Contexte de la compromission

L’enquête révèle que des acteurs malveillants ont pénétré le système de caméras de surveillance commercialisées sous la marque Flock. Les données récupérées comprennent les journaux d’accès, les métadonnées de configuration et plusieurs flux vidéo en clair. L’article indique que l’intrusion a été rendue possible par l’exposition d’une interface API interne, accessible sans authentification forte.

Architecture du dispositif

Chaque caméra embarque un firmware basé sur Linux, exécutant un serveur HTTP qui expose des points d’accès REST pour la configuration et le streaming. Le flux vidéo est diffusé via le protocole RTSP sur le port 554, tandis que les paramètres de la caméra sont stockés dans un fichier JSON accessible via /api/v1/config. Les caméras synchronisent leurs enregistrements avec un service cloud propriétaire, utilisant des jetons d’accès générés à l’inscription du dispositif.

Analyse des vulnérabilités exploitées

Le rapport souligne trois faiblesses majeures : premièrement, l’absence de chiffrement TLS sur les requêtes HTTP, ce qui permet l’interception et la manipulation du trafic. Deuxièmement, l’API accepte des requêtes d’administration sans vérifier la validité du jeton, ce qui autorise un accès complet aux paramètres et aux flux. Troisièmement, le firmware ne désactive pas le port SSH par défaut, laissant une porte d’entrée potentielle pour des attaques par force brute. Les logs montrent des tentatives de connexion répétées depuis des adresses IP géolocalisées hors du périmètre attendu, indiquant une recherche automatisée de ces vecteurs.

Implications et mesures d’atténuation

Cette compromission démontre que la chaîne d’approvisionnement d’une caméra IoT peut être vulnérable même lorsqu’elle repose sur un service cloud centralisé. L’exposition du flux vidéo en clair constitue un risque de vie privée important, surtout dans des environnements résidentiels ou commerciaux. Pour réduire la surface d’attaque, il est recommandé de forcer le chiffrement TLS sur toutes les communications, d’imposer une authentification à deux facteurs pour l’accès à l’API, et de désactiver les services d’administration non nécessaires (SSH, telnet). Enfin, la mise à jour régulière du firmware avec des correctifs de sécurité doit être rendue obligatoire, idéalement via un mécanisme de mise à jour signé.