Le Wi-Fi peut-il garantir la sécurité de l’Internet des Objets ?
En matière d'Internet des Objets, on se satisfait souvent du fait que le système fonctionne, pourtant, la connexion physique et la sécurité inhérente sont des aspects non négligeables.
Le Wi-Fi est et restera le mécanisme de connexion prépondérant pour l’Internet des Objets, car l'infrastructure permettant de l'exploiter de façon sécurisée existe déjà. Les autres modes de connectivité, tels que le Bluetooth Low Energy, sont moins répandus, et donc plus difficiles à pirater.
Chacun a son propre niveau de sécurité,
mais nécessite la mise en place d'une infrastructure sous-jacente. Pour
permettre le déploiement étendu de L’Internet des Objets grâce au Wi-Fi, il
faut s'attaquer à d'importantes problématiques, parmi lesquelles la sécurité
des réseaux.
Que ce soit à la maison ou en
entreprise, tout le monde utilise un seul et même réseau sans fil et utilise la
même clé pré-partagée afin de s'y connecter. Dans ce contexte, la problématique
se situe dans le partage répété de cette clé, et donc dans la nécessité de
définir le niveau de sécurité adéquat pour les nouveaux périphériques se
connectant au réseau afin de ne pas devenir une proie facile pour les pirates.
L'important n'est pas la sécurité du réseau, mais celle des périphériques s'y connectant.
Ces périphériques sont en général
des appareils low cost, bien plus que les clients Wi-Fi traditionnels, et
disposent de bien moins de fonctionnalités pour assurer leur protection et
celle du réseau Wi-Fi auquel ils se connectent. Ces appareils doivent être
facilement paramétrables, ce qui rend leur piratage plus simple, les
identifiants utilisés pour accéder au réseau étant plus vulnérables.
Une équipe de chercheurs du
cabinet de conseil Context Information Security a récemment pu confirmer ce
risque en cherchant à démontrer la vulnérabilité des systèmes d'éclairage
intelligent. En obtenant l'accès à l'ampoule principale, ils ont pu contrôler
l'ensemble des ampoules connectées, et ainsi découvrir les configurations
réseau des utilisateurs.
Généralement, ces ampoules et
autres périphériques se connectent au réseau à l'aide d'une clé pré-partagée.
Le problème au sein des réseaux sans fil traditionnels vient justement du fait
qu'il n'y a qu'une seule clé : les organisations sont ainsi contraintes à
créer un réseau Wi-Fi distinct pour chaque appareil à connecter à l’Internet
des Objets. En outre, et comme l'ont démontré les chercheurs du cabinet
Context, il est facile de découvrir une clé pré-partagée. Les identifiants
étant potentiellement menacés, il apparaît donc logique qu'ils disposent de
droits limités sur le réseau. Pourquoi ? La principale problématique avec l’Internet
des Objets est la capacité des appareils à enregistrer des identifiants,
surtout lorsque l'on considère tout ce que ces informations permettent de faire
à l'arrivée, de la gestion de l'éclairage au contrôle autonome de la
température par les réfrigérateurs, en passant par les équipements sportifs
envoyant des informations personnelles à d'autres terminaux.
Si l'on utilise une clé
pré-partagée pour se connecter au réseau, il faut alors que le réseau en
question soit verrouillé et que les fonctionnalités de l'appareil soient
limitées. En utilisant des clés pré-partagées privées, une organisation peut
utiliser différentes clés pour ses différents appareils, et avec des droits
spécifiques sur le réseau. Un groupe de clés pourrait ainsi être utilisé
pour les accès en mode invité ou le BYOD, tandis qu'un autre pourrait permettre
la gestion des bâtiments en s'appuyant sur une stratégie de pare-feu très
contrôlée autorisant uniquement les changements effectués par les systèmes
automatisés, et refusant ceux provenant de toute autre personne connectée au
réseau. Les systèmes d'éclairage pourraient être contrôlés par un autre groupe
de clés, avec éventuellement une stratégie de pare-feu propre permettant aux
employés d'ajuster l'éclairage en salles de réunion, mais pas dans les
couloirs.
Cette approche permettrait aux
utilisateurs de disposer de milliers de clés pré-partagées différentes pour un
seul réseau et avec différents profils de connexion, y compris via des pare-feu
et des réseaux locaux virtuels. Dans ce scénario, si l'intégrité d'une
ampoule venait à être compromise, la menace ne pourrait s'étendre aux autres,
car la clé pré-partagée utilisée pour l'une n'aurait pas les privilèges
nécessaires pour cela. La menace liée à cette compromission serait par conséquent
limitée.
Il est également absolument
essentiel que les informations d'identification utilisées n'aient qu'une faible
utilité pour tout individu piratant le réseau. Il est donc nécessaire de
disposer d'une méthode d'authentification et d'identification des appareils
simple et sécurisée. En autorisant les périphériques sur le réseau et en leur
fournissant un accès approprié à leur catégorie, les organisations doivent
pouvoir gérer la menace une fois l'intégrité des identifiants compromise, afin
de s'assurer qu'ils ne présentent qu'une valeur limitée pour toute personne
s'en servant pour découvrir et pirater le réseau.
La méthode la plus évidente pour
cela serait de placer les certificats sur les appareils afin de bien les
authentifier, mais il s'agit là d’une approche coûteuse et complexe. Pour
éviter ces inconvénients, les entreprises devraient alors préférer
l'utilisation de différents réseaux pour leurs différents types d'appareils, ce
qui représenterait un gaspillage de temps et de ressources, davantage de
complexité pour l'utilisateur, ainsi qu'un ralentissement des performances
globales. Il faut donc pouvoir surmonter cet obstacle plus simplement afin de
s'assurer que tous les périphériques soient gérés de façon sécurisée depuis un
point d'accès.
En matière de Wi-Fi, l’Internet des Objets est le BYOD d'aujourd'hui, et les organisations rencontrent exactement les mêmes problèmes sur le plan de la sécurité.
À mesure que ce système
s'affirmera comme la nouvelle vague en matière de réseaux, l'industrie trouvera
un certain nombre de solutions afin de résoudre ces problèmes. Mais il faut
cependant garder en tête que l’Internet des Objets va changer et se développer,
et que dans ce contexte, il sera difficile de s'assurer que l'infrastructure
puisse faire face à différents scénarios en même temps.
Bien que l'on
s'intéresse aujourd'hui aux failles de sécurité de l’Internet des Objets en
matière de gestion des bâtiments et d'interfaces personnelles d'accès au
réseau, il reste cependant un large éventail de scénarios relevant également de
l'Internet des Objets dans d'autres secteurs, tels que l'automobile et les
infrastructures. Une fois que nous aurons pris en compte ces types de
scénarios, les problématiques en matière de sécurité se feront plus nombreuses,
et les solutions permettant d'y faire face revêtiront un caractère de plus en
plus urgent.