Les robots Unitree exposés à une faille de sécurité permettant d'en prendre le contrôle

En matière de cybersécurité, les systèmes robotiques sont loin d'être infaillibles. Dans un rapport publié le 20 septembre sur GitHub, les chercheurs en sécurité Kevin Finisterre et Andreas Makris expliquent avoir découvert une vulnérabilité critique dans une interface de configuration Bluetooth utilisée par les robots humanoïdes (G1 et H1) et quadrupèdes (Go2 et B2) d'Unitree.

Clés de chiffrement codées en dur

Comme de nombreux fabricants de robots, Unitree utilise une connexion Bluetooth à basse consommation (BLE) initiale pour simplifier la configuration d'une connexion Wi-Fi. En principe, les paquets BLE sont chiffrés, mais les clés de chiffrement sont codées en dur et ainsi facilement découvrables. Elles ont été publiées cet été par l'un des chercheurs sur X (ex-Twitter). Le simple chiffrement d'une chaîne "unitree" avec ces clés permet d'obtenir l'accès à la configuration.

Il suffirait donc à un acteur malveillant de définir un SSID ou un mot de passe Wi-Fi contenant des commandes malveillantes pour que le code soit exécuté sans validation au moment où le robot tente une connexion Wi-Fi. Plus inquiétant encore, cet exploit pourrait permettre à un cybercriminel de prendre le contrôle de l'appareil, voire infester d'autres robots afin de créer un botnet… physique.

Des données de télémétrie exfiltrées toutes les cinq minutes

Dans une autre étude mise à jour le 23 septembre, ces chercheurs affirment que le robot humanoïde Unitree G1 pouvait être utilisé comme une “plateforme active de cyberopérations”. “Le robot fonctionne comme un cheval de Troie, exfiltrant en continu des données de télémétrie de capteurs multimodaux et d'état de service vers cette URL toutes les 300 secondes sans préavis de l'opérateur, créant ainsi des violations des articles 6 et 13 du RGPD”, expliquent les chercheurs. Il peut s'agir de données relative au roulis, à la température, mais aussi à la batterie, au processeur et à l'utilisation de la mémoire.

“Si vous autorisez votre robot à se connecter au réseau, seules les informations produit de base (comme son état et son numéro de série) peuvent être envoyées aux serveurs (à Singapour ou sur des serveurs locaux) après connexion”, se défend Unitree dans un communiqué publié le 29 septembre sur sa page LinkedIn. Sur la faille de sécurité, la société chinoise ajoute avoir “commencé à corriger ces problèmes et appliqué la plupart des correctifs. Ces mises à jour seront bientôt disponibles.”

Unitree prépare son introduction en Bourse

Les chercheurs recommandent aux fabricants robotiques de ne jamais utiliser de clés codées en dur mais d'instaurer à la place un processus cryptographique unique pour chaque appareil. Ils conseillent également de mettre en place plusieurs couches de sécurité sur ces systèmes, de vérifier les entrées utilisateur et de réaliser des pentests régulièrement.

Fondée en 2016, Unitree a atteint une valorisation de plus de 10 milliards de yuans (1,2 milliard d'euros) lors de sa levée de fonds en juin, réalisée avec le soutien de Tencent, Alibaba et Geely. En dehors de ses robots chiens dédiés à la sécurité et à l'inspection industrielle, Unitree s'est récemment illustrée dans le développement de robots humanoïdes. La société a dévoilé fin juillet R1, un appareil doté de 26 articulations et coûtant seulement 5900 dollars (5020 euros). Elle devrait entrer en Bourse d'ici à la fin de l'année.