Les chercheurs, Lucas Apa et Carlos Mario Penagos de IOActive, ont trouvé plusieurs failles logicielles sur les capteurs qui sont utilisés par les industries dédiées à l'énergie (pétrole, gaz, électricité) pour surveiller différents paramètres (température, pression, etc.). Les scientifiques ont prévu de présenter leurs travaux la semaine prochaine lors de la conférence sur la sécurité Black Hat, mais nos confrères d'IDG NS ont obtenu un aperçu de leur recherche. Certains éléments ne sont par contre par détailler en raison de la gravité du problème. Carlos Mario Penagos explique, « si vous compromettez une entreprise sur Internet, vous pouvez provoquer une perte d'argent, mais dans le cas de l'industrie, vous pouvez causer des morts ».

Les deux chercheurs ont étudié des capteurs de trois fabricants reconnus. Les capteurs communiquent généralement avec les équipements de l'entreprise en utilisant des émetteurs radio sur les bandes de fréquences 900 MHz ou 2,4 GHz. Les spécialistes de la sécurité ont trouvé au sein des capteurs plusieurs faiblesses allant des clés de chiffrement pour authentifier les communications, des failles logicielles et des erreurs de configuration. Ils ont par exemple découvert plusieurs capteurs d'une même gamme disposant de la même clé de chiffrement. Cela signifie que différentes entreprises peuvent utiliser des équipements qui partagent la même clé et accroit ainsi les risques si cette clé est compromise. Différents scénarios d'attaques ont été élaborés par Lucas Apa et Carlos Mario Penagos pour pénétrer des capteurs qui intègrent un certain type d'antennes radio. Ils ont constaté qu'il était possible de modifier la lecture des capteurs et même de les désactiver à une distance pouvant aller jusqu'à 64 kilomètres. Lucas Apa précise « comme l'attaque ne passe par Internet, il n'y a aucun moyen de la tracer ». Dans un autre scénario, ils ont réussi à provoquer la désactivation des capteurs et la mise hors service de l'activité en exploitant une erreur dans la corruption de mémoire.

Pour corriger ces failles, une mise à jour des firmwares et des changements de configuration sont nécessaires, mais les deux chercheurs assurent que cela ne sera pas facile, ni rapide. « Pour faire cela, vous devez être physiquement connecté à l'appareil pour le mettre à jour », explique Lucas Apa. Ils n'ont pas publié le nom de fournisseurs de capteurs et ont remis leurs conclusions au Computer Emergency Readiness Team américain pour avertir les sociétés concernées.