Ouvrir le menu principal

iGeneration

Recherche

Les vidéos des caméras Eufy sont bien envoyées dans le nuage sans que l'utilisateur ne soit au courant

Félix Cattafesta

vendredi 02 décembre 2022 à 18:00 • 65

Domotique

Ça se complique pour Eufy. Le fabricant commercialise des caméras connectées pour lesquelles il affirme que toutes les vidéos sont stockées localement et partagées de manière chiffrée. Il semblerait pourtant que les images des caméras soient accessibles à distance à partir d'un simple flux vidéo à entrer dans un logiciel comme VLC.

Eufy Indoor Cam 2K.

En début de semaine, le constructeur de caméras connectées a été accusé de transférer automatiquement des données sur ses serveurs, même lorsque les fonctions de stockage dans le nuage sont désactivées. Le chercheur en sécurité Paul Moore affirmait même qu'il était possible de démarrer un stream à distance, et cela sans aucun identifiant ni mot de passe. Le fabricant a immédiatement démenti cette accusation, mais a reconnu envoyer certaines données dans le nuage.

The Verge s'est adonné à quelques tests et confirme la faille : les journalistes ont pu visionner des images provenant de leurs caméras Eufy à distance via un flux lancé sur VLC. Cela prouve qu'Eufy a bien un moyen de contourner le chiffrement et d'accéder à ses caméras « sécurisées » par le cloud.

Si les journalistes ont obtenu le flux en utilisant une méthode impliquant de connaître leurs identifiants, ils affirment que l'adresse se compose en grande partie du numéro de série des caméras encodé en Base64. Autrement dit, il n'est pas bien compliqué de le décoder avec de simples outils en ligne.

De plus, ces numéros de série sont rarement cachés : ils sont parfois directement présents sur la boîte de certains produits. Une personne mal intentionnée pourrait aller noter les numéros en magasins, ou encore revendre des caméras dont elle a réussi à extraire les adresses des flux. Heureusement, les numéros de série ne se suivent pas : il ne sera pas possible d'en deviner plusieurs à la chaîne.

L'adresse se compose ensuite d'un horodatage Unix ainsi que d'un token que les serveurs d'Eufy ne semblent pas valider : là non plus, rien de bien compliqué pour d'éventuels pirates. Il utilise enfin un hexadécimal aléatoire à quatre chiffres qui pourrait facilement être forcé (65 536 combinaisons). Les choses semblent bouger du côté du fabricant, et The Verge explique que certaines méthodes ont été bloquées depuis la diffusion de l'article, mais qu'une des adresses de flux continue de fonctionner.

Page produit de la caméra Eufy Security 2K sur Amazon.

Cet article vient s'ajouter aux critiques pointées par Paul Moore en début de semaine. Le chercheur en sécurité affirmait notamment que la clef de chiffrement utilisée par Eufy était simplement « ZXSecurity17Cam@ » et que des données (comme les vignettes photo) étaient envoyées sur les serveurs d'Eufy sans demander le consentement de l'utilisateur.

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

Faux mails : le guide pour sécuriser vos données 📍

09:29


Promos : l'iPad A16 à 340 € et l'Apple Watch Series 9 à 290 €

09:24

• 3


Une caméra sur l'Apple Watch, mais pour quoi faire ?

08:58

• 29


Apple et le changement d’heure, une longue liste de ratés

29/03/2025 à 20:00

• 73


Sortie de veille : WWDC 2025, l’édition de tous les risques ?

29/03/2025 à 15:44

• 18


Mon écran d’accueil : Stéphane et la nostalgie des anciens systèmes

29/03/2025 à 11:00

• 20


Une RC2 pour iOS 18.4 et iPadOS 18.4, avec Apple Intelligence 🆕

28/03/2025 à 18:36

• 75


iOS 19 : un App Clip pour essayer le nouveau design inspiré du Vision Pro

28/03/2025 à 18:00

• 26


FaceTime peut dans certains cas laisser fuiter votre adresse IP et celle de votre correspondant

28/03/2025 à 16:10

• 8


Medici.tv se dote d’une application pour Apple TV

28/03/2025 à 14:41

• 6


Switch : Nintendo lance un nouveau système de partage familial pour les jeux de l’eShop

28/03/2025 à 13:30

• 10


Les précommandes de la Switch 2 pourraient ouvrir mercredi prochain

28/03/2025 à 12:00

• 30


Test du Gamebaby : une coque qui transforme (mal) votre iPhone en Game Boy

28/03/2025 à 10:33

• 13


Test du BenQ MA270U : un écran 4K pensé pour le Mac

28/03/2025 à 09:30

• 19


Xhamster et Tukif toujours disponibles en France, protégés du gourdin français par la législation européenne

28/03/2025 à 09:30

• 60


Promo : le stock se réduit pour l'iPhone 16 à 771 € (-198 €)

28/03/2025 à 07:08

• 1