Heureusement, les ordinateurs quantiques ne sont pas encore suffisamment performants pour mener de telles attaques. Les estimations varient quant à la date à laquelle cela deviendra une réalité, mais beaucoup prévoient une échéance entre 2033 et 2037. Par ailleurs, les régulateurs ont commencé à définir des échéanciers pour la fin de vie des algorithmes existants : le NIST a publié un draft avec pour échéance 2035, tandis que l’ASD australien a annoncé 2030 comme date limite. Nous anticipons que d’autres nations publieront des annonces similaires dans les mois à venir. 

Ainsi, quelle que soit la date précise d’émergence des ordinateurs quantiques capables de briser les algorithmes cryptographiques actuels, une transition sera incontournable pour des raisons régulatoires. 

Migrer une infrastructure informatique complexe n’est pas une tâche triviale : selon un mémorandum de 2022, l’administration Biden estimait le coût de la migration de toutes les agences fédérales américaines à plus de 7 milliards de dollars. Un tel projet implique de nombreux aspects, depuis l’évaluation des risques jusqu’à l’exécution technique de la migration, avec de nombreuses étapes intermédiaires. Des solutions existent pour accompagner ou accélérer ces étapes. 

Le radar 2025 des solutions de migration post-quantique de Wavestone offre un premier panorama visuel des solutions leaders du marché pour cette migration et a été et continuera à être mis à jour et enrichi dans les mois à venir. Toute entreprise qui pense devoir y figurer est encouragée à nous contacter.

Le but de ce radar n’est pas de recenser toutes les solutions ayant complété leur transition PQC, mais bien des solutions qui aident et accélèrent cette migration.

Catégories 

La distribution de clés quantiques (QKD) a été envisagée mais rejetée comme catégorie. Bien que résistante aux ordinateurs quantiques, la QKD n’est pas techniquement une technologie de cryptographie post-quantique ni une solution recommandée par les différents régulateurs. 

• Inventaire : Automatisation de l’inventaire le type et l’emplacement de toute cryptographie utilisée. 
• Gestion de la migration : Fournir une vue d’ensemble de la transition post-quantique, souvent basée sur les résultats d’inventaire. 
• HSM/PKI/CLM conformes PQC : Fournir des composants de confiance numérique essentiels la plupart des services et résistants aux ordinateurs quantiques. 
• Bibliothèques/Embedded services : Chiffrer et signer des données avec des bibliothèques polyvalentes ou des solutions intégrées au cloud. 
• Protection périmétrique : Ajouter une couche de sécurité supplémentaire contre les attaques quantiques, notamment via l’encapsulation du trafic et des wrappers pour les applications critiques (e-mails, messagerie instantanée, etc…). 
• Analyse de réseau : Détection des flux réseau utilisant une cryptographie obsolète via des sondes.

Tendances clés du marché 

Une disparité de tailles 

La structure du marché des solutions de sécurité post-quantiques présente des disparités significatives en termes de taille et de maturité des acteurs. À une extrémité du spectre, les géants technologiques et les entreprises de cybersécurité établies s’appuient sur des ressources considérables pour développer et promouvoir des solutions robustes. À l’autre extrémité, des startups de niche et des pure players impulsent des avancées rapides dans des domaines spécialisés. Nous prévoyons que cette diversité favorisera : 

• L’innovation : La diversité du marché, entre géants technologiques et acteurs de niche, accélère le rythme et la qualité des innovations. 
• La fragmentation : Les petits acteurs peuvent avoir du mal à atteindre une échelle suffisante pour déployer leurs solutions largement. 
• Les partenariats : Des collaborations comme celles de Thales et IBM montrent comment les grandes entreprises peuvent profiter des innovations de pure players dans leur segment spécifique en les combinant avec leurs ressources et leur expertise.

Au fur et à mesure que le marché mûrit, il sera passionnant de découvrir comment il se structure.

Des bibliothèques open-source avec le soutien des géants de la tech 

Plusieurs bibliothèques open source proposent déjà de la cryptographie post-quantique. Les bibliothèques les plus connues, comme OpenSSL, ne sont pas les plus avancées sur ce point, leurs propres implémentations étant en cours, alors que des bibliothèques comme liboq éditée par Open Quantum Safe sont déjà prête à être utilisée. Néanmoins, il est encourageant pour l’écosystème de la cybersécurité qu’un sujet aussi crucial que la sécurité post-quantique repose sur des solutions profondément ancrées dans les principes de l’open source.

Cependant, les grandes entreprises de la tech jouent un rôle central en soutenant ces bibliothèques open source, reconnaissant leur potentiel pour accélérer l’adoption et l’innovation. Des initiatives telles que liboq d’Open Quantum Safe bénéficient du soutien de Microsoft, Amazon et IBM ; les fonction PQC de Bouncy Castle ont été développées avec la participation significative de Keyfactor, et Tink, la bibliothèque open source de Google, intègre également des solutions de cryptographie post-quantique. Néanmoins, la plupart de ces implémentations n’ont pas encore été pleinement vérifiées formellement, bien que le processus soit en cours.

Un manque de certification pour les HSMs… 

Les Hardware Security Modules (HSMs) jouent un rôle crucial dans la chaîne de confiance numérique, mais le marché pour ces solutions matérielles n’est pas encore prêt à date. Les fournisseurs ont initialement recouru à des implémentations logicielles à des fins d’expérimentation en attendant la publication du nouveau standard par le NIST. Cependant, les implémentations matérielles ont progressé depuis, quand bien même leur certification n’est pas attendue avant T3 ou T4 2025.

En outre, bien que les HSMs soient conçus pour résister aux altérations et réduire les risques d’exposition des clés, ils devront faire face aux défis liés aux attaques par side-channel, en raison de la maturité encore limitée des implémentations actuelles de ces nouveaux algorithmes.

Et un manque de hardware pour l’IoT, les dispositifs embarqués et les smart cards 

Le manque de matériel est particulièrement problématique pour les objets connectés (IoT), les dispositifs embarqués et les smart cards, qui fonctionnent sous des contraintes sévères – puissance limitée, capacité de calcul réduite et espace de stockage restreint – nécessitant ainsi des algorithmes efficaces et un matériel spécialisé dédié pour les opérations cryptographiques. Malheureusement, l’absence actuelle de processeurs dédiés reste un obstacle majeur.

De plus, la nature décentralisée des dispositifs embarqués représentera un défi considérable à surmonter, car la mise à niveau des équipements hérités sera complexe et coûteuse.

Fort dynamisme du Marché 

La sécurité post-quantique est un sujet encore émergent. Cependant, le marché actuel des solutions dans ce domaine est extrêmement dynamique ; les entreprises, les gouvernements et les institutions se mobilisent pour faire face aux risques émergents, alimentant ainsi une vague d’innovations et d’offres technologiques spécialisées. Cette dynamique sera encore renforcée par les pressions réglementaires attendues, telles que celles exercées par le NIST et l’ASD, qui obligeront les organisations à adopter des solutions robustes et conformes.

Un marché international et souverain 

Le marché de l’informatique quantique est à la fois mondial et étroitement lié aux questions de souveraineté nationale. Les grandes nations considèrent l’informatique quantique comme une priorité stratégique, investissant des centaines de milliards de dollars pour assurer leur souveraineté dans ce domaine émergent.

En revanche, le marché de la sécurité post-quantique adopte une perspective beaucoup plus internationale. Les entreprises actives dans ce secteur proviennent de divers pays, bien que les États-Unis demeurent le leader incontesté. De plus, des partenariats internationaux se distinguent dans ce domaine. Par exemple, Thales collabore avec IBM, CryptoNext et bien d’autres, combinant leurs expertises respectives pour offrir des solutions avancées à leurs clients.

Un marché des solutions post-quantiques prometteur mais encore incomplet  

Comme évoqué, le marché est extrêmement dynamique. La question reste de savoir si les besoins de l’écosystème pour une transition post-quantique sont actuellement satisfaits. À date, l’écosystème matériel n’est pas encore prêt, notamment avec des HSMs qui manquent de certifications et des dispositifs IoT qui ne disposent pas de puces dédiées. Néanmoins, notre analyse du marché indique qu’il est en pleine évolution. D’après la manière dont nous conseillons nos clients dans la planification et la mise en œuvre de leur migration, les solutions du marché répondent ou répondront prochainement à la plupart des besoins de nos clients.

Notre radar constitue la première édition dans ce domaine. En ce sens, nous encourageons vivement toute entreprise absente de cette édition à nous contacter pour remédier à la situation.

Cet article Radar 2025 des solutions de sécurité post-quantique est apparu en premier sur RiskInsight.

Fort de son expérience sur le sujet de l’identité numérique, Wavestone publie en 2024 sa première édition du radar du CIdO. Ce radar suit la même méthodologie que le radar du RSSI publié depuis 10 ans par le cabinet, et propose un zoom sur les tendances de fond qui animent l’écosystème de l’identité numérique.

Nous vous proposons dans cet article de (re)découvrir quelques sujets impactants et structurants pour le paysage IAM (Identity and Access Management) en en partant de deux sujets ayant le vent en poupe actuellement (passwordless et CLM) pour ensuite se diriger vers les sujets futurs qu’ils laissent entrevoir, dans la partie émergent du radar (predictive anti-fraud et cryptographie post-quantique).

Le passwordless, une évolution majeure pas si simple à organiser

Le mot de passe a été durant des décennies le facteur d’authentification central en informatique (et il l’est encore souvent). Le mot de passe a ensuite été intégré à des stratégies d’authentification multifacteur dans le but de compenser les faiblesses inhérentes à ce mode d’authentification (faible complexité, réutilisation, risque de phishing, etc.). De nouveaux outils sont ainsi venus s’ajouter à la cinématique d’authentification de l’utilisateur : OTP SMS ou mail, notification push, soft token et hard token entre autres. Malgré l’élévation du niveau de sécurité permise par l’ajout de ces nouveaux facteurs d’authentification, le mot de passe reste à la fois un point de faiblesse s’il est découvert (il reste réutilisable sur un compte sans MFA où il est enrôlé) et un poids pour l’expérience de l’utilisateur qui doit s’en souvenir et le stocker de manière sécurisée.

Toutes ces raisons ont poussé les éditeurs à imaginer des modes d’authentification sécurisés ne reposant pas sur l’utilisation d’un mot de passe. L’élimination du mot de passe permet aux entreprises d’améliorer l’expérience utilisateurs de leurs collaborateurs, d’élever le niveau de sécurité des authentifications en réduisant la surface d’attaque et de bénéficier d’une image positive sur le marché. L’utilisateur se retrouve alors dans un environnement où il n’a plus besoin de se rappeler d’une multitude de mots de passe complexes, et où il ne risque plus de se faire voler son compte par phishing. L’utilisation de la technologie FIDO2 (Fast Identity Online 2) reposant sur la cryptographie asymétrique est aujourd’hui l’alternative au mot de passe la plus répandue. Cette technologie poussée par la FIDO Alliance (Google, Microsoft, Amazon, Apple, etc.) repose sur l’utilisation de clés de sécurité physiques stockant localement la clé privée associée à chaque service et permettant à un utilisateur de se connecter à l’ensemble de ses comptes sans mot de passe, et même sans utiliser de login ou d’adresse mail (en utilisant simplement la clé physique en sa possession et un deuxième facteur tel que la biométrie).

La mise en place du passwordless s’accompagne cependant d’importantes questions organisationnelles pour une structure. Comment gérer la récupération d’un compte si celui-ci ne repose pas sur un mot de passe ? Si un collaborateur perd sa clé de sécurité, comment faire pour lui redonner accès à son compte sans pouvoir utiliser la clé privée associée ? Ce sujet majeur du « credentials recovery » est indissociable de toute politique passwordless et suppose qu’une organisation ait anticipé chaque étape de celle-ci : achat et distribution des supports d’authentification, gestion de leur perte/vol/oubli/destruction, processus de rotation des supports obsolètes, solution de back-up des comptes, double enrôlement pour les comptes critiques, gestion des départs de collaborateurs, etc.

Le passwordless est un sujet en vogue et est en cours de déploiement dans de nombreuses organisations. Pour beaucoup, l’étape suivante passe par l’établissement de capacités de détection des fraudes avant qu’elles ne soient commises (aussi appelé « predictive anti-fraud »).

Predictive anti-fraud, comment empêcher une fraude avant qu’elle ne soit commise ?

Le « Predictive anti-fraud » correspond une surveillance proactive des systèmes dans le but d’identifier et de stopper une fraude avant même qu’elle ne soit réalisée, et non plus de se limiter à une analyse à postériori des actes malveillants. Ces capacités de surveillance trouvent en particulier leur sens pour sécuriser les activités commerciales en ligne impliquant des transferts d’argent (cagnotte, compte fidélité, paiement en ligne, etc.) dans les secteurs de la grande distribution, du luxe ou du retail par exemple (car souvent moins matures sur ce sujet que les banques). Nous assistons d’ailleurs actuellement à une hausse des attaques de phishing visant à voler des données de comptes client afin d’en détourner de le contenu (les fraudes à la carte de fidélité sont par exemple un vrai sujet pour les acteurs de la grande distribution).

Les solutions de gestion d’accès sont aujourd’hui de plus en plus capables de détecter des patterns de fraude et de stopper des activités illicites avant leur finalisation. Toutes ces capacités reposent sur du machine learning (impliquant une phase d’entrainement des outils) et passent par trois étapes :

• La détection: les systèmes sont capables de détecter des comportements s’éloignant des parcours utilisateurs/clients courants ainsi que des successions d’actions suspectes. La détection s’appuie à la fois sur le contexte statique du client (navigateur utilisé, réseau, cookie, etc.), le contexte dynamique (adresse IP, appareil utilisé, comportement utilisateur, vitesse de frappe, force de l’authentification réalisée, etc.) et sur le contexte métier en question (type de transaction demandée, montants, modifications d’informations sensibles, etc.).
• L’analyse: une analyse automatique est conduite avec l’attribution d’un score de confiance accordé au profil en cours d’utilisation.
• La réponse: des règles de réponse sont définies afin de répondre au mieux aux levées d’alerte, avec des réponses automatiques pour les situations évidentes ou critiques (ex : facteur d’authentification supplémentaire, coupure de la session), ou des réponses manuelles pour les cas nécessitant une prise de décision humaine.

Le principal défi du predictive anti-fraud est le bon calibrage des outils de machine learning, et leur bonne adaptation au contexte métier en question. Un accent trop fort sur la sécurité pourrait avoir un impact trop négatif sur le service : nombre important de faux positifs affectant l’expérience utilisateur, alourdissement et ralentissement du service (captcha, step-up authentication, consommation réseau importante, temps de traitement rallongés). La définition de règles de sécurité et de détections pertinentes doit être accompagnés d’un machine learning le plus personnalisé et complet possible. Face à la croissante complexité des attaques, la clé d’une stratégie de predictive anti-fraud efficace réside dans la capacité des solutions à détecter et corréler des signaux faibles. Par exemple, certains éditeurs sont aujourd’hui capables de détecter des tentatives de fraude au conseiller, en corrélant les actions réalisées par un utilisateurs et le fait qu’il soit ou non en communication téléphonique.

Certificate Lifecycle Management (CLM), un nouveau marché pour un problème ancien

De nombreuses entreprises sont actuellement confrontées à une explosion du nombre de certificats électroniques au sein de leur SI. Ces certificats (et les clés cryptographiques associées) ont de nombreuses utilités comme l’authentification machine-to-machine, l’authentification des utilisateurs, la signature et le chiffrement de données, la sécurisation des sites web, des micro-services applicatifs et des communications entre objets connectées, etc. Cette augmentation du nombre de certificats électroniques sous gestion accroît considérablement la charge des équipes.

Le cycle de vie d’un certificat électronique comprend de nombreuses étapes comme :

1. La demande du certificat auprès d’une PKI (Public Key Infrastructure)
2. La réception du certificat et des clés associées
3. Le déploiement du certificat sur son périmètre (soit en remplacement d’un ancien certificat expirant bientôt, soit sur un nouveau périmètre)
4. Le décommissionnement et la révocation de l’ancien certificat remplacé (le cas échéant)
5. Le suivi continu du certificat et de sa future date d’expiration
6. Reproduction de ce processus pour chaque certificat avant son expiration

Une gestion manuelle de dizaines (voire de centaines) de milliers de certificats électroniques pose de nombreux problèmes. Ce type de gestion est très demandeur en ressources humaines, repose sur des tâches répétitives tout en étant propice aux erreurs humaines. Il n’est en effet pas rare que des certificats passent sous le radar des équipes et ne soient pas renouvelés, ou qu’ils ne soient tout simplement pas déclarés au sein du SI (shadow IT). Pour toute ces raisons, une organisation disposant d’une large flotte de certificats électroniques devrait envisager de recourir à une solution de CLM.

Les solutions de CLM proposent de nombreuses fonctionnalités permettant de faciliter et fiabiliser la gestion du cycle de vie des certificats. Parmi ces fonctionnalités on retrouve, par exemple :

• Des outils de découverte de certificats permettant à une entreprise d’avoir une vision exhaustive de sa flotte de certificats (même pour les certificats non déclarés)
• L’utilisation de protocoles automatisant toutes les actions autour des certificats mentionnées ci-dessus
• De nombreux connecteurs permettant à leurs clients d’intégrer au mieux ces solutions au sein de leur SI
• Des modules de gouvernance et de gestion des droits sur les certificats
• Des capacités d’alerting représentant un filet de sécurité pour les équipes

La philosophie « Zero Trust », nécessitant souvent de sécuriser les communications entre services par authentification mutuelle à l’aide de certificats électroniques (avec le recours de plus en plus fréquent aux architectures en micro-services, à l’explosion du nombre de comptes non humains, etc.) tend à accroître le nombre de certificats électroniques au sein des organisations. Utiliser des outils de gestion dédiés à la gestion du cycle de vie des certificats plutôt qu’un suivi manuel permet de réduire de 90% les incidents liés aux certificats, et de réduire de 50% le temps de traitement de ces incidents, selon le Gartner[2].

Pour plus de détail sur les solutions de CLM, vous pouvez lire l’article de Wavestone consacré à ce sujet ici.

L’implémentation d’une solution de CLM est synonyme d’un pas en avant vers la sécurisation des infrastructures, mais aussi et surtout vers la crypto-agilité (capacité à rapidement remplacer ou mettre à jour des algorithmes ou des protocoles de chiffrement pour faire face à l’évolution des menaces). La crypto-agilité est un thème qu’il faut s’attendre à retrouver de plus en plus souvent à moyen terme, en grande partie à cause du développement des ordinateurs quantiques.

Et après ? Des défis technologiques à venir, exemple de la cryptographie post-quantique

Alors que les organisations s’efforcent d’adopter des stratégies IAM robustes, la prise en compte des menaces technologiques actuelles n’est désormais plus suffisante. L’avènement prochain des ordinateurs quantiques (les CIdO ont tout de même encore quelques années devant eux) sera amené à bouleverser toutes nos habitudes de chiffrement, ce qui nécessite d’anticiper le plus tôt possible les mesures à appliquer pour la décennie 2030. Le recours aux ordinateurs quantiques et à leurs fameux qubits (pouvant à la fois prendre 0 ou 1 comme valeur) permet dès aujourd’hui de tester des calculs cryptographiques beaucoup plus efficacement qu’avec l’utilisation d’ordinateurs traditionnels.

Il est important de noter que la cryptographie symétrique n’est pas à risque face aux menaces quantiques, et qu’augmenter la taille des clés de chiffrement permettra à ce mode de chiffrement d’y résister assez efficacement. Cependant, la cryptographie asymétrique utilisée pour sécuriser un canal d’échange de clés, avant l’utilisation de la cryptographie symétrique est réellement mise en danger par les ordinateurs quantiques. L’algorithme de Shor pourrait permettre à un ordinateur quantique de casser un chiffrement basé sur du RSA 2048 en quelques heures. La cryptographie-post quantique s’intéresse donc actuellement aux solutions permettant d’adapter le chiffrement aux capacités futures des ordinateurs quantiques. Le NIST a ainsi publié en 2022 une liste de 4 algorithmes de chiffrement résistants aux ordinateurs quantiques : CRYSTALS-Kyber pour le chiffrement général, CRYSTALS-Dilithium, FALCON et SPHINCS+ pour la signature électronique.

La principale recommandation actuelle permettant d’assurer la transition vers un chiffrement post-quantique est d’effectuer un chiffrement hybride, c’est-à-dire d’utiliser à la fois des algorithmes de chiffrement classiques et post-quantiques afin de sécuriser les communications. Si cette problématique n’est pas encore au cœur des enjeux IAM actuels, il convient d’en suivre l’évolution, d’autant plus que certains grands éditeurs commencent déjà à investir le marché et à introduire un nouveau terme : QCaaS (Quantum Computing as a Service).

Cet article Radar CIdO 2024 est apparu en premier sur RiskInsight.

A quoi ressemble l’outil « Jitsuin Archivist » ?

La start-up Jitsuin a développé un outil appelé « Jitsuin Archivist » qui repose sur la technologie de registres distribués (DLT : Distributed Ledger Technology). Le but de cet outil est de savoir : « Who did what to a Thing and When » qui lorsque traduit en français donne : « Qui a fait quoi à un Objet et quand ».

Pour le moment, 5 types d’utilisateurs peuvent interagir avec l’outil : Archivist Administrator, System Administrator, Maintenance Operator, Auditor, Custom (actuellement en version bêta).

Figure 1 – Les 5 rôles au sein de Jitsuin Archivist

Sur cet outil l’utilisateur a accès aux « Security Twins » de ses objets connectés. En effet, après s’être connecté, l’utilisateur accède à un dashboard au travers duquel il a une vue globale de l’ensemble des objets connectés reliés à l’outil. Il peut y voir des statistiques pertinentes en lien avec son déploiement IoT comme par exemple le nombre d’incidents critiques, l’activité des objets connectés etc.

L’utilisateur peut également accéder à la page « Manage Assets » où il va retrouver une carte avec la localisation de l’ensemble des objets connectés reliés à l’outil et une liste de ces derniers (où il pourra également voir plus en détails les évènements en lien avec un objet connecté en particulier).

Figure 2 – Les différentes vues de l’outil « Jitsuin Archivist » : 1. Dashboard avec une vue globale, 2. L’ensemble des objets et leur localisation, 3. La vue détaillée d’un objet, 4. L’ensemble des actions de l’objet utile lors d’audits de sécurité

Le PoC : Une maison disposant d’une serrure connectée

Wavestone s’est donc appuyé sur l’outil de la startup Jitsuin pour d’une part répondre à la problématique de gestion des identités et des accès dans les bâtiments à l’ère de la transformation digitale et d’autre part illustrer l’utilité des « Security Twins ».

Pour ce faire, Wavestone a utilisé la maison en lego appelée « Smart House».

Figure 3 – La Smarthouse

Equipée d’un lecteur de cartes RFID, d’un microcontrôleur Raspberry Pi et d’un servomoteur, la porte d’entrée de la « SmartHouse » ne s’ouvre qu’aux utilisateurs qui possèdent un badge avec les bons accès. Toutes les actions en lien avec l’ouverture, fermeture, attribution de droit d’entrée, etc. sont enregistrées sur l’outil « Jitsuin Archivist » (c.f. figure 4).

Figure 4 – Schéma fonctionnel de la SmartHouse

Afin de faciliter l’interaction avec la serrure connectée de la SmartHouse, une plateforme permettant de simuler les différentes opérations faites par des acteurs du cycle de vie d’un objet connecté a été créée en utilisant le framework web Django ainsi que Bootstrap. Cette plateforme permet entre autres de :

• Envoyer de patchs de sécurité à la serrure connectée (en utilisant Azure IoTHub)
• Attribuer des droits d’accès à la SmartHouse
• Visualiser l’historique des demandes de droits d’accès effectuées et celles en attente de validation, etc.

Voici à quoi ressemble la plateforme :

Figure 5 – La plateforme de gestion de la SmartHouse

L’utilisation de Jitsuin Archivist dans ce PoC est très intéressante d’un point de vue des audits de sécurité des objets connectés. En effet, comme l’outil Jitsuin Archivist repose sur la technologie de registres distribués (DLT), ce système peut être considéré comme « secure by design » puisqu’un(e) auditeur/auditrice a une garantie technique sur la non-compromission des données (à condition que l’envoi de ces données soit sécurisé).

Voici la « Auditor View » sur Jitsuin Archivist où il est possible de voir toutes les informations des objets connectés et savoir qui a fait quelle action :

Figure 6 – La « Auditor View » de Jitsuin Archivist

Le scénario du PoC : WaveHouse loue des SmartHouses sur le terriroire français …

Voici donc l’architecture générale du PoC :

Figure 7 – L’architecture générale du PoC

Comme vous pouvez le remarquer la serrure connectée (représentée par le lecteur de carte RFID, le microcontrôleur Raspberry Pi et le servomoteur) interagit également avec Azure IoTHub afin de faciliter la gestion des mises à jour de son micrologiciel.

Les principaux cas d’usage étudiées par Wavestone et Jitsuin

Les principaux cas d’usage étudiés par Wavestone et Jitsuin sont explicités dans la vidéo ci-dessous :

Conclusion

Les équipes de Wavestone et Jitsuin ont pu démontrer avec les différents cas d’usage illustrés ci-dessus dans la vidéo comment améliorer la sécurité des objets connectés :

• Tout d’abord, tous les acteurs du cycle de vie de la serrure connectée de la « SmartHouse » avaient accès au « Security Twin » de la serrure connecté. En effet chacun d’entre eux avait accès à un registre décentralisé et immuable fourni par l’outil Jitsuin Archivist avec toutes les informations en lien avec la sécurité de la serrure connectée
• Ensuite, comme évoqué précédemment, cette architecture est « secure by design » puisque comme Jitsuin Archivist repose sur la technologie de registres distribués (DLT), on a une garantie technique sur la non-compromission des données
• Le « Security Twin » de la serrure connectée permettait d’assurer la sécurité physique puisqu’il a été alimenté par les informations de gestion des droits permettant ainsi à l’ensemble des acteurs de savoir qui avait accès à la « SmartHouse ».

Cet article Les « Security Twins » : Le nouveau gage de sécurité des objets connectés (2/2) est apparu en premier sur RiskInsight.

Bien que très utiles, l’utilisation des objets connectés introduit malheureusement de nouveaux risques pour les entreprises. En effet, selon le rapport^[2]  de Palo Alto Networks publié en mars 2020, 57% des objets connectés analysés sont vulnérables à des attaques de moyenne ou haute gravité. Ceci n’est pas surprenant. Sécuriser des objets connectés s’avère une tâche ardue ce qui explique pourquoi Beecham Research ^[3] estime que 62 % des transformations industrielles de l’IoT à grande échelle échouent en raison d’un manque de confiance.

Nous nous sommes donc interrogés sur les enjeux de sécurité et confiance des objets connectés ainsi que sur comment les entreprises peuvent y faire face.

Quels sont les enjeux de sécurité et confiance des objets connectés ?

Afin d’atténuer les risques de sécurité sur les objets connectés, le NIST préconise dans son rapport^[4] publié en 2019 de se focaliser sur 6 grands axes :

• L’inventaire : Tenir à jour un inventaire précis de tous les objets connectés et de leurs caractéristiques les plus pertinentes tout au long de leur cycle de vie (voir l’article détaillant le cycle de vie des objets connectés)

Figure 1 – Le cycle de vie d’un objet connecté

• Les vulnérabilités: Identifier et éliminer les vulnérabilités connues des logiciels et micrologiciels des objets connectés afin de réduire la probabilité et la facilité d’exploitation et de compromission.
• Les accès: Empêcher l’accès physique et logique non autorisé et inapproprié aux objets connectés, leur utilisation et leur administration par des personnes, des processus et d’autres dispositifs informatiques.
• Détecter les incidents de sécurité des objets connectés: Surveiller et analyser l’activité de l’objet connecté pour détecter les signes d’incidents impliquant la sécurité de l’appareil.
• Détecter les incidents de sécurité en lien avec les données: Surveiller et analyser l’activité de l’objet connecté pour détecter les signes d’incidents impliquant la sécurité des données.
• Protéger les données: Empêcher l’accès et l’altération des données qui pourraient exposer des informations sensibles ou permettre la manipulation ou la perturbation du fonctionnement des objets connectés.

Or les plateformes IoT actuelles permettent seulement de répondre en partie à ces exigences de sécurité (voir l’article détaillant l’utilité des plateformes IoT).

Figure 2 – L’utilité des plateformes IoT

En effet, les architectures IoT traditionnelles s’appuient sur une plateforme cloud centralisée, opérée par un éditeur où le plus souvent les règles de collecte et de stockage des données sont opaques. Ce n’est pas la solution la mieux adaptée pour assurer la sécurité des objets connectés car :

• L’utilisation d’une plateforme cloud centralisée introduit le risque de « single point of failure » sur l’architecture IoT (bien qu’aujourd’hui ce risque soit atténué avec l’implémentation d’une architecture redondante et de backups)
• Il est tout à fait possible pour un attaquant de changer les données stockées dans la base de données sur le cloud. La prise de décision des différents acteurs est donc impactée.
• La collaboration entre les différents acteurs du déploiement (fabricants, opérateurs de maintenance, …) devient plus difficile car l’accès à la plateforme peut leur être restreint

L’utilisation d’un système décentralisé de gestion des objets connectés où tous les acteurs auraient la possibilité de consulter ou ajouter de manière fiable les informations concernant les objets connectés (version du micrologiciel, opérations de maintenance …) devient donc primordiale afin de garantir la sécurité et l’intégrité des données produites de ces derniers.

En quoi les « Security Twins » permettent-ils de répondre aux enjeux de sécurité des objets connectés ?

Afin d’épauler les plateformes IoT et améliorer la sécurité des déploiements IoT, il convient d’introduire la notion de « Security Twin » dans les déploiements IoT.

Le principe d’un « Security Twin » est simple. Il s’agit d’une représentation virtuelle de l’objet connecté qui regroupe toutes les informations de sécurité, comme par exemple la version du micrologiciel, les vulnérabilités … (cf. figure 3) de ce dernier sur lesquelles tous les acteurs impliqués dans sa gestion peuvent parvenir à un consensus (voir figure 3).

Figure 3 – Le mécanisme d’un « Security Twin » (source : Jitsuin)

Un « Security Twin » gagne en efficacité lorsque davantage d’acteurs du déploiement peuvent interagir avec lui et parvenir à un consensus sur l’exactitude des informations fournies/enregistrées.

Ainsi, les solutions basées sur la technologie de (Distributed Ledger Technology) représentent une première étape logique dans la création de « Security Twins », puisqu’elles permettraient de regrouper les informations de sécurité de l’objet connecté dans un registre décentralisé et immuable qui serait accessible par toutes les parties prenantes du déploiement IoT. La plus connue des solutions de registres distribués est la Blockchain (voir l’article sur les cas d’usage et limites de la Blockchain).

Si l’on reprend les points soulevés précédemment par le rapport du NIST, l’utilisation d’un « Security Twin » permettrait donc d’améliorer :

• La gestion des objets et la gestion des accès : tous les acteurs du déploiement IoT auraient accès à un registre décentralisé et immuable de tous les objets connectés avec toutes les informations de sécurité et confiance.
• La gestion des vulnérabilités et la détection des incidents de sécurité des objets : les différents acteurs pourraient partager des informations sur la sécurité de l’objet et prendre les actions nécessaires (par exemple le fabricant d’un objet connecté pourrait notifier les autres acteurs de la disponibilité d’une nouvelle mise à jour du micrologiciel grace au « Security Twin »).
• La protection des données et la détection des incidents de sécurité en lien avec les données : le principe même d’un « Security Twin » repose sur l’utilisation d’un registre décentralisé et immuable afin d’enregistrer les données en lien avec la sécurité des objets connectés. Il devient donc plus difficile pour des attaquants de changer les données ce qui diminue les risques d’incident de sécurité.

L’utilisation des « Security Twins » offre donc la possibilité de renforcer la sécurité, intégrité, confiance et résilience des objets connectés.

La start-up Jitsuin a développé l’outil « Jitsuin Archivist » basé sur la technologie de registres distribués (Distributed Ledger Technology) pour pallier le manque d’outils collaboratifs permettant de sécuriser les objets connectés. Le but de cet outil n’est pas de remplacer les plateformes IoT mais permettre la création de « Security Twins ».

Ensemble, Wavestone et Jitsuin ont cherché à démontrer les bénéfices de l’utilisation d’une architecture décentralisée avec des « Security Twins ». Les deux entreprises ont donc collaboré sur la construction d’un PoC (Proof of Concept) sur la gestion des identités et accès aux bâtiments avec des objets connectés qui sera à découvrir dans un prochain article.

[1] Gartner, 29 Août 2019 : https://www.gartner.com/en/newsroom/press-releases/2019-08-29-gartner-says-5-8-billion-enterprise-and-automotive-io

[2] Palo Alto Networks, 10 mars 2020, “Unit 42 IoT threat report”: https://unit42.paloaltonetworks.com/iot-threat-report-2020/

[3] Why IoT projects fail : https://www.whyiotprojectsfail.com/?cs=br2

[4] NIST – “Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks” : https://csrc.nist.gov/publications/detail/nistir/8228/final

Cet article Les « Security Twins » : Le nouveau gage de sécurité et confiance des objets connectés (1/2) est apparu en premier sur RiskInsight.