Une nouvelle “race” de hackers jeux vidéo est née

Si vous suivez un minimum l'actualité, vous connaissez sûrement ces jouets en plastoc qui envahissent le marché vidéo-ludique depuis quelques temps : les Smart Toys. Popularisés tout d'abord par le mythique Skylanders en 2011, ils se sont ensuite emparés de l'univers Disney dans le jeu Disney Infinity avant d'incarner les figures emblématiques de la firme japonaise Nintendo avec les fameux amiibo. Et comme pour chaque appareil électronique qui se doit, des hackers viennent pointer le bout de leur nez...

Je viens d'une autre galaxie, qu'est-ce qu'un Smart Toy ?

Un Smart Toy, littéralement "Jouet Intelligent", est un... jouet qui a pour but d’interagir avec un jeu vidéo et une console précis. Dans le cas des amiibo par exemple, l'interaction se fait avec la console (la 3DS/Wii U) et avec certains jeux : la petite figurine ainsi posée sur un coin précis du GamePad (manette de la console) ou de la 3DS soit déclenchera un petit événement à l'écran, comme dans Mario Kart 8 où la présence d'un amiibo permet de débloquer sa tenue dans le jeu, soit stockera en elle des informations liées à un unique jeu, comme dans Super Smash Bros U par exemple où l'on peut faire évoluer le personnage correspondant in-game. Même chose pour Skylanders et Disney Infinity, à ceci près que le support chargé de les "détecter" et de les "scanner" n'est pas directement sur la console/manette.

Évidemment, ces trois Smart Toys sont les plus connus, mais on peut parler aussi des "cartes intelligentes" utilisant la même technologie et répandues dans les Arcades Centers au Japon depuis un certain temps, ainsi que des Pokéwalkers (eh oui vous vous en souvenez ?), ces podomètres qui stockaient des informations relatives à un Pokémon de votre équipe et calculaient la distance que vous parcourriez avec lui in real life, ce afin de lui faire gagner plus ou moins de points d'expérience selon la distance du ou des trajets que vous aviez effectué(s) avec lui.

L'engouement qui entoure ces Smart Toys est facile à comprendre : qui ne s'est jamais amusé à collectionner des objets physiques issus d'une licence de jeux vidéo, d'une série ou autres, comme par exemple les cartes Pokémon, les cartes Yu-Gi-Oh!, les voitures Hot Wheels, les petits monstres Bakugan, les LEGO de X série ou thème (médiéval, futuriste...), les figurines Chevaliers du Zodiaque, les cartes Magic: The Gathering, les poupées Barbie ou encore les figurines My Little Pony ?

Les Smart Toys sont donc les jouets de collection nouvelle génération. En plus d'avoir le côté "collection" et "utile", ils détiennent un autre côté "hi-tech" qui plairont sans aucun doute à la prochaine génération à venir, qui dès la naissance sera plus ou moins directement "branchée" à internet, les appareils électriques, tout ça. Actuellement, les Smart Toys ont rapporté entre 2 à 3 milliards de dollars de recettes, mais on estime que d'ici 2018 le chiffre devrait très certainement tripler (à titre de comparaison, les jeux vidéo rapportent entre 70 à 80 milliards de dollars).

Vient le hack...

Bon, étant donné qu'on reste quand même un site axé sur le hack, on ne va pas épargner la question du hack. Car on le sait tous : dès qu'un produit électronique engendrant plusieurs milliards de dollars de bénéfices arrive en ayant le vent en poupe, ça attire énormément de gens... dont des pirates informatiques. Récemment, ce sont des pirates chinois qui ont annoncé la production d'un nouveau dispositif visant à "sauvegarder" plusieurs Smart Toys en un. Et ça, ça risque d'en réjouir plus d'un, surtout les personnes mal intentionnées qui vont essayer de s'en servir pour façonner des copies bon marché de figurines Skylanders ou Disney Infinity.

Baptisé MaxLander, cet appareil permettrait de copier le contenu d'un "jouet" à une base de données interne dans le but de le "reproduire" sur un "tag" que vous possédez (en d'autres termes, dans le but de se comporter de la même façon que le "jouet" originel). Mais les vidéos montrent aussi qu'il semble possible de reproduire un jouet que l'utilisateur de possèderait pas... Autrement dit, si vous êtes un peu lent d'esprit, ça veut sous-entendre que les joueurs du monde entier pourraient s'amuser avec tous les Smart Toys qu'ils souhaiteraient sans avoir à dépenser un rond. Car cela semble évident qu'un tel produit ouvrira les portes de la propagation de bases de données "remplies" sur internet.

Comment ça marche ?

Il faut commencer par savoir que ces Smart Toys sont connectés à un jeu grâce à la technologie NFC (Near Field Communication). Chaque jouet possède un tag NFC attaché à lui. Les tags NFC sont généralement des puces radio dites passives avec un tout petit peu de mémoire (96 octets à 32 kilo-octets). Ce qui est suffisant pour que chaque jouet puisse stocker ses informations d'identification propres dans le jeu, le gros étant réalisé par le soft.

NFC est une technologie "ouverte", la reproduction du contenu de ces puces n'est donc probablement pas très difficile. En revanche, les Smart Toys vendus sur le grand marché sont eux cryptés afin d'éviter des copies faciles, néanmoins les mécanismes de cryptage employés ne seraient apparemment pas extrêmement robustes et peut-être même déjà rompus selon certaines sources. De plus, les jouets Skylanders ont fait l'objet de nombreuses analyses auparavant, dont une réalisée par le hacker Brandon Wilson qui avait reçu à l'époque une ordonnance l'interdisant de ne serait-ce qu'héberger son archive renfermant de précieuses et croustillantes informations quant aux Smart Toys d'Activision.

Il existe par ailleurs une multitude d'autres outils de "sauvegarde" de figurines NFC : sur votre smartphone Android par exemple, s'il possède la technologie NFC, il vous est déjà possible de sauvegarder et restaurer vos amiibo, Skylanders, Disney Infinity et compagnie à l'aide d'applications toutes simples. Mais si l'enregistrement de vos propres jouets est parfaitement faisable et légale (de la même manière que si vous copiez vos jeux), ce que veulent éviter les créateurs est l'éventualité d'enregistrer d'autres Smart Toys non achetés (ce qui pour le coup est totalement illégal). Il est donc important et nécessaire pour eux de mettre en place une sécurité supplémentaire cherchant à n'activer les fonctionnalités du jouet que s'il est bien passé par la caisse...

Voici une vidéo pour l'exemple mettant en scène MaxLander sauvegardant les données d'une figurine Skylanders sur un badge équipé de la technologie NFC, avant que l'internaute derrière la caméra ne l'utilise sur son jeu. Rien de révolutionnaire me direz-vous, mais ça aura au moins l'utilité de vous donner une idée de la chose.

Une autre vidéo cependant montre le même système élaborer un nouveau Skylanders "de zéro" (c'est-à-dire que la personne filmant la vidéo prétend ne pas être propriétaire de la figurine qu'il a créée). Bien sûr, il faut toujours prendre ce genre de choses avec des pincettes, mais il n'est toutefois pas impossible (même loin de là) que tout ceci soit vrai, autrement MaxLander ne se démarquerait absolument pas de toutes les autres applications qui permettent exactement la même chose et ce puis longtemps déjà.

On préfère le rappeler vite fait mais si tout ce bazar fonctionne, tous ceux qui tenteront de l'utiliser pour leur compte (c'est-à-dire, en les revendant) risquent d'être sévèrement punis par la loi...

Bref, affaire à suivre.