{"id":9323,"date":"2016-11-30T10:42:59","date_gmt":"2016-11-30T09:42:59","guid":{"rendered":"https:\/\/www.riskinsight-wavestone.com\/?p=9323"},"modified":"2019-12-31T10:14:07","modified_gmt":"2019-12-31T09:14:07","slug":"objets-connectes-4-dimensions-de-securite","status":"publish","type":"post","link":"https:\/\/www.riskinsight-wavestone.com\/en\/2016\/11\/objets-connectes-4-dimensions-de-securite\/","title":{"rendered":"Objets connect\u00e9s : les 4 dimensions de la s\u00e9curit\u00e9"},"content":{"rendered":"

Comme toute r\u00e9volution technologique, la transformation num\u00e9rique impacte de nombreux domaines de l\u2019\u00e9conomie\u00a0: la domotique, la s\u00e9curit\u00e9 physique, la mobilit\u00e9, la sant\u00e9, etc. L\u2019Internet des Objets (IoT en anglais) joue un r\u00f4le important dans cette ten\u00addance, avec l\u2019\u00e9mergence de nombreux objets connect\u00e9s. Les chiffres sont en effet significatifs : de nombreux analystes consid\u00e8rent qu\u2019il y aura entre 20 et 200 milliards d\u2019objets connect\u00e9s d\u2019ici 2020. \u00a0<\/em><\/p>\n

 <\/p>\n

\u00a0AU COEUR DE LA TRANSFORMATION NUM\u00c9RIQUE<\/strong><\/h2>\n

Aucune industrie ne peut aujourd\u2019hui ignorer cette tendance et les entreprises voient un int\u00e9r\u00eat grandissant \u00e0 s\u2019emparer de ce qu\u2019elles per\u00e7oivent comme une v\u00e9ritable opportunit\u00e9.<\/p>\n

Alors que des start-ups con\u00e7oivent chaque jour des dispositifs intelligents, des partenariats se mettent en place entre les vendeurs et les industries traditionnelles \u2013 tels les secteurs de l\u2019assurance, automobile, administratif, bancaire \u2013 afin d\u2019offrir de nouveaux services aux consommateurs gr\u00e2ce \u00e0 divers \u00e9l\u00e9ments connect\u00e9s.<\/p>\n

 <\/p>\n

UNE SURFACE D\u2019ATTAQUE DE PLUS EN PLUS EN PLUS VASTE POUR LES CYBERCRIMINELS<\/strong><\/h2>\n

L\u2019essor de cet Internet des Objets n\u2019est pas sans danger, d\u2019autant plus que les risques, qui \u00e9taient surtout virtuels, s\u2019\u00e9tendent au domaine du physique.<\/p>\n

Une \u00e9tude frappante<\/a> a \u00e9t\u00e9 men\u00e9e par HP Fortify\u00a0en 2014, mettant en avant un constat sans appel : en testant la s\u00e9curit\u00e9 des 10 des objets connect\u00e9s les plus en vogue du moment, une moyenne de 25 vuln\u00e9rabilit\u00e9s par objet a \u00e9t\u00e9 trouv\u00e9e. La plupart d\u2019entre elles sont li\u00e9es \u00e0 des probl\u00e8mes de s\u00e9curit\u00e9 basiques, tels que la mauvaise gestion de la confidentialit\u00e9 des donn\u00e9es et des droits d\u2019acc\u00e8s<\/strong>, l\u2019absence de chiffrement des flux<\/strong>, une interface d\u2019adminis\u00adtration Web non s\u00e9curis\u00e9e<\/strong>, ou encore une protection g\u00e9n\u00e9rale inadapt\u00e9e<\/strong>. La suite de cette \u00e9tude en 2015<\/a> a \u00e9galement montr\u00e9 que les 10 smartwatchs et les 10 syst\u00e8mes de s\u00e9curit\u00e9 pour les particuliers les plus vendus pr\u00e9sentaient tous des vuln\u00e9rabilit\u00e9s majeures concernant la confidentialit\u00e9 des donn\u00e9es de l’utilisateur.<\/p>\n

Ce manque de durcissement augmente le risque de vuln\u00e9rabilit\u00e9s pouvant affecter toute sorte d\u2019objets : des r\u00e9frig\u00e9rateurs aux toilettes connect\u00e9es, en passant par les voi\u00adtures <\/a>et les serrures. L’actualit\u00e9 des derniers mois en est la preuve\u00a0avec par exemple l’attaque DDoS sur le DNS Dyn<\/a>\u00a0avec le botnet Mirai en octobre 2016 ou\u00a0la prise de contr\u00f4le \u00e0 distance d’une Tesla<\/a>\u00a0par une \u00e9quipe de hackers chinois en septembre 2016.<\/p>\n

 <\/p>\n

DANS QUELLE CAT\u00c9GORIE DE RISQUES VOUS SITUEZ-VOUS ?<\/strong><\/h2>\n

En ce qui concernent les entreprises, les risques d\u00e9pendent de la posture adopt\u00e9e. Dans le cas des objets connect\u00e9s, quatre cas sont possibles. Les diff\u00e9rentes postures ont \u00e9t\u00e9 r\u00e9unies sous l\u2019acronyme \u00ab CARA <\/strong>\u00bb (pour Concevoir<\/strong>, Acqu\u00e9rir<\/strong>, Recommander<\/strong>, Accueillir<\/strong>) comme le montre le tableau ci-dessous. Une fois la posture identifi\u00e9e, il convient de sp\u00e9cifier les risques g\u00e9n\u00e9riques et les recommandations associ\u00e9es.<\/p>\n

\"CARA1\"<\/p>\n

Afin d\u2019\u00e9valuer le risque, le cabinet Wavestone a d\u00e9velopp\u00e9 un outil sp\u00e9cifique, la matrice \u00ab heat map<\/strong> \u00bb. Elle prend en compte deux dimensions : le niveau de risque et la posture.<\/p>\n

 <\/p>\n

UN OUTIL D\u2019\u00c9VALUATION EFFICACE : LA MATRICE \u00ab HEAT MAP \u00bb<\/strong><\/h2>\n

Le sch\u00e9ma ci-dessous pr\u00e9sente l\u2019exemple concret de l\u2019utilisation d\u2019objets connect\u00e9s pour le secteur bancaire et ses divers ser\u00advices. Ce contexte pr\u00e9sente des contraintes particuli\u00e8res. D\u2019un c\u00f4t\u00e9 la r\u00e9alisation d\u2019une transaction financi\u00e8re est plus risqu\u00e9e que la consultation du solde bancaire. Mais d\u2019un autre c\u00f4t\u00e9, la personnalisation des fonctions de s\u00e9curit\u00e9 sur un appareil appartenant \u00e0 un employ\u00e9 ou \u00e0 un client est bien plus compliqu\u00e9 que le durcissement d\u2019un produit choisi par l\u2019entreprise et qui a \u00e9t\u00e9 acquis \u00e0 un fournisseur, ou m\u00eame d\u00e9velopp\u00e9 en interne.<\/p>\n

\n
\"CARA2\"<\/figure>\n<\/figure>\n

Cette matrice permet de r\u00e9aliser une cartographie des risques<\/strong> qui requi\u00e8rent la plus grande attention.<\/p>\n

 <\/p>\n

DES DISPOSITIFS DE S\u00c9CURIT\u00c9 HABITUELS : DE NOUVEAUX MODES D\u2019IMPL\u00c9MENTATION<\/strong><\/h2>\n

Une fois la cartographie des risques \u00e9tablie, il faut s\u2019int\u00e9resser aux r\u00e9ponses que l\u2019on peut y apporter. Une r\u00e9f\u00e9rence int\u00e9ressante \u00e0 ce propos est celle de l\u2019initiative \u00ab IoT Project \u00bb de l\u2019OWASP<\/a> (Open Web Application Security Project \u2013 organisation \u00e0 but non lucratif) qui propose notamment une liste de recommandations de s\u00e9curit\u00e9 int\u00e9ressantes et compr\u00e9hensibles.<\/p>\n

La premi\u00e8re chose \u00e0 noter \u00e0 propos de ce guide est qu\u2019il est divis\u00e9 en 3 cat\u00e9gories selon les cibles d\u2019audience vis\u00e9es : fabri\u00adcants, d\u00e9veloppeurs, consommateurs. Cette structure a du sens dans la mesure o\u00f9 la s\u00e9curit\u00e9 est partag\u00e9e entre ceux qui con\u00e7oivent les composants <\/strong>(mat\u00e9riel ou logiciel), et ceux qui les utilisent<\/strong>.<\/p>\n

Par ailleurs, les dispositifs de s\u00e9curit\u00e9 doivent \u00eatre complets \u2013 renfor\u00e7ant non pas les seuls objets connect\u00e9s, mais aussi toute la sur\u00adface d\u2019une attaque <\/strong>(physique, mat\u00e9riel, logiciel, base de donn\u00e9es, local ou \u00e0 distance, etc.). \u00c0 cet \u00e9gard, les mesures de s\u00e9curit\u00e9 propos\u00e9es sont surtout construites sur les bonnes pratiques de l\u2019industrie de la s\u00e9curit\u00e9.<\/p>\n

L\u2019Internet des Objets apporte un r\u00e9el changement dans la mise en \u0153uvre des dispositifs de s\u00e9curit\u00e9.<\/p>\n

En effet, plusieurs contraintes li\u00e9es aux objets connect\u00e9s sont \u00e0 prendre en compte :<\/p>\n