{"id":9193,"date":"2019-04-04T10:00:24","date_gmt":"2019-04-04T08:00:24","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog?p=9193"},"modified":"2019-04-05T09:20:27","modified_gmt":"2019-04-05T07:20:27","slug":"7-menaces-majeures-internet-des-objets","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/securite\/7-menaces-majeures-internet-des-objets","title":{"rendered":"7 menaces majeures dans un monde d’objets connect\u00e9s"},"content":{"rendered":"

Ils sont partout. Ils vous observent et enregistrent tout. De gigantesques entrep\u00f4ts de donn\u00e9es, situ\u00e9s on ne sait o\u00f9 dans le monde contiennent des informations sensibles vous concernant. Vous pensez que je fais une crise de\u00a0parano\u00efa? \u00a0Vous pensez que c’est de la science-fiction comme dans 1984, le chef-d’oeuvre d’Orwell? Rassurez-vous, ou plut\u00f4t inqui\u00e9tez-vous, ce n’est pas le cas. Et 1984 c’\u00e9tait il y a 35 ans, c’est \u00e0 dire \u00e0 l’\u00e9poque de la pr\u00e9histoire. C’\u00e9tait le si\u00e8cle dernier. Aujourd’hui on est bien plus loin que tout ce que pr\u00e9disait Orwell. Simplement, nous vivons dans le monde de l’internet des objets. Peut-\u00eatre certains d’entre eux sont-ils m\u00eame implant\u00e9s dans votre corps. Ces objets connect\u00e9s pr\u00e9sentent beaucoup d’avantages. Mais ils constituent un risque critique en termes de s\u00e9curit\u00e9 de l’information. Je vous propose de d\u00e9couvrir ensemble les 7 menaces majeures dans un monde d’objets connect\u00e9s.<\/i><\/p>\n

\"Cybers\u00e9curit\u00e9
Cr\u00e9dit \u00a9 rawpixel.com 2019<\/figcaption><\/figure>\n

Tout est plus grand dans le monde des objets connect\u00e9s qu’on appelle aussi l\u2019Internet des objets. Bon, mis \u00e0 part les appareils eux-m\u00eames. En effet, ceux-ci sont g\u00e9n\u00e9ralement assez petits pour ne contenir que quelques puces. Et ils sont souvent cach\u00e9s \u00e0 l\u2019abri des regards. Cependant, l\u2019ampleur des donn\u00e9es et des p\u00e9riph\u00e9riques dans l\u2019IoT est un casse-t\u00eate pour tout professionnel de la cybers\u00e9curit\u00e9.<\/p>\n

\n

Selon l’Union Internationale des T\u00e9l\u00e9communications, l’Internet des objets (IoT) est une \u00ab\u00a0infrastructure mondiale pour la soci\u00e9t\u00e9 de l’information, qui permet de disposer de services \u00e9volu\u00e9s en interconnectant des objets (physiques\u00a0ou virtuels) gr\u00e2ce aux technologies de l’information et de la communication interop\u00e9rables existantes ou en \u00e9volution\u00a0\u00bb<\/strong>.<\/em><\/span><\/p>\n

<\/blockquote>\n

Qu’appelle-t-on l’IoT ou internet des objets?<\/h2>\n

En r\u00e9alit\u00e9, la d\u00e9finition de l’Internet des objets (on parle aussi d’IoT ou d’IdO) n’est pas fig\u00e9e. Elle recoupe des dimensions d’ordres conceptuel et technique.<\/p>\n

D’un point de vue conceptuel, l’Internet des objets caract\u00e9rise des objets physiques connect\u00e9s ayant leur propre identit\u00e9\u00a0num\u00e9rique\u00a0et capables de communiquer les uns avec les autres. Ce r\u00e9seau cr\u00e9e une\u00a0passerelle\u00a0entre le monde physique et le monde virtuel.<\/p>\n

D’un point de vue technique, l’IdO consiste en l’identification num\u00e9rique directe et normalis\u00e9e (adresse IP,\u00a0protocoles\u00a0smtp, http…) d’un objet physique gr\u00e2ce \u00e0 un syst\u00e8me de communication sans fil qui peut \u00eatre bas\u00e9 sur une puce\u00a0RFID, le Bluetooth\u00a0ou le Wi-Fi.<\/p>\n

Les\u00a0objets connect\u00e9s\u00a0produisent de grandes quantit\u00e9s de donn\u00e9es dont le stockage et le traitement entrent dans le cadre de ce que l’on appelle le Big data. Le big data d\u00e9signe l\u2019ensemble des donn\u00e9es num\u00e9riques produites par l\u2019utilisation des nouvelles technologies \u00e0 des fins personnelles ou professionnelles. Cela recoupe notamment des donn\u00e9es d\u2019entreprise telles que courriels, documents, bases de donn\u00e9es, historiques de processeurs m\u00e9tiers…<\/p>\n

En logistique, il peut s’agir de\u00a0capteurs\u00a0servant tracer des marchandises pour la gestion des stocks et les\u00a0acheminements. Dans le domaine de l’environnement, il s’agira de capteurs surveillant la qualit\u00e9 de l’air, la temp\u00e9rature, le niveau sonore, l’\u00e9tat d’un b\u00e2timent, etc.\u00a0En\u00a0domotique, l’IdO recouvre tous les appareils \u00e9lectrom\u00e9nagers communicants, les capteurs (thermostat, d\u00e9tecteurs de fum\u00e9e, de pr\u00e9sence…), les compteurs intelligents\u00a0et syst\u00e8mes de s\u00e9curit\u00e9 connect\u00e9s des appareils de type\u00a0box\u00a0domotique.<\/p>\n

Le ph\u00e9nom\u00e8ne IdO est \u00e9galement tr\u00e8s pr\u00e9sent dans le domaine de la sant\u00e9 et du bien-\u00eatre avec le d\u00e9veloppement des\u00a0montres connect\u00e9es, des\u00a0bracelets connect\u00e9s\u00a0et d’autres capteurs surveillant des constantes vitales. Selon diverses projections (cf.\u00a0Cisco<\/span><\/a>\u00a0et le cabinet\u00a0Gartner<\/span><\/a>), le nombre d’objets connect\u00e9s devrait largement\u00a0augmenter dans les prochaines ann\u00e9es.<\/p>\n

7 menaces majeures li\u00e9es aux objets connect\u00e9s<\/h2>\n

Selon des estimations largement cit\u00e9es, la production actuelle de donn\u00e9es issues des objets connect\u00e9s atteindrait 2,5 quintillions d’octets par jour. Cela repr\u00e9sente environ 2,5 milliards de milliards de milliards d’octets chaque jour. Et ce nombre va continuer d’augmenter car l’Internet des Objets concernera jusqu’\u00e0 30 milliards d’appareils au cours des deux prochaines ann\u00e9es. Compte tenu du nombre important d\u2019appareils et de la nouveaut\u00e9 de l\u2019IoT pour tous, cela repr\u00e9sente un risque important pour la plupart des entreprises, en particulier les plus petites.<\/p>\n

\"Objets
Source : Forbes \u00a9 2019<\/figcaption><\/figure>\n

\u00c0 mesure que la taille grandit, les risques se multiplient \u00e9galement. Voici sept des plus importantes menaces de cybers\u00e9curit\u00e9 auxquelles l’IoT doit faire face aujourd’hui. Les leaders et les consultants en cybers\u00e9curit\u00e9 doivent absolument rester \u00e0 l’avant-garde de ces d\u00e9fis.<\/p>\n

1. Un potentiel exploitable et souvent cach\u00e9<\/h3>\n

De nombreux objets connect\u00e9s sont con\u00e7us pour des t\u00e2ches limit\u00e9es. Il peut s’agir par exemple de la d\u00e9tection de la temp\u00e9rature ou de l’enregistrement de mouvements. Mais ils fonctionnent sur des micro-contr\u00f4leurs et des syst\u00e8mes d\u2019exploitation capables de faire beaucoup plus en arri\u00e8re-plan sans entraver leur objectif premier. C\u2019est une opportunit\u00e9 importante pour un cyber-attaquant. Et cela repr\u00e9sente un risque important pour les propri\u00e9taires et les entreprises pour lesquelles ils travaillent.<\/p>\n

Il est donc n\u00e9cessaire d\u2019associer les responsables de la s\u00e9curit\u00e9 de l\u2019information au processus d\u2019achat IoT d\u2019une entreprise. Ils doivent \u00eatre impliqu\u00e9s au m\u00eame titre que pour toute autre acquisition technologique. Qu’il s’agisse de serveurs et de racks de stockage ou de drones, de cam\u00e9ras et de luminaires intelligents, ils ne doivent pas \u00eatre consult\u00e9s apr\u00e8s que tout ait \u00e9t\u00e9 d\u00e9termin\u00e9 et achet\u00e9. C’est alors beaucoup trop tard pour agir. L’\u00e9valuation des risques de s\u00e9curit\u00e9 de l’information doit intervenir de fa\u00e7on syst\u00e9matique en amont de tout projet.<\/p>\n

2. Des terminaux qui savent se faire oublier<\/h3>\n

De nombreux objets connect\u00e9s sont con\u00e7us pour se faire oublier. Ils doivent fonctionner pendant des ann\u00e9es, souvent avec pour seule alimentation une pile bouton. Ils peuvent \u00eatre encastr\u00e9s dans des murs ou des plafonds. On les monte aussi souvent sur des \u00e9quipements d’usine inaccessibles aux personnels d’entretien lors des tourn\u00e9es de maintenance.<\/p>\n

C\u2019est tr\u00e8s pratique pour ce \u00e0 quoi ils sont destin\u00e9s. On attend d’eux qu’ils soient fiables et qu’ils ne n\u00e9cessitent que peu d\u2019entretien. Mais ils constituent un r\u00e9el probl\u00e8me pour la strat\u00e9gie de gestion des actifs informatiques et de la cybers\u00e9curit\u00e9. L\u2019un des principaux facteurs de risque est justement que les gens les oublient.<\/p>\n

\"Risques
Source : Forbes \u00a9 2019<\/figcaption><\/figure>\n

Pour rem\u00e9dier \u00e0 cela, cr\u00e9ez et appliquez le m\u00eame type de cycles de remplacement et de rafra\u00eechissement stricts d\u00e9j\u00e0 utilis\u00e9s pour les \u00e9quipements informatiques tels que les serveurs de centres de donn\u00e9es et les ordinateurs portables. \u00c9tant donn\u00e9 que de nombreux p\u00e9riph\u00e9riques IoT peuvent \u00eatre physiquement masqu\u00e9s pendant des ann\u00e9es, cela peut n\u00e9cessiter une documentation plus d\u00e9taill\u00e9e qu’un plan de remplacement tel que celui pour des smartphones classiques. Votre \u00e9quipe informatique doit pouvoir identifier et localiser ces p\u00e9riph\u00e9riques avant que ceux-ci ne puissent \u00eatre actualis\u00e9s ou remplac\u00e9s.<\/p>\n

3. Ne pas reconna\u00eetre les objectifs d’une attaque sur les objets connect\u00e9s<\/h3>\n

Une approche bien pens\u00e9e de la s\u00e9curit\u00e9 des objets IoT aurait tout int\u00e9r\u00eat s’inspirer des expositions et exploitations pass\u00e9es de l’IoT. Des cam\u00e9ras intelligentes et des lecteurs de cartes de paiement ont ainsi \u00e9t\u00e9 attaqu\u00e9es et utilis\u00e9es pour transmettre des donn\u00e9es \u00e0 des utilisateurs non autoris\u00e9s. Plus r\u00e9cemment, les syst\u00e8mes embarqu\u00e9s ont \u00e9t\u00e9 cibl\u00e9s par des programmes de ransomwares. Ils ponctionnaient des paiements en \u00e9change du maintien en fonctionnement de syst\u00e8mes essentiels. Parmi ces syst\u00e8mes figuraient des \u00e9quipements m\u00e9dicaux. Mais les cyber-criminels s’en prennent d\u00e9sormais \u00e0 des cat\u00e9gories en plein expansion d’objets connect\u00e9s. Et ils pourraient bien \u00eatre plus int\u00e9ress\u00e9s dans le futur par l’\u00e9criture de donn\u00e9es que par leur lecture.<\/p>\n

Par exemple, une usine \u00e9quip\u00e9e de dispositifs de gestion IoT peut avoir des centaines de capteurs qui lisent les niveaux d’alimentation actuels sur un tapis roulant ou mesurent la pression de fluide dans un tuyau. La simple lecture de cette information aurait relativement peu de valeur pour un attaquant. Mais un saboteur qui pourrait implanter de faux enregistrements risquerait de perturber la production en introduisant des donn\u00e9es inondant la cha\u00eene de montage de trop nombreux composants ou en laissant trop de fluide ou de gaz traverser des composants non adapt\u00e9s \u00e0 la charge. Selon un livre blanc du NIST (Institut national des normes et de la technologie, aux USA), un attaquant pouvant consulter les donn\u00e9es stock\u00e9es ou transmises d’un dispositif IoT ne pourrait en retirer aucun avantage ni aucune valeur. Mais un cyber-criminel pouvant en modifier les donn\u00e9es pourrait d\u00e9clencher une s\u00e9rie d’\u00e9v\u00e9nements d\u00e9clenchant un incident.<\/p>\n

Savoir ce qu\u2019un attaquant pourrait gagner d\u2019un acc\u00e8s non autoris\u00e9 \u00e0 un p\u00e9riph\u00e9rique est une premi\u00e8re \u00e9tape cl\u00e9 dans la conception des protections.<\/p>\n

4. Le d\u00e9s\u00e9quilibre entre s\u00e9curit\u00e9 et exigences des utilisateurs<\/h3>\n

Les objets connect\u00e9s sont g\u00e9n\u00e9ralement cens\u00e9s fonctionner de fa\u00e7on stable. On attend d’eux qu’ils soient fiables et disponibles 24h \/ 24. On ne s\u2019attend pas \u00e0 ce qu\u2019ils soient r\u00e9guli\u00e8rement entretenus et mis \u00e0 jour. \u00abLes exigences op\u00e9rationnelles en mati\u00e8re de performances, de fiabilit\u00e9, de r\u00e9silience et de s\u00e9curit\u00e9 peuvent \u00eatre en contradiction avec les pratiques courantes en mati\u00e8re de cybers\u00e9curit\u00e9 et de confidentialit\u00e9 des p\u00e9riph\u00e9riques informatiques classiques\u00bb, note le NIST.<\/p>\n

C\u2019est une fa\u00e7on \u00e9l\u00e9gante de dire que les utilisateurs n\u2019accepteront ni ne comprendront pas qu’un appareil IoT s’\u00e9teigne pendant 15 minutes pour d\u00e9ployer un correctif de s\u00e9curit\u00e9. Et cela m\u00eame alors qu’ils l’accepteraient pour un smartphone ou un ordinateur portable. Pour r\u00e9pondre \u00e0 cela il faudrait d\u00e9ployer des dispositifs de sauvegarde redondants, mettre en oeuvre des fen\u00eatres de maintenance planifi\u00e9es ou une campagne d’\u00e9ducation concert\u00e9e qui aligne les attentes des utilisateurs sur les imp\u00e9ratifs de las\u00e9curit\u00e9.<\/p>\n

5. Un manque de responsabilisation des fabricants<\/h3>\n

Les dispositifs IoT sont con\u00e7us \u00eatre faciles d’utilisation. Mais cette facilit\u00e9 cr\u00e9e des vuln\u00e9rabilit\u00e9s et engendre donc des risques. Une bonne hygi\u00e8ne en mati\u00e8re de cybers\u00e9curit\u00e9 est indispensable dans l’IoT. Et cela commence, d\u00e8s la mise en oeuvre. Commencez par vous assurer que les informations d’identification par d\u00e9faut de l’administrateur ou du super-utilisateur sont rapidement modifi\u00e9es ou d\u00e9sactiv\u00e9es. Le blocage et la d\u00e9sactivation des fonctionnalit\u00e9s UPnP (Universal Plug-and-Play) et l\u2019arr\u00eat du trafic sur les ports r\u00e9seau non essentiels fr\u00e9quemment utilis\u00e9s pour les attaques IoT constituent \u00e9galement des pr\u00e9cautions \u00e9l\u00e9mentaires.<\/p>\n

Et si vous ne pouvez pas faire ces choses? Alors, ne d\u00e9ployez pas. Ces appareils ne sont pas toujours intrins\u00e8quement s\u00e9curis\u00e9s. Certains ne vous autorisent m\u00eame pas \u00e0 changer le nom d’utilisateur et le mot de passe. La plupart des plus importantes vuln\u00e9rabilit\u00e9s proviennent des fabricants eux-m\u00eames.<\/p>\n

6. La menace des initi\u00e9s<\/h3>\n

Le risque d’initi\u00e9 est souvent une menace plus grande que celui provenant de l’ext\u00e9rieur. Ce risque d’initi\u00e9 (insiders) peut provenir d’employ\u00e9s qui d\u00e9tournent d\u00e9lib\u00e9r\u00e9ment des appareils \u00e0 leurs propres fins. Une autre forme de menace est la manipulation par un attaquant au moyen de m\u00e9thodes de phishing ou d’autres m\u00e9thodes d’ing\u00e9nierie sociale. L’Internet des Objets cr\u00e9e une nouvelle exposition \u00e0 un ancien probl\u00e8me. Vous devez pouvoir compter sur vos employ\u00e9s<\/a> pour vous d\u00e9fendre. Or l’ing\u00e9nierie sociale est le premier moyen d’acc\u00e9der \u00e0 une organisation.Vous devez vraiment attirer l’attention sur qui a acc\u00e8s \u00e0 chaque objet connect\u00e9 et sur ce qu’il peut en faire.<\/p>\n

L’\u00e9ducation \u00e0 l’hame\u00e7onnag<\/a>e en g\u00e9n\u00e9ral, qui vise g\u00e9n\u00e9ralement \u00e0 \u00e9viter les escroqueries par courrier \u00e9lectronique et sur les r\u00e9seaux sociaux, peut \u00eatre insuffisante. Un attaquant peut tenter de bluffer un employ\u00e9 pour lui faire red\u00e9marrer ou ou mettre \u00e0 jour un appareil. \u00a0Et cet employ\u00e9 peut tout \u00e0 fait consid\u00e9rer qu’il s’agit d’une demande raisonnable si l’individu travaille \u00e0 proximit\u00e9 et s’il d\u00e9gage un sentiment de propri\u00e9t\u00e9. Les employ\u00e9s doivent donc recevoir des instructions claires pour savoir exactement qui a l’autorisation d’interagir avec les appareils IoT et dans quelles circonstances il peut effectuer des r\u00e9glages ou des mises \u00e0 jour sur l’appareil sans surveillance informatique.<\/p>\n

7. Les objets abandonn\u00e9s ou non utilis\u00e9s<\/h3>\n

Le probl\u00e8me des p\u00e9riph\u00e9riques IoT non mis \u00e0 jour, abandonn\u00e9s ou tout simplement oubli\u00e9s est devenu si grave que les activistes du piratage informatiques ont en fait infect\u00e9 les p\u00e9riph\u00e9riques non prot\u00e9g\u00e9s avec des logiciels malveillants simplement pour emp\u00eacher d’autres logiciels d’en prendre le contr\u00f4le. Ces attaques utilisent des vuln\u00e9rabilit\u00e9s non corrig\u00e9es pour se faufiler, puis corrigent la vuln\u00e9rabilit\u00e9 ou ferment les ports r\u00e9seau pour emp\u00eacher tout autre logiciel de p\u00e9n\u00e9trer. Assurez-vous donc que votre strat\u00e9gie IoT reconna\u00eet sp\u00e9cifiquement ce risque. Elle doit comprendre les activit\u00e9s de ces hacktivistes de type chapeau gris et prendre des mesures avant que les cyber-criminels ne puissent le faire.<\/p>\n

Quelques conseils de base pour vous prot\u00e9ger<\/h2>\n

L’internet des objets envahit notre environnement et ils de d\u00e9veloppe de fa\u00e7on exponentielle. Il est donc essentiel de prendre des pr\u00e9cautions de base avant d’envisager de vous en \u00e9quiper. 2AB & Associates vous conseille de prendre les pr\u00e9cautions suivantes afin de vous pr\u00e9munir contre l\u2019achat d\u2019objets intelligents vuln\u00e9rables\u00a0:<\/p>\n

    \n
  1. Avant d\u2019acheter un objet IoT, recherchez sur Internet la mention d\u2019\u00e9ventuelles vuln\u00e9rabilit\u00e9s. L\u2019Internet des objets est aujourd\u2019hui un sujet br\u00fblant. Aussi, de nombreux chercheurs font un excellent travail pour d\u00e9couvrir des failles de s\u00e9curit\u00e9 dans les\u00a0produits de ce type. Cela va des \u00e9coute-b\u00e9b\u00e9s<\/a> jusqu\u2019aux\u00a0armes g\u00e9r\u00e9es par\u00a0une\u00a0application<\/a>. Il est probable que l\u2019objet que vous envisagez d’acheter ait d\u00e9j\u00e0 \u00e9t\u00e9 examin\u00e9 par\u00a0des experts en s\u00e9curit\u00e9. Il est \u00e9galement souvent possible de v\u00e9rifier si les vuln\u00e9rabilit\u00e9s d\u00e9couvertes ont \u00e9t\u00e9 corrig\u00e9es ou pas.<\/li>\n
  2. Ce n\u2019est pas toujours une bonne id\u00e9e d\u2019acheter les produits les plus r\u00e9cents d\u00e8s\u00a0leur\u00a0lancement sur le march\u00e9. En dehors des bugs habituels affectant les nouveaux produits, ces derniers sont plus susceptibles de receler des failles de s\u00e9curit\u00e9 encore inconnues. Il est donc pr\u00e9f\u00e9rable de choisir des produits ayant d\u00e9j\u00e0 connu plusieurs mises \u00e0 jour de leur logiciel.<\/li>\n
  3. Avant de d\u00e9cider de rendre un aspect de sa vie un peu plus intelligent, tenez compte des risques pour la s\u00e9curit\u00e9. Si vous conservez de nombreux objets de valeur \u00e0\u00a0votre\u00a0domicile, il est sans doute judicieux d\u2019installer un syst\u00e8me d\u2019alarme professionnel en remplacement ou en compl\u00e9ment de votre mod\u00e8le existant command\u00e9 par une application. Au minimum, pensez \u00e0 configurer ce dernier de sorte qu\u2019aucune vuln\u00e9rabilit\u00e9 \u00e9ventuelle n\u2019affecte son fonctionnement. Serait vraiment trop b\u00eate de laisser le contr\u00f4le de votre syst\u00e8me de surveillances \u00e0 vos \u00e9ventuels cambrioleurs…<\/li>\n<\/ol>\n\n\n
    \"Objets
    Cr\u00e9dit : DGCCRF \u00a9 2018<\/em><\/figcaption><\/figure><\/div>\n\n\n\n

    L’internet de Objets vous int\u00e9resse? Vous avez des commentaires ou des remarques? N’h\u00e9sitez pas \u00e0 nous laisser votre commentaire.<\/em><\/strong><\/p>\n\n\n\n

    <\/p>\n

    Partager\u00a0:<\/h3>