Une ampoule connectée qui traîne dans un carton, ça a l’air aussi anodin qu’une vieille télécommande. Mais à l’intérieur de ce petit culot en plastique dort parfois un vrai trésor pour quelqu’un de mal intentionné : le nom de votre réseau Wi-Fi, la clé de chiffrement qui le protège, et dans certains cas les identifiants de votre compte sur l’appli du fabricant. Revendre une ampoule intelligente sans y penser deux fois, c’est un peu comme vendre son vieux téléphone sans faire de reset d’usine, sauf que presque personne ne pense à le faire pour une ampoule.
À retenir
- Une ampoule Wi-Fi peut mémoriser votre mot de passe réseau en texte brut
- Des chercheurs ont découvert comment extraire les identifiants depuis des modèles populaires
- La plupart des gens confondent simple redémarrage et réinitialisation d’usine
Ce qui se cache vraiment dans une ampoule connectée
Une ampoule Wi-Fi n’est pas un simple filament qui s’allume et s’éteint. C’est un mini-ordinateur avec une puce, de la mémoire flash et un firmware complet, capable de se connecter en permanence à votre box internet. Pour fonctionner, elle doit mémoriser le SSID de votre réseau et sa clé de chiffrement, exactement comme votre smartphone le fait pour chaque Wi-Fi que vous avez déjà utilisé chez des amis.
Le problème, c’est que ces informations ne sont pas toujours protégées avec le même sérieux qu’un vrai ordinateur. Un chercheur en sécurité connu sous le pseudo LimitedResults a démontré ça de façon assez spectaculaire sur une ampoule LIFX mini white : après avoir ouvert le boîtier à la scie et branché la puce interne sur un port USB, il a découvert que les identifiants Wi-Fi de l’utilisateur étaient stockés en texte brut, c’est-à-dire non chiffrés et parfaitement lisibles, dans la mémoire de l’ampoule. Pire, il a aussi pu extraire la clé de chiffrement privée de l’ampoule, ce qui aurait permis à n’importe qui de se faire passer pour l’utilisateur légitime et de contrôler la lumière à distance. LIFX a fini par corriger le tir : l’entreprise a publié un communiqué indiquant que les failles avaient été corrigées via des mises à jour de firmware et d’application diffusées fin 2018, les identifiants Wi-Fi étant désormais chiffrés.
Le cas Tapo qui a fait grincer des dents en 2023
Le cas LIFX n’est pas isolé, et surtout pas ancien dans les mémoires. En 2023, des chercheurs universitaires italiens et britanniques ont épluché l’ampoule TP-Link Tapo L530E, un modèle ultra populaire, et ont trouvé quatre vulnérabilités distinctes. Ces failles dans l’ampoule et son application mobile pouvaient être exploitées pour obtenir le mot de passe du réseau Wi-Fi local. La plus sévère, notée 8,8 sur 10 sur l’échelle CVSS, tenait à un manque d’authentification de l’ampoule avec l’application Tapo, ce qui permettait à un attaquant de se faire passer pour l’ampoule et de s’authentifier auprès de l’application. Concrètement, un attaquant situé à portée de l’ampoule et du réseau Wi-Fi local pouvait récupérer les identifiants Tapo de la victime, ainsi que ses identifiants Wi-Fi.
Le détail qui m’a le plus fait tiquer, c’est que cette faille ne demandait même pas que l’ampoule soit en train de se faire pirater activement en permanence. Le problème pouvait s’exploiter uniquement quand l’ampoule était en mode configuration, mais si elle était déjà connectée, l’attaquant pouvait lancer une attaque de désauthentification Wi-Fi répétée jusqu’à ce que l’utilisateur réinitialise l’ampoule. on pouvait forcer la main du propriétaire pour recréer artificiellement le moment de vulnérabilité. TP-Link a réagi plutôt vite : selon un porte-parole cité par TechHive, l’entreprise a « immédiatement » mis à jour l’application Tapo après avoir eu connaissance des failles en juin, l’app étant désormais diffusée dans sa dernière version sans vulnérabilité connue. Ça reste un excellent exemple de ce qui peut clocher sur des objets qu’on ne soupçonnerait jamais de représenter un risque.
Le vrai reset, celui qui compte, avant de vendre
Voici où le bât blesse dans mon anecdote de brocante en ligne. La plupart des ampoules connectées proposent deux types de réinitialisation, et la confusion entre les deux est la porte ouverte aux ennuis. Il y a d’abord la réinitialisation logicielle, qui ne fait que couper puis relancer temporairement la connexion sans toucher aux réglages enregistrés. Et il y a la réinitialisation d’usine, la seule qui efface réellement tout : selon TP-Link, une réinitialisation logicielle ne supprime pas les paramètres actuels, tandis qu’une réinitialisation d’usine supprime tous les paramètres personnalisés et les rétablit aux valeurs par défaut.
Sur les modèles Kasa ou Tapo, la manipulation reste accessible sans application : on allume et éteint l’ampoule plusieurs fois de suite, en respectant des pauses précises, jusqu’à ce qu’elle clignote pour confirmer le retour aux réglages d’usine. D’autres marques, comme Wemo, demandent une séquence légèrement différente d’allumages et d’extinctions à intervalles de cinq secondes. Le détail change d’un fabricant à l’autre, mais l’objectif est toujours identique : vider la mémoire de l’ampoule de tout ce qui la relie à votre réseau et à votre compte.
Ce que beaucoup de gens oublient, c’est l’étape côté application. Une ampoule réinitialisée physiquement peut malgré tout rester associée à votre compte cloud si vous ne l’avez pas retirée manuellement de la liste des appareils dans l’app. Chez Wemo par exemple, le retrait du cloud n’est utile que si l’appareil reste débranché longtemps, mais avant une revente, mieux vaut le faire systématiquement plutôt que de se fier au hasard du signal.
Les bons réflexes avant de refourguer son matos connecté
Ma petite mésaventure de brocante en ligne aurait pu tourner au vinaigre si j’avais simplement remis les ampoules dans leur boîte sans y toucher. La leçon vaut pour tout objet qui s’est un jour connecté chez vous : prises, thermostats, caméras, enceintes. Avant de les céder, changez le mot de passe Wi-Fi si le doute persiste, effectuez systématiquement le reset d’usine complet (pas le simple redémarrage), et supprimez l’appareil de votre compte dans l’application dédiée. Trois gestes qui prennent cinq minutes, contre des vulnérabilités qui, on l’a vu, ont déjà permis d’extraire des mots de passe Wi-Fi depuis du matériel censé n’être qu’un gadget lumineux.
Sources : tapo.com | tp-link.com