Les compteurs allemands trop bavards?

Quand il a pénétré dans la salle de conférence du 28ème Chaos Computing Congress de Berlin, le 30 décembre dernier, le PDG de la société allemande Discovergy avait probablement le coeur qui battait un peu plus vite qu’à l’habitude. Autour de lui, des hackers chevelus habillé en T-shirt et en jeans étaient venus écouter comment deux d’entre eux avaient réussi à pirater le produit fétiche de son entreprise : un compteur électrique intelligent lancé un an plus tôt.

Dario Carluccio et Stephan Brinkhaus avaient tout simplement réussi à intercepter les données émises par leur compteur, via Internet, et les avait même modifiées. Tout cela en deux jours, sans même utiliser un tournevis.

Il faut dire que le niveau de sécurité de l’entreprise allemande était tout simplement pathétique. À la suite d’un problème de configuration de leur site Internet, il suffisait de quelques clics pour obtenir la totalité des données de consommation d’électricité d’un utilisateur, mais également ses mots de passe ! Pire : ces données clients, qui étaient censées être détruites au bout de trois mois, étaient archivées sur le site in extenso.

Enfin, en utilisant un simple programme tournant sur Windows, il était possible de créer un flux de données fictives. C’est ce que nos pirates se sont ingéniés à faire, obtenant une consommation d’électricité négative de -106610 kWh ! S’ils n’avaient pas révélé leur performance, peut-être qu’ils auraient reçu de l’argent de leur fournisseur !

À partir des fichiers récupérés, les pirates se sont également amusés à essayer de faire parler les chiffres. La particularité du compteur Discovergy, c’est d’envoyer une information toutes les deux secondes. Cela permet à la société d’analyser les usages de ses clients et de leur garantir une économie de plusieurs centaines d’euros grâce à des conseils personnalisés.

Mais cette information est tellement complète qu’elle peut poser des problèmes de confidentialité si elle est interceptée. En traitant le signal avec un logiciel, on peut ainsi repérer la signature électronique des images affichées par la télévision du foyer. En les comparant avec une base de données de films, vous pouvez théoriquement déterminer le programme regardé.

La signature d'un film regardé la télévision peut se lire dans les données de consommation électrique

Lors de la séance de questions-réponses qui a suivi l’exposé des deux geeks, le PDG de Discovergy a pris son courage à deux mains et à révélé son identité, sous les quolibets de la salle !

Critiqué en raison de la grande quantité de données recueillies par ses compteurs, Nikolaus Starzacher a défendu son modèle économique, en rappelant que les consommateurs chez lui étaient tous volontaires, motivés par la perspective d’économiser de l’argent et de bénéficier des possibilités des Smarts Grids.

En enregistrant le niveau de consommation de ses clients toutes les deux secondes, il peut obtenir un véritable audit à distance. Et même leur recommander de changer un frigo trop gourmand, ou les alerter via leur mobile s’ils ont laissé un radiateur allumé en partant. A terme, il compte aller jusqu’à leur prescrire des changements de prestataires. En effet en Allemagne, le service de compteur intelligent est indépendant des fournisseurs d’électricité.

Il a toutefois reconnu que son système avait été très mal sécurisé, et a promis une version modifiée, qu’il fera tester par les hackers eux-mêmes. Le compteur d’ERDF Linky sera aussi testé par la communauté des pirates informatiques lors de son déploiement à partir de 2013, même si sa technologie est différente, et qu’il ne transmet pas autant de données. Nul doute que cette expérience servira de leçon !

 
Remonter à la source :
Smart Hacking for Privacy