Publié le 6 novembre 2023 à 15h36. Un programmeur a découvert que son aspirateur robot envoyait des données personnelles à la Chine et qu’il pouvait être désactivé à distance par le fabricant, révélant les failles de sécurité potentielles des objets connectés dans nos foyers.
- Un aspirateur robot iLife A11 collectait et transmettait des données de télémétrie à des serveurs en Chine sans le consentement de l’utilisateur.
- Le fabricant disposait d’une porte dérobée permettant de contrôler l’appareil à distance, jusqu’à le désactiver complètement.
- Des vulnérabilités de sécurité importantes ont été découvertes dans le système d’exploitation de l’aspirateur, permettant un accès root facile.
Harishankar Narayanan, un programmeur se décrivant comme « sainement paranoïaque », surveille régulièrement l’activité réseau de ses appareils connectés. Sa curiosité l’a poussé à examiner le fonctionnement de son aspirateur robot iLife A11, qu’il utilisait depuis un an. Il a rapidement constaté que l’appareil envoyait constamment des données de télémétrie à des serveurs situés en Chine, sans qu’il n’ait donné son accord.
Cette découverte n’était que le début d’une série d’événements inquiétants. Plusieurs médias se sont emparés de l’affaire, notamment Tom’s Hardware, Cybernews et Hi-Tech.ua.
Pour bloquer la collecte de données, Narayanan a modifié les paramètres de son pare-feu. L’aspirateur a continué à fonctionner normalement pendant plusieurs jours, avant de s’arrêter brusquement. Le centre de service n’a détecté aucun défaut, l’appareil signalant un fonctionnement normal. Cependant, le cycle de panne s’est répété jusqu’à l’expiration de la garantie, transformant l’aspirateur de 300 £ en une dépense inutile.
Déterminé à comprendre ce qui se passait, Narayanan a démonté l’appareil. Il a découvert qu’il ne contenait pas seulement un moteur, des engrenages et des brosses, mais également un véritable ordinateur, équipé d’un processeur AllWinner A33, d’un microcontrôleur GD32F103 et d’un système Linux.
Il a rapidement identifié une faille de sécurité majeure : l’interface Android Debug Bridge (ADB), utilisée par les développeurs pour le débogage, était complètement ouverte, sans mot de passe ni authentification. En quelques secondes, il a obtenu un accès root complet au système.
Il a découvert que l’aspirateur envoyait le mot de passe du réseau Wi-Fi domestique en clair aux serveurs du fabricant. Plus inquiétant encore, l’appareil utilisait la bibliothèque open source Google Cartographer pour créer une carte 3D détaillée de son appartement, des données également envoyées en Chine à l’insu de l’utilisateur.
Aspirateur robot iLife A11.
Source : iLife
Il a finalement découvert que l’aspirateur était équipé d’un script de démarrage modifié qui empêchait le lancement de l’application principale. Un enregistrement dans le journal correspondait précisément au moment où l’appareil s’était arrêté. Quelqu’un – ou quelque chose – avait envoyé une commande à distance pour le désactiver.
Le système contenait également un programme permettant au fabricant de se connecter à l’appareil avec des droits d’administrateur.
Narayanan a découvert que lorsque l’aspirateur était ramené au centre de service, les techniciens le connectaient à leur réseau ouvert, permettant à l’appareil de se reconnecter aux serveurs du fabricant et d’annuler la désactivation. Dès qu’il rentrait chez lui et se connectait à son réseau, le système le reconnaissait et le désactivait à nouveau.
La même plateforme matérielle (3irobotix CRL-200S) est utilisée par des modèles de marques telles que Xiaomi, Wyze, Viomi, Cecotec et Proscenic. Des millions de foyers dans le monde pourraient ainsi disposer d’un appareil capable de cartographier leur intérieur en 3D, de se connecter à Internet et d’envoyer des données à des serveurs inconnus.
Les experts mettent en garde contre les risques liés aux aspirateurs intelligents, qui peuvent se déplacer librement, disposer d’une connexion Internet permanente et être équipés de lidars, de caméras et de microphones. Harishankar a finalement réactivé son aspirateur, l’a déconnecté de tous les services cloud et l’utilise désormais hors ligne.
Comme il l’a souligné avec ironie : « J’ai réalisé que mon aspirateur n’avait jamais vraiment été le mien. » Sa leçon est claire : n’utilisez jamais votre réseau Wi-Fi principal pour les appareils intelligents et considérez-les comme des intrus dans votre maison.
