Un homme alarmé de découvrir que son aspirateur intelligent diffusait une carte secrète de sa maison

Oubliez votre téléphone qui vous espionne : c’est peut-être votre aspirateur qui devrait vraiment vous inquiéter. Dans un article publié sur son blog Small World , le programmeur informatique et passionné d'électronique Harishankar Narayanan a détaillé une découverte surprenante qu'il a faite à propos de son aspirateur intelligent à 300 $ : il transmettait des données intimes hors de sa maison.

Narayanan laissait son aspirateur intelligent iLife A11 — un gadget populaire qui a bénéficié d'une couverture médiatique grand public — faire son travail pendant environ un an, avant de devenir curieux de son fonctionnement interne.

« Je suis un peu paranoïaque – du bon genre », a-t-il écrit. « J'ai donc décidé de surveiller son trafic réseau, comme je le ferais avec n'importe quel appareil soi-disant intelligent. » En quelques minutes, il a découvert un flux constant de données envoyées à des serveurs « à l'autre bout du monde ».

« Mon aspirateur robot communiquait constamment avec son fabricant, transmettant des données et des données télémétriques que je n'avais jamais consenti à partager », a écrit Narayanan. « C'est là que j'ai commis ma première erreur : j'ai décidé de l'arrêter. »

L'ingénieur explique qu'il a empêché l'appareil de diffuser des données, tout en maintenant le reste du trafic réseau – comme les mises à jour du micrologiciel – comme d'habitude. L'aspirateur a continué à nettoyer pendant quelques jours, jusqu'à ce qu'un matin, il refuse de démarrer.

« Je l'ai envoyé en réparation. Le centre de service m'a assuré : "Ça marche parfaitement ici, monsieur" », a-t-il écrit. « Ils l'ont renvoyé et, miraculeusement, il a recommencé à fonctionner pendant quelques jours. Puis, il est tombé en panne. » Narayanan a répété ce processus plusieurs fois, jusqu'à ce que le centre de service refuse finalement toute intervention, prétextant que l'appareil n'était plus sous garantie.

« Comme ça, mon aspirateur intelligent à 300 $ s’est transformé en un simple presse-papier », a écrit le technicien.

Apparemment plus curieux que jamais, Narayanan n'avait plus aucune raison de ne pas démonter l'appareil en quête de réponses, et c'est exactement ce qu'il fit. Après avoir procédé à la rétro-ingénierie de l'aspirateur, un processus laborieux qui incluait la réimpression des circuits imprimés des appareils et le test des capteurs, il fit une découverte terrifiante : Android Debug Bridge, un programme permettant d'installer et de déboguer des applications sur les appareils, était « ouvert » au monde entier.

À l'intérieur, l'iLife A11 n'était pas seulement un aspirateur ; c'était un petit ordinateur sur roues. Au cœur de son fonctionnement, il y a  :

• Un SoC AllWinner A33 exécutant un système d'exploitation Linux complet (TinaLinux)
• Un microcontrôleur GD32F103 gérant les moteurs et les capteurs
• Lidar, gyroscopes, encodeurs — les œuvres

C’était une merveille d’ingénierie bon marché, mais aussi un cauchemar en matière de confidentialité qui n’attendait que de se produire.

« En quelques secondes, j'ai obtenu un accès root complet. Pas de piratage, pas d'exploitation. Juste du plug-and-play », a déclaré Narayanan.

Après de nombreux essais, il a finalement réussi à se connecter au système de l'aspirateur depuis son ordinateur. C'est alors qu'il a eu une « surprise » majeure. L'appareil exécutait Google Cartographer, un programme open source conçu pour créer une carte 3D de sa maison, données que l'appareil transmettait à sa société mère.

De plus, Narayanan affirme avoir découvert une ligne de code suspecte transmise par l'entreprise à l'aspirateur, horodatée au moment précis où il a cessé de fonctionner. « Quelqu'un – ou quelque chose – avait lancé à distance une commande d'arrêt », a-t-il écrit.

« J'ai annulé le changement de script et redémarré l'appareil », a-t-il écrit. « Il est revenu à la normale instantanément. Ils n'avaient pas simplement intégré une fonction de contrôle à distance. Ils l'avaient utilisée pour désactiver définitivement mon appareil. »

En bref, a-t-il déclaré, l'entreprise qui a fabriqué l'appareil avait « le pouvoir de désactiver les appareils à distance et l'a utilisé contre moi pour bloquer leur collecte de données... Qu'il s'agisse d'une punition intentionnelle ou d'une application automatisée de la "conformité", le résultat était le même : un appareil grand public s'était retourné contre son propriétaire. »

Narayanan prévient que des « dizaines d'aspirateurs intelligents » exploitent probablement des systèmes similaires. « Nos maisons sont remplies de caméras, de microphones et de capteurs mobiles connectés à des entreprises que nous connaissons à peine, tous capables d'être transformés en armes par une simple ligne de code », écrit-il.

En fin de compte, c’est un rappel brutal que la technologie à but lucratif a souvent un coût caché – et qui ne s’arrête pas après le paiement à la caisse.

https://futurism.com/robots-and-machines/robot-vacuum-broadcasting

https://codetiger.github.io/blog/the-day-my-smart-vacuum-turned-against-me