Les systèmes d'arrosage connectés pourraient semer le chaos dans nos villes

Selon une nouvelle étude universitaire, des hackers pourraient compromettre les ressources en eau d’une ville sans attaquer son infrastructure critique, mais en ciblant plutôt son maillon faible : les systèmes d'arrosage connectés à Internet.

Les chercheurs ont analysé trois appareils connectés qui aident à contrôler l’irrigation et ont trouvé des failles qui pourraient permettre à des hackers mal intentionnés de les activer à distance pour vider les ressources hydriques. Les attaques ne dépendent d'aucune technique complexe ou failles difficiles à détecter. Cependant, les hackers qui tiennent vraiment à assécher toute une ville devront prendre le contrôle d’un grand nombre d’arroseurs pour y parvenir. Selon les calculs des chercheurs, vider un château d’eau moyen nécessiterait un botnet de 1 355 arroseurs ; pour vider un réservoir d’eau, le réseau devra compter 23 866 arroseurs.

Les chercheurs estiment que ces attaques sont innovantes parce qu'elles ne portent pas sur l’infrastructure des villes, en théorie renforcée contre les menaces informatiques. À la place, elle vise les dispositifs fragiles qui sont connectés à cette infrastructure.

Contacté par mail, Ben Nassi, doctorant à l’université Ben Gurion et auteur principal de l’étude, explique qu’il appelle cela une « attaque indirecte (…) qui utilise des appareils connectés plus faciles à pirater et à compromettre. »

Nassi et ses collègues se sont concentrés sur GreenIQ, Rainmachine et BlueSpray, des contrôleurs d'arrosage tous connectés à Internet. Ils soutiennent que les hackers pourraient attaquer ces systèmes en prenant le contrôle d’un réseau d’ordinateurs, puis en les analysant pour déceler ces systèmes d’irrigation intelligents.

Les chercheurs ont constaté que les appareils GreenIQ et BlueSpray se connectaient à leur serveur grâce à des connections HTTP non-chiffrées. Un hacker piratant un ordinateur relié au même réseau que l’appareil GreenIQ pourrait tout simplement intercepter les commandes et les remplacer au cours d'une attaque de type Man in the Middle.

Dans le cas de la RainMachine, c'est presque aussi facile. Les chercheurs ont découvert qu'ils pouvaient truquer les données météorologiques que le serveur envoie à l'appareil pour lui faire croire qu’il fait chaud et sec et ainsi déclencher l’irrigation. Cette attaque repose également sur l'absence de chiffrement des données entre le serveur et l’API météo, toujours selon les chercheurs.

GreenIQ, Rainmachine et BlueSpray n’ont pas souhaité répondre à nos questions. Les chercheurs rapportent que GreenIQ a chiffré son système après qu'ils ont signalé le problème à l'entreprise.

Il est difficile de déterminer la dangerosité de ces attaques hors d’un scénario académique. Cependant, elles démontrent que la prolifération des appareils connectés — dont beaucoup sont instables — présente des implications sécuritaires indésirables. Ceci dit, était-ce encore nécessaire ?

Cesar Cerrudo, le directeur de la technologie chez IOActive et chercheur en sécurité qui a étudié les villes « intelligentes », explique que les attaques pensées par les chercheurs de Ben Gurion ne sont pas un « hack cool » parce qu’elles reposent sur des techniques éprouvées.

« Ce sont des systèmes faibles qui ne sont pas exposés à l’extérieur et n’utilisent pas de communications sans fil. Un accès au réseau interne, des communications non chiffrées et d’autres vulnérabilités sont nécessaires pour les pirater » explique Cerrudo dans un mail à Motherboard.

Robert Lee, le PDG de Dragos, une startup de sécurité des infrastructures, pense que l’impact de ces attaques est sans doute exagéré. Dans la réalité, explique-t-il à Motherboard, « une compagnie des eaux détecterait l’augmentation du débit et couperait l’approvisionnement en attendant de pouvoir déterminer la cause — elle ne laisserait jamais les ressources se vider. »

Autrement dit, nous devons évidemment penser à la sécurité des objets connectés : des piratages avec démonstration de faisabilité comme ceux-ci sont essentiels pour démontrer leurs faiblesses. Nous ne risquons pas de voir un hacker vider entièrement les ressources en eau d’une ville d'ici demain.