Un aspirateur intelligent s'est retourné contre son propriétaire, un développeur révèle une pratique inquiétante
Déjà décrit dans l'article sur le site de Le Tech Philosophe, cet épisode témoigne d'une méfiance profonde envers les appareils Internet des Things (IoT) qui émettent des signaux non sécurisés dans leur environnement.
Harishankar, un développeur architecte logiciel, a réalisé une analyse approfondie de son aspirateur intelligent iLife A11. Alors qu'il découvrait que le appareil envoiait en permanence des données à des serveurs situés à des milliers de kilomètres, il décide d'en démonter chaque composant. Il choisit ainsi de creuser une enquête qui l'amène à découvrir des secrets inattendus.
Avec son aspiration, Harishankar se retrouve face à un véritable « petit ordinateur sur roues ». Un système d'exploitation Linux complet, un microcontrôleur et plusieurs capteurs. Le développeur se lance alors dans une fouille minutieuse de ces composants, en réalisant que le même matériel équipe des appareils Xiaomi, Wyze, Viomi et Proscenic.
Après avoir documenté chaque composant et conçu des connecteurs similaires à ceux d'origine pour relier les capteurs à un ordinateur, Harishankar réalise qu'un port USB de débogage laissé ouvert permet l'accès à un système Android sans protection ni mot de passe. Rapidement, il obtient les droits d'administrateur et commence à explorer les fichiers internes de l'appareil. Il découvre ainsi que tous les journaux, les réglages et même les mots de passe Wi-Fi non cryptés sont envoyés au constructeur.
Le développeur s'attaque ensuite à la question de savoir si le logiciel de cartographie Google Cartographer est intégré dans l'appareil, lui permettant de créer une carte 3D en temps réel de son appartement. C'est là qu'il tombe sur un script modifié chargé de bloquer le lancement de l'application principale.
Pour confirmer ses soupçons, Harishankar annule la modification du script et redémarre l'appareil, qui se remet subitement à fonctionner. Ses soupçons sont confirmés : « Ils n’avaient pas simplement intégré une fonction de contrôle à distance. Ils l’avaient utilisée pour désactiver définitivement mon appareil ».
Déjà décrit dans l'article sur le site de Le Tech Philosophe, cet épisode témoigne d'une méfiance profonde envers les appareils Internet des Things (IoT) qui émettent des signaux non sécurisés dans leur environnement.
Harishankar, un développeur architecte logiciel, a réalisé une analyse approfondie de son aspirateur intelligent iLife A11. Alors qu'il découvrait que le appareil envoiait en permanence des données à des serveurs situés à des milliers de kilomètres, il décide d'en démonter chaque composant. Il choisit ainsi de creuser une enquête qui l'amène à découvrir des secrets inattendus.
Avec son aspiration, Harishankar se retrouve face à un véritable « petit ordinateur sur roues ». Un système d'exploitation Linux complet, un microcontrôleur et plusieurs capteurs. Le développeur se lance alors dans une fouille minutieuse de ces composants, en réalisant que le même matériel équipe des appareils Xiaomi, Wyze, Viomi et Proscenic.
Après avoir documenté chaque composant et conçu des connecteurs similaires à ceux d'origine pour relier les capteurs à un ordinateur, Harishankar réalise qu'un port USB de débogage laissé ouvert permet l'accès à un système Android sans protection ni mot de passe. Rapidement, il obtient les droits d'administrateur et commence à explorer les fichiers internes de l'appareil. Il découvre ainsi que tous les journaux, les réglages et même les mots de passe Wi-Fi non cryptés sont envoyés au constructeur.
Le développeur s'attaque ensuite à la question de savoir si le logiciel de cartographie Google Cartographer est intégré dans l'appareil, lui permettant de créer une carte 3D en temps réel de son appartement. C'est là qu'il tombe sur un script modifié chargé de bloquer le lancement de l'application principale.
Pour confirmer ses soupçons, Harishankar annule la modification du script et redémarre l'appareil, qui se remet subitement à fonctionner. Ses soupçons sont confirmés : « Ils n’avaient pas simplement intégré une fonction de contrôle à distance. Ils l’avaient utilisée pour désactiver définitivement mon appareil ».