Avec la multiplication des objets connectés, des frigos aux systèmes de chauffage domestiques, le potentiel de l'Internet des objets (IoT) est indéniable. Ces objets nous permettent de savoir à distance ce que contient notre réfrigérateur ou qui sonne à notre porte : nos maisons deviennent véritablement connectées. Cependant, malgré tous ces avantages potentiels et près d'une décennie d'engouement, de nombreuses préoccupations liées à la sécurité et à la confidentialité commencent à émerger.
Dans la précipitation à démocratiser cette technologie, l'étape cruciale de la sécurité intégrée a été négligée, ce qui a fait des objets connectés une porte d'entrée facile pour les cyberattaques de grande ampleur. Des cyberattaques telles que NotPetya et WannaCry ont paralysé des organisations entières par des attaques par déni de service (DoS). La sécurité des objets connectés individuels est une préoccupation majeure, car un seul appareil vulnérable pourrait compromettre un réseau entier. Il est essentiel que les utilisateurs s'assurent que leurs systèmes sont protégés au niveau de chaque appareil, car tout matériel connecté à Internet, même un climatiseur ou une ampoule connectée, représente une faille potentielle exploitable par un pirate informatique.La sécurité des données est un autre enjeu majeur soulevé par l'Internet des objets (IoT). Comme l'ont montré les affaires Facebook et Cambridge Analytica, les consommateurs sont de plus en plus conscients des données qu'ils produisent et s'inquiètent de la manière dont elles sont stockées, traitées et utilisées. L'utilisation des données personnelles par des entreprises tierces était autrefois considérée comme inhérente à l'utilisation des réseaux sociaux, mais les consommateurs exigent désormais un contrôle total sur leurs données personnelles et se font entendre davantage sur ce sujet. À mesure que les objets connectés se généralisent et collectent de plus en plus de données sur nos habitudes quotidiennes, nos déplacements et notre santé, la sécurité de ces données devient primordiale. Ceci est particulièrement préoccupant lorsque l'accès aux données provenant des serrures intelligentes, des systèmes de chauffage, des éclairages et des appareils électroménagers permet aux pirates informatiques de connaître les moments où les occupants sont absents.
Avec l'évolution du secteur, la nécessité d'une norme se fait de plus en plus pressante afin de garantir l'interopérabilité et la sécurité de l'ensemble du système. Une norme permettrait de prévenir la plupart des failles de sécurité élémentaires et de protéger l'infrastructure contre les attaques de bas niveau. À l'heure actuelle, les fabricants d'objets connectés ne sont soumis à aucune obligation de fournir une feuille de route pour les mises à jour de sécurité essentielles. Bien que les violations de données soient inévitables, il est vital de rendre la tâche des pirates informatiques aussi difficile que possible.
Les violations de données sont devenues bien trop fréquentes ces dernières années pour que les consommateurs puissent se fier aveuglément à la sécurité de leurs données. Il incombe désormais aux organisations qui collectent et traitent les données de garantir que les données de leurs clients sont soit sécurisées sur un serveur, soit complètement supprimées. Dans les deux cas, les consommateurs doivent également avoir un contrôle total sur leurs données, avec la possibilité d'y accéder ou de les supprimer facilement. Les fabricants d'objets connectés doivent élaborer des politiques de confidentialité décrivant en détail les données collectées, leur traitement, leur stockage et leur éventuel partage avec des partenaires tiers. Ceci est bien entendu conforme au RGPD et implique que toutes les organisations du secteur de l'IoT, qui n'avaient jusqu'à présent pas à se préoccuper de ces questions, devront définir leurs modalités de traitement des données personnelles, car même les appareils électroménagers collecteront bientôt des données.
L'IoT continuera de se développer à un rythme soutenu, avec la mise en service de toujours plus d'appareils offrant des solutions à de nombreux problèmes, connus ou inconnus. L'accent mis sur la normalisation des processus et la sécurité devra suivre cette même cadence. Il est vital pour l'avenir de l'Internet des objets que la sécurité des appareils et des données soit garantie, non seulement pour instaurer la confiance du public dans l'Internet des objets, mais aussi pour se protéger contre de futures violations de données personnelles.
Les objets connectés utilisent de nombreuses technologies de communication, de proximité à longue portée, souvent via des liaisons permanentes et économiques. Sans contrôles adéquats, tant au niveau du réseau que de l'objet lui-même, ces objets connectés sont vulnérables aux attaques. Si l'on ajoute à cela la multitude de capteurs présents sur un objet et les bases de données auxquelles ils sont connectés, on constate non seulement une forte incitation à la surveillance, mais aussi des possibilités d'exploitation concrètes permettant de transmettre des informations ou des commandes potentiellement sensibles à des personnes non autorisées.
Ces appareils sont des entités qui traitent des données et sont donc pleinement concernées par la réglementation sur la protection de la vie privée. De nombreuses lois encadrent la protection des données. Après la loi sur la protection des données, voici le RGPD et la loi ePrivacy qui entrera en vigueur l'année prochaine. Ces lois s'appliquent aux responsables du traitement et aux sous-traitants qui exploitent ou fournissent ces appareils et visent à protéger les personnes concernées, ou utilisateurs. On constate que les gouvernements et les syndicats adoptent de nouvelles lois en réaction à :
- Les responsables du traitement des données ont accumulé d'énormes quantités de données, les considérant comme « le nouvel or noir », sans pour autant respecter la législation locale.
- Le volume des bases de données ne cesse d'augmenter sans contrôles ni protections adéquats.
- Les amendes précédentes ne sont pas suffisamment dissuasives pour certaines des entités les plus importantes et les plus puissantes qui collectent ces données sans suivre les procédures appropriées.
Les appareils fonctionnent grâce à des logiciels conçus pour accéder aux données, les traiter et communiquer avec elles, et pour donner accès à certaines fonctions. Cependant, un aspect souvent négligé lors de la conception, ou mal implémenté lors de la réalisation, concerne les données et les fonctions dont le logiciel doit réguler ou restreindre l'accès. C'est là que les problèmes surviennent. Des mécanismes de contrôle appropriés doivent être mis en place en permanence, via des processus et des politiques. La meilleure façon d'y parvenir est de mener une initiative de sécurité logicielle réfléchie, tout en respectant scrupuleusement les réglementations en vigueur à l'échelle mondiale concernant la protection de la vie privée.
- Les appareils connectés créent des millions de points faibles en matière de cybersécurité
Les mots de passe par défaut des appareils — qu'il s'agisse de l'enregistreur vidéo numérique de votre salon ou de la caméra de surveillance de votre bureau — menacent la stabilité d'Internet, car des pirates informatiques constituent de vastes réseaux d'objets connectés (« Internet des objets ») pour submerger des sites web de trafic.
L'attaque contre Dyn, un fournisseur de services de noms de domaine, qui a perturbé l'accès à des sites de premier plan tels que Twitter, Spotify et le New York Times vendredi, a mis en lumière les risques posés par les milliards d'appareils connectés à Internet avec peu ou pas de protections en matière de cybersécurité. Des pirates non identifiés ont pris le contrôle de dizaines de millions d'appareils à l'aide d'un logiciel malveillant baptisé Mirai, rendant l'attaque bien plus puissante et difficile à contrer qu'une attaque par déni de service distribué classique (DDoS).
Dans l'enthousiasme suscité par la possibilité de contrôler maisons et bureaux depuis un smartphone — pour régler la température ou détecter des cambrioleurs via des caméras —, de nombreux fabricants peu expérimentés en matière de cybersécurité ont connecté leurs appareils à Internet.
Les autorités de régulation n'ont pas encore établi de règles claires concernant la protection de ces équipements ; même les entreprises constatent que des fournisseurs ou des gestionnaires d'installations bien intentionnés ont involontairement créé des failles dans leurs réseaux internes en y ajoutant des objets connectés.
Michael Sutton, responsable de la sécurité des systèmes d'information chez Zscaler (une société de sécurité dans le cloud), estime que l'attaque de vendredi doit servir de « signal d'alarme » pour l'industrie du matériel informatique.
« En matière de sécurité, l'industrie du matériel a dix ans de retard sur celle du logiciel », affirme-t-il. « Mirai a réussi parce qu'un nombre considérable de webcams, d'enregistreurs vidéo numériques et autres appareils ont été fabriqués avec des mots de passe par défaut qui n'ont jamais été modifiés. Un simple balayage du réseau permet de les repérer et ils peuvent être rapidement compromis. »
Les experts en cybersécurité alertent depuis des années sur les risques liés aux objets connectés, multipliant les démonstrations de piratage spectaculaires lors de leur conférence annuelle, la Def Con, pour montrer comment tout peut être piraté, des voitures connectées aux pompes à insuline. Toutefois, il est souvent difficile de comprendre pourquoi un cybercriminel ciblerait l'appareil d'un particulier, à moins qu'il ne s'agisse d'exposer publiquement les activités d'une personne ou de nuire à une personnalité politique. Cette attaque a démontré que, même si un appareil connecté ne représente pas nécessairement une menace majeure pour son propriétaire, il peut être utilisé à des fins malveillantes pour attaquer des tiers.
Le cabinet d'études Gartner prévoit qu'il y aura plus de 20 milliards d'appareils connectés dans le monde d'ici 2020 ; les consommateurs devraient y consacrer 1 500 milliards de dollars, et les entreprises presque autant. Le cabinet prédit qu'à cette échéance, plus d'un quart des cyberattaques visant les entreprises impliqueront des appareils connectés, alors que ces dernières ne consacreront que 10 % de leur budget de cybersécurité à la protection contre ce type de menaces.
Jeremiah Grossman, responsable de la stratégie de sécurité chez SentinelOne — une entreprise de cybersécurité basée dans la Silicon Valley — estime qu'il est grand temps de se pencher sérieusement sur le problème des appareils non sécurisés. Selon lui, les fabricants devraient imposer aux utilisateurs de modifier leurs mots de passe par défaut lors de la configuration initiale et diffuser des mises à jour de sécurité, tout comme ils le font pour les ordinateurs. L'installation d'un agent capable de surveiller l'activité de l'appareil aurait permis de détecter un comportement « très anormal » au moment où celui-ci a été intégré à un réseau de bots (botnet), ajoute-t-il.
Il est « presque impossible » de réglementer ce secteur, poursuit M. Grossman, car les entreprises qui connectent des appareils à Internet ne rentrent pas dans une catégorie unique : elles vont des fabricants de téléviseurs connectés à ceux d'équipements médicaux.
Certaines autorités de régulation se sont penchées sur cette menace potentielle ; c'est notamment le cas de la FDA (Food and Drug Administration) aux États-Unis, qui supervise les fabricants de stimulateurs cardiaques et autres équipements médicaux. Plus tôt cette année, l'agence a publié un projet de directives concernant la manière dont les hôpitaux et les fabricants doivent surveiller les vulnérabilités des appareils et déployer des mises à jour.
Shuman Ghosemajumder, directeur technique de Shape Security, reconnaît qu'il est difficile pour les régulateurs de « résoudre le problème », car les défis en matière de sécurité évoluent constamment à mesure que les pirates informatiques développent de nouvelles techniques. Il estime toutefois qu'il leur incombe de définir des « attentes et des normes minimales ». « L’ensemble du secteur doit faire mieux. Il ne fait aucun doute que l’essor de l’Internet des objets a été porté par l’engouement pour les nouvelles fonctionnalités permises par la connectivité, au détriment de la sécurité », affirme-t-il.
Toutefois, il ajoute que les cibles potentielles — à l’instar de Dyn, un fournisseur de services de noms de domaine dont dépendent de nombreuses grandes entreprises pour l’accès à leurs sites — doivent également renforcer leur sécurité et mieux se protéger contre ces réseaux de bots en constante expansion.
Dans un billet de blog publié samedi, Dyn a indiqué qu’elle surveillait la situation pour détecter d’éventuelles nouvelles attaques et qu’elle collaborait avec les forces de l’ordre et d’autres acteurs pour...
En cas d'achat d'un appareil connecté tel qu'un frigo ou télé, il vous suffira de désactiver la WIFI ou ne pas brancher le câble réseau pour bloquer l’accès à Internet et empêcher la collecte de vos données personnelles. Toutefois, les cyberattaques peuvent envoyer les appareils connectés au tapis pouvant aboutir au foudroyage de ces derniers !











