Cela n'était que le début et voici un problème qui devrait servir de leçons à tous les fabricants d'appareils électroménagers connectés.
HackaDay rapporte (merci Vincent) qu'une faille de sécurité a été découverte dans un... lave-vaisselle Miele qui tourne sous Linux et supporte un serveur web permettant selon la notice:
Gestion plus pratique à distance grâce à l'application Miele mobile WifiConnect : indicateur de statut de cycle, départ, paramètres, info détergents, alerte de fin de programme.


Hélas, il y a sur cet appareil une faille de sécurité qui permet à distance d'en prendre le contrôle total en tant qu'administrateur. Ensuite, une fois son contrôle pris, il est aisé de le transformer en machine destinée perpétrer à des attaques (depuis votre IP) ou encore de tenter de nouvelles intrusions sur votre réseau, en local.

Le pire est ailleurs. Miele n'a a ce jour pas les moyens matériels de pousser automatiquement des mises à jour vers tous ces produits vendus. Ils resteront donc longtemps vulnérables à moins d'avoir un super Firewall (on peut rêver) ou... de les déconnecter.

Songez-y. A chaque fois que vous aller connecter à votre réseau un nouvel appareil, quel qu'il soit, vous allez ajouter des portes d'entrée et des failles qui seront potentiellement (et hélas presque assurément) exploitées par des pirates dans leur intérêt qui n'a aucune chance de concorder avec le votre.

Lien vers le billet original

[boussiko]

À chacun de faire des choix!
Pour ma part, en dehors d'une Freebox et d'un iPhone, je n'achèterais jamais aucuns objets connectés.

[raoulito]

À chacun de faire des choix!
Pour ma part, en dehors d'une Freebox et d'un iPhone, je n'achèterais jamais aucuns objets connectés.

si c'était si simple..
tu, oui, mais tes enfants, et la génération suivante? c'est pas comme si on allait ici stopper une vraie vague de fond (en fait si, c'est un rêve fréquent sur ce forum)

en fait une seule solution, faire de la prévention auprès des constructeurs... les consommateurs ne pourrons pas faire grand chose...

[iAPX]

Je pleurerais de rire si ce n'annonçait pas un futur si sombre!

[FolasEnShort]

Je pleurerais de rire si ce n'annonçait pas un futur si sombre!

Fait divers:
Un lave vaisselle Miele piraté noie ses propriétaires après une attaque physique d'une agressivité monstrueuse. D'après Miele (Et Stephen King), le logiciel pilotant le lave vaisselle incriminé sera bridé* dès 2018. En attendant, sanglez fermement votre appareil et débranchez-le la nuit.

*Comprendre: Exorcisé.

Ce message a été modifié par FolasEnShort - 30 Mar 2017, 23:32.

[raoulito]

Je pleurerais de rire si ce n'annonçait pas un futur si sombre!

Fait divers:
Un lave vaisselle Miele piraté noie ses propriétaires après une attaque physique d'une agressivité monstrueuse. D'après Miele (Et Stephen King), le logiciel pilotant le lave vaisselle incriminé sera bridé* dès 2018. En attendant, sanglez fermement votre appareil et débranchez-le la nuit.

*Comprendre: Exorcisé.

voila ce que c'est que de construire une usine sur un ancien cimetière indien...

[Fafnir]

C'est une évolution inéluctable dans la complexification (ou même zombification) de la société. Par exemple ici je viens de recevoir une menace nouvelle de la bureaucratie pour faire une déclaration que mes biens immobiliers ne sont pas vide d'occupant sous peine d'avoir à payer 1% de leur valeur estimée.

[iAPX]

C'est une évolution inéluctable dans la complexification (ou même zombification) de la société. Par exemple ici je viens de recevoir une menace nouvelle de la bureaucratie pour faire une déclaration que mes biens immobiliers ne sont pas vide d'occupant sous peine d'avoir à payer 1% de leur valeur estimée.

Tu vas mettre un Lave-vaisselle Miele et le déclarer comme occupant?

[FolasEnShort]

Le gras, c'est mal.
Le sucre, c'est mal.
Le chocolat, c'est de la drogue, donc c'est mal.

Qu'à cela ne tienne, Lestlé vient d'inventer le fondant au chocolat sans chocolat, sans gras et sans sucre. En prime, sans gluten!

Elle est pas belle la vie?

(Hors sujet? Tssss....)

[Ze Clubbeur]

Le pire est ailleurs. Miele n'a a ce jour pas les moyens matériels de pousser automatiquement des mises à jour vers tous ces produits vendus. Ils resteront donc longtemps vulnérables à moins d'avoir un super Firewall (on peut rêver) ou... de les déconnecter.

C'est ubuesque ! (pas d'autre mot).

On peut en prendre le contrôle en tant qu'admin à distance, mais on ne peut pas pousser de correctif... Heu, sans vouloir trop être méprisant, ils ont embauché quoi comme développeurs chez Miele ? Non parce que bon, quand on conçoit un objet destiné à être relié à internet, surtout si il tourne avec un OS qui doit être régulièrement mis à jours, faut quand même pas être très futé pour ne pas prévoir un système de mises à jours... Et même si on ne veut pas faire un sytème de "push", on peut prévoir une tâche planifiée (crontab, ça sert à ça...) qui peut régulièrement aller interroger les serveurs distants pour savoir si il y a une MAJ et le cas échéant, télécharger ce qu'il faut. On est d'accord que c'est nettement moins sécurisé qu'un push, mais quitte à faire du boulot crade, autant faire "le crade" comme il faut...

Autre chose encore, et qui n'est pas moins grave, c'est qu'à partir du moment où le pirate à un accès complet au système, rien ne l'empêche de créer des nuisances : Pompe qui s'arrête de pomper (ou pompe en permanence), indicateurs de produits désactivés ou décalibrés, température de l'eau augmentée... Et là, la fiction de "FolasEnShort" devient réalité...

M'est d'avis que Miele pourrait faire un rappel produit (pour mise à jours) ou envoyer des technicien pour mettre à jour le système chez le client (et dans les points de vente). Ces modèles sont quand même onéreux et je doute qu'il s'en vende par millions chaque jours. Car, la recommandation du constructeur : "Aux acheteurs de ce modèle... Suite à la découverte d'un problème logiciel, nous vous prions de bien vouloir déconnecter votre lave-vaisselle connecté, sous risque d'endommager ce dernier." risque de passer difficilement auprès des consommateurs qui auront payé au prix fort un objet qui leur aurait coûté 2 fois moins cher sans connexion internet...

[FolasEnShort]

Regardez en boucle la scène du film Brazil... Sam se réveille dans son bel appartement automatisé, où il tente de prendre son petit déjeuner avant d'aller au boulot.
On y vient.
Que dis-je?
On n'y vient pas, on y est.

Ps, illustration: Quand je lis sur ce forum, des trucs du style "pour déverrouiller certains téléphones, il faut les prendre à la main quand il sont posés sur la table parce que le lecteur d'empreinte est au dos de ceux-ci, c'est une contrainte et gnagnagna" oui, je peux me dire effaré, qu'on y est en plein!

Ce message a été modifié par FolasEnShort - 31 Mar 2017, 00:15.

[brenda]

Quand je vois la galère pour mettre à jours ses contacts (cf le forum et mes déboires), pour gérer des podcast sur un iphone (4 fois que je supprime un podcast, 4 fois qu'au redémarrage suivant l'appli Podcast essaie de télécharger l'ensemble des fichiers disponibles depuis 2015). et je ne parle même pas de l'application Musiques qui reste bloquée si elle ne trouve pas de réseau ..
et tout ça sur un iphone, qui est, par fonction obligé d'être connecté, je n'imagine même pas acheter, et surtout brancher un appareil électro ménager au réseau.

Je ne me souviens pas de l'auteur (peut être Pierre Bordage), mais il existe un livre de SF avec l'histoire d'une femme coincée dans sa maison par l'ordinateur chargé de gérer la maison.
Et dans la BD Carmen Mc Callum, il y a une méchante IA, qui au départ était une IA de maison, mais cette IA est devenue une super méchante, cherchant à lancer une guerre entre humains et objets connectés.

Franchement, j'ai du mal à comprendre l'intéret d'un lave vaisselle connecté. Quand il manque de sel il envoie un mail ? un twit ? afin de prévenir ? tout ça parce que la loupiotte rouge du tableau de bord consomme trop d'électricité ?

[marcmame]

Prenez ma femme par exemple. Elle est hyper connectée et pleine de failles.
Ben pourtant je la garde quand même. Allez comprendre.

[__otto__]

Regardez en boucle la scène du film Brazil... Sam se réveille dans son bel appartement automatisé, où il tente de prendre son petit déjeuner avant d'aller au boulot.
On y vient.
Que dis-je?
On n'y vient pas, on y est.

Ps, illustration: Quand je lis sur ce forum, des trucs du style "pour déverrouiller certains téléphones, il faut les prendre à la main quand il sont posés sur la table parce que le lecteur d'empreinte est au dos de ceux-ci, c'est une contrainte et gnagnagna" oui, je peux me dire effaré, qu'on y est en plein!

Je ne peux faire que du + 1 000 000.
Mélanges de "84", du "meilleurs des mondes" et "d'un bonheur insoutenable" pour les références littéraires.... l'union des pires....

[milipili]

Ca a deja commence depuis un moment:
http://www.pcmag.com/article2/0,2817,2422755,00.asp

[nEb]

Une solution pourrait être de limiter la connectivité de ces produits au seul réseau local, il "suffirait" que les routeurs (essentiellement les box des FAI pour le coup) : une option affichant la liste des périphériques réseaux (ils le font déjà) et permettant de limiter la connectivité d'un appareil (en utilisant un vlan avec des réglages mettant en "erreur" la connectivité internet)...

[Microger]

Ps, illustration: Quand je lis sur ce forum, des trucs du style "pour déverrouiller certains téléphones, il faut les prendre à la main quand il sont posés sur la table parce que le lecteur d'empreinte est au dos de ceux-ci, c'est une contrainte et gnagnagna" oui, je peux me dire effaré, qu'on y est en plein!

Quel est le rapport avec le sujet de cette new ?

[cyril2660]

Si le serveur web est sur la machine (on parle d'ailleurs de wifi connect), il faut être dans le LAN pour en prendre le contrôle, non ?

Techniquement l'article parle d'attaque en directory traversal (donc via ../ sous unix), je vois mal comment cela peut être possible via le WAN sans forward de port sur la box/routeur (ce qui est déjà du chinois pour 99% des utilisateurs).

Mais suis curieux d'en savoir plus si un expert passe dans la salle.

[CastorJR]

Les constructeurs qui commercialisent des appareils connectés, dont les failles ne peuvent pas être corrigés devraient être condamnés pour ces pratiques.

[castor74]

Je ne vais plus regarder mon lave-vaisselle de la même façon, du coup... Blague à part, avec l'avènement de la domotique, si on ne peut même plus faire confiance à un volet roulant, ça va être gai...

[Cekter]

Mais quel est l’intérêt d'un lave-vaisselle connecté ? Ou du lave-linge, ou du four, ou du frigo ? De plus je ne saurais trop vous conseiller de vous méfier de la rencontre entre les désirs imaginaires des industriels pour relancer leurs marchés et la réalité des consommateurs. Regardez le magnifique flop des télés "3D" et autres merdes du même tonneau. Les industriels se frottaient les mains, le public s'en est foutu.

J'espère que pour les objets connectés ça prendra le même chemin (surtout ce genre d'objets).

[almux]

Mais qu'est-ce que cette maladie du "connecter"?!?
Aller connecter une "machine à laver"... Mais, c'est n'importe quoi! On aurait même plus le temps de prendre son petit doigt pour presser sur un petit bouton (ou une surface tactile - puisqu'il n'y a plus que ça)?
Misère! Il va falloir, bientôt, que tout le monde touche des allocations pour infirmes!

@Cekter
Désolé: J'ai réagi au quart de tour, sans voir que tu avais déjà répondu dans le même sens

Ce message a été modifié par almux - 31 Mar 2017, 07:24.

[Hebus]

Prenez ma femme par exemple. Elle est hyper connectée et pleine de failles.
Ben pourtant je la garde quand même. Allez comprendre.

Le cœur a ses raisons....



Niveau objet connecté, y en a un pour lequel cela est une véritable avancée, c'est l'imprimante, avant d'avoir ce modèle connecté, le nombre de fois où auparavant c'était alerte rouge car un des gamins ou leur mère ne réussissaient pas à imprimer alors que j'étais au taff.

Alors entre la fonction wifi, AirPrint et l'écran tactile pour la configurer directement c'est que du bonheur.

Et comme dit plus haut, mon imprimante est dans un réseau local avec une adresse non routable donc, serveur web ou pas ??? Ils connectent leur machine en direct sur le net ?

[shawnscott]

À chacun de faire des choix!
Pour ma part, en dehors d'une Freebox et d'un iPhone, je n'achèterais jamais aucuns objets connectés.

si c'était si simple..
tu, oui, mais tes enfants, et la génération suivante? c'est pas comme si on allait ici stopper une vraie vague de fond (en fait si, c'est un rêve fréquent sur ce forum)
en fait une seule solution, faire de la prévention auprès des constructeurs... les consommateurs ne pourrons pas faire grand chose...

Tout pousse les fabricants à se tourner vers les objets connectés en effet. Maigre consolation, les pouvoirs publics sont conscients des risques. De là à ce qu'ils mettent en place des parades efficaces, je m'interroge.

[tenets]

Le pire est ailleurs. Miele n'a a ce jour pas les moyens matériels de pousser automatiquement des mises à jour vers tous ces produits vendus. Ils resteront donc longtemps vulnérables à moins d'avoir un super Firewall (on peut rêver) ou... de les déconnecter.

C'est ubuesque ! (pas d'autre mot).

M'est d'avis que Miele pourrait faire un rappel produit (pour mise à jours) ou envoyer des technicien pour mettre à jour le système chez le client (et dans les points de vente). Ces modèles sont quand même onéreux et je doute qu'il s'en vende par millions chaque jours. Car, la recommandation du constructeur : "Aux acheteurs de ce modèle... Suite à la découverte d'un problème logiciel, nous vous prions de bien vouloir déconnecter votre lave-vaisselle connecté, sous risque d'endommager ce dernier." risque de passer difficilement auprès des consommateurs qui auront payé au prix fort un objet qui leur aurait coûté 2 fois moins cher sans connexion internet...

Excellente remarque, il faut essayer, surtout aux USA, (en plus ma femme n'est pas satisfaite de son dernier Miele qui lave moins bien que l'ancien ! où va-t-on ?)

Par ailleurs : (questions d'un inexpérimenté - faute d'avoir trouvé le bon livre sur les réseaux) :
- chaque appareil connecté a une adresse Mac, n'y -a-t-il pas un moyen de limiter l'accès à une adresse (mot de passe, indication de l'adresse qui serait en mémoire dans le téléphone comme un N° d'appel, ...),
- quid d'un VPN ?

Il y a maintenant des portiers vidéo permettant d'ouvrir la porte à distance. Pratique pour une effraction sans traces.

[malhomme]

À chacun de faire des choix!
Pour ma part, en dehors d'une Freebox et d'un iPhone, je n'achèterais jamais aucuns objets connectés.

A condition de le savoir. On se rappelle d'une histoire récente de fer à repasser qui contenaient des puces WIFI pour scanner le réseau local. L'acheteur/utilisateur ne le sachant bien sûr pas.

[BigManu]

Prenez ma femme par exemple. Elle est hyper connectée et pleine de failles.
Ben pourtant je la garde quand même. Allez comprendre.

Au lieu de perdre du temps sur le forum, tu ferais bien de t'activer afin de rapidement combler toutes ses failles par les méthodes adaptées.

[Mac Moins]

Il y a maintenant des portiers vidéo permettant d'ouvrir la porte à distance. Pratique pour une effraction sans traces.

Un oeil, une main, pas de mémoire locale.

Mélanges de "84", du "meilleurs des mondes" et "d'un bonheur insoutenable" pour les références littéraires.... l'union des pires....

Le Successeur de pierre, Jean-Michel Truong, ISBN 978-2-07-044520-2

Franchement, j'ai du mal à comprendre l'intéret d'un lave vaisselle connecté.

Il implémente une cellule du Successeur. Nous payons pour mettre en place un réseau dont la finalité n'est pas nous.

Et comme dit plus haut, mon imprimante est dans un réseau local avec une adresse non routable donc, serveur web ou pas ??? Ils connectent leur machine en direct sur le net ?

# domicile, lavevaisselle, eaucourante, courantelec, thermo, electrovanne, capteursactionneurs, alarmes, droitsutilisateur, nonaffichageadmin, connection.

Maigre consolation, les pouvoirs publics sont conscients des risques. De là à ce qu'ils mettent en place des parades efficaces, je m'interroge.

Conscients, parades ? Le temps d'un cycle de production-obsolescence-normalisation, la connectivité des appareils va devenir obligatoire et disparaitra des fiches techniques utilisateur.

avec l'avènement de la domotique, si on ne peut même plus faire confiance à un volet roulant, ça va être gai...

Si il est dans le sous-réseau de l'Affûteur Automatique Qui Entretient Vos Outils Sans Vous En Préoccuper, et qu'il a téléchargé guillotine.app, fais ga

f

[amike]

Déjà le premier problème avant même que la machine à laver soit connectée, est l'habitude facile et négligente des informaticiens d'installer une pile complète de logiciels ! Je suis sûr qu'ils ont dû aussi laisser un RT java... Puisque la mémoire n'est pas chère, chargeons là !
Il y a plus de 10ans, je lisais déjà des articles qui s'étonnaient de la paresse des concepteurs d'une imprimante qui n'avaient pas cherché à optimiser la charge logiciel.

L'auteur était Moore, l'auteur de Forth, qui pensent que la surcharge logiciel dépasse d'au moins 100 fois le besoin nécessaire pour gérer le matériel !

[Kahouane]

lave-vaisselle Miele (...) permettant selon la notice:
Gestion plus pratique à distance grâce à l'application Miele mobile WifiConnect : indicateur de statut de cycle, départ, paramètres, info détergents, alerte de fin de programme.

Enfin !
Il était temps qu'on y arrive ! J'ai vraiment hâte d'avoir accès à toutes ces infos sur mon téléphone à tout moment !
Les loupiottes en façade indiquant le manque de liquide de rinçage ou le gros bouton start (manuel ! rendez-vous compte ??? en 2017 !!!) ne sont décidément pas pratiques du tout. Comment je fais moi si j'ai une envie subite de mettre en route le lave vaisselle à 10h du mat' quand je suis en pause café au boulot ?