Un collectif de hackers baptisé stegan0gram a décroché une caméra Flock Safety installée au-dessus d'une route américaine, a copié l'intégralité de son stockage interne et a transmis les fichiers aux médias américains 404 Media et Wired. Flock, pour situer, équipe la police américaine en lecteurs automatiques de plaques d'immatriculation, avec plus de 120 000 caméras réparties dans quelque 6 000 villes.
À l'intérieur, plusieurs zones de stockage (des partitions, dans le jargon) n'étaient pas chiffrées du tout, et l'une d'elles contenait, posée en clair, la clé censée protéger les enregistrements. Autrement dit, la serrure et la clé rangées dans la même boîte.
Côté données, c'est un carnage : plus de 27 000 clips vidéo d'une à deux secondes, 1,6 million d'images accumulées en trois semaines, le tout correspondant à environ 50 000 véhicules. Une voiture moyenne déclenche 28 photos à chaque passage, et certaines dépassent la centaine.
Sauf que la machine ne se contente pas de lire des plaques. Le logiciel repère aussi les piétons et les vélos, avec position et score de confiance, et isole des détails comme un autocollant de pare-chocs ou l'écusson à drapeau américain cousu sur le sac d'un motard. Vous pouvez donc figurer dans la base sans avoir jamais conduit.
La caméra tourne sous Android 8.1, un système sorti en 2017 et abandonné depuis des années avec son lot de failles connues jamais corrigées, et une clé d'accès codée en dur permettait de récupérer des informations sur n'importe quel appareil du réseau à partir de sa simple adresse MAC, l'identifiant réseau de la caméra.
Les journaux internes débordaient au passage d'erreurs et de plantages, avec quelques beaux faux positifs, genre un drapeau pris pour une plaque d'immatriculation. Pour du matériel vendu aux polices municipales, ça fait quand même désordre.
Flock, qui met en avant du chiffrement embarqué dans sa communication, a répondu que décrocher une de ses caméras était illégal et que personne n'avait rien signalé via son programme de divulgation de failles. C'est un peu court comme réponse.
Le moment est d'autant plus délicat que des villes américaines résilient déjà leurs contrats après des abus documentés, un policier qui traquait son ex ou des recherches justifiées par un simple "LMAO" dans le registre, et que deux élus du Congrès ont déposé un texte baptisé No FLOCK Act pour retirer 10 % des fonds routiers fédéraux aux États qui n'encadrent pas ces caméras.
En Californie, une ville a même découvert que Flock réinstallait discrètement ses caméras après la résiliation du contrat. Ambiance.
Source : Hackaday
