Internet des Objets : 4 éléments essentiels à prendre en compte avant tout déploiement de PKI

Il n’est plus à prouver qu'une infrastructure PKI est une solution à envisager sérieusement dans une optique de sécurisation de l’Internet des Objets. Voici quelques bonnes pratiques à prendre en compte avant tout déploiement.

Lorsque l'on considère l'Internet des Objets dans son ensemble, l'une des caractéristiques les plus marquantes est la variété des appareils concernés. Tout comme il existe, aujourd’hui, une diversification notable au niveau des appareils mobiles, le nombre d'appareils connectés à l'Internet des Objets, à l’avenir, ne pourra être que plus considérable. Chacun de ces appareils sera personnalisé pour un cas d'utilisation particulier avec les spécifications et capacités appropriées. Si nous comparons les cas d'utilisation de PKI traditionnelle et les cas de PKI de l'Internet des Objets, nous observons des différences substantielles.

Les implémentations PKI traditionnelles partagent souvent un thème commun (tel qu’émettre des certificats pour les accès à un portail utilisateur ou émettre des certificats SSL pour les serveurs internes et publics, etc.), mais les cas d'utilisation de l'Internet des Objets seront probablement tous très différents les uns des autres.

C’est pourquoi, il vous faudra tenir compte de la connectivité et des ressources de vos appareils et voir comment celles-ci peuvent s’adapter à vos attentes en termes d’infrastructure PKI. De nombreux appareils et environnements seront limités. La mémoire, la capacité et le processeur de l'appareil peuvent être vraiment minimes, vous empêchant de profiter pleinement des caractéristiques d'une PKI traditionnelle. Vous serez alors obligé d'explorer d'autres caractéristiques ou alternatives pour répondre à vos besoins.

Les modèles de confiance

L'un des changements les plus notables comparé à une infrastructure PKI traditionnelle est la diversité des modèles de confiance nécessaires au bon fonctionnement de son écosystème. Entre quels acteurs ou éléments de son environnement la confiance devra-t-elle être établie ? L’écosystème est-il ouvert (les utilisateurs et appareils sont indépendants et l’entreprise n'a aucun contrôle sur eux) ? Ou s'agit-il d'un écosystème fermé dans lequel tous les acteurs qui s'y trouvent peuvent être contrôlés.

Tout en prenant en compte ces éléments, comment intégrer ou établir la confiance entre ces différentes entités ? La réponse à ces questions peut amener à des cas de déploiement PKI unique ou non conventionnel.

La taille, l’échelle et l’étendue de son écosystème

Un autre des thèmes les plus communs de l'Internet des Objets est la taille et l'étendue des écosystèmes potentiels. Il est indispensable de garder en tête toutes ces considérations car les infrastructures PKI traditionnelles ont toujours répondu à des attentes beaucoup plus restreintes que les cas de l'Internet des Objets. Il faudra donc trouver une Autorité de Certification qui pourra s'adapter à ces besoins.

Outre le nombre d'appareils avec lesquels l’on souhaite travailler, comment les besoins spécifiques à son écosystème affecteront-ils l'infrastructure de l'Autorité de Certification ? De plus, selon le type d’appareils et leurs limitations, comment obtenir et installer des certificats pour les sécuriser ? En quoi cela influencera-t-il les besoins des solutions de sécurité en termes de performance et de capacité ?

La gestion du cycle de vie sur les appareils et sur le cloud

La gestion du cycle de vie des certificats et des clés nécessitera une analyse approfondie des capacités de l'appareil, des services cloud adaptés et des capacités de l'infrastructure PKI. Cette analyse influencera les attentes de l’entreprise en termes de gestion et de surveillance de ses certificats tout au long de leur validité. Il faudra également connaître la durée de vie des appareils utilisés. Pourront-ils être mis à jour après fabrication ou une fois le déploiement initial terminé ?

Il est important de considérer l'interface technique la plus adaptée aux appareils en fonction des réponses à ces questions. Souhaite-t-on utiliser un système de services PKI intermédiaire ou obtenir des certificats directement auprès d'une Autorité de Certification ?

De plus, de nombreux déploiements de l'Internet des Objets sont  destinés à une utilisation publique. Les modèles d'entreprise et les coûts devront-ils donc être alignés ? Si une entreprise choisit un service de gestion, son fournisseur pourra-t-il lui proposer des prix flexibles adaptés à son modèle économique spécifique ?

Une infrastructure PKI peut être une très bonne solution pour un déploiement de l'Internet des Objets, mais il est important de se rappeler que chaque déploiement entraîne des besoins différents. Je recommande aux entreprises ayant ce type de projet de collaborer avec une Autorité de Certification flexible et spécialisée dans l'Internet des Objets qui pourra tenir compte de ses environnements axés sur les résultats. Qu’elle essaye d'éviter les standards fermés et de suivre les meilleures pratiques et technologies PKI existantes.