{"id":12303,"date":"2016-02-23T20:44:55","date_gmt":"2016-02-23T18:44:55","guid":{"rendered":"http:\/\/www.oezratty.net\/wordpress\/?p=12303"},"modified":"2016-03-03T22:08:19","modified_gmt":"2016-03-03T20:08:19","slug":"peut-on-securiser-internet-objets","status":"publish","type":"post","link":"https:\/\/www.oezratty.net\/wordpress\/2016\/peut-on-securiser-internet-objets\/","title":{"rendered":"Peut-on s\u00e9curiser l’Internet des objets ?"},"content":{"rendered":"

Je suis intervenu en ouverture de la Conf\u00e9rence Cybers\u00e9curit\u00e9 – IOT et Syst\u00e8mes Embarqu\u00e9s<\/a> organis\u00e9e \u00e0 Toulouse le 18 f\u00e9vrier 2016. Organis\u00e9e par Captronic et la soci\u00e9t\u00e9 de conseil G-Echo, cette conf\u00e9rence rassemblait une centaine de personnes au laboratoire du LAAS-CNRS de Toulouse et voyait intervenir des sp\u00e9cialistes des questions de s\u00e9curit\u00e9. C\u2019\u00e9tait une belle occasion de faire le point sur le sujet. Ce compte-rendu utilise des informations glan\u00e9es dans les interventions de cette conf\u00e9rence, compl\u00e9t\u00e9es de quelques recherches en ligne. La conf\u00e9rence \u00e9tait sponsoris\u00e9e par AllianTech (outils de mesure et capteurs), Digital Security (services et conseil), HSC\/Deloitte (la filiale de conseil en s\u00e9curit\u00e9 de Deloitte issue de l\u2019acquisition de Herv\u00e9 Schauer Consultants en 2014), ISIT (d\u00e9veloppement temps-r\u00e9el) et NeoTech (services et conseils).<\/p>\n

Ce n\u2019\u00e9tait pas la seule conf\u00e9rence sur le sujet en France. Le 8e Forum International de la Cybers\u00e9curit\u00e9<\/a> avait eu lieu au Grand Palais de Lille les 25 et 26 janvier 2016. Il y avait aussi eu les Journ\u00e9e sur l’Internet des Objets et la Cybers\u00e9curit\u00e9\/Cyberd\u00e9fense<\/a> en juin 2015 au CNAM \u00e0 Paris. Le sujet monte en puissance ! La s\u00e9curit\u00e9 de l\u2019Internet des objets est devenue un sujet majeur des grandes conf\u00e9rences sur la s\u00e9curit\u00e9 comme dans les fameuses Defcon <\/strong>aux USA.<\/p>\n

Chaque nouvelle vague technologique apporte son lot de vuln\u00e9rabilit\u00e9s. Il a fallut des d\u00e9cennies pour s\u00e9curiser les transports ferroviaires, a\u00e9riens et automobiles. La ceinture de s\u00e9curit\u00e9, invent\u00e9e \u00e0 la fin du 19e si\u00e8cle, n\u2019est devenue obligatoire en France qu\u2019en 1973. Dans le num\u00e9rique, ces cycles innovation-s\u00e9curisation se sont acc\u00e9l\u00e9r\u00e9s. La micro-informatique a vu tr\u00e8s rapidement naitre le business des anti-virus. Celui-ci s\u2019est acc\u00e9l\u00e9r\u00e9 avec l\u2019arriv\u00e9e d\u2019Internet. La mobilit\u00e9 et les syst\u00e8mes de paiement ont alors apport\u00e9 leur lot de vuln\u00e9rabilit\u00e9s et de nouvelles solutions.<\/p>\n

NB: j’utilise souvent le terme “hack” pour d\u00e9crire des actions techniques permettant d’attaquer un objet connect\u00e9. Oui, je sais, le hacking peut avoir une connotation positive, mais il est aussi appliqu\u00e9 dans le domaine du piratage !<\/p>\n

Les fragilit\u00e9s connues des objets connect\u00e9s<\/strong><\/p>\n

L\u2019univers des objets connect\u00e9s va probablement suivre un sc\u00e9nario voisin : un d\u00e9veloppement des usages, la d\u00e9couverte de (nombreuses) vuln\u00e9rabilit\u00e9s, des attaques symboliques g\u00e9n\u00e9rant un \u00e9cho dans les m\u00e9dias et l\u2019\u00e9mergence puis le d\u00e9ploiement de solutions de s\u00e9curisation. On assistera \u00e0 une in\u00e9vitable course contre la montre entre s\u00e9curit\u00e9 et contre-attaques des pirates.<\/p>\n

Ceux qui pr\u00e9tendent pouvoir s\u00e9curiser int\u00e9gralement leur site web ou leur micro-ordinateur sont souvent surpris des vuln\u00e9rabilit\u00e9s qui peuvent \u00eatre mises \u00e0 jour par des sp\u00e9cialistes. La perception du risque est une affaire d\u2019information. Par d\u00e9faut, on ne craint pas grand chose. Mais au gr\u00e9 de la mise en avant des failles de s\u00e9curit\u00e9 et de leurs cons\u00e9quences, la perception augmente et peut g\u00e9n\u00e9rer l\u2019attente d\u2019une plus grande s\u00e9curisation des syst\u00e8mes. Sans compter le cas d\u2019attaques subies.<\/p>\n

Dans l\u2019univers des objets connect\u00e9s, les smartphones<\/strong> sont en premi\u00e8re ligne. Ils sont \u00e0 ce jour les objets les plus connect\u00e9s du grand public et sujets \u00e0 un nombre croissant d\u2019attaques li\u00e9es \u00e0 leurs diff\u00e9rentes vuln\u00e9rabilit\u00e9s. Ainsi, le Mobile Malware Report Q4 2015 de G-DATA \u00e9voque le nombre de 2,3 millions de nouveaux dangers<\/a> identifi\u00e9s sur Android en 2015, en augmentation de 32% par rapport au trimestre pr\u00e9c\u00e9dent. Cela concerne les 66% d\u2019utilisateurs de smartphones qui utilisent Android. iOS est \u00e9galement sujet \u00e0 diverses vuln\u00e9rabilit\u00e9s m\u00eame si son c\u00f4t\u00e9 plus ferm\u00e9 le prot\u00e8ge partiellement.<\/p>\n

\"GDATA_grahique_malware_android_par_an\"<\/a><\/p>\n

Mais les vuln\u00e9rabilit\u00e9s commencent \u00e0 toucher de nombreuses cat\u00e9gories d\u2019objets connect\u00e9s. Les vuln\u00e9rabilit\u00e9s sont multipli\u00e9es par les points de contact et les capteurs comme les actuateurs. Et c\u00f4t\u00e9 couverture m\u00e9diatique, on commence \u00e0 \u00eatre servi. A commencer par les d\u00e9clarations de responsables de l\u2019ANSSI, l\u2019agence du gouvernement qui d\u00e9pend du SGDN et g\u00e8re la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information de l\u2019Etat, apr\u00e8s la publication du Rapport Cybers\u00e9curit\u00e9 des objets connect\u00e9s<\/strong> de Vincent Strubel en juin 2015<\/a>.<\/p>\n

\"ANSSI<\/a><\/p>\n

Le catalogue des menaces concernant les objets connect\u00e9s est pour le moins fascinant ! Dans \u201cAbusing the Internet of Things<\/a>\u201d, Nitesh Dhanjani en fait un premier inventaire avec le hacking int\u00e9grant les codes sources associ\u00e9s pour des \u00e9clairages connect\u00e9s, g\u00e9n\u00e9rant un black-out, des serrures connect\u00e9es (source<\/a>), facilitant les cambriolages, des baby monitors, des TV connect\u00e9es et des voitures connect\u00e9es.<\/p>\n

\"Abusing<\/a><\/p>\n

L\u2019inventaire du \u201cHou ! Fais-moi peur\u201d est d\u00e9j\u00e0 des plus riche :<\/p>\n