Quatre affaires de sécurité sans rapport entre elles ont éclaté ces dernières semaines. Un chercheur a découvert qu'une alarme automobile après-vente appelée KARR — installée dans plus de 2 millions de véhicules selon les estimations — peut être déverrouillée, désarmée ou désactivée en silence par n'importe qui se trouvant à portée Bluetooth. Un chercheur en menaces de Bitsight a découvert qu'un boîtier de streaming bon marché très répandu, le H96, loue discrètement depuis des années la connexion internet de ses propriétaires et clique sur des publicités frauduleuses tout en se faisant passer pour un téléphone mobile. Un pirate a plaidé coupable pour des violations de données touchant plus de 100 millions de personnes, s'étant introduit non pas grâce à une faille ingénieuse, mais grâce à des mots de passe clients qui traînaient depuis une infection par un infostealer survenue des années plus tôt, sur des comptes où l'authentification multifacteur n'avait jamais été activée. Et des chercheurs ont démontré qu'un logiciel malveillant peut, dans certaines conditions, extraire les clés d'accès (passkeys) synchronisées via Google Password Manager — le système même que beaucoup d'entre nous ont adopté précisément pour échapper aux risques liés aux mots de passe.

Prises isolément, ce sont quatre catégories de problèmes différentes : une faille matérielle, un stratagème de fraude dans la chaîne d'approvisionnement, une violation de données en entreprise et un problème d'implémentation cryptographique. Mais elles partagent une cause profonde qui n'a rien à voir avec la technologie en jeu. Dans chaque cas, l'élément vulnérable a été installé, activé ou créé une seule fois — et personne n'y a plus jamais prêté attention.

Le schéma caché derrière les gros titres

La dette de sécurité s'accumule précisément dans les endroits où l'on cesse d'être attentif. Une alarme de voiture est installée dans le cadre d'un pack d'options chez le concessionnaire et on n'y repense plus jamais, jusqu'au jour où c'est la raison pour laquelle votre voiture s'est retrouvée entre les mains de quelqu'un d'autre. Un boîtier de streaming est branché à la télévision, fonctionne bien pendant des années et n'éveille jamais aucun soupçon, puisqu'il continue de diffuser ce qu'on lui demande — le trafic de fraude publicitaire et le partage de bande passante se produisent invisiblement en parallèle. Un identifiant de connexion est créé, fonctionne pour une invite de connexion, puis dort dans une base de données pendant des années après que l'appareil qui l'a divulgué est depuis longtemps oublié, car changer un mot de passe auquel on ne pense plus n'est une tâche que personne ne note dans son agenda. Une clé d'accès (passkey) est configurée spécifiquement pour être « plus sûre qu'un mot de passe », et cette réputation devient une raison de ne plus se soucier de ce qui protège l'appareil sur lequel elle réside.

Aucun de ces cas n'a nécessité un attaquant sophistiqué découvrant une faille inédite que personne n'avait anticipée. L'alarme de voiture et le vol de clés d'accès ont bien impliqué une véritable recherche technique. Mais ce qui a réellement permis aux dégâts de se produire à grande échelle, c'est l'écart entre « configuré une fois » et « jamais réexaminé ».

Un audit de 20 minutes sur ce que vous possédez déjà

Vous n'avez besoin ni d'acheter quoi que ce soit ni de devenir quelqu'un d'autre pour combler l'essentiel de cet écart. Il vous suffit de passer une fois en revue les catégories ci-dessus, en les traitant comme une corvée récurrente plutôt que comme une tâche de configuration ponctuelle.

1. Les appareils après-vente et accessoires ajoutés

Faites le tour de tout ce qui a été installé par un tiers plutôt qu'intégré d'origine — alarmes de voiture, caméras embarquées, serrures connectées, traceurs après-vente. Vérifiez sur l'application ou le site du fabricant s'il existe un mécanisme de mise à jour du micrologiciel, et exécutez-le réellement. Pour l'alarme KARR en particulier, les chercheurs ont signalé qu'un indice visuel facile à repérer est un autocollant « KARR » sur la vitre côté conducteur ; si vous en avez un, renseignez-vous auprès de l'installateur ou du fabricant au sujet d'un correctif avant de supposer que tout va bien. L'habitude plus générale à adopter : tout appareil doté d'un module radio et d'une application du fabricant est un appareil qui nécessite un entretien occasionnel, au même titre que votre téléphone ou votre ordinateur portable.

2. Tout ce qui est branché sur votre télévision

Les boîtiers de streaming génériques vendus sur des places de marché sous des noms comme H96, souvent présentés avec un paiement unique pour un contenu « illimité », méritent un examen approfondi. Si vous en possédez un, comprenez que le risque ne se limite pas au contenu piraté — l'appareil lui-même pourrait bien se comporter comme un second ordinateur sur votre réseau, avec son propre agenda. Si vous ne pouvez pas vérifier ce qu'un appareil fait sur votre réseau, et qu'il provient d'une marque inconnue promettant quelque chose de trop beau pour son prix, c'est une raison suffisante pour l'isoler sur un réseau invité ou le remplacer par un appareil de streaming grand public d'une entreprise ayant une réputation à préserver.

3. Les vieux mots de passe, en particulier ceux réutilisés ou dormants

La violation liée au plaidoyer de culpabilité du pirate associé à Snowflake n'a pas été causée par une faille de la plateforme. Elle a été causée par des identifiants collectés des années plus tôt par un logiciel malveillant sur l'ordinateur de quelqu'un, des identifiants que personne n'avait renouvelés, sur des comptes où l'authentification multifacteur avait été désactivée. C'est un mode de défaillance entièrement évitable, et il est courant : tout compte que vous avez configuré une fois et auquel vous vous connectez rarement est exactement le genre de compte susceptible de reposer, à l'heure actuelle, sur un mot de passe divulgué vieux de plusieurs années. Si votre gestionnaire de mots de passe propose une vérification des violations ou de la réutilisation, effectuez-la. Si un compte permet l'authentification multifacteur et qu'elle est désactivée, activez-la — cette seule mesure aurait suffi à stopper l'intrusion qui a exposé les données de plus de 100 millions de personnes.

4. Le compte qui protège vos clés d'accès

Les clés d'accès constituent une réelle amélioration par rapport aux mots de passe pour le problème spécifique du hameçonnage et de la réutilisation. Mais la récente recherche sur le vol de clés d'accès synchronisées via Google Password Manager nous rappelle utilement qu'une clé d'accès n'a rien de magique — elle hérite de la sécurité du compte et de l'appareil à travers lesquels elle est synchronisée. Cela signifie que le compte qui héberge votre gestionnaire de mots de passe ou votre synchronisation de clés d'accès mérite la protection la plus forte dont vous disposiez : un code d'accès fort et unique sur l'appareil lui-même, l'authentification multifacteur sur le compte qui assure la synchronisation, et une vigilance quant à ce que vous installez sur cet appareil, puisque la recherche en question repose sur un logiciel malveillant déjà en cours d'exécution sur la machine, et non sur une faille que l'on pourrait « corriger » dans les clés d'accès elles-mêmes.

Pourquoi il vaut mieux s'en occuper maintenant plutôt que plus tard

Aucune de ces quatre affaires ne décrit une menace qui doit vous faire paniquer aujourd'hui. Mais toutes les quatre décrivent des menaces qui se sont développées pendant des mois, voire des années, précisément parce que personne n'y est revenu. La solution n'est ni un nouvel outil ni un abonnement — c'est de choisir un moment récurrent, peut-être associé à une habitude que vous avez déjà, comme vérifier votre relevé bancaire, pour vous poser une question un peu ennuyeuse sur les choses que vous possédez déjà et auxquelles vous faites déjà confiance : quand ai-je vérifié cela pour la dernière fois, et quelqu'un d'autre que moi a-t-il encore une raison de le surveiller ?