Page 66 - EcoRéseau n°24

www.ecoreseau.fr
n°24
STRATÉGiE & iNNOVATiON NUMÉRiQUE Haute résolution - La sécurité menacée par les objets connectés
hacktivisme.
Dans un contexte où le ter- rorisme représente une me- nace physique réelle, le pi- ratage à des fins de chaos physique ne peut être ignoré comme statistique- ment minoritaire, compte tenu des conséquences po- tentiellement dramatiques. « Les attaques peuvent consister en l’envoi de commandes imprévues, l’affichage d’informations erronées, la prise de contrôle de certaines fonc- tionnalités du véhicule... », énumère Eric Larcher, di- recteur Managed Services d’OpenTrust, éditeur de lo- giciels avec le statut d’au- torité de certification. C’est déjà terrifiant sur le plan individuel ; maintenant, il faut imaginer deux millions de véhicules présentant la même faille. Pour les en- treprises, ce type de vul- nérabilité peut être catas- trophique pour leur image. Des études pointent déjà le fait que quand on com- munique sur un incident de sécurité iT classique, il y a une perte moyenne de 4 à 5% de clients.
de parking implique au- jourd’hui une application pour smartphone, des cap- teurs de disponibilité des
profils. Là, en l’occurrence, ce sont des millions d’ob- jets connectés qu’il faudra surveiller et identifier...
tèmes doivent être sécuri- sés.
Ensuite, les canaux de communication entre les
exemple, peut être lié au fait que le panneau d’affi- chage ne possédait pas d’identifiant unique. Mais la communication « ma- chine to machine » pose des défis particuliers. Les protocoles sont différents de ceux utilisés d’habitude, et doivent répondre à des critères drastiques en termes de consommation (c’est la raison pour la- quelle on ne peut pas uti- liser le système iP, bien connu maintenant). Pour l’instant, il n’y a pas de standard qui se dégage. Enfin, il faut que les ap- plications qui exploitent les objets soient elle-même sécurisées. Ce qui veut dire auditer le code lors de la production, et réaliser ré- gulièrement des mises à jour. Mais cela suppose, pour le particulier, une dé- marche volontaire – même quand les mises à jour sont automatiques, la plupart des objets devant être re- démarrés. Et le pendant des mises à jours et des services supplémentaires est que les données per-
juridique – mettre dans le contrat que le produit n’est pas sécurisé », explique Edouard Jeanson. S’il paraît acquis maintenant qu’il faut prendre en compte la sécu- rité dès la conception de l’objet, cela n’a pas été le cas pour les premières gé- nérations. « En plus, beau- coup de ces objets sont dif- ficiles à modifier, et ont une durée de vie de plu- sieurs années », rappelle Jean-ian boutin. En ce mo- ment, les spécialistes de la question transposent les so- lutions développées pour les systèmes iT classiques aux objets connectés. Par exemple, selon Open Trust, « une des premières contre- mesure à mettre en place est un dispositif d’identification mutuel, similaire à un cer- tificat SSL », estime Eric Larcher. Tout cela ne va pas sans mal, pour les rai- sons évoquées plus haut. Le sujet devrait néanmoins profiter de l’expertise ac- cumulée sur l’iP. « Pour aider à rattraper les retards éventuels, il est possible de pratiquer des tests d’intru- sion, comme c’est déjà le cas pour les systèmes d’in- formation classiques », sou- ligne Agnieszka bruyère. Cela permet de repérer les faiblesses du système. Mais ces solutions ne sont ap- plicables que pour les en- treprises. Personne ne s’est encore attaqué au marché de la grande consommation. Et pour les particuliers, la problématique est diffé- rente. « On en revient, en un sens, aux bases de la sécurité informatique : se créer un identifiant et un mot de passe forts et per- sonnalisés, s’assurer avant d’acheter un objet ou de souscrire à un service qu’ils sont sécurisés... », explique David bigot. Cela veut dire – et des initiatives gouver- nementales sont en cours (notamment par l’ANSSi) – de nouvelles campagnes
Jean-Marie Benoist
DES SYSTÈMES COMPLEXES
Alors oui, sécuriser les ob- jets connectés est une né- cessité. Mais la tâche n’est pas des plus simples, en partie parce que les réseaux constitués sont encore plus complexes que ceux déjà connus. Déjà, au niveau des éléments constituant le réseau lui-même. Par exemple, un service de ges- tion à distance des places
Les distributeurs automatiques de billets étaient présents sur un réseau spécifique. Aujourd’hui, pour économiser les coûts, les objets connectés sont sur le réseau IP
Nouveau terrain de jeu pour hackers...
places, et un système de paiement. Le nombre d’ob- jets qui partagent des don- nées augmente de façon exponentielle. Cela pose donc un problème de di-
Par ailleurs, pour tous ces capteurs et autres éléments de la chaîne, le système d’exploitation utilisé est souvent en partie proprié- taire. il n’existe pas de
objets et leurs environne- ments applicatifs doivent également être complète- ment sécurisés, de bout en bout. « Pour cela, les fa- bricants travaillent sur des
mensionnement de la so- lution. Pour sécuriser le réseau d’une entreprise, une solution classique consiste à donner un iden- tifiant unique à chaque em- ployé, et est donc dimen- sionnée pour traiter 100000
standards, comme Win- dows, OS ou Linux. Et « comme les objets ont dif- férents protocoles, ils vont présenter des failles diffé- rentes », souligne Marilyne Michel. Ce qui veut dire que tous ces nouveaux sys-
notions d’identifiants uniques pour les objets, et au chiffrement des canaux de communication », pré- cise Agnieszka bruyère, directrice Security Services chez ibM France. Ce qui s’est passé à Lille, par
sonnelles sont partagées avec de plus en plus d’ac- teurs différents.
Cerise sur le gâteau, il faut que la sécurité soit embar- quée et autant que possible transparente pour l’utili- sateur final, qui de façon générale n’a pas la culture nécessaire (ni le temps ni l’envie de l’acquérir) pour faire lui-même la configu- ration, mis à part définir un identifiant et un mot de passe fort (ce qu’ils ne fait déjà pas assez).
Voiture connectée
Prise de conscience
Parmi tous les objets connectés qui envahissent notre quotidien, la voiture est probablement celui qui sera le dé- clencheur de la prise de conscience des enjeux de sécurité associés. Elle présente des risques physiques immédiatement compréhensibles par l’utilisateur tout en étant une part in- dispensable de son quotidien, et elle illustre bien la complexité du problème.
Dans une première phase, les véhicules se sont équipés de fonctionnalités de plus en plus intelligentes (détection de collision, d’angle mort...). L’intégration de l’informatique dans les véhicules va désormais très loin : le contrôle exercé par les hackeurs qui s’étaient attaqués à une Jeep Cherokee cet été le prouve. Mais pour vraiment faciliter le trafic et éviter les accidents, il est apparu qu’il fallait que les véhicules communiquent non seulement entre eux, mais aussi avec les infrastructures : panneaux de signalisation, péages, avis
66 OCTObRE 2015
de travaux... Par exemple, les services de secours pourraient repérer les accidents grâce aux signaux d’alertes déjà émis par certaines marques de voitures. Tout cela représente beaucoup de communication entre beaucoup d’équipements, sur plusieurs canaux (surtout Wifi et cellulaire), et donc autant de portes d’entrée potentielles pour un pirate. Et pour l’instant, « il n’existe pas de protocole sécurisé aujourd’hui qui permette les échanges inter-voitures, avec les capteurs dans le goudron, les feux rouges... », précise Edouard Jeanson, directeur business développement sécurité chez Sogeti. Heureusement, il existe déjà une culture forte de la sécurité chez les constructeurs automobiles, accoutumés aux notions de tests, de redondances de matériel... Ils ont donc commencé à s’attaquer à la question. Et ils pourraient bien, du coup, montrer l’exemple.
DES SOLUTIONS ÉMERGENTES
Le marché des objets connectés est émergent. De la même façon, les solutions existent, mais sont émer- gentes également. On est encore loin d’une maturité. En principe, « on peut pro- téger l’objet de façon phy- sique – un firewall, par exemple –, organisation- nelle – ‘‘je forme mes co- deurs à la sécurité’’ –, ou
sé-
de sensibilisation à la . curité, et ce pour toutes les générations. En effet, on pourrait penser que les plus jeunes connaissent les écueils du Web, mais en fait, les technologies sont devenues tellement trans- parentes qu’ils ne sont pas forcément sensibilisés.