Un chercheur expose un problème de sécurité avec des montres intelligentes GPS
Après une longue bataille frustrante et finalement infructueuse pour amener un fournisseur autrichien de smartwatch à réparer des vulnérabilités sérieuses, le chercheur en sécurité Christopher Bleckmann-Dreher a finalement décidé de faire une petite blague. Des centaines de smartwatches compatibles GPS ont affiché le message "PWNED!" des rapports ZDNet sur leurs écrans, via des points de coordonnées GPS connectés.
Lors une récente conférence sur la sécurité tenue en Allemagne en mars 2019, M. Dreher a exposé en détail les vulnérabilités un large éventail de systèmes de surveillance GPS produits par une société autrichienne nommée Vidimensio. Le problème de sécurité en question était une faille dans API utilisée pour la communication entre les périphériques et le serveur. La vulnérabilité a été exposée à la fin de 2017.
La recherche de Dreher sur la question a commencé après que Allemagne eut officiellement interdit la vente une autre marque de smartwatches permettant aux parents écouter leurs enfants, car ceux-ci avaient une vulnérabilité qui pouvait facilement permettre aux mauvais acteurs espionner les enfants et leurs familles. En examinant la question, Dreher trouva des problèmes espionnage, ainsi que des failles qui permettaient à de mauvais acteurs de donner des ordres aux montres GPS. Lorsque les problèmes de sécurité ont été découverts, Dreher a eu la gentillesse de s’adresser au fabricant. Après que Vidimensio n’a pris aucune mesure utile, le chercheur a eu recours à un média influent pour les forcer à mettre en œuvre des solutions de travail. Malheureusement, les correctifs étaient que partiels et de nombreux problèmes subsistaient.
En utilisant les trous non corrigés de API, Dreher a enfilé un grand nombre de points de coordonnées GPS sur les écrans des montres, écrivant efficacement "PWNED!". sur les écrans des appareils affectés. Il a dit il lavait fait sur des centaines appareils, mais il avait délibérément choisi des montres qui étaient pas en ligne depuis plus un an.
Malheureusement, les efforts de Dreher ont pas empêché la vente des montres GPS, même il a même contacté agence fédérale allemande des réseaux, qui a à son tour refusé de forcer le fabricant à réparer entièrement ses montres. Selon le rapport et interview originaux de ZDNet, les appareils sont toujours vendus en Allemagne et les autorités ne font pas respecter interdiction officielle.