Un réfrigérateur connecté de Samsung ne vérifie pas l'authenticité des certificats

Et peut donc voir les données de connexion interceptées

Pendant la conférence DEF CON 23 qui a eu lieu au début du mois d’août à Las Vegas, deux chercheurs en sécurité de la société Pen Test Partners ont découvert une faille dans la sécurité du réfrigérateur connecté répertorié comme étant RF28HMELBSR, successeur du RF4289HARS dans les écuries du sud-coréen Samsung. Il s’agit des identifiants de réfrigérateurs avec quatre portes disposant d’un écran tactile LCD 8 pouces compatibles avec la technologie Wi-Fi. Il faut préciser que ce modèle n'est pas encore disponible en Europe.


Le hic de ce modèle d’électroménager ? Bien que l'appareil prenne en compte les connexions chiffrées en SSL / TLS, il ne vérifie en effet pas l'authenticité des certificats, permettant ainsi la réalisation d’une attaque de type « Man in the middle » pour intercepter les données de connexion.

« Le réfrigérateur connecté à Internet est conçu pour afficher des informations du calendrier Gmail sur l’écran», a expliqué Ken Munro, un chercheur en sécurité de Pen Tes Partners. « Il semble fonctionner de la même manière que tout dispositif exécutant un calendrier Gmail ferait. Un utilisateur connecté / propriétaire du calendrier effectue des mises à jour et ces changements sont alors vus sur n’importe quel appareil que l'utilisateur va utiliser pour le consulter ».

« Alors que SSL est en place, le réfrigérateur ne parvient pas à valider le certificat. Par conséquent, les pirates qui parviennent à accéder au réseau sur lequel le réfrigérateur se trouve (par exemple en installant un faux point d’accès Wi-Fi à proximité) peuvent réaliser une attaque de type Man In The Middle sur le calendrier du réfrigérateur client et voler entre autres les identifiants de connexion Google de vos voisins », a-t-il poursuivi.

Dans un billet, les chercheurs ont exposé les résultats de leurs différents essais et ont remarqué qu’« une exception notable à la règle citée en sus est observée lorsque le terminal se connecte au serveur de mise à jour – nous avons été en mesure d’isoler l’URL https://www.samsungotn.net qui est la même utilisée par les TV, etc. Nous avons généré un ensemble de certificats avec exactement le même contenu que ceux de sites web réels dans l’espoir que la validation était faible, mais cela a échoué ». En clair, lorsque le réfrigérateur se connecte aux serveurs de mise à jour de Samsung, l’authenticité des certificats est bien vérifiée, rendant impossible ce type d’interception.

Si l’attaque contre le firmware n’a également mené nulle part, en revanche, les chercheurs ont découvert une faiblesse potentielle dans les processus de l’application mobile.

Samsung a assuré qu’il s’occupait de cette affaire : « chez Samsung, nous comprenons que notre succès dépend de la confiance que place les utilisateurs en nous ainsi qu’aux produits et services que nous fournissons. Nous menons une enquête sur cette affaire aussi vite que possible. Protéger la vie privée de nos consommateurs est notre priorité première et nous travaillons dur tous les jours pour la protection de nos valeureux utilisateurs Samsung ».

Source : blog Pen Test Partners

forum sécurité