Collectivement, l’IoT peut nous rendre plus connectés, mieux informés, plus efficaces et moins gaspilleurs. Mais s’il est mal utilisé, il peut affaiblir la sécurité et la résilience de nos réseaux informatiques et de nos données. Car c’est la relative simplicité des dispositifs de l’IoT qui est la source des problèmes mais aussi des opportunités. « Les avantages sont nombreux mais, dans le même temps, les plus grands risques pèsent sur la résilience et la sécurité » souligne François Coallier, Président du sous-comité SC 41, Internet des objets et technologies connexes, du comité technique mixte ISO/IEC en charge de la normalisation de l’Internet des objets .
 
Les défis que posent l’interopérabilité – c’est-à-dire la capacité des dispositifs de l’IoT de se connecter sans difficulté entre eux et avec d’autres systèmes – et la sécurité sont liés. « Les technologies évoluent sans cesse et à un rythme extrêmement rapide », ajoute François Coallier, « de sorte que leur adjonction au réseau s’est effectuée à la fois rapidement et souvent au cas par cas, au fur et à mesure de l’émergence de nouvelles technologies ». La croissance de l’IoT est exponentielle, et l’on estime que d’ici à 2020 le nombre de dispositifs IoT connectés pourrait atteindre les 50 milliards, avec un marché se chiffrant vraisemblablement en milliards de dollars.
 
Le maillon faible
2016, l’année où a été créé le JTC 1, l’organisme qui traite de la normalisation internationale dans le domaine. Ce futa également été une année frappante, au sens propre comme au figuré, pour l’Internet des objets, en raison d’attaques de grande ampleur sur les réseaux. En mars de cette année-là, par exemple, l’attaque du logiciel Mirai, qui a paralysé une grande partie de l’Internet dans l’Est des États-Unis, a été la plus grosse offensive sur l’Internet jamais réalisée. Beaucoup de gens ont été surpris de la rapidité de la propagation du code malveillant et de la facilité avec laquelle le pirate avait pu entrer dans des réseaux prétendument sécurisés. Alors, comment une telle frappe a-t-elle été possible ? En ciblant le maillon faible d’une chaîne ou, dans le cas précis, les dispositifs IoT à la périphérie du réseau.
« Les auteurs de la frappe ont ciblé notamment des dispositifs tels que les caméras de vidéosurveillance sans fil et les téléviseurs intelligents vendus avec un nombre limité de noms d’administrateur et de mots de passe par défaut », explique François Coallier. Le fabricant a produit des millions de ces dispositifs. Le botnet des pirates « a essayé tour à tour chaque combinaison de nom d’administrateur et mot de passe jusqu’à ce qu’il trouve la bonne combinaison pour prendre le contrôle du dispositif » précise-t-il. « En parvenant à pirater plus d’une centaine de milliers de ces dispositifs, les pirates ont pu générer des attaques de déni de service à grande échelle qui ont mis temporairement à genou une partie du Web américain. »
 
Concernant un autre acte de piratage largement relayé dans les médias – une attaque d’ingénierie sociale sur les ordinateurs personnels (PC) de l’administration d’une usine ayant abouti à la paralysie de sa chaîne de production – François Coallier précise, « dans ce cas, il semble qu’il ait été possible d’accéder aux systèmes de production de l’usine à partir de ses PC, ce qui n’aurait pas été le cas si les systèmes de production avaient été isolés des PC connectés à l’Internet par une segmentation adéquate du réseau. » Qui plus est, le réseau aurait pu être beaucoup plus sûr simplement en appliquant les processus et procédures bien documentés déjà décrits dans de nombreuses normes liées à la sécurité informatique, qui préconisent la segmentation des réseaux pour une sécurité accrue.
 
La même année que le botnet Mirai, un groupe de chercheurs israéliens a démontré comment il est possible de pirater un réseau d’éclairage, simplement à l’aide d’un drone aéroporté modifié, en exploitant la vulnérabilité d’une ampoule intelligente courante. En contournant les mesures de sécurité d’une seule et unique lampe, il est possible d’infecter les ampoules adjacentes compatibles et d’en prendre le contrôle. Selon ces chercheurs, s’il y a, dans une ville, suffisamment d’ampoules intelligentes utilisant les mêmes protocoles de communication, des attaquants malveillants peuvent facilement accéder et infecter en quelques minutes l’ensemble du réseau d’éclairage. Scénario extrême servant à démontrer la réalité des failles, l’exercice a montré le potentiel d’attaques malveillantes de grande ampleur dans des réseaux apparemment sécurisés, en exploitant des vulnérabilités négligées dans des dispositifs simples en périphérie du réseau.

Sourced through Scoop.it from: www.up-magazine.info