Vous devriez faire attention à vos données collectées depuis ces caméras et sonnettes connectées

Le constructeur eufy serait loin de respecter ses engagements en ce qui concerne la sécurité des données de ses utilisateurs.

La marque d'Anker, spécialisée dans les caméras de sécurité et les sonnettes connectées, est accusée d'avoir menti sur la manière dont les flux vidéo de ses produits sont traités et protégés par l'entreprise.

Anker a-t-elle menti ?

D'après le fabricant, les images filmées par ses appareils sont chiffrées de bout en bout par une technologie de grade militaire. A priori, elles ne peuvent donc pas être diffusées ailleurs que sur le smartphone du propriétaire.

Néanmoins, selon un hacker, mais aussi d'après le consultant en sécurité informatique Paul Moore, il est possible d'utiliser le logiciel VLC pour visionner des vidéos enregistrées par les caméras d'eufy. Il suffit pour cela de se connecter à une adresse unique sur les serveurs cloud de la société.

Cette grave accusation a très rapidement été démentie par Anker. « Je peux confirmer qu'il n'est pas possible de démarrer un flux et de regarder des séquences en direct à l'aide d'un lecteur tiers tel que VLC », a réagi Brett White, responsable principal des relations publiques du groupe, auprès de The Verge.

Des correctifs déployés en toute discrétion

La publication américaine a vérifié par elle-même les dires d'Anker et assure qu'après avoir réalisé plusieurs tests, il lui a été possible d'accéder à plusieurs reprises à des images en direct de deux caméras eufy grâce au lecteur multimédia VLC. Les tentatives ont été réalisées à partir de plusieurs localisations aux États-Unis.

Pour The Verge, c'est bien la preuve « qu'Anker a un moyen de contourner le chiffrement et d'accéder à ces caméras soi-disant sécurisées via le Cloud ». Pour ne rien arranger, le média ajoute que grâce aux informations liées à un flux, des acteurs malveillants pourraient être en mesure de déterminer l'adresse de celui-ci.

Paul Moore, qui a porté plainte contre Anker, affirme également que l'entreprise enverrait des images dans le Cloud, même si ce type de stockage est désactivé dans les paramètres. De plus, il explique que la clé de chiffrement utilisée par eufy est disponible en clair et qu'il s'agit de la suite de caractères : « ZXSecurity17Cam@ ».

The Verge précise qu'à la suite de la publication de son article, Anker semble avoir pris des mesures pour corriger ces failles de sécurité. Par exemple, la méthode utilisée pour obtenir l'adresse des flux vidéo ne fonctionnerait plus.

Source : The Verge