Ajouter à une liste de lectureDu point de vue de la sécurité, l'étude d'un objet connecté passe par différentes étapes allant de la récupération du firmware à l'identification de l'architecture du processeur. Cet article est un retour d'expérience sur l'analyse de la carte SD FlashAir qui a débuté en 2015. Il détaille une méthodologie typique visant à comprendre le fonctionnement d'un objet connecté inconnu afin d'y exécuter du code.
1. Toshiba FlashAir
Les Toshiba FlashAir, produites de 2012 à 2020, sont des cartes SD exposant les fichiers stockés via un point d'accès Wi-Fi embarqué. L'usage classique est l'accès à des photos prises avec un appareil numérique depuis un smartphone. Toshiba est allé plus loin que ses concurrents et autorise l'exécution de scripts Lua lors d'événements comme le démarrage de la carte, ou via son serveur HTTP.
Ces scripts Lua interagissent non seulement avec les fichiers, mais aussi avec les différentes interfaces de la carte comme les bus SPI et I2C. Par conséquent, lorsque ces cartes étaient encore commercialisées, de nombreuses hobbyistes les utilisaient pour effectuer des montages intéressants comme celui de la figure 1, qui affiche le taux courant du Bitcoin sur un écran contrôlé via le bus I2C.
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
Par le(s) même(s) auteur(s)
Édito
Je n’aime pas les programmes de bug bounty. J’ai bien essayé de changer d’avis, mais rien n’y fait. Le modèle semblant convenir à d’autres, j’ai discuté avec des hunters satisfaits, des triagers compétents, et des RSSI comblés. Néanmoins, plus je suis exposé à ces programmes et moins mon opinion change. Peut-être parce que je n’ai pas eu les mêmes expériences qu’eux.
Brèves MISC
L’été des fuites de données / CVE-2025-25256 - FortiSIEM / L’IA de XBOW au sommet de HackerOne / CVE-2025-53770 & CVE-2025-53771 - SharePoint RCE
Édito
La conformité est bien souvent un sujet très clivant dans les discussions liées à la cybersécurité. Les débats s’enflamment d’autant plus vite quand s’affrontent ceux qui sont confrontés aux effets des attaques, et ceux qui auditent les contrôles. Deux extrémités du spectre des compétences avec des objectifs parfois différents, et des expériences qui forcent à confronter pratique et théorie. Les sujets clivants sont nombreux : le renouvellement fréquent des mots de passe, ou les mises à jour en sont des exemples très classiques.
Édito
Lorsque j'ai commencé à m’intéresser au domaine de la sécurité à la fin des années 90, un ami m’avait prévenu « la sécurité, c’est un truc de vieux con » ; une punchline a priori provocatrice qui semble vouloir décourager tout nouveau pratiquant. C’est tout l’inverse, elle résume de manière percutante que notre discipline est avant tout complexe et transversale, qu’il y a beaucoup de choses à apprendre et que pour progresser, il faut de la rigueur, et savoir douter. Une phrase qui, des années plus tard, conserve tout son sens.