La caméra et les capteurs trahissent le propriétaire d'un téléphone

Un malware capable de prendre des séries de cliché de ce que voit la caméra d'un mobile et de comprendre leur localisation via les capteurs permettrait de reconstituer l'environnement d'une personne.

La caméra et les capteurs de son téléphone pourraient bien être les meilleures voies d'entrée dans l'environnement privé des individus. Voilà le constat de l'équipe du professeur Robert Templeman, de la School of Informatics and Computing Indiana University et celle de David Crandally, du Naval Surface Warfare Center. Les chercheurs, afin de creuser cette piste, ont tout simplement décidé de combattre le mal par le mal : ils ont mis au point un logiciel malveillant, PlaceRaider, capable de s'inviter sur un téléphone lambda et de faire prendre à la caméra de multiples photos et de capter différentes données en utilisant les  du téléphone, le tout permettant de recréer ensuite un endroit en trois dimensions. Le but : obtenir des informations privées comme des codes, des informations sur ses déplacements... Evidemment, cette possibilité reste assez alambiquée. Mais elle permet de se rendre compte des potentielles combinaisons qui peuvent être réalisées pour pirater des données privées. Pour infiltrer le système sur le téléphone, les chercheurs en ont fait un cheval de Troie, camouflé au sein d'une quelconque application Android permettant d'améliorer ses photographies.

Puiser des informations via la caméra et les capteurs

Ce qui lui permet de faire des demandes d'accès à l'appareil photo et pour se connecter au réseau, qui lui sont accordées. Une fois embarqué, il prend des successions de photographies, quand la personne utilise son téléphone, le prend en main, le pose... Il est ainsi possible d'obtenir des bribes d'informations sur le lieu où elle est, les documents sur sa table, etc. Il détourne aussi les fonctions des accéléromètres, gyroscopes et magnétomètres du mobile, afin de capter la position du téléphone, l'orientation... A noter que le logiciel mis au point intègre une option qui lui permet de ne pas envoyer les clichés considérés comme inintéressants (le système rejette les images monochromes, qui supposent que le téléphone est posé sur une surface, l'écran contre celle-ci, mais aussi celles floues, ou qui n'embarquent pas assez d'éléments. Il serait aussi capable d'écarter les images redondantes). Les chercheurs, qui reçoivent tous ces clichés et les données liées, ont parallèlement mis au point un logiciel qui intègre toutes ces informations et reconstitue une image en 3D de la pièce dans laquelle se trouve la personne.

Des pare-feu existants

Libre ensuite aux personnes malveillantes de naviguer dans cet espace et de zoomer sur ce qui les intéresse. Le système, une fois mis au point, a été testé auprès de deux utilisateurs. La première était une volontaire qui travaille de chez elle. Via les différents clichés, le faux pirate a pu identifier l'adresse de l'utilisatrice sur un document, et son emploi du temps sur un calendrier. Pourquoi mettre au point des systèmes capables d'exploiter des failles - même s'ils sont jusqu'au boutistes ? Pour justement éviter qu'elles ne se produisent réellement, tout ou partie. Du coup, les chercheurs proposent plusieurs solutions, d'usages et techniques, pour contrecarrer ces éventuelles attaques. La première est simple : rappeler à l'utilisateur de ne télécharger que des applications dont l'éditeur est fiable, par exemple. Ou souligner également la possibilité d'obliger la mise en place de systèmes d'autorisation d'accès devant être validées. Ou encore la généralisation de systèmes de demande de validation d'un cliché à l'utilisateur