Support technique
Documentation
Connexion
Nous contacter
Le risque pour les entreprises lié à la fin de vie du Chromecast de Google
Joao Correia
22 juin 2023 - Évangéliste technique
Google a récemment annoncé la fin de vie de son appareil Chromecast de première génération. Cette décision met un terme aux mises à jour, aux correctifs de sécurité et à l'assistance technique pour ces appareils. Même si les Chromecasts continueront à fonctionner, l'absence de support de sécurité les place carrément dans la catégorie des risques potentiels, surtout si l'on considère le nombre important de personnes qui travaillent encore à domicile.
Le Chromecast a été la meilleure vente de matériel de Google, avec 10 millions d'unités vendues rien qu'en 2014, et a été mis en avant à plusieurs reprises lors des appels aux actionnaires. Son attrait réside dans sa simplicité : pas d'interface par défaut, incapable d'exécuter des applications et dépourvu de tout mécanisme de contrôle propre. Cet appareil sert uniquement de récepteur de médias pour le bouton "cast" dans diverses applications comme YouTube.
Par conséquent, la pile technologique originale de Chromecast est désormais obsolète. Les appareils continueront à fonctionner, mais ils ne recevront plus de mises à jour de sécurité.
Le travail à domicile
Un pourcentage important de la population active travaille encore à distance. Selon une étude de Stanford réalisée au début de l'année 2023, 27 % des journées de travail rémunérées à temps plein ont été effectuées à domicile aux États-Unis. Compte tenu du grand nombre d'appareils Chromecast vendus, on peut raisonnablement supposer que bon nombre de ces travailleurs à distance disposent de ces appareils dans leur réseau domestique.
Les implications en matière de sécurité
Les violations de données passées ont montré comment des systèmes non corrigés à domicile peuvent compromettre les réseaux d'entreprise. Un exemple qui donne à réfléchir est la violation massive de LastPass, qui s'est produite parce qu'un ingénieur n'a pas mis à jour le logiciel Plex sur son ordinateur personnel.
Cette défaillance a permis aux attaquants d'exploiter une faille de Plex vieille de près de trois ans (qui avait déjà été corrigée sur les versions contemporaines de Plex à l'époque) pour exécuter du code sur l'ordinateur de l'ingénieur. L'employé de LastPass n'a jamais mis à jour son logiciel pour activer le correctif, ce qui met en évidence le risque lié aux logiciels obsolètes.
Les mêmes risques s'appliquent aux appareils Chromecast. Même si un employeur applique des exigences strictes en matière de correctifs aux appareils qui se connectent aux systèmes internes, le Chromecast ne se connecte pas directement. Au lieu de cela, il existe en tant que responsabilité potentielle dans le réseau domestique de l'employé. Il pourrait servir de tremplin aux attaquants pour accéder à d'autres systèmes du réseau domestique et, de là, à des systèmes connectés au sein du réseau de l'entreprise. Ce type de mouvement latéral à l'intérieur d'un réseau est généralement observé dans les réseaux mal segmentés comportant des appareils IoT. On peut supposer que seul un nombre résiduel de réseaux domestiques dispose d'une forme de segmentation qui sépare les dongles multimédias tels que le Chromecast des autres systèmes.
Stratégies d'atténuation
L'atténuation de ce risque est difficile en raison de la nature indirecte de la menace. Une stratégie consiste à encourager les employés à passer à des appareils plus récents qui reçoivent toujours des mises à jour de sécurité. Les employeurs peuvent également envisager de mettre en œuvre des mesures de sécurité plus strictes pour l'accès à distance aux réseaux d'entreprise afin de prévenir toute violation potentielle. Un bon point de départ consiste à renforcer les exigences en matière de correction des vulnérabilités connues sur les systèmes que l'entreprise peut gérer et appliquer, y compris la connexion des appareils clients.
Néanmoins, la fin de vie du Chromecast original nous rappelle l'évolution du paysage des menaces de cybersécurité, en particulier dans le contexte du travail à distance. Elle souligne la nécessité pour les individus et les organisations de rester vigilants et de maintenir des mesures de sécurité à jour pour tous les appareils connectés à leurs réseaux. C'est aussi un autre rappel brutal de l'importance et de la nécessité d'un soutien adéquat pour tous les appareils en fonctionnement au sein d'un réseau, quelle que soit leur importance intrinsèque, ou apparente, à première vue. Votre Chromecast, comme votre grille-pain, peut vous pirater et le fera.
Dernières paroles
L'annonce de la fin de vie de l'appareil Chromecast de première génération de Google met en évidence les risques de sécurité potentiels associés aux appareils obsolètes dans le contexte du travail à distance. Les appareils continueront à fonctionner, mais l'absence de mises à jour de sécurité les rend vulnérables à l'exploitation, ce qui peut avoir de graves conséquences pour les individus et les organisations.
La prévalence de ces appareils dans les réseaux domestiques utilisés pour le travail à distance augmente le risque que des attaquants accèdent aux systèmes de l'entreprise par déplacement latéral. Pour atténuer ces risques, il est important d'encourager les employés à passer à des appareils plus récents, de mettre en œuvre des mesures de sécurité solides pour l'accès à distance et d'appliquer des correctifs en temps voulu.
Cela nous rappelle l'évolution du paysage de la cybersécurité et la nécessité d'une vigilance constante pour maintenir des mesures de sécurité à jour sur tous les appareils connectés. La fin de vie du Chromecast souligne l'importance d'une prise en charge adéquate de tous les appareils en fonctionnement au sein d'un réseau, car même des appareils apparemment insignifiants peuvent devenir des cibles potentielles de piratage.
