Les chercheurs en robotique ne rêveraient pas de laisser la porte déverrouillée lorsqu'ils quittent le laboratoire pour la nuit, mais une nouvelle étude montre que les robots de recherche sont souvent laissés exposés d'une autre manière :non sécurisée sur Internet.

Une équipe de chercheurs de l'Université Brown a récemment effectué une analyse mondiale à la recherche d'hôtes exécutant le système d'exploitation robotique (ROS), une plate-forme de recherche robotique populaire. Pendant les scans, qui ont été réalisées sur trois périodes différentes en 2017 et 2018, ils ont trouvé jusqu'à 100 systèmes exposés exécutant ROS, jusqu'à 19 d'entre eux ont été considérés comme des robots pleinement opérationnels. Les chercheurs ont montré qu'il était possible de contrôler ces robots à distance, d'espionner les flux de caméras et même d'envoyer des commandes pour déplacer les robots.

"Bien que quelques robots non sécurisés ne semblent pas être un problème critique, notre étude a montré qu'un certain nombre de robots de recherche est accessible et contrôlable depuis l'Internet public, " écrit l'équipe de recherche. "Il est probable que ces robots puissent être actionnés à distance de manière [qui sont] dangereuses à la fois pour le robot et les opérateurs humains."

Les conclusions sont un rappel, disent les chercheurs, que chacun doit être attentif à la sécurité dans un monde numérique de plus en plus connecté.

La recherche a été présentée en juin dans le cadre de l'Adversarial Robotics Workshop à la conférence "2018 Robotics:Science and Systems" à Pittsburgh.

ROS est la plate-forme dominante utilisée en robotique de recherche. Il peut être considéré comme le système nerveux central d'un robot. La plate-forme regroupe tous les différents composants d'un robot :ses caméras, capteurs et actionneurs et les relie à un nœud informatique central. Via un ordinateur externe et une connexion réseau, un opérateur se connecte au nœud central pour donner des commandes au robot.

"ROS est un excellent outil pour la recherche en robotique, mais les concepteurs ont explicitement laissé la sécurité aux utilisateurs finaux, " a déclaré Stefanie Tellex, un roboticien à Brown et un co-auteur de l'étude. "Il ne nécessite aucune authentification pour se connecter à un maître ROS, ce qui signifie que si vous utilisez ROS et qu'il n'est pas derrière un pare-feu, tout le monde peut se connecter à votre robot."

Cela a amené Tellex et son collègue en robotique de Brown, George Konidaris, à se demander combien de robots exécutant ROS pourraient être disponibles et accessibles via Internet. Découvrir, ils se sont tournés vers deux autres collègues de Brown, l'expert en sécurité Vasileios Kemerlis et l'expert réseau Rodrigo Fonseca.

"Notre groupe a la capacité de faire une analyse mondiale d'Internet, " a déclaré Fonseca. " Nous avons donc commencé à réfléchir à des moyens de rechercher des appareils ROS d'une manière qui ne serait pas perturbatrice, mais cela nous donnerait une idée de ce qu'il y a là-bas."

Nicolas DeMarinis, un étudiant diplômé qui travaille avec Fonseca, a dirigé la procédure de numérisation. Les chercheurs ont envoyé des requêtes à plus de quatre milliards d'adresses IP dans le monde, rechercher des programmes exécutés sur le port TCP (protocole de communication de transfert) que ROS utilise normalement. Une fois qu'ils ont eu une liste d'adresses IP qui ont répondu sur ce port, ils ont envoyé des commandes ROS passives pour déterminer si le programme à l'autre extrémité était bien ROS.

Les chercheurs ont effectué l'analyse à trois reprises et ont trouvé environ 100 systèmes exposés exécutant ROS. Étant donné que ROS est également utilisé pour les robots virtuels dans des environnements simulés et d'autres applications qui ne sont pas nécessairement des robots complets, les chercheurs ont examiné chaque instance de ROS pour déterminer lesquelles étaient susceptibles d'être de vrais robots. Ils ont trouvé 19 robots lors de leur premier scan et environ une douzaine chacun lors des deux scans suivants. L'équipe a contacté les propriétaires de tous les robots détectés et d'autres instances ROS pour informer les chercheurs et les administrateurs réseau que leurs systèmes étaient exposés.

L'un des robots détectés s'est avéré être dans le laboratoire d'un collaborateur de Tellex, Siddhartha Srinivasa, professeur d'informatique à l'Université de Washington. Pour savoir s'il était effectivement possible de prendre le contrôle d'un robot à distance, Tellex a contacté Srinivasa et a demandé à son équipe de laisser certaines fonctions du robot en ligne pour un test. Tellex a montré qu'elle pouvait en effet accéder à la caméra du robot, bouger son cou et même faire parler le robot à l'aide d'une fonction vocale ROS.

Ce genre d'accès peut être dangereux, disent les chercheurs.

"Ces robots peuvent potentiellement être déplacés de manière à mettre le robot en danger, ainsi qu'aux personnes exploitant le robot, " dit Tellex.

"C'est un travail très opportun et important de Stefanie et de son équipe, et nous sommes honorés de collaborer, " dit Srinivasa. " En tant que scientifiques, nous sommes profondément engagés à comprendre et à atténuer les risques de sécurité des technologies émergentes que nous créons. Chez U.W., nous avons travaillé avec des experts en sécurité pour créer une intelligence artificielle sûre, et ce travail souligne davantage la nécessité de telles collaborations interdisciplinaires. »

Les chercheurs disent qu'ils ont réalisé l'étude pour ne pointer du doigt aucun laboratoire individuel, mais pour souligner le fait que les failles de sécurité dans ROS peuvent facilement être négligées. En réalité, l'un des robots trouvés lors des analyses se trouvait dans le propre laboratoire de Tellex. Ils l'avaient mis sur Internet pour une démonstration externe et ont simplement oublié de le verrouiller.

La bonne nouvelle est que la sécurisation de ces robots n'est pas particulièrement difficile. Ils doivent simplement fonctionner derrière un pare-feu ou sur un réseau privé virtuel. Mais cela oblige les utilisateurs à être attentifs à la sécurité, et les chercheurs espèrent que cette étude encouragera les gens à être exactement cela. Ils espèrent également que le travail pourrait encourager les services de surveillance de la sécurité comme Shodan à commencer à faire leurs propres analyses pour ROS.

"Lorsque vous avez un logiciel écrit sans sécurité à l'esprit couplé avec des gens qui ne pensent pas à la sécurité, c'est une combinaison dangereuse, " a déclaré Fonseca. " Nous pouvons penser à cela dans le contexte plus large de l'Internet des objets, où nous devons penser à la sécurité à toutes les étapes d'un produit, du cycle de développement et de mise à niveau à la manière dont les utilisateurs déploient les appareils."