Getty Images
De nos jours, une écrasante majorité d’appareils portables intègrent des capteurs de lumière ambiante. Un grand pourcentage de téléviseurs et de moniteurs le font également, et cette proportion est en augmentation. Les capteurs permettent aux appareils d’ajuster automatiquement la luminosité de l’écran en fonction de la luminosité ou de l’obscurité de l’environnement. Cela réduit la fatigue oculaire et améliore la consommation d’énergie.
De nouvelles recherches révèlent que les capteurs de lumière ambiante intégrés peuvent, dans certaines conditions, permettre aux opérateurs de sites Web, aux créateurs d’applications et à d’autres d’intervenir sur les actions des utilisateurs qui étaient jusqu’à présent présumées privées. Une attaque de validation issue de la recherche, par exemple, peut déterminer les gestes tactiles qu’un utilisateur effectue sur l’écran. Les gestes, notamment les glissements à un doigt, les défilements à deux doigts, les pincements à trois doigts, les glissements à quatre doigts et les rotations à cinq doigts, peuvent tous être déterminés. À mesure que les résolutions d’écran et les capteurs s’améliorent, l’attaque risque de s’améliorer.
Capteurs toujours actifs, aucune autorisation requise
Il existe de nombreuses limitations qui empêchent l’attaque telle qu’elle existe actuellement d’être pratique ou de constituer une menace immédiate. Les plus grandes restrictions : il ne fonctionne que sur les appareils dotés d’un grand écran, dans des environnements sans lumière ambiante vive et lorsque l’écran affiche certains types de contenus connus de l’attaquant. La technique ne permet pas non plus de révéler l’identité des personnes devant l’écran. Les chercheurs du Massachusetts Institute of Technology reconnaissent volontiers ces contraintes, mais affirment qu’il est important que les fabricants d’appareils et les utilisateurs finaux soient conscients de la menace potentielle à venir.
« Nous visons à sensibiliser le public et suggérons que des mesures logicielles simples peuvent être prises pour rendre les capteurs de lumière ambiante plus sûrs, ce qui restreint l’autorisation et le débit d’information des capteurs de lumière ambiante », Yang Liu, doctorant de cinquième année et responsable auteur de l’étude, a écrit dans un e-mail. « De plus, nous souhaitons avertir les gens du risque potentiel en matière de confidentialité et de sécurité lié à la combinaison de composants passifs (capteurs) et actifs (écran) des appareils intelligents modernes, car ils deviennent « plus intelligents » avec davantage de capteurs. La tendance des appareils électroniques grand public à rechercher des écrans plus grands et plus lumineux peut également avoir un impact sur le paysage en poussant la menace relative à la confidentialité de l’imagerie vers la zone d’avertissement.
Il existe un grand nombre d’attaques existantes qui utilisent les capteurs des téléphones et autres appareils comme canal secondaire pouvant divulguer des informations privées sur les personnes qui les utilisent. Une attaque conçue par des chercheurs en 2013, par exemple, a utilisé la caméra vidéo et le microphone intégrés d’un téléphone pour deviner avec précision les codes PIN saisis. Des recherches menées en 2019 ont montré comment la surveillance de la sortie d’un accéléromètre et d’un gyroscope d’un appareil peut également permettre de deviner avec précision les PINS saisis. Des recherches de 2015 ont utilisé des accéléromètres pour détecter l’activité vocale et la corréler avec l’humeur. Et une attaque présentée en 2020 montre comment les accéléromètres peuvent reconnaître la parole et reconstruire les signaux audio correspondants.
Exacerber le risque potentiel : les données de ces capteurs sont toujours actives et ni Android ni iOS ne limitent les autorisations requises pour y accéder. Les utilisateurs finaux ne disposent que de peu de recours efficaces, voire aucun.
Les chercheurs du MIT complètent ce corpus existant avec une technique d’écoute clandestine qui permet de capturer des images approximatives d’objets ou d’événements se déroulant directement devant l’écran de l’appareil. L’appareil utilisé dans les expériences était un Samsung Galaxy View2, une tablette fonctionnant sous Android. Les chercheurs l’ont choisi en raison de son grand écran (17,3 pouces). Dans les conditions actuelles, de grands écrans sont nécessaires au bon fonctionnement de l’attaque car ils fournissent la grande quantité de luminosité nécessaire. Le Galaxy View2 offrait également un accès facile au capteur de lumière. Liu, chercheur au MIT, a déclaré que les appareils iOS et les téléviseurs équipés de capteurs de lumière d’une multitude de fabricants sont également probablement vulnérables.