Nous avons déjà évoqué les capacités visuelles et auditives des lunettes connectées Ray-Ban de Meta , et les personnes susceptibles d'exploiter ces informations. Nos inquiétudes portent sur le traitement des données par les lunettes lors d'une utilisation normale. Un chercheur en sécurité a désormais démontré comment contourner un système de protection conçu pour empêcher l'exécution de logiciels non autorisés.
Paula, chercheuse en vulnérabilités connue sous le pseudonyme de pamoutaf, a trouvé le moyen d'exécuter son propre logiciel sur une paire de lunettes Ray-Ban Meta. Pour plus de détails techniques, je vous invite à consulter son article à ce sujet.
Les lunettes sont contrôlées par l'application Meta AI installée sur le téléphone de leur propriétaire. Les développeurs peuvent ajouter leurs propres applications aux lunettes via un outil de développement ; le téléphone envoie ensuite ce logiciel aux lunettes pour installation.
Les lunettes étaient censées vérifier que le logiciel provenait bien de Meta. Dans les anciennes versions du firmware (jusqu'à la version 126 incluse), cette vérification n'était pas effectuée, ce qui permettait à la chercheuse d'installer une application de sa propre conception.
Meta a introduit dans la version 127 du firmware une vérification de la signature numérique de l'application afin de prouver qu'elle provenait bien de Meta. Le chercheur a découvert que l'activation/désactivation de cette vérification se trouvait dans un fichier de paramètres transmis par le téléphone. Les lunettes vérifiaient uniquement la validité du fichier, sans détecter d'éventuelles altérations. La modification d'un seul octet dans le fichier désactivait la vérification de la signature.
Une fois son application lancée, elle pouvait envoyer des commandes aux lunettes depuis son téléphone connecté via une connexion sans fil.
Ces lunettes sont équipées d'une caméra, de microphones et d'une connexion sans fil, et elles restent sur le visage toute la journée. Un dispositif portable capable d'exécuter du code non autorisé soulève bien plus qu'une simple question de confidentialité. Il devient un enjeu de sécurité majeur, car il s'agit de savoir qui contrôle l'appareil. Comme nous l'avons constaté, certaines lunettes connectées bon marché représentent déjà un véritable désastre en matière de sécurité .
Dans ce cas, la personne exécutant le code serait celle qui contrôle le téléphone. Si un logiciel malveillant installé sur les lunettes pouvait accéder à la caméra ou aux enregistrements stockés, il pourrait potentiellement envoyer des images au serveur d'un attaquant. Les recherches de Pamoutaf ne démontrent pas ce scénario, mais elles soulèvent des questions quant aux données auxquelles ce logiciel pourrait accéder.
Dans son message, elle a promis un suivi explorant d'autres façons potentielles d'attaquer les lunettes.
Comment rester en sécurité
Maintenez à jour le micrologiciel des lunettes et l'application Meta AI, et évitez les applications non officielles ou les modifications.
Si les lunettes connectées ne sont pour vous qu'un gadget de plus, laissez-les de côté. Si vous comptez sur elles comme aide à l'accessibilité, vous méritez une technologie qui vous soit utile sans compromettre votre vie privée ni celle d'autrui.
Les escrocs en savent plus sur vous que vous ne le pensez.
Malwarebytes Mobile Security Vous protège contre le phishing , les SMS frauduleux, les sites malveillants et bien plus encore. Grâce à sa protection anti-arnaques intégrée, basée sur l'IA et fonctionnant en temps réel.
