{"id":6488,"date":"2018-10-23T12:42:03","date_gmt":"2018-10-23T10:42:03","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog?p=6488"},"modified":"2018-10-23T12:42:03","modified_gmt":"2018-10-23T10:42:03","slug":"cyber-risques-technologies-emergentes-et-vie-privee","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/securite\/cyber-risques-technologies-emergentes-et-vie-privee","title":{"rendered":"Cyber-risques : technologies \u00e9mergentes et vie priv\u00e9e"},"content":{"rendered":"

De nouveaux cyber-risques apparaissent au fur et \u00e0 mesure que des technologies \u00e9mergentes arrivent sur le march\u00e9. Dans de nombreux cas les donn\u00e9es priv\u00e9es sont menac\u00e9es. La protection de la vie priv\u00e9e des individus, malgr\u00e9 le RGPD, est de plus en plus mise en d\u00e9faut. Y a-t-il des solutions? Quelles sont les responsabilit\u00e9s?<\/em><\/p>\n

\"Cyber-risques
Cr\u00e9dit \u00a9 rawpixel.com 2018<\/figcaption><\/figure>\n

Il est maintenant possible de connecter presque tous les objets. Bien s\u00fbr on pense \u00e0 la montre connect\u00e9e, mais il y a aussi de nombreux autres \u00e9quipements concern\u00e9s. Il peut s’agir d’accessoires automobiles ou d’accessoires de la maison (stores, r\u00e9frig\u00e9rateur, t\u00e9l\u00e9vision, thermostat intelligent, etc.). On ne doit pas non plus faire abstraction des drones et autres \u00e9quipements m\u00e9dicaux tels que pacemakers ou autres. Aujourd’hui, 6,4 milliards d\u2019appareils sont ou vont \u00eatre connect\u00e9s \u00e0 Internet. Et si \u00e7a se passait mal? Si des pirates pouvaient avoir acc\u00e8s au donn\u00e9es personnelles collect\u00e9es par ces terminaux? Et m\u00eame si les GAFAM (Google-Amazon-Facebook-Apple-Microsoft) r\u00e9cup\u00e9raient ces donn\u00e9es et les revendaient? Et m\u00eame si des cyber-criminels prenaient le contr\u00f4le de ces objets connect\u00e9s? Alors, que pourrait-il advenir?<\/p>\n

Une menace claire et omni-pr\u00e9sente<\/h2>\n

Vous vous dites peut-\u00eatre que c’est juste de la science-fiction. Et pourtant, il serait insens\u00e9 de penser que les thermostats intelligents connect\u00e9s \u00e0 Internet ou d’autres appareils intelligents ne posent pas de probl\u00e8me de s\u00e9curit\u00e9 pour les organisations. Lors du d\u00e9veloppement d’objets connect\u00e9s (IoT), l\u2019absence de r\u00e9flexion en mati\u00e8re de s\u00e9curit\u00e9 a entra\u00een\u00e9 un risque consid\u00e9rable pour les r\u00e9seaux d’entreprises.<\/p>\n

Selon Kaspersky Labs, 85 000 raisons tr\u00e8s claires sont prises en compte lorsque l\u2019on consid\u00e8re le co\u00fbt moyen d\u2019une attaque par d\u00e9ni de service distribu\u00e9 (DDoS) pour l\u2019entreprise. En octobre 2016 d\u00e9j\u00e0, de larges pans de l’internet sont devenus indisponibles en Europe et en Am\u00e9rique du Nord. Amazon, PayPal, Netflix, Airbnb, Twitter et Visa ont figur\u00e9 parmi les grands noms qui ont subi des perturbations. La cause? Une attaque DDoS contre le fournisseur Dyn. La vraie cause? Mirai<\/strong>.<\/p>\n

Mirai<\/a><\/strong><\/em> est un logiciel malveillant qui transforme\u00a0des ordinateurs utilisant le syst\u00e8me d’exploitation Linux en\u00a0bots<\/i>\u00a0contr\u00f4l\u00e9s \u00e0 distance. Ils forment alors un\u00a0botnet (r\u00e9seau de bots)<\/a>\u00a0utilis\u00e9 notamment pour r\u00e9aliser des attaques \u00e0 grande \u00e9chelle sur les r\u00e9seaux. Mirai s’attaque principalement \u00e0 des dispositifs grand public tels que des cam\u00e9ras pilotables \u00e0 distance ou encore des\u00a0routeurs<\/a>\u00a0pour la maison. En gros, il force brutalement les appareils IoT, bien que peu de force soit g\u00e9n\u00e9ralement n\u00e9cessaire, \u00e0 cause de mesures de s\u00e9curit\u00e9 rares (voire nulles). Suite \u00e0 l’attaque de 2016, le botnet qui en a r\u00e9sult\u00e9 \u00e9tait compos\u00e9 d’environ 150 000 cam\u00e9ras IP, de routeurs domestiques et m\u00eame de moniteurs pour b\u00e9b\u00e9.<\/p>\n

Des failles de s\u00e9curit\u00e9 pour le moins surprenantes<\/h2>\n

La plupart des fabricants d’objets connect\u00e9s (IoT) ne placent pas la s\u00e9curit\u00e9 au centre des pr\u00e9occupations de conception. Le plus souvent , de nombreux fournisseurs et l’industrie technologique font alors porter la faute sur les utilisateurs. Il les accusent de n’avoir pas d\u00e9ploy\u00e9 suffisamment d’efforts pour s\u00e9curiser les appareils en modifiant les mots de passe par d\u00e9faut. Et de leur c\u00f4t\u00e9, il arrive m\u00eame que les fabricants fassent des erreurs majeures de s\u00e9curit\u00e9. Ainsi, certains vont jusqu’\u00e0 coder en dur des mots de passe faciles \u00e0 deviner dans leurs appareils. C’est le monde \u00e0 l’envers. Toutes les bonnes pratiques sont bafou\u00e9es pour des raisons de co\u00fbt essentiellement. La cons\u00e9quence c’est que les cyber-risques explosent.<\/p>\n

Des responsabilit\u00e9s claires des fabricants<\/h3>\n

Certes, les utilisateurs ne modifient pas toujours les mots de passe par d\u00e9faut pour les rendre plus difficiles \u00e0 deviner. Cela, les fabricants le savent. Alors pourquoi ne proposent-ils pas un mot de passe par d\u00e9faut unique, difficile \u00e0 pirater?<\/p>\n

On peut toujours facilement reprocher aux utilisateurs de ne pas mettre \u00e0 jour les syst\u00e8mes avec les derniers correctifs. Mais, dans la r\u00e9alit\u00e9, ces mises \u00e0 jour fournies par les fabricants d’objets connect\u00e9s ne sont pas tr\u00e8s fr\u00e9quentes. Et elles n’arrivent g\u00e9n\u00e9ralement qu’apr\u00e8s qu’un p\u00e9riph\u00e9rique ait d\u00e9j\u00e0 \u00e9t\u00e9 pirat\u00e9. Ils sont en mode r\u00e9actif et quasiment jamais en mode proactif.<\/p>\n

Les dispositifs IoT sont con\u00e7us pour \u00eatre faciles \u00e0 utiliser. Ce sont aussi, souvent, des appareils destin\u00e9s \u00e0 \u00eatre vendus \u00e0 un prix attractif. La question du co\u00fbt de r\u00e9alisation devient donc un facteur primordial pour les fabricants. Or les comp\u00e9tences en s\u00e9curit\u00e9 sont relativement rares sur le march\u00e9 et, par cons\u00e9quent, relativement ch\u00e8res. Aussi, tr\u00e8s souvent, la s\u00e9curit\u00e9 est d\u00e9velopp\u00e9e par des techniciens n’ayant pas les comp\u00e9tences suffisantes en mati\u00e8re de s\u00e9curit\u00e9. Au lieu de cela, il faudrait que les fabricants d’objets connect\u00e9s fassent d\u00e9velopper leurs appareils par des sp\u00e9cialistes de la s\u00e9curit\u00e9 poss\u00e9dant, en plus, des comp\u00e9tences de d\u00e9veloppement et ayant une parfaite compr\u00e9hension des cons\u00e9quences d’une protection insuffisante. Pas l’inverse!!<\/p>\n

Des r\u00e9glementations insuffisantes<\/h3>\n

En outre, l\u2019industrie de l\u2019internet des objets n\u2019est, \u00e0 ce jour, ni normalis\u00e9e ni r\u00e9glement\u00e9e. La cons\u00e9quence est une anarchie compl\u00e8te pour les utilisateurs finaux. Cela pourrait changer si le gouvernement tentait d’inciter les fabricants d’appareils IoT \u00e0 adopter une approche de la protection de la vie priv\u00e9e d\u00e8s la conception (Protection by Design). Les gouvernements pourraient chercher \u00e0 l\u00e9gif\u00e9rer si les fabricants d’appareils IoT n’\u00e9coutent pas les conseils. Il y a bien s\u00fbr une tentative d’\u00e9volution dans ce sens avec le RGPD. Malheureusement c’est encore insuffisant pour faire bouger les lignes au niveau des objets connect\u00e9s..<\/p>\n

L’\u00e9volution de la surface d’attaque des entreprises<\/h2>\n

Il est clair que quelque chose ne va pas dans le monde de la technologie lorsque vos utilisateurs deviennent le p\u00e9rim\u00e8tre du r\u00e9seau, \u00e9tant donn\u00e9 le r\u00f4le qui consiste \u00e0 emp\u00eacher les menaces de s\u2019infiltrer davantage dans le r\u00e9seau.<\/p>\n

Les appareils IoT ouvrent le r\u00e9seau \u00e0 un \u00e9ventail de risques beaucoup plus large. Ils servent de points de terminaison \u00e0 s\u00e9curiser, tout en diluant les ressources assign\u00e9es pour la d\u00e9finition classique et traditionnelle de la protection contre les menaces.<\/p>\n

La bascule intelligente<\/h2>\n

\u00c9tant donn\u00e9 ce que vous ne pouvez pas faire pour emp\u00eacher la compromission des p\u00e9riph\u00e9riques IoT, quel est le revers de la m\u00e9daille? Il ne s\u2019agit pas d\u2019un exercice de \u00ablongueur de cha\u00eene\u00bb comme le sugg\u00e8re la vari\u00e9t\u00e9 presque infinie d\u2019appareils dont nous parlons. D’ailleurs, cette accusation de conception par des \u00ab\u00a0comptables\u00a0\u00bb que nous avons formul\u00e9e plus t\u00f4t va, en fait d\u00e9j\u00e0, commencer \u00e0 tomber, d\u00e8s que les vendeurs verront une opportunit\u00e9 du march\u00e9 de fournir des produits plus s\u00e9curis\u00e9s.<\/p>\n

Attendez-vous \u00e0 ce que la segmentation du r\u00e9seau et l’authentification entre p\u00e9riph\u00e9riques (si aucun cryptage de donn\u00e9es suffisamment puissant n’est possible) figure parmi les priorit\u00e9s dans les listes de fonctionnalit\u00e9s des objets connect\u00e9s.<\/p>\n

Gardons un oeil sur le futur<\/h2>\n

Quoi que l’avenir nous apporte, vous ne devez pas perdre de vue ces objets connect\u00e9s (IoT), ni m\u00eame leur emplacement. Vous devez absolument savoir quels appareils vous avez, avec quoi ils se connectent et comment ils le font. Tenir un inventaire d\u00e9taill\u00e9 des vos actifs informationnels fait partie des bonnes pratiques de s\u00e9curit\u00e9 de l’information. Cependant on oublie souvent ces appareils dans la liste des actifs informationnels.<\/p>\n

La visibilit\u00e9 est essentielle pour s\u00e9curiser l’IoT dans la mesure o\u00f9 votre entreprise est concern\u00e9e. Ces points de d’acc\u00e8s sont les endroits o\u00f9 les attaquants rechercheront des vuln\u00e9rabilit\u00e9s pour essayer de franchir le foss\u00e9 entre les \u00e9quipements et l’infrastructure de votre entreprise.<\/p>\n

 <\/p>\n

Partager\u00a0:<\/h3>