IoT : comment j’ai piraté ma maison

L’histoire d’un chercheur qui souhaitait évaluer sa vulnérabilité.

Introduction

Très souvent, les nouveaux termes font l’objet d’une couverture démesurée dans le secteur de la sécurité informatique. Actuellement, nous sommes submergés par des articles sur les pirates et les chercheurs qui trouvent des vulnérabilités dans des voitures, des frigos, des hôtels ou des systèmes d’alarme de maison. Ces éléments appartiennent à ce qu’on appelle l’Internet des objets, un des concepts qui fait le plus parler de lui dans le secteur. Le problème de ce genre de recherche est que nous ne pouvons pas vraiment la mettre en rapport avec notre réalité : ces recherches sont détaillées et intéressantes, mais si le lecteur ne voit pas le rapport avec sa réalité, les résultats ne sont pas compris comme il se doit.

Souvent, nous essayons de prévoir l’avenir à l’aide de recherches proactives, et je pense qu’il est important d’appliquer une démarche identique dans le domaine de la sécurité. Mais je pense qu’il est encore plus important de parler de choses pertinentes et de menaces par rapport auxquelles le public peut s’identifier. J’ai commencé à réfléchir à la question et je me suis dit que si nous n’arrivions pas à nous protéger contre les menaces actuelles, quel était l’intérêt d’identifier les menaces potentielles de demain ?

Alors que vous êtes occupé à lire ce document, des menaces nous assaillent. En tant qu’utilisateurs qui évoluent dans un environnement numérique connecté, nous devons nous poser la question suivante : "Quel est le niveau de menace actuel ? Quel est mon niveau de vulnérabilité ?" Ceci est encore plus important lorsque nous commençons à mettre en place des petits réseaux à domicile. De nos jours, un foyer peut compter environ cinq dispositifs, hors ordinateur, tablette ou téléphone portable, qui sont connectés au réseau local. Je veux parler ici de télévisions intelligentes, d’imprimantes, de consoles de jeu, de périphériques de stockage de réseau et de certains types de lecteur de média/de récepteur satellite.

J’ai décidé de lancer un projet de recherche et de travailler dans un domaine que je trouvais pertinent en essayant de voir à quel point il serait facile de pirater ma propre maison. Les appareils connectés à mon réseau sont-ils vulnérables ? Quelle pourrait être l’impact d’une attaque si ces appareils étaient compromis ? Ma maison peut-elle être piratée ? Avant d’entamer ce projet, j’étais convaincu que ma maison était en sécurité ; cela fait plus de 15 ans que je travaille dans le secteur de la sécurité et je suis assez pointilleux sur l’application des correctifs de sécurité, etc. J’ai donc pensé qu’il devait exister des maisons bien plus exposées au piratage que la mienne car je ne possède pas beaucoup de matériel "hi-tech".

Dans le cadre de ce projet, je ne me suis pas concentré sur les ordinateurs, les tablettes ou les téléphones portables, mais bien sur tous les autres appareils connectés à mon réseau à domicile. Quelle ne fut pas ma surprise de voir que j’avais en fait pas mal d’appareils différents connectés à mon réseau. La majorité d’entre eux sont des appareils de divertissement : TV intelligente, récepteur satellite, lecteur DVD/Blu-ray, périphériques de stockage réseau et consoles de jeu. Je suis également en plein déménagement et j’ai contacté une société de sécurité locale. Ils m’ont conseillé de choisir le système d’alarme le plus récent qui se connecte au réseau et qui peut être commandé via mon périphérique mobile… Après cette recherche, je ne suis pas sûr que cela soit une bonne idée.

Voici quelques-uns des appareils connectés à mon réseau :

  • Périphérique de stockage en réseau (NAS) d’un célèbre fabricant #1
  • Périphérique de stockage en réseau (NAS) d’un célèbre fabricant #2
  • Télévision intelligente
  • Récepteur satellite
  • Routeur de mon F.A.I.
  • Imprimante

Avant d’entamer la recherche, j’ai appliqué le micrologiciel le plus récent à tous les appareils. Au cours de ce processus, j’ai pu remarquer que certains des appareils ne disposaient pas d’une recherche automatique des mises à jour, ce qui a rendu l’opération assez ardue. En tant que consommateur, j’ai dû télécharger et installer manuellement les nouveaux micrologiciels sur certains appareils. Cette opération n’est pas toujours été aisée car les nouvelles versions des micrologiciels n’étaient pas facilement accessibles et l’ensemble du processus de mise à jour n’était pas vraiment conçu pour un utilisateur lambda. Une autre observation importante est le fait que la majorité des produits avait cessé d’être commercialisée il y a plus d’un an ou ne disposait tout simplement pas de mises à jour. Ceci m’a amené à me demander si ces produits de divertissements et de bureautique n’avait qu’un an de vie avant d’être retiré du marché ?

L’objectif

Qu’est-ce que j’essaie de démontrer à l’aide de cette recherche ? J’aimerais bien vous expliquer pourquoi je pense qu’il s’agit d’une recherche importante. Quand je me suis lancé dans ce projet, j’ai vite remarqué que je pouvais l’aborder sous plusieurs angles, mais en ce qui me concerne, l’objectif principal était de voir à quel point nos foyers étaient vraiment vulnérables et d’identifier les vecteurs réels, pratiques et pertinents pour prouver mon hypothèse.

En général, nous faisons un bon boulot en matière de protection des terminaux et nous utilisons des logiciels de sécurité pour nous aider dans cette tâche. Les journaux et les blogs nous sensibilisent également au besoin d’améliorer nos niveaux de sécurité. De nos jours, la majorité des utilisateurs sait ce qu’est un virus informatique, comprend la nécessité d’avoir des mots de passe robustes et est consciente de l’importance d’installer les correctifs de sécurité les plus récents. Mais pensons-nous vraiment à l’ensemble de ces aspects ? On entend souvent les chercheurs en sécurité parler d’une porte verrouillée sur une maison en verre et j’ai souhaité adopter un point de vue similaire dans le cadre de ces recherches. Je voulais démontrer que même dans l’optique de la sécurité informatique, nous avions tendance à nous concentrer sur les terminaux et à oublier que d’autres appareils sont connectés à nos réseaux. Nous cherchons à empêcher le piratage et l’infection des nos ordinateurs carš nous ne voulons pas que nos données soient volées, mais nous réalisons une sauvegarde complète de ces données sur un périphérique qui est encore plus vulnérable que notre ordinateur.

Cette recherche est destinée non seulement aux consommateurs, mais également aux entreprises. Nous devons comprendre que TOUT APPAREIL connecté au réseau peut servir de point d’appui à un attaquant, voire devenir sa "base" invisible à partir de laquelle il aura accès au réseau une fois que l’appareil aura été compromis. Imaginez que vous remarquez que vous avez été victime d’une attaque. Vous suivez la procédure à la lettre pour ramener la situation à la normale, vous sauvegardez vos données, réinstallez vos appareils et garantissez que la nouvelle installation est protégée contre les codes malveillants et que toutes les mises à jour ont été installées ; mais voilà que six mois plus tard, vous êtes victime d’une nouvelle attaque et toutes vos nouvelles données sont à nouveau volées… Comment cela est-il possible ?

Il se peut que l’attaquant ait compromis votre périphérique de stockage réseau et qu’il l’a transformé en porte dérobée. Le programme malveillant n’est pas détecté car ce périphérique n’exécute aucun code capable de détecter la présence d’un tel programme. Vous ne pouvez pas non plus supprimer le programme malveillant car vous ne possédez pas les autorisations requises pour accéder au système de fichiers du périphérique. Même une réinitialisation totale ne résoudrait pas le problème. Ou l’attaquant a en fait utilisé votre télévision intelligente compromise pour pouvoir à nouveau accéder à votre réseau d’entreprise vu qu’elle est connectée au même réseau que vos employés et qu’elle n’est soumise à aucune restriction de réseau.

Dans le cadre de mes recherches, j’ai voulu jouer le rôle du méchant, utiliser les appareils de mon système de divertissement à des fins malveillantes, de les compromettre et de les utiliser comme camp de base pour lancer d’autres attaques ou en tant que porte dérobée dans mon propre réseau.

Mon objectif n’a jamais été de critiquer les fabricants. Les appareils testés dans ce projet m’appartiennent et c’est la raison pour laquelle je les ai choisis pour ce projet. Toutes les vulnérabilités ont été signalées aux différents fabricants et ces derniers planchent sur des solutions. Je n’ai pas l’intention de dévoiler ici les vulnérabilités identifiées, ni aucun détail technique qui pourrait être exploité par les véritables méchants. Si vous souhaitez obtenir des informations supplémentaires sur ce projet, n’hésitez pas à nous contacter.

L’impact

J’avais donc tous ces appareils connectés à mon réseau mais je ne savais pas par où commencer. J’ai donc décidé d’abord de définir les différents scénarios d’attaque que j’allais inclure dans ma recherche au lieu de simplement attaquer ces appareils sans aucun critère. Pour que les résultats du test soient positifs, un ou l’ensemble des critères suivants devaient être remplis :

  • Obtenir un accès à l’appareil ; par exemple, pouvoir accéder aux fichiers sur les périphériques de stockage réseau ;
  • Obtenir l’accès d’administrateur à l’appareil, non seulement dans l’interface d’administration, mais également au niveau du système d’exploitation ;
  • Pouvoir modifier/transformer l’appareil en fonction de mon intérêt personnel (porte dérobée, point d’appui, etc.).

Il existe probablement des centaines d’autres scénarios qui seraient utiles à traiter, mais je disposais d’un temps limité et je souhaitais simplement démontrer un point. J’ai commencé par jouer avec les interfaces Web de différents appareils et quelle ne fut pas ma surprise de découvrir assez rapidement des vulnérabilités d’exécution de commande à distance avec autorisations d’administration complètes au niveau du système d’exploitation sur mes deux périphériques de stockage réseau.

Je me suis alors demandé si cela pouvait vraiment être aussi simple que cela. J’ai alors repensé aux deux nouvelles vulnérabilités découvertes et je me suis rendu compte qu’elles se trouvaient toutes deux dans l’interface d’administration après authentification en tant qu’administrateur. Je devais me mettre dans les mêmes conditions préalables qu’un attaquant. J’ai donc essayé de trouver des vulnérabilités sans utiliser mes informations d’identification d’accès. Les choses se sont légèrement compliquées mais après avoir fouillé pendant quelques temps, j’ai trouvé le fichier de configuration principal : il était accessible à distance à n’importe quel utilisateur du réseau. Le fichier de configuration contenait tous les hachages de mot de passe, ce qui simplifiait à nouveau l’accès à l’interface d’administration et qui permettait d’utiliser les vulnérabilités que j’avais découverte afin d’exécuter des commandes système sur l’appareil.

Hacked_home_1

Après avoir continué à chercher, j’ai trouvé d’autres vulnérabilités qui pouvaient également être exploitées sans authentification afin d’exécuter des commandes systèmes en tant que root (autorisations les plus élevées) sur l’appareil. A ce stade des recherches, les deux périphériques de stockage réseau étaient plus ou moins grillés. Non seulement j’avais accès à l’ensemble du système de fichiers des périphériques, mais je pouvais également infecter sans aucun problème ces appareils à l’aide d’un cheval de Troie ou d’une porte dérobée qui en aurait fait des zombies dans un réseau ou qui aurait permis à un attaquant de mettre en place une porte dérobée via laquelle il aurait pu lancer d’autres attaques au départ de l’appareil.

Hacked_home_2

Hacked_home_3

Les deux appareils compromis possédaient un noyau Linux 2.6.x et beaucoup d’interprètes tels que perl ou python. L’un d’entre eux possédait également un compilateur GNU, ce qui aurait vraiment simplifier la vie d’un attaquant. Vu qu’un de mes scénarios d’attaque consistait à transformer l’appareil compromis en porte dérobée, je me suis contenté d’utiliser un des bots IRC publics en guise de test. Après quelques secondes seulement, j’avais transformé mon périphérique de stockage réseau en membre d’un réseau de zombies.

Ce fut d’une simplicité époustouflante parce que le périphérique de stockage réseau sert à stocker des fichiers, ce qui m’a permis de simplement charger mon fichier malveillant et de le placer en dehors des dossiers partagés dans un autre endroit du système de fichiers. Ainsi, le propriétaire de l’appareil n’était pas en mesure de supprimer le fichier sans utiliser les mêmes vulnérabilités que celles qui avaient été utilisées pour charger et exécuter notre cheval de Troie IRC.

Hacked_home_4

Après avoir réalisé une recherche sur les périphériques de stockage réseau, j’ai trouvé plus de 14 vulnérabilités qui auraient permis à un attaquant d’exécuter à distanceš des commandes système avec les autorisations d’administration les plus élevées. Les deux périphériques ne possédaient pas seulement une interface Web vulnérable, ils étaient également dotés d’une sécurité locale médiocre. Les mots de passe de ces périphériques étaient très faciles à deviner, les permissions définies sur de nombreux fichiers de configuration étaient incorrectes et ils contenaient également des mots de passe en clair.

Pour vous aider à comprendre à quel point la sécurité locale était mauvaise, je peux vous dire que le mot de passe d’accès root d’un des deux périphériques de stockage était "1". Je veux bien admettre que ces périphériques ne sont pas construits pour Fort Knox, mais l’utilisation d’un mot de passe d’un seul caractère défie vraiment la raison.

En raison de cette sécurité médiocre et de l’accès au système de fichiers, j’ai pu identifier très facilement plusieurs scripts qui activaient des fonctionnalités qui n’étaient documentées nulle part. Ces fonctions permettaient notamment à un utilisateur externe d’activer des services et d’autres éléments intéressants sur les périphériques comme des interfaces d’administration à distance (telnet, sshd). Il se peut que je consacre un autre billet à ces fonctionnalités "cachées" car ces fichiers méritent des recherches plus poussées.

Lors de de projet, j’ai rencontré d’autres appareils qui étaient dotés de fonctionnalités "cachées" ; l’un d’entre eux était mon routeur DSL fourni par mon F.A.I. Après avoir ouvert une session à l’aide des informations d’autorisation d’administrateur fournies par mon F.A.I, je pouvais naviguer dans l’interface Web. L’interface était facile à utiliser et j’ai vite remarqué que l’URL changeait au fur et à mesure de mon exploration du menu. Un chiffre avait été affecté à chaque fonction du menu ; la première fonction du menu portait le numéro 0 et cette numérotation se suivait pour chacune des autres fonctions. L’élément intéressant était que parfois, une fonction portait un numéro inattendu et certains chiffres étaient ignorés. Toutefois, en saisissant les chiffres ignorés dans l’URL, une option de menu qui ne figurait pas dans la liste de menus apparaissait, bien que le nom de cette fonction "cachée" figurait dans l’interface Web.

J’ai commencé à appliquer la technique de la force brute avec ces numéros et j’ai découvert des centaines de fonctions auxquelles je n’avais pas accès. Je suppose donc simplement que mon F.A.I. ou le fabricant du routeur dispose d’un CONTROLE TOTAL du périphérique et peut en faire ce qu’il en veut via toutes ces fonctions auxquelles il a accès et que je ne suis pas autorisé à utiliser. Rien qu’un regardant le nom de ces fonctions "cachées", il semblerait que le F.A.I. puisse par exemple créer des tunnels afin de se connecter à n’importe quel périphérique sur le réseau. Imaginez un instant si ces fonctions tombaient entre de mauvaises mains ? Je comprends que ces fonctions servent plus que probablement à aider le F.A.I dans ses interventions d’assistance, mais il y a de quoi s’effrayer si vous n’avez pas le contrôle total de ce que vous considérez comme votre propre appareil alors que vous êtes connecté en tant qu’administrateur. Surtout lorsque certaines de ces fonctions portent des noms aussi inquiétants que "Webcams", "Configuration expert de téléphonie", "Contrôle des accès", "Détection WAN" ou "Mise à jour".

Voici des captures d’écran de quelques-unes de ces fonctionnalités cachées.

Hacked_home_5

Hacked_home_6

Hacked_home_7

Je poursuis actuellement mes recherches sur ces éléments afin de voir exactement les tâches que ces fonctions peuvent réaliser. Si je trouve des informations intéressantes, il ne fait aucun doute que j’en parlerai dans un autre billet.

En attendant, j’ai commencé à examiner d’autres périphériques connectés à mon réseau domestique, comme ma Dreambox. Elle était toujours configurée avec le nom d’utilisateur et le mot de passe par défaut qui donnaient l’accès d’administration root au périphérique. Ce périphérique tourne sous Linux, une cible facile pour un attaquant. La sécurité de la majorité des autres appareils était satisfaisante, mais il serait difficile de réaliser un audit de ceux-ci car il faut trouver des méthodes alternatives pour définir si une attaque a réussi ou non vu le manque d’accès total à la plupart de ces appareils.

Après plusieurs jours d’exploration, je n’avais toujours rien trouvé qui était couvert par mes trois scénarios. Du moins, rien qui vaille la peine d’être mentionné. Le projet était également difficile à exécuter car je travaillais sur mes propres appareils et je ne souhaitais rien casser. Après tout, je les avais payés de ma propre poche.

Je devais trouve une méthode différente et c’est là que j’ai laissé libre cours à ma créativité. Je devais me mettre à la place d’un attaquant : j’avais déjà compromis deux périphériques de stockage réseau. Que pouvais-je faire ensuite ? J’ai d’abord regardé du côté des lecteurs de média (télévision intelligente et lecteur DVD) car ces appareils ont le plus de chance de lire les informations qui se trouvent sur les périphériques de stockage (que j’avais déjà compromis). A ce stade, j’étais à la recherche de vulnérabilités potentielles d’exécution de code dans la télévision intelligente et le lecteur DVD. Toutefois, vu le prix élevé que j’avais payé pour ces appareils, je n’ai pas pu pousser mes recherches plus loin. Ce qui m’inquiétait, ce n’était pas seulement le gaspillage d’argent si je venais à casser ma toute nouvelle télévision intelligente DEL. Ce qui me préoccupait le plus, c’était comment expliquer aux enfants pourquoi papa avait cassé la télévision. Comment auraient-ils pu regarder Scooby Doo ?

J’ai donc décidé de suspendre mes recherches dans ce sens et j’ai consacré mon temps à contacter plusieurs fabricants afin de voir si ces vulnérabilités pouvaient vraiment être exploitées et j’ai coopéré avec ces mêmes fabricants pour vérifier ces problèmes de sécurité potentiels. Ce travail est bien plus simple pour eux car ils ont accès au code sourceš et ils peuvent confirmer beaucoup plus rapidement si cette vulnérabilité est valide ou non (et je suppose également que pour eux, casser un appareil ne constitue pas vraiment un problème).

Cette prise de contact ne fut pas aisée car les sites Web des fabricants offrent très peu d’informations utiles en matière de coordonnées des ingénieurs ou des directeurs qui auraient pu me mettre en contact avec les personnes adéquates. Après avoir cherché pendant quelques temps et activé mon réseau professionnel, j’ai pu entrer en contact avec les personnes qui pouvaient m’aider et elles ont été très reconnaissantes des informations fournies sur les vulnérabilités et les démarches de recherche.

Actuellement, nous essayons de voir s’il serait possible de transformer une télévision intelligente et un lecteur DVD/Blu-Ray en point d’accès ou en porte dérobée, comme les périphériques de stockage compromis. Je communiquerai des informations complémentaires ultérieurement car le projet est toujours en cours.

Il y a toutefois un problème de sécurité curieux au niveau de la télévision intelligente que je souhaite évoquer. Quand l’utilisateur accède au menu de configuration principale de la télévision, toutes les miniatures et les widgets sont téléchargés depuis les serveurs de l’éditeur, si l’appareil est connecté à Internet. Pour télécharger ce contenu, la télévision ne fait intervenir aucun processus d’authentification ou de chiffrement. En d’autres termes, un attaquant pourrait organiser une attaque de type homme au milieu contre la télévision et modifier les images dans l’interface d’administration ; l’attaquant pourrait également utiliser la télévision pour charger n’importe quel fichier JavaScript, ce qui n’est pas vraiment une bonne chose. Un vecteur d’attaque potentiel serait l’utilisation de JavaScript pour lire les fichiers locaux sur l’appareil et utiliser le contenu de ces fichiers afin de trouver encore plus de vulnérabilités. Je travaille actuellement sur ce point avec le fabricant afin de voir si cela est possible ou non. En guise de preuve de concept pour mon attaque, j’ai remplacé la miniature d’un widget par la photo d’une vedette du grand public : Borat. Yakshemash!

Hacked_home_8

Résumé

Tout au long de ma vie, j’ai toujours été accro à la sécurité. J’ai travaillé comme testeur d’intrusion, conférencier et même comme consultant pour les autorités policières et judiciaires. La sécurité informatique est une de mes grandes passions, mais depuis quelques années je me lasse de lire les mêmes bulletins sur la sécurité année après année. Il est temps d’agir contre les problèmes. Nous pourrions commencer par évoquer les menaces pour la sécurité pertinentes et dans un langage accessible à tout le monde. En tant que spécialiste de la sécurité, notre devoir est d’évoquer les menaces qui sont pertinentes aujourd’hui. Les menaces qui nous touchent, vous et moi. Nous devons également proposer des suggestions, des conclusions et des solutions simples et intelligentes sur la manière d’atténuer ces menaces à l’aide des logiciels et des technologies dont nous disposons déjà.

J’ai toujours été fasciné par les nouvelles vulnérabilités et les techniques d’exploitation, mais pour être franc, quel est l’intérêt de se contenter de publier des informations relatives aux vulnérabilités sans faire comprendre l’enjeu au public ? Nous pensons que la sécurité informatique se limite aux vulnérabilités dans les logiciels. La moitié de ce billet est consacrée à des vulnérabilités, mais l’objectif de ce projet n’est pas de me vanter du nombre de nouvelles vulnérabilités que j’ai découvertes ou de déclarer que certains produits de divertissement présentent de gros problèmes en matière de sécurité. Il y a aura toujours des vulnérabilités. C’est un point que nous devons comprendre. Mais comprendre ne signifie pas accepter. Ce que je veux dire par là, c’est qu’il faut agir vis-à-vis de ces vulnérabilités. Nous devons connaître leur impact et partir de l’hypothèse que nos appareils peuvent être compromis ou qu’ils le sont déjà. Il faut partir du principe que les produits sont vulnérables et que les attaquants vont obtenir l’accès à ceux-ci.

Pour conclure ce travail de recherche, j’aimerais dire que les individus et les sociétés doivent comprendre les risques associés aux périphériques réseau. Nous devons également comprendre que nos informations ne sont pas en sécurité simplement parce que nous utilisons un mot de passe robuste ou que nous disposons d’une solution de protection contre le code malveillant. Nous devons également comprendre qu’il existe de nombreux éléments sur lesquels nous n’avons aucun contrôle et que nous devons nous en remettre aux éditeurs de logiciels et aux fabricants de matériel. Il m’a fallu moins de 20 minutes pour trouver et confirmer des vulnérabilités très dangereuses sur un appareil considéré comme sûr, un périphérique en lequel nous avons confiance et auquel nous confions toutes les informations que nous ne voulons par perdre à cause d’un vol.

Quand j’ai proposé ce projet à mon chef, je me rappelle qu’il m’a demandé quel serait le résultat d’après moi. Je ne développais pas de nouvelles solutions de sécurité pour les appareils de divertissement domestiques.š Je voulais simplement identifier les problèmes de sécurité. Je lui ai donc répondu que l’objectif de cette recherche était de sensibiliser le public au problème. Je lui ai dit également qu’en tant qu’individus, nous devions essayer d’améliorer notre sécurité à l’aide de méthodes différentes ; il faut changer d’optique et de stratégie.

Je souhaitais également envoyer un retour d’informations aux différents fabricants : il faut améliorer les méthodes de prise en charge et de sécurisation des produits. On ne peut pas vraiment accepter qu’un produit soit considéré comme retiré du marché après seulement 12 mois ; ce n’est pas acceptable d’avoir des mots de passe comptant un seul caractères et on ne peut pas se contenter de considérer ces appareils comme des appareils de divertissements. Il est inacceptable d’avoir un fichier de configuration lisible contenant toutes les informations d’identification, surtout quand ce fichier se trouve sur un périphérique de stockage réseau.

Il faut trouver des alternatives pour aider les particuliers et les entreprises à améliorer leur sécurité. Ce problème ne se résout pas simplement en installant un correctif logiciel ou de sécurité. Je voudrais donc profiter de cette conclusion en signalant que s’il est vrai que le secteur des divertissements à domicile ne se concentre pas vraiment sur la sécurité, ce n’est pas le cas de Kaspersky Lab. Je pense que quelques conseils simples permettront d’élever le niveau de sécurité. J’espère que certains éditeurs vont lire cet article et améliorer la sécurité de leur logiciel. En attendant, je me permettrai de fournir quelques conseils simples :

  • Veillez à ce que l’ensemble de vos appareils et périphériques possèdent les mises à jour de sécurité et du micrologiciel les plus récentes. Ceci est un problème pour de nombreux appareils utilisés dans les bureaux à domicile ou dans les systèmes de divertissement, mais c’est la meilleure solution pour se mettre à l’abri des vulnérabilités connues. Cela permet de voir s’il existe toujours des mises à jour à installer pour l’appareil ou si celui-ci est considéré comme un produit "mort".
  • Veillez à changer le nom d’utilisateur et le mot de passe par défaut ; l’attaquant qui cherche à compromettre un appareil commence toujours par là. N’oubliez pas que même s’il s’agit d’un produit "stupide" comme un récepteur satellite ou un disque réseau, les interfaces d’administration sont souvent exposées à de graves vulnérabilités.
  • Utilisez le chiffrement, même pour les fichiers que vous placez sur votre périphérique de stockage réseau. Si vous n’avez pas d’outils de chiffrement, placez ces fichiers dans une archive zip protégée par un mot de passe. Cela est mieux que rien.
  • La majorité des routeurs et des commutateurs pour particuliers permettent de créer différentes zones démilitarisées/VLAN. Cela signifie que vous pouvez mettre en place votre propre réseau "privé" pour vos périphériques réseau, ce qui limitera l’accès réseau pour ces périphériques.
  • Faites preuve de bon sens et sachez que tout peut être piraté, même vos périphériques matériel.
  • Si vous êtes vraiment parano, vous pouvez surveiller le trafic réseau sortant en provenance de ces périphériques afin de déceler toute activité étranger. Ce point requiert toutefois des connaissances techniques. Un autre conseil qui vaut la peine d’être suivi consiste à empêcher les périphériques réseau d’accéder à des sites auxquels ils ne sont pas censé accéder et à leur permettre uniquement de récupérer les mises à jour et rien d’autre.

Posts similaires

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *