Les caméras Flock Safety tournent sous Android 8.1 et exposent une clé API en clair
Des chercheurs ont analysé le contenu d'une caméra de surveillance Flock Safety et découvert un système Android 8.1 obsolète ainsi qu'une clé API codée en dur, permettant d'accéder aux données de n'importe quel appareil du réseau.
Les caméras de surveillance de la société américaine Flock Safety, déployées dans de nombreuses collectivités, présentent des failles de sécurité majeures. L'analyse du contenu du disque d'un de ces appareils, relayée par le chercheur Micah Lee, révèle que ces dispositifs fonctionnent sous Android 8.1, une version du système d'exploitation publiée en 2017 et dont le support est depuis longtemps abandonné. Aucun des correctifs de sécurité publiés pour les versions ultérieures n'a été appliqué, laissant subsister un large éventail de vulnérabilités connues.
Le problème le plus grave ne réside toutefois pas dans l'obsolescence du système. Les caméras embarquent une clé d'interface de programmation (API) codée en dur, commune à l'ensemble du parc et facilement accessible. N'importe quel utilisateur un tant soit peu curieux peut s'en servir pour interroger une caméra Flock à partir de sa seule adresse MAC et en extraire des informations. Pour un produit vendu aux forces de l'ordre et présenté comme un outil de sécurité publique, cette négligence élémentaire surprend. Elle signifie que la protection des données captées ne repose sur aucun mécanisme robuste d'authentification ou de chiffrement propre à chaque appareil.
La question de la remédiation reste ouverte. Corriger ces défauts supposerait de déployer une mise à jour logicielle capable de désactiver la clé compromise sans interrompre le fonctionnement du réseau. Une telle opération n'est possible que si Flock Safety dispose d'un mécanisme de mise à jour ciblée par appareil, ce qui n'est pas établi. L'équipe chargée de ce chantier devra composer avec des équipements anciens, disséminés sur le terrain, et dont la mise à jour à distance peut s'avérer complexe. En l'état, la clé reste exploitable tant qu'elle n'a pas été révoquée.
Ces révélations s'inscrivent dans un contexte de controverse croissante autour des caméras Flock Safety. Plusieurs collectivités ont commencé à s'interroger sur le potentiel intrusif de ces dispositifs, et des cas d'abus d'accès par des professionnels de l'application des lois ont été signalés. La découverte d'une architecture de sécurité défaillante ajoute une dimension technique à un débat déjà vif sur la surveillance de l'espace public et la protection de la vie privée. Elle illustre aussi les risques liés à l'adoption rapide de technologies de surveillance dont les fondations logicielles n'ont pas été conçues avec le niveau d'exigence qu'impose leur usage.
Flock Safety, fondée en 2017, année de sortie d'Android 8.1, n'a pas communiqué sur les mesures correctives envisagées. Les investigations pourraient mettre au jour d'autres faiblesses, tant la conception de ces caméras semble avoir privilégié la rapidité de déploiement sur la robustesse. Pour les collectivités équipées, la prudence commande de vérifier l'usage réel de ces appareils et de s'assurer que les données collectées ne sont pas exposées à des tiers mal intentionnés. Le débat sur la surveillance connectée ne fait que commencer.
