Le piratage du système de sécurité domestique met en évidence les problèmes de vulnérabilité de l'IoT

Une vidéo YouTube montre comment l'appareil peut être trompé par un émetteur sans fil à 2 $ qui imite la fréquence de ses capteurs de porte et de fenêtre.

Les systèmes de sécurité domestique basés sur l'IoT ont eu leurs propres problèmes de sécurité, mais cela n'a pas empêché les consommateurs de les acheter. Au fur et à mesure que leur popularité augmente, il semble que le nombre de failles de sécurité trouvées en leur sein augmente.

Grâce à un YouTuber qui se fait appeler "LockPickingLawyer", le système de sécurité SimpliSafe DIY s'est avéré être facilement compromis par un émetteur sans fil à 2 $.

Voir aussi : Nouvelles directives de sécurité IoT de haut niveau du NIST

Dans une vidéo, LockPickingLawyer a démontré comment un émetteur sans fil bon marché qui imite la fréquence des capteurs de porte et de fenêtre du système est capable d'empêcher l'alarme de s'activer si une porte ou une fenêtre est ouverte. Ceci est accompli en utilisant l'émetteur en même temps que la porte ou la fenêtre est ouverte. Il a ajouté que si l'émetteur s'approche trop près de la base de l'alarme, l'utilisateur recevra une notification d'interférence sans fil. Ce piratage est rendu possible par la dépendance du système à la fréquence 433,92 MHz, qui est utilisée par une grande variété d'autres appareils électroniques.

Contacté par The Verge, SimpliSafe a contesté les conclusions du YouTuber :

« La vidéo est trompeuse et ne s'applique pas au fonctionnement réel des systèmes de sécurité. Dans cette vidéo, le vidéaste trouve une fréquence, une force de signal et une orientation précises des composants du système dans lesquels il peut enfiler l'aiguille pour bloquer la communication du système sans déclencher d'alerte.

Dans la vraie vie, c'est peu probable. Étant donné que la puissance du signal se dégrade de manière imprévisible en fonction de la distance et du paysage, il serait très difficile pour quiconque d'atteindre la "bonne" puissance sans déclencher une alerte."

LockPickingLawyer a répondu :"SimpliSafe conteste le fait que les composants du système soient rapprochés pendant la vidéo. C'était une nécessité du cinéma, pas une limite physique de l'exploit. Lors de mes tests, j'ai transporté des capteurs loin de la station de base jusqu'aux confins de ma maison, puis j'ai effectué les mêmes tests avec le même appareil et j'ai obtenu les mêmes résultats. Au contraire, les tests à des distances réalistes ont montré un problème plus important dans la mesure où le système SimpliSafe était moins susceptible de détecter les interférences.

L'autre critique de SimpliSafe est que quelqu'un aurait besoin d'une connaissance préalable de la disposition du système pour éviter la détection d'interférences. L'entreprise attaque un homme de paille. Ce qui est nécessaire pour éviter la détection de cet exploit sortait du cadre de mes tests. En fait, ma vidéo note explicitement que SimpliSafe peut détecter l'interférence. La détection d'interférences, cependant, n'a jamais déclenché d'alarme lors de mes tests. Il a seulement envoyé une "alerte" que le résident peut ou non enquêter."

Ce n'est pas la première fois que SimpliSafe est critiqué pour un problème de sécurité. En 2016, le système s'est avéré «intrinsèquement non sécurisé et vulnérable» après que des chercheurs d'IOActive ont pu infiltrer et désarmer le système de sécurité et écouter le trafic radio, et un contributeur et expert en alarme de Security Sales and Integration a analysé le système et le les résultats étaient sombres.