Sécurité des objets connectés : 10 mythes revus et corrigés

L’Internet des objets est plus qu’un sujet à la mode, c’est une tendance de fond qui bouleverse déjà les habitudes. Trop souvent cependant, la question de la sécurité de ces multiples objets connectés est éludée, prêtant le flanc à une série de légendes plus ou moins urbaines mais en tout cas informatiques, qu’il convient d’analyser et de démystifier.

1. « LA SÉCURITÉ DE L’IOT, C’EST TROP COMPLIQUÉ »

Les solutions simples et magiques pour une sécurité efficace des objets connectés n’existent pas. Tout comme un bâtiment a besoin de plusieurs murs, une protection efficace de l’IoT doit comprendre :

• Un bon chiffrement ;
• Une vérification cryptographique de chaque code et configuration ;
• Une analyse de sécurité externe par des professionnels de la cyber sécurité ;
• Une gestion OTA (« Over The Air »), notamment pour les mises à jours et le répertoire logiciel, la télémétrie et la gestion des politiques ;
• Un recours à une sécurité analytique pour contrer les attaquants les plus sophistiqués.

2. « ÇA NE SE MET PAS À JOUR »

Certes, de nombreux terminaux sont difficiles à mettre à jour, mais de nombreux équipements connectés (voitures, DAB…) le sont constamment. Ce n’est pas une question de pouvoir le faire, mais de le vouloir, voire de le devoir. Avec une durée de vie moyenne de 19 ans, les équipements industriels doivent être mis à jour très régulièrement.

3. « LA SÉCURITÉ COÛTE TROP CHER POUR LES MILLIARDS DE TERMINAUX QUE L’ON DÉPLOIE »

Cet argument apparait erroné si l’on considère les économies d’échelle, qui impliquent un surcoût de la sécurité de seulement quelques centimes d’euros par appareil, la comparaison avec les conséquences financières directes et indirectes d’une cyber-attaque et le fait que l’intégration de la sécurité dès la conception est bien plus économique et efficace qu’un ajout tardif.

4. « NOUS AVONS DES STRUCTURES DÉCONNECTÉES, DES PASSERELLES ET LA SÉGRÉGATION DE RÉSEAU POUR NOUS PROTÉGER »

Presque tous les systèmes sont interconnectés via des moyens qui échappent parfois à leurs concepteurs, mais que les cyber-attaquants découvrent au fil du temps. L’an passé, une attaque a endommagé un haut fourneau allemand en se propageant via la passerelle destinée à protéger le réseau opérationnel. Les passerelles réduisent les risques mais ne sont pas suffisantes pour assurer une protection adéquate, tout comme les structures déconnectées. Pour les systèmes à haute valeur ajoutée tels que les équipements industriels complexes, mieux vaut opter pour une sécurité dès la conception et à l’intérieur, et non à l’extérieur de l’objet.

5. « BLOCKCHAIN VS. PKI »

Blockchain est un excellent système de registre pour les transactions mais on oublie trop souvent que le cœur de registre repose sur des niveaux moindres de chiffrement. Le bitcoin, par exemple, utilise une courbe elliptique de 256 caractères, le même donc que celle recommandée pour l’IoT. La gestion des clés de chiffrement est souvent le talon d’Achille de la plupart des systèmes de chiffrement. C’est la raison pour laquelle plus d’un milliard d’objets connectés utilisent le système de  gestion de clé le plus éprouvé au monde : une autorité de certification proposant une gestion de la PKI (Public Key Infrastructure) intégrée. Une bonne PKI dans les couches basses de la fondation rend le cœur de registre du blockchain plus fort qui, donc, fonctionne mieux.

6. « LES PLUS PETITS OBJETS NE PEUVENT SUPPORTER UNE SOLUTION DE SÉCURITÉ PUISSANTE »

Même les puces 8-bits (1 octet) du début des années 80, en 8MHz et avec leur 2K de RAM peuvent exécuter une cryptographie de courbe elliptique avec une clé de 256 bits, et présentent un chiffrement aussi fort que le chiffrement RSA de 2,048 bits, qui est considéré comme suffisamment robuste pour les informations classées secret défense des Etats-Unis. Ce chiffrement utilise tellement peu de batterie que la signature ou la vérification des données toutes les heures pendant 20 ans ne consommeraient qu’une petite partie d’une pile AA.

7. « ON A JUSTE BESOIN QUE ÇA ACCÉLÈRE CÔTÉ ÉDITEURS ET STANDARDS »

Les éditeurs et les groupes établissant les standards font des progrès, mais cela prend du temps. Tant que les clients n’exigeront pas les niveaux de sécurité qu’ils sont en droit d’attendre, les concepteurs d’équipements connectés continueront à vendre des terminaux sans sécurité, ou avec une sécurité insuffisante.

8. « LES ÉQUIPES MÉTIERS N’ONT QU’À SE FORMER AUPRÈS DE L’IT »

Historiquement, les éditeurs informatiques et leurs équipes n’ont pas été les bienvenus dans les discussions métiers, alors même que les choix technologiques supposent compréhension des besoins et confiance réciproque. La sécurité informatique présente beaucoup trop d’options pour n’être gérée que par les équipes opérationnelles. Sélectionner les bonnes technologies, adaptées aux besoins métiers, suppose une vraie collaboration entre les équipes IT et opérationnelles.

9. « NOS SYSTÈMES SONT BIEN TROP COMPLEXES POUR ÊTRE MODIFIÉS SANS CAUSER DE DÉGÂTS »

Hauts fourneaux, systèmes de traitements des eaux usées, centrales électriques… ces installations ont déjà été hackées en raison de cette croyance naïve et erronée. La sécurité doit être ajoutée lorsque de tels équipements sont connectés, ou intégrée dès leur conception.

10. « JE PEUX M’EN OCCUPER TOUT SEUL »

L’histoire, tout comme les Unes des médias ont montré les échecs des entreprises qui ont tenté de gérer seules leur sécurité. Aucune société, ni aucun éditeur, ne peut vaincre tous les cyber-attaquants. Pour se défendre, mieux vaut s’unir, recourir à des spécialistes, et s’assurer qu’ils ont de bons partenaires dans les domaines du hardware, du logiciel et du cloud computing.

http://www.usine-digitale.fr/article/securite-des-objets-connectes-10-mythes-revus-et-corriges.N448877