Presque tous les routeurs Wi-Fi domestiques testés dans une étude de masse par le célèbre Institut Fraunhofer en Allemagne présentaient de graves failles de sécurité qui pourraient facilement être corrigées par les fabricants de routeurs, indique un rapport récemment publié.« Presque tous ont été identifiés comme présentant des failles de sécurité, dont certaines très graves », a déclaré l'Institut Fraunhofer dans un communiqué de presse. « Les problèmes vont des mises à jour de sécurité manquantes aux mots de passe facilement déchiffrés et codés en dur sans oublier les vulnérabilités connues qui auraient dû être corrigées depuis longtemps ».
À l'aide de son propre logiciel d'analyse, l'institut a testé le dernier micrologiciel disponible pour 117 modèles Wi-Fi domestiques actuellement vendus en Europe, y compris les routeurs ASUS, D-Link, Linksys, Netgear, TP-Link, Zyxel et la petite marque allemande AVM . Les modèles eux-mêmes n'ont pas été testés physiquement.
Une liste complète des modèles et micrologiciels testés se trouve sur GitHub. L'institut n'a pas pu examiner le micrologiciel de 10 autres modèles, principalement de Linksys. Le rapport note que de nombreuses mises à jour du firmware sont publiées sans corriger les failles connues.
Étant donné que l'étude a commencé fin mars et s’est intéressée aux micrologiciels disponibles le 27 mars, elle n'a pas inclus pas les dizaines de correctifs de micrologiciel que Netgear a publiés fin juin pour corriger une série de failles.
Pendant ce temps, les routeurs Huawei n'ont pas été examinés parce que la société ne rend pas son micrologiciel de routeur accessible au public, et les routeurs et passerelles émis par les FAI n'ont pas été examinés parce que les FAI externalisent le développement du micrologiciel à de nombreux tiers.
Bien entendu, il ne s’agit pas de la première enquête du genre. Une étude distincte sur la sécurité des routeurs a fourni un rapport tout aussi désastreux en décembre 2018, mais il n’y a pas eu beaucoup d'amélioration u cours des 18 mois suivants.
Comment pouvez-vous protéger votre routeur ?
Alors que pouvez-vous faire ? Vous pouvez vous assurer que le prochain routeur que vous achetez installe automatiquement les mises à jour du firmware. Vous pouvez vérifier si votre routeur actuel le fait ou facilite l'installation manuelle des mises à jour du micrologiciel.
Vous devez également vous assurer que le mot de passe administrateur de votre routeur a été modifié par rapport au mot de passe par défaut. Vous devez également vérifier son interface d'administration pour vous assurer que UPnP et l'accès à distance sont désactivés.
Et si votre routeur a été mis à la vente pour la première fois il y a plus de 5 ans, envisagez d'acheter un modèle plus récent à moins qu'il ne réponde à tous les critères ci-dessus. Alternativement, vous pouvez essayer de « flasher » votre ancien routeur pour exécuter un firmware de routeur open source plus sécurisé tel que OpenWrt, DD-WRT ou Tomato.
Le pire
AVM est sorti de loin le meilleur parmi les sept fabricants examinés, même s’il n'était pas sans défauts. ASUS et Netgear ne s’en sont pas bien sorti, mais leurs résultats étaient moins terribles que ceux de D-Link, Linksys, TP-Link et Zyxel.
Les failles comprenaient un firmware obsolète (le DSL-321B Z de D-Link n'avait pas été mis à jour depuis 2014), des kernel Linux obsolètes (le Linksys WRT54GL utilise un noyau de 2002), un échec de la mise en œuvre de techniques de sécurité communes (AVM a fait mieux que les autres ici), des clés privées secrètes intégrées dans le firmware ce qui fait que tout le monde pouvait les trouver (le Netgear R6800 en avait 13) et des noms...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.