Quand une caméra de surveillance TP-Link laisse traîner ses clés HTTPS partout…
Vous avez peut-être une caméra Tapo C200 qui tourne chez vous pour surveiller le chat, le bébé ou l’entrée. C’est mon cas et j’adore cette caméra mais j’ai une mauvaise à vous annoncer… Le chercheur en sécurité Simone Margaritelli (alias evilsocket) vient de passer 150 jours à la disséquer et le résultat n’est pas glorieux pour TP-Link.
Alors déjà, commençons par le plus gros WTF qu’il a découvert… la clé privée HTTPS de la caméra, ce truc censé être ultra-secret qui permet de chiffrer les communications. Et bien elle est hardcodée dans le firmware. C’est donc la même clé pour TOUTES les caméras du même modèle. Du coup, n’importe qui peut faire un Man-in-the-Middle et intercepter ce que vous voyez sur votre caméra. Ah on se met bien déjà là, hein ? ^^