{"id":763,"date":"2016-06-28T17:17:34","date_gmt":"2016-06-28T15:17:34","guid":{"rendered":"http:\/\/site.ldh-france.org\/nice\/?p=763"},"modified":"2016-06-28T17:17:34","modified_gmt":"2016-06-28T15:17:34","slug":"aimez-objets-connectes-essayez-serrures","status":"publish","type":"post","link":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/","title":{"rendered":"vous aimez les objets connect\u00e9s ? essayez donc les serrures …"},"content":{"rendered":"

 <\/p>\n

Le site web \u00ab\u00a0L’informaticien\u00a0\u00bb\u00a0\u00a0[ ICI ]<\/a>\u00a0\u00a0\u00a0 a test\u00e9 pour vous une serrure connect\u00e9e.\u00a0 Les serrures connect\u00e9es, qui s\u2019ouvrent avec un smartphone, une t\u00e9l\u00e9commande ou m\u00eame un signal audio, devraient \u00eatre ultra-s\u00e9curis\u00e9es. Pour une marque bien connue, ce n\u2019est pas du tout le cas : le niveau de s\u00e9curit\u00e9 est juste catastrophique.<\/p>\n

\n
\n

Serrures connect\u00e9es : vous pensiez vraiment \u00eatre en s\u00e9curit\u00e9 ?<\/h1>\n

par Emilien Ercolani<\/span><\/span>, le 26 janvier 2016 15:24<\/abbr> \"Article<\/p>\n

\n

Les serrures connect\u00e9es, qui s\u2019ouvrent avec un smartphone, une t\u00e9l\u00e9commande ou m\u00eame un signal audio, devraient \u00eatre ultra-s\u00e9curis\u00e9es. Pour une marque bien connue, ce n\u2019est pas du tout le cas : le niveau de s\u00e9curit\u00e9 est juste catastrophique.\u00a0<\/strong><\/p>\n

Imaginez-vous au magasin, en qu\u00eate d\u2019une serrure connect\u00e9e. Sur l\u2019un des packagings, vous voyez ceci : elle utilise une technologie de s\u00e9curisation des donn\u00e9es qui correspond \u00ab aux standards militaires et bancaires (AES 256 \/ 3D Secure)<\/em> \u00bb. Alors l\u00e0, vous \u00eates rassur\u00e9 ! Quoi de mieux qu\u2019un algorithme de chiffrement bien connu et solide pour prot\u00e9ger votre chez vous ?<\/p>\n

Seulement, au-del\u00e0 du packaging, le r\u00eave s\u2019effondre. Au FIC \u00e0 Lille, nous venons d\u2019assister \u00e0 une conf\u00e9rence accablante. C\u2019est Renaud Lifchitz de Digital Security (Econocom) qui joue le r\u00f4le d\u2019animateur. Et ce qu\u2019il raconte est effarant. S\u2019il ne nomme pas la marque en question, on se doute tr\u00e8s fortement qu\u2019il s\u2019agit du fran\u00e7ais Okidokeys.<\/p>\n

\"\"<\/p>\n

Une serrure connect\u00e9e, parmi d’autres…<\/em><\/p>\n

Les fondamentaux de la s\u00e9curit\u00e9 compl\u00e8tement oubli\u00e9s<\/h2>\n

La liste des remontrances est tr\u00e8s longue. Pr\u00e9cisons que le verrouillage\/d\u00e9verrouillage de la serrure peut se faire soit par badge (RFID), soit par smartphone (Bluetooth 4.0 \u2013 BLE) soit par code audio. On apprend tout d\u2019abord que l\u2019application est d\u00e9velopp\u00e9e en full HTML5 et JavaScript ; et que le code source est donc enti\u00e8rement accessible. Dans celui-ci, on y d\u00e9couvre rapidement des aberrations et notamment des constantes bool\u00e9ennes modifiables (8 au total) ! En clair, on d\u00e9couvre \u00e9galement des jetons de cloud, \u00ab ce qui signifie que l\u2019on peut se faire passer pour une serrure puisque le jeton secret est dans le code source\u2026<\/em> \u00bb sourit Renaud Lifchitz (photo ci-dessous).<\/p>\n

Et la liste est loin d\u2019\u00eatre termin\u00e9e : un grand nombre d\u2019URL sont pr\u00e9sentes dans le code \u00ab dont une compl\u00e8te d\u2019authentification<\/em> \u00bb. Elle est stock\u00e9e en clair c\u00f4t\u00e9 client. \u00ab Nous avons le login\/mot de passe dans l\u2019URL. C\u00f4t\u00e9 serveur, c\u2019est de l\u2019Apache, mais l\u2019authentification \u00e9tant dans l\u2019URL on la retrouve dans les logs du serveur web. Cela signifie que login et mot de passe sont eux aussi stock\u00e9s en clair c\u00f4t\u00e9 serveur, en tout cas dans les logs<\/em> \u00bb.<\/p>\n

Quant \u00e0 la cl\u00e9 de chiffrement, annonc\u00e9e en 256 bits, elle est en fait d\u00e9riv\u00e9e du Code PIN \u00e0 4 chiffres de l\u2019utilisateur : en r\u00e9alit\u00e9, la cl\u00e9 est en 14 bits, soit 19 fois plus faible que celle annonc\u00e9e ! On estime \u00e0 environ 10 000 le nombre de possibilit\u00e9s pour trouver le bon code PIN. Autant dire, l\u2019affaire de quelques secondes\/minutes. Enfin un bon point : pour la connexion RFID, Okidokeys utilise la solution d\u2019authentification et d\u2019acc\u00e8s aux donn\u00e9es Mifare Ultralight C. Une bonne nouvelle car aucune faille n\u2019a encore \u00e9t\u00e9 r\u00e9pertori\u00e9e sur cette technologie. En revanche, encore faut-il que celui qui l\u2019utilise change la cl\u00e9 par d\u00e9faut ; qui au passage est \u00ab breakmeifyoucan! \u00bb.<\/p>\n

De multiples sc\u00e9narios d’attaques<\/h2>\n

Tout cela est bien joli mais \u00e0 quoi sert-il de pouvoir d\u00e9verrouiller une serrure si on ne sait pas o\u00f9 elle se trouve ? Ce n\u2019est pas un probl\u00e8me : un simple scan BLE r\u00e9alisable depuis un smartphone permet de d\u00e9tecter les serrures dans un rayon de 100 alentours. Ce faisant, une personne peut rapidement avoir acc\u00e8s \u00e0 toutes les infos des serrures rep\u00e9r\u00e9es, et notamment voir si elles sont \u00e0 jour. Passons encore sur les multiples sc\u00e9narios d\u2019attaques MITM (Man in the Middle) que cela suppose\u2026<\/p>\n

Cette d\u00e9monstration \u00e0 charge est donc en tout point consternante. D\u2019autant plus que si un seul constructeur est vis\u00e9 ici, il y a \u00e9galement fort \u00e0 parier que les autres constructeurs (Vachette ?) soient eux aussi confront\u00e9s aux m\u00eames failles de s\u00e9curit\u00e9. Ce que nous ne manquerons pas de tenter de v\u00e9rifier prochainement.<\/p>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

  Le site web \u00ab\u00a0L’informaticien\u00a0\u00bb\u00a0\u00a0[ ICI ]\u00a0\u00a0\u00a0 a test\u00e9 pour vous une serrure connect\u00e9e.\u00a0 Les serrures connect\u00e9es, qui s\u2019ouvrent avec un smartphone, une t\u00e9l\u00e9commande ou m\u00eame un signal audio, devraient \u00eatre ultra-s\u00e9curis\u00e9es. Pour une marque bien connue, ce n\u2019est pas du tout le cas : le niveau de s\u00e9curit\u00e9 est juste catastrophique. Serrures connect\u00e9es :…
Lire la suite vous aimez les objets connect\u00e9s ? essayez donc les serrures …<\/span><\/a><\/p>\n","protected":false},"author":13,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_eb_attr":"","footnotes":""},"categories":[2,44],"tags":[],"class_list":["post-763","post","type-post","status-publish","format-standard","hentry","category-actus_section","category-videosurveillance"],"yoast_head":"\nvous aimez les objets connect\u00e9s ? essayez donc les serrures ... - LDH Nice<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"nice\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"4 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/\"},\"author\":{\"name\":\"nice\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/967c939d3946abc1f1a18ad807ebe24b\"},\"headline\":\"vous aimez les objets connect\u00e9s ? essayez donc les serrures …\",\"datePublished\":\"2016-06-28T15:17:34+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/\"},\"wordCount\":756,\"image\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage\"},\"thumbnailUrl\":\"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif\",\"articleSection\":[\"A la une\",\"Vid\u00e9osurveillance - Soci\u00e9t\u00e9 num\u00e9rique\"],\"inLanguage\":\"fr-FR\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/\",\"url\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/\",\"name\":\"vous aimez les objets connect\u00e9s ? essayez donc les serrures ... - LDH Nice\",\"isPartOf\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage\"},\"thumbnailUrl\":\"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif\",\"datePublished\":\"2016-06-28T15:17:34+00:00\",\"author\":{\"@id\":\"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/967c939d3946abc1f1a18ad807ebe24b\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage\",\"url\":\"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif\",\"contentUrl\":\"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif\"},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/#website\",\"url\":\"https:\/\/site.ldh-france.org\/nice\/\",\"name\":\"LDH Nice\",\"description\":\"L'actualit\u00e9 de la section\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/site.ldh-france.org\/nice\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/967c939d3946abc1f1a18ad807ebe24b\",\"name\":\"nice\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/8e1c4911c34ecb54fb4eda142701ac84?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/8e1c4911c34ecb54fb4eda142701ac84?s=96&d=mm&r=g\",\"caption\":\"nice\"},\"url\":\"https:\/\/site.ldh-france.org\/nice\/author\/nice\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"vous aimez les objets connect\u00e9s ? essayez donc les serrures ... - LDH Nice","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/","twitter_misc":{"\u00c9crit par":"nice","Dur\u00e9e de lecture estim\u00e9e":"4 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#article","isPartOf":{"@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/"},"author":{"name":"nice","@id":"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/967c939d3946abc1f1a18ad807ebe24b"},"headline":"vous aimez les objets connect\u00e9s ? essayez donc les serrures …","datePublished":"2016-06-28T15:17:34+00:00","mainEntityOfPage":{"@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/"},"wordCount":756,"image":{"@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage"},"thumbnailUrl":"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif","articleSection":["A la une","Vid\u00e9osurveillance - Soci\u00e9t\u00e9 num\u00e9rique"],"inLanguage":"fr-FR"},{"@type":"WebPage","@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/","url":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/","name":"vous aimez les objets connect\u00e9s ? essayez donc les serrures ... - LDH Nice","isPartOf":{"@id":"https:\/\/site.ldh-france.org\/nice\/#website"},"primaryImageOfPage":{"@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage"},"image":{"@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage"},"thumbnailUrl":"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif","datePublished":"2016-06-28T15:17:34+00:00","author":{"@id":"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/967c939d3946abc1f1a18ad807ebe24b"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/"]}]},{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/site.ldh-france.org\/nice\/2016\/06\/28\/aimez-objets-connectes-essayez-serrures\/#primaryimage","url":"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif","contentUrl":"http:\/\/www.linformaticien.com\/DesktopModules\/DnnForge%20-%20NewsArticles\/Images\/Rating\/stars-4-0.gif"},{"@type":"WebSite","@id":"https:\/\/site.ldh-france.org\/nice\/#website","url":"https:\/\/site.ldh-france.org\/nice\/","name":"LDH Nice","description":"L'actualit\u00e9 de la section","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/site.ldh-france.org\/nice\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/967c939d3946abc1f1a18ad807ebe24b","name":"nice","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/site.ldh-france.org\/nice\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/8e1c4911c34ecb54fb4eda142701ac84?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/8e1c4911c34ecb54fb4eda142701ac84?s=96&d=mm&r=g","caption":"nice"},"url":"https:\/\/site.ldh-france.org\/nice\/author\/nice\/"}]}},"_links":{"self":[{"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/posts\/763","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/users\/13"}],"replies":[{"embeddable":true,"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/comments?post=763"}],"version-history":[{"count":2,"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/posts\/763\/revisions"}],"predecessor-version":[{"id":765,"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/posts\/763\/revisions\/765"}],"wp:attachment":[{"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/media?parent=763"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/categories?post=763"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/site.ldh-france.org\/nice\/wp-json\/wp\/v2\/tags?post=763"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}