TECHNIQUE  
New Security Magazine 146 – avril 2018

Votre système de sécurité est-il bien protégé ?

Les systèmes de sécurité traditionnels se doivent de répondre à des exigences strictes afin de garantir une fiabilité irréprochable. Mais les temps changent. De nos jours, les clients privilégient la modernité des gadgets plutôt que leur sécurité. Une situation qui crée clairement de nouveaux risques. Alors, que faire?

Les particuliers, principalement, courent le risque de voir leur système de sécurité se retourner contre eux. Ils achètent des caméras pour surveiller leur maison, et voient leur vie privée s’afficher sur le site russe insecam.org, qui diffuse des images de caméras mal sécurisées, généralement des caméras et des enregistreurs dont le mot de passe d’usine n’a pas été modifié. N’importe quel hacker possède une liste de mots de passe d’usine des fabricants connus, et Internet regorge d’informations expliquant comment accéder à des caméras connectées. Après quoi, il est tout aussi facile d’intercepter les images que d’éteindre le système à distance ou de manipuler les images, pour un cambrioleur qui veut opérer sans être filmé.

Pas seulement les particuliers

Ce qui est vrai pour les systèmes de vidéosurveillance l’est également pour la détection d’intrusion et le contrôle d’accès. Dans les résidences de luxe, il est commode d’avoir une application qui peut être utilisée pour commander à distance non seulement les dispositifs de sécurité, mais aussi l’éclairage, les tonnelles et autres installations. Les particuliers ne sont pas les seuls à devoir s’inquiéter de la cybercriminalité visant les systèmes de sécurité et dans les entreprises, les proportions sont différentes. Là aussi, il est de plus en plus important d’intégrer toute la technologie dans un système unique pouvant être géré à distance. On crée ainsi des réseaux qui intègrent des appareils dont, a priori, on ne soupçonnerait guère qu’ils puissent être victimes de hackers, comme les réfrigérateurs intelligents et les chaudières. Or, si les pirates n’ont que peu d’intérêt à éteindre un réfrigérateur, l’appareil peut cela dit leur fournir un bon point d’entrée pour accéder au réseau... Après quoi éteindre l’alarme à distance et ouvrir la porte d’entrée sécurisée électroniquement n’est plus qu’un jeu d’enfant.

Vulnérables

Les systèmes de sécurité attirent irrésistiblement les pirates informatiques – et pas toujours pour des motifs criminels, soit dit en passant, puisque certains considèrent le fait de s’introduire dans des systèmes réputés très difficiles à « cracker » comme un véritable défi. Quand ils y parviennent, la plupart des hackers ont tendance à rendre leur exploit public, afin – disent-ils – de mettre les utilisateurs de la technologie en garde contre sa vulnérabilité. Parfois, ils essaient d’abord de convaincre le fabricant d’améliorer sa sécurité et de veiller à ce que cette amélioration soit également mise en œuvre pour les utilisateurs existants. Mais si le fabricant ne répond pas, ou pas à temps, l’information est mise en ligne et les pirates peuvent alors s’en donner à cœur joie. Ceux qui pensent que seuls les systèmes IP sont vulnérables s’exposent à de grandes et embarrassantes déconvenues qui surviendront tôt ou tard. Il existe même un groupe de pirates qui s’attaquent aux serrures mécaniques (toool.org). Il y a quelques années de cela, certains sont parvenus à compromettre la sécurité d’un protocole d’alarme pour risques élevés.

Pas besoin d’un camp retranché

Il est vrai qu’un hacker réellement déterminé arrivera presque toujours à ses fins. Cependant, même s’il n’est pas nécessaire de transformer un magasin en camp retranché pour se protéger contre la criminalité, même 25 pare-feu activés en permanence ne permettront pas d’empêcher une personne non autorisée de désactiver le système d’alarme ou de capter les images des caméras de sécurité.

Une protection efficace commence par le choix d’un bon mot de passe. De nombreux particuliers, mais aussi des entreprises, se satisfont d’un système de caméras fonctionnel, même s’ils négligent le fait de changer les réglages d’usine. On a trop facilement tendance à oublier qu’il faut en moyenne moins d’une minute pour que des bots rôdant sur Internet repèrent le système et que des hackers en prennent le contrôle, surtout si l’effraction passe inaperçue. Nous ne nommerons personne, mais jusqu’il y a peu, les quatre plus grandes marques de caméras utilisaient comme noms d’utilisateur et mots de passe les codes « secrets » suivants : service/service, admin/admin, admin/12345 et Root/Pass. Certaines marques obligent maintenant leurs clients à changer de mot de passe lors de l’installation, mais de nombreuses caméras plus anciennes restent vulnérables.

Sabotage

Le mot de passe ne doit pas non plus être trop facile à deviner. En général, il ne faut le saisir qu’une seule fois, et choisir un mot de passe fort ne demande donc pas d’effort excessif. De même, un bon mot de passe pour le routeur et le réseau est requis. Par ailleurs, il est nettement préférable de sécuriser l’accès contre les attaques dites de « force brute », où un ordinateur teste rapidement des millions de mots de passe possibles. En l’occurrence, on prévoira de bloquer complètement l’accès pendant cinq minutes après (par exemple) trois tentatives. Pour les réseaux sans fil, il faut s’assurer que la communication soit cryptée et le protocole WPA2 est suffisant pour couvrir la plupart des risques. Cependant, il est relativement facile de saboter les systèmes sans fil. Les dispositifs de brouillage adéquats sont en vente libre sur le marché. Les meilleurs systèmes de sécurité sans fil sont conçus pour résister à un tel sabotage, mais mieux vaut être prudent.

Restrictions de bon sens

Bien qu’il puisse être très utile de connecter tous les types d’appareils sur le même réseau que les dispositifs de sécurité, certaines restrictions de bon sens s’imposent. On trouve sur le marché de plus en plus de systèmes d’alarme qui peuvent également commander l’éclairage et le chauffage. Ce n’est pas nécessairement dangereux, mais cela rend le système d’alarme plus vulnérable si l’équipement connecté n’est pas assez protégé. Il est donc impensable de raccorder une chaudière au réseau sans modifier son mot de passe d’usine. La chaîne de magasins de détail américaine Target a ainsi été piratée via sa climatisation en 2014, entraînant la perte des données des cartes de crédit de 40 millions de clients. Le smartphone ou la tablette qui contrôle le système de sécurité à distance peut également être un maillon faible s’il n’est pas équipé d’un contrôle d’accès adéquat et d’un logiciel antivirus capable de détecter les activités suspectes. Il est également préférable de ne jamais connecter ces appareils à un réseau Wi-Fi public, car cela permet aux pirates de dérober les données de connexion des systèmes de sécurité. Contrôler à distance des systèmes de sécurité sur un réseau Wi-Fi public équivaut à peu près à distribuer des copies des clés de sa maison avec une étiquette mentionnant l’adresse.

Fausses économies

Les caméras dont les images peuvent être visualisées sur une application et qui transmettent les alarmes avec images en mode push font de grands progrès. La tentation est grande de commander un tel système en Chine pour quelques dizaines d’euros… Mais gare aux fausses économies, car il s’avère bien souvent que la protection n’est pas paramétrable séparément et que les signaux sont transmis en clair, ce qui n’est pas une bonne chose lorsque des images sensibles sont enregistrées. Mieux vaut donc tout simplement investir dans un bon NVR, dont l’historique IP (entre autres) peut être consulté pour détecter les éventuelles tentatives de connexion non autorisées. Changez le mot de passe régulièrement. Si les pirates ont réussi à le trouver, ils n’en profiteront pas longtemps. Il est également préférable d’investir dans le câblage des composants, car les systèmes sans fil sont trop faciles à manipuler. S’il n’est vraiment pas possible de câbler, utilisez un système intégrant une application qui vous avertira automatiquement en cas de perturbation du signal sans fil.

Enfin, comme pour les ordinateurs, assurez-vous toujours que le logiciel et le micrologiciel sont mis à jour automatiquement. Tôt ou tard, les pirates finissent toujours par découvrir une faille dans un système. Les meilleurs fabricants prennent alors immédiatement des contre-mesures, mais elles ne sont d’aucune utilité pour l’utilisateur s’il ne met pas régulièrement à jour son firmware. En cas de cambriolage réussi, le fabricant du système de sécurité n’est pas à blâmer.