La sécurité des données cérébrales, collectées par électroencéphalographie (EEG), est une préoccupation croissante alors que ces technologies sortent des laboratoires pour envahir notre quotidien. Alejandro Hernández, consultant principal chez IOActive, tire la sonnette d’alarme : les pirates informatiques pourraient bientôt exploiter les failles des dispositifs EEG, transformant des outils médicaux en vecteurs de cyberattaques.
« Le risque est que des attaquants se retrouvent entre les ondes cérébrales et le matériel médical, et la situation ne fera qu’empirer », a averti Hernández. Il révèle que la possibilité de copier, modifier, voire supprimer les signaux cérébraux enregistrés par EEG est déjà une réalité. Si les hôpitaux commencent à peine à prendre des mesures de protection, les appareils grand public et certains équipements hospitaliers présentent des vulnérabilités dangereuses.
Initialement cantonnée aux hôpitaux et aux laboratoires pour diagnostiquer des affections telles que l’épilepsie ou les troubles du sommeil, l’EEG fait désormais son apparition dans des casques légers et d’autres appareils encore expérimentaux. Ces avancées ouvrent des perspectives fascinantes, allant de l’évaluation des capacités mentales de criminels à la création d’interfaces cerveau-cerveau permettant de transmettre des pensées via Internet, voire de piloter des drones par la pensée.
Cependant, avant d’atteindre ces horizons futuristes, il est impératif de « verrouiller les clés de l’EEG », insiste Hernández. Après un an de recherches, il a identifié de nombreuses lacunes dans les équipements EEG. Il préconise d’ailleurs que les données cérébrales enregistrées soient considérées comme des informations confidentielles et, par conséquent, cryptées.
Si les machines de qualité hospitalière, coûteuses et complexes, restent relativement à l’abri des hackers peu équipés, les kits domestiques, tels que l’outil MindWave vendu pour environ 70 euros (80 dollars américains), recèlent des failles critiques. Le consultant mentionne notamment le vol de flux de données, les failles applicatives, les attaques de l’homme du milieu et les dénis de service. L’expertise requise pour exploiter ces vulnérabilités n’est, selon lui, ni rare ni inaccessible pour un pirate déterminé.
La semaine dernière, Hernández a lui-même démontré une attaque de l’homme du milieu en direct sur ses propres signaux cérébraux, en utilisant le logiciel libre EEG NeuroServer. Il compare cette situation à celle des réseaux SCADA il y a quelques années : « Il y a des années, personne ne s’inquiétait des réseaux SCADA simplement parce qu’ils fonctionnaient, et une décennie plus tard, nous parlons de la sécurité [SCADA]… Je constate la même chose pour l’EEG, et c’est maintenant le meilleur moment pour intégrer la sécurité dans cette technologie », explique-t-il.
« Si vous pouvez intercepter les données du cerveau depuis le câble, des attaques de rejeu [telles que] pourraient se produire s’il n’y a pas de mécanisme de sécurité entre un opérateur et un drone, [ou] interférer avec les données EEG, ce n’est donc pas la même chose que les électrodes. »
Au-delà des cyberattaques sophistiquées, les données EEG soulèvent des risques plus prosaïques. Hernández a révélé que des serveurs contenant des fichiers EEG d’un hôpital anonyme pourraient être exposés via des moteurs de recherche de pirates informatiques tels que Shodan. Ces risques, bien que partiellement spéculatifs, démontrent que les avancées technologiques dans le domaine de l’EEG ont largement dépassé les progrès en matière de sécurité.
« Esprit plié » : C’est le constat d’Hernández. Les problèmes de sécurité de l’EEG découlent souvent d’une mauvaise conception logicielle. L’appareil ENOBIO EEG, par exemple, est vulnérable aux attaques de l’homme du milieu. Il a également identifié des vulnérabilités mineures dans plusieurs applications courantes, notamment Persyst Advanced Review, Natus Stellate Harmony Viewer, NeuroServer, BrainBay et SigViewer.
« Certaines applications transmettent des ondes cérébrales brutes à un autre point de terminaison distant en utilisant le protocole TCP/IP qui n’est pas configuré et donc vulnérable aux attaques réseau populaires comme l’homme du milieu, où un intrus peut intercepter et modifier les données EEG envoyées », détaille Hernández.
De plus, les composants tels que le dispositif d’acquisition, les logiciels intermédiaires et les points de terminaison manquent d’authentification. Cela permet à un attaquant de se connecter à un port TCP distant et de voler des données EEG brutes, ouvrant la voie à des attaques de réponse potentiellement dangereuses.
Bien qu’il ne puisse se prononcer sur les kits EEG de qualité hospitalière, jugés plus difficiles d’accès et d’analyse pour les pirates, les recherches d’Hernández jettent un doute sur la fiabilité des lectures EEG comme méthode d’authentification.
La bonne nouvelle, selon le chercheur, est que les vulnérabilités découvertes peuvent être corrigées grâce à des pratiques éprouvées : « C’est un grand oui : les meilleures pratiques doivent être suivies d’un point de vue technologique, de conception sécurisée et de programmation sécurisée. »