Sécurité des liseuses : lisez couverts !

Considérées à tort comme inoffensives, les liseuses – comme tout appareil électronique connecté – nécessitent un antivirus, sous peine d’être piratées. Si nous sommes sensibilisés et conscients de ne pas cliquer sur un lien malveillant reçu dans un mail étrange, il en revient au même pour des ebooks piratés. Dans cet article, Lettres Numériques vous explique les derniers cas en date, les dangers et les solutions.

Le numérique : une lecture pas toujours protégée

En février 2021 un danger de cybersécurité avec été détecté sur Kindle, par le chercheur de Check Point, Slava Makkaeveev, et corrigé en avril. Amazon ne s’était pas prononcé sur les possibles exploitations de ce bug, malgré les dizaines de millions d’utilisateurs concernés.

Cette faille concerne également l’envoi d’un ebook par mail ou d’un téléchargement illégal, ce qui permet au pirate de prendre directement de l’argent à sa victime. Cela est non sans rappeler le Danois qui profitait de la revente de manuels scolaires qu’il avait au préalablement piraté. Comme l’indique Actualitté, les pirates se servent de l’obligation d’achat pour les études de ces ouvrages, et commercialisent des versions illégales à des prix nettement inférieurs.

La liseuse : une cible facile pour les hackers

La nature fondamentale des liseuses représente un attrait et une cible facile pour les cybercriminels. En effet, les liseuses sont, à tort, considérées comme un appareil inoffensif. Toutefois, tout appareil connecté représente un cyberrisque, « tout particulièrement avec un objet aussi omniprésent que le Kindle d’Amazon », informe Yaniv Balmas, responsable des recherches en cybersécurité chez Check Point dans un article d’Actualitté.

Les solutions antivirus ne sont pas faites pour détecter les virus sur les ebooks. Dès lors, un ouvrage contenant un virus peut être publié et mis à disposition gratuitement dans n’importe quelle bibliothèque virtuelle, y compris la boutique Kindle, via le service d’autoédition. Ce qui fait qu’ouvrir ce document est similaire à cliquer sur un lien malveillant reçu par mail.

Afin de résoudre ce problème et combler la faille, Amazon a diffusé un nouveau firmware en avril, installé automatiquement au démarrage de tout Kindle connecté au Web.

Les dangers encourus : la suppression de la bibliothèque et la récolte de données privées

Tomber sur un ebook défaillant peut entraîner la suppression entière de la bibliothèque, mais également l’accès aux données privées de l’utilisateur, tel que le compte client, le numéro de carte bancaire, les cookies et les clefs privées de l’appareil concerné. Les hackers sont parfois en mesure de transformer le Kindle en un bot, susceptible d’exécuter des attaques à distance sur d’autres appareils connectés au Net, dans son foyer.

Tous les EPUB concernés : le côté plus technique

À la suite de l’étude d’un chercheur en sécurité informatique et d’une analyse des appareils de lecture numérique, toutes les liseuses sont concernées et sujettes à des failles significatives. Toutefois, il avait concentré sa recherche sur le format EPUB.

Les liseuses sont soumises aux mêmes vulnérabilités que celles des navigateurs Web par leur essence même. En effet, le format EPUB est codé à partir du XHTML et CSS, comme lesdits navigateurs. XHTML et CSS, kézako ? Le premier représente le langage de balisage qui permet la rédaction de ces pages Web. Le deuxième désigne un autre standard qui, appliqué au HTML, permet la création du design.

L’étudie continue en expliquant qu’alors, presque aucune des liseuses examinées qui prennent en charge du JavaScript ne respecte les recommandations de sécurité liées au format EPUB. Il est démontré que sur ces 97 appareils de lecture, 16 d’entre eux permettaient à un EPUB de divulguer des informations sur le système de fichiers de l’utilisateur, à 8 d’en extraire le contenu desdits fichiers. Ce qui représente une porte ouverte pour des hackers, leur permettant de compromettre sans difficulté l’ensemble des données du fait de ces failles.

Comme le montre l’étude, toutes les applications de lecture sont concernées, même celles qui n’utilisent pas le format. Si elles ne supportent pas le format EPUB, et donc ne permettent pas l’exécution d’un code malicieux passant par le JavaScript, un pirate pourra contourner ce point en toute facilité.

Afin de pallier ce problème, le respect des exigences de sécurité de l’EPUB, les mises à jour de l’iOS pour protéger l’iBooks d’Apple ou la réactivité d’Amazon à la suite des problèmes survenus en février sont de mises. Toutefois, le chercheur préconise de mettre en place des consignes plus pratiques sur les aspects de la sécurité et de la confidentialité lors de développement d’applications de lecture.

Ailleurs sur Lettres Numériques :

• Fraude et usurpation d’identité sur Kindle : les revers de l’autopublication
• bike, un YouTube littéraire très controversé
• Les plateformes d’autoédition, terrain de jeu privilégié des arnaqueurs ?

Retrouvez Lettres Numériques sur Twitter, Facebook et LinkedIn.

— Emiline Gambacorta