Caméra IP - Le risque existe

Ce week-end, je faisais “Mouarf” en regardant cette bande-annonce :

Puis un lecteur (merci Chief_gp !!) m’a envoyé vers ce blog où un chercheur en sécurité à mis à jour une faille dans le firmware des caméras sur IP Trendnet, qui permet à n’importe qui de regarder le flux vidéo sans avoir le mot de passe de connexion à l’interface web de la caméra.

Par exemple, si l’IP de la caméra est x.x.x.x, on peut voir le flux vidéo avec n’importe quel navigateur en allant sur http://x.x.x.x/anony/mjpg.cgi

Flippant non ?

Mais ceci serait beaucoup moins drôle s’il n’existait pas Shodan HQ, un moteur de recherche qui ne permet pas de trouver des sites web ayant pignon sur rue comme le fait Google, mais qui dresse une liste des routeurs, serveurs, caméras IP, TV connectée, système de gestion de centrales électriques, iPhones et autres appareils ayant une IP visible sur le net. Shodan arrive à dresser cette liste, simplement en analysant l’entête HTTP renvoyée par l’appareil ou le serveur.

En utilisant Shodan HQ avec le mot clé “netcam” qui correspond aux caméras IP Trendnet, il devient alors très simple de mettre la main sur des flux vidéos accessibles librement à l’insu de leur propriétaire et des gens filmés.

Magasins, bureaux, rues, salons ou chambres de particuliers… Ces caméras sont partout !

Ce qui sûr c’est que Shodan HQ est une véritable mine d’or pour tous les espions et hackers, car en plus de ce moteur de recherche d’appareils connectés, il propose un moteur de recherche d’exploits qui permet simplement de trouver des moyens de hacker tel ou tel serveur web ou périphérique un peu spécifique. Et bien sûr, il y a une API disponible, ce qui a permis à notre ami de Console Cowboys de faire un petit script qui vérifie si les IPs renvoyées par Shodan sont sensibles à cette faille ou non.

Bref, tout ça pour dire que le film “Aux yeux de tous” n’est finalement pas très loin de ce qu’il est possible de faire. Donc, gaffe à vous si vous avez des caméras IP chez vous ou sur votre lieu de travail. Pensez à mettre à jour le firmware, à surveiller les failles qui apparaissent dessus, ou carrément à les débrancher si vous n’en avez pas un besoin absolu !