Accéder au contenu principal

L'Internet des Objets (obscurs) ou comment se protéger face à la menace




Sean Ginevan, Senior Director of Strategy, MobileIron
 
 
 Les entreprises découvriront le "bonheur" de l'IoT en 2017, qu'elles soient d'accord ou non.
 
Beaucoup de réfrigérateurs connectés, installés par des services commerciaux sans méfiance, saturent le réseau Wi-Fi d'un hôpital. Les médecins, qui recourent à la Voix sur Wi-Fi, ne reçoivent plus de communications, et les équipements de surveillance médicale n'envoient plus les dernières données primordiales pour l'administration des soins. Il ne s'agit plus ici d'un simple problème de connexion à Twitter, mais bien de vies réelles.
 
La vérité, c'est qu'actuellement nous ne savons absolument pas comment ces terminaux grand public ou prosumeurs sont conçus ou sécurisés. Ces réfrigérateurs intelligents, lecteurs multimédias numériques ou caméras vidéo connectées pourraient très bien être la source d'attaques par déni de service (DDoS) du type de celles perpétrées cette année. Ces cyberattaques ont provoqué des problèmes de connexion à Internet, mais elles auraient pu avoir des conséquences bien plus redoutables.
 
Que se passerait-il si la connexion réseau d'une chaîne de magasins tombait en panne suite à une attaque basée sur l'IoT ? Combien de clients, ne pouvant plus payer avec leur carte de paiement, rebrousseraient chemin ? Et combien n'y remettraient plus les pieds ? Ces attaques récurrentes sont fâcheuses et peuvent entraîner de vrais problèmes au quotidien.
 
Des centaines de milliers de personnes se sont ainsi retrouvées sans connexion ou dans l'impossibilité d'accéder au Web.
 
La tentation serait évidente dans le fait de revenir à une application informatique plus classique : se méfier purement et simplement de toutes les technologies. Nous avons connu ce scénario avec les iPhones à la fin des années 2000 mais également avec le Wi-FI à la fin des années 90. Mais les choses se compliquent avec les nouveaux dispositifs IoT, car ils pourraient vraiment apporter quelque chose de nouveau et d'essentiel. Les réfrigérateurs connectés, au premier abord inutiles, pourraient être source à la fois de revenu et de productivité dans des secteurs verticaux comme l'industrie pharmaceutique. Les caméras IP peuvent aider à la coordination des premiers intervenants urgentistes, en leur transmettant une vidéo en temps réel susceptible de donner un meilleur aperçu de la situation. Les lecteurs multimédias numériques peuvent proposer aux clients une immersion dans n'importe quel magasin du monde, en affichant les produits correspondant à leurs besoins.
 
Généralement, les collaborateurs d'une entreprise détiennent le dernier mot. Même si on leur dit « non », les individus ou les services passent outre pour arriver à leurs fins, ignorant au passage les bonnes pratiques en matière de sécurité. Au vu du nombre de dispositifs IoT, estimés d'ici 2020 à entre 50 et 200 milliards, les organisations informatiques seront rapidement dépassées. Aujourd'hui c'est un fait : aucun bureau commercial n'est doté uniquement d'un accès par Ethernet ou n'interdit les iPhones au sein de son organisation. La réponse consiste à préparer un terrain favorable à l'Internet des Objets obscurs. Voici quelques recommandations à suivre pour sécuriser son réseau d'entreprise.
 
Segmenter le réseau
Vous ne voudrez probablement pas connecter à votre infrastructure critique les nouveaux terminaux que vos utilisateurs apporteront sur le réseau ? Alors il est temps de configurer sur ce dernier d'autres SSID et VLAN. Vous avez peut-être déjà mis en place un réseau invité qui permet de se connecter à Internet tout en bloquant l'accès aux ressources de votre entreprise, et c'est un bon début. En revanche, contrairement aux invités, les dispositifs IoT pourraient également avoir besoin d'accéder à certaines de ces ressources. Les responsables informatiques peuvent décider, avec le temps, des ressources à rendre accessibles sur le réseau IoT. Au final, un réseau IoT se situera quelque part entre le réseau entièrement fiable de votre entreprise et celui que vous mettez à la disposition de vos invités.
 
Songer à recourir à une infrastructure PKI et à un contrôle NAC
Vous ne voudriez pas que les utilisateurs saisissent leurs identifiants pour mettre leur réfrigérateur en ligne, car, en cas de piratage, ce dernier pourrait passer pour l'un de vos collaborateurs sur le réseau. Ce pourrait très bien être votre PDG qui utilise ses identifiants pour authentifier son nouveau gadget sur le réseau. Si le gadget est piraté, c'est le nom de votre PDG qui apparaît sur le réseau. Le pirate informatique disposant du nom d'utilisateur et du mot de passe, le réfrigérateur peut se connecter à d'autres objets avec l'identité du PDG. L'infrastructure à clés publiques (PKI, Public Key Infrastructure) permet de s'assurer que seuls les terminaux autorisés enregistrés par l'utilisateur et considérés comme fiables par le service informatique peuvent se connecter. Le recours au contrôle des accès réseau (NAC, Network Access Control) garantit que les terminaux sont approuvés et qu'ils répondent aux exigences de sécurité minimales que vous avez définies. Les dispositifs IoT, moins fiables, sont maintenus à l'écart sur un segment de réseau distinct.
 
Bloquer les connexions Telnet
Si possible, bloquez entièrement les connexions Telnet sur votre réseau. Sinon, interdisez au moins les connexions Telnet provenant de l'extérieur. C'est à cause de connexions non sécurisées comme Telnet, combinées à des terminaux utilisant des mots de passe par défaut, que des vers informatiques tels que Mirai se propagent.
 
Considérer le lissage de trafic 
Vous pouvez arrêter l'hémorragie si certains de vos terminaux sont piratés. Le lissage de trafic, en particulier lorsqu'il s'agit de réguler les flux suspects (paquets courts, longues périodes d'activité, destinations fréquentes), peut aider à limiter les effets des attaques lancées depuis votre réseau, et à améliorer la connectivité des services essentiels.
 
Gérer ce qu'il est possible de gérer
Vous pouvez mettre en place une solution EMM ou d'autres infrastructures de sécurité pour gérer certains terminaux connectés. Si votre organisation développe les prototypes de ses propres dispositifs IoT, tournez-vous vers des plateformes telles que Windows 10 et Android qui disposent d'outils de sécurité plus avancés que les plateformes de développement destinées au grand public. Si vos terminaux ne peuvent pas être configurés sur une plateforme centralisée, voyez avec vos collaborateurs de manière à éviter les types de configurations par défaut qui ont conduit aux attaques du même type que les botnets Mirai.
 
Certes, la mise en œuvre d'infrastructures de sécurité et de bonnes pratiques nécessaires pour préparer le terrain de l'IoT en entreprise est chronophage, mais les risques que présentent les terminaux connectés à Internet donnent sincèrement à réfléchir. Ces recommandations aident à la sécurisation des futurs périphériques connectés en entreprise.

Posts les plus consultés de ce blog

Le bipeur des années 80 plus efficace que le smartphone ?

Par André Spicer, professeur en comportement organisationnel à la Cass Business School (City University of London) : Vous vous souvenez des bipeurs ? Ces appareils étaient utilisés largement avant l'arrivée massive des téléphones portables et des SMS. Si vous aviez un bipeur, vous pouviez recevoir des messages simples, mais vous ne pouviez pas répondre. Un des rares endroits où on peut encore en trouver aujourd’hui sont les hôpitaux. Le Service National de Santé au Royaume-Uni (National Health Service) en utilise plus de 130 000. Cela représente environ 10 % du nombre total de bipeurs présents dans le monde. Une récente enquête menée au sein des hôpitaux américains a révélé que malgré la disponibilité de nombreuses solutions de rechange, les bipeurs demeurent le moyen de communication le plus couramment utilisée par les médecins américains. La fin du bipeur dans les hôpitaux britanniques ? Néanmoins, les jours du bipeur dans les hôpitaux britanniques pourraient être compté

Univers parallèles et mondes virtuels : la guerre des métavers est commencée

  Une partie de poker dans le métavers (capture d'écran de la vidéo “Le métavers et comment nous allons le construire ensemble” sur YouTube) Par  Oihab Allal-Chérif , Neoma Business School Le 17 octobre 2021, Mark Zuckerberg a lancé les hostilités de manière assez théâtrale, comme s’il défiait ses concurrents d’en faire autant. Afin de concrétiser son rêve d’enfant, le métavers, il a décidé de mettre en œuvre des moyens colossaux : 10 000 ingénieurs hautement qualifiés seront recrutés en Europe dans les 5 prochaines années. Cette annonce a été faite quelques jours avant celle du changement de nom du groupe Facebook en Meta , le 28 octobre, démontrant ainsi l’engagement total du fournisseur de réseaux sociaux dans la transition vers le métavers. Le 22 juillet 2021, dans une interview à The Verge , le créateur de Facebook racontait : « Je pense à certains de ces trucs depuis le collège quand je commençais tout juste à coder. […] J’écrivais du code

Sans Sauvegarde, pas de cyber-résilience

Par Alexandra Lemarigny, directrice commercial Europe du Sud Opentext Security Solutions Les études diverses sur les habitudes de sauvegarde des entreprises et leurs collaborateurs sont sans équivoque : très majoritairement, elles ne s’attardent vraiment sur ces questions de sauvegarde ou de récupération qu’en cas d’incidents. Pourtant la sauvegarde est l’élément majeur des dispositifs de cyber-résilience, à savoir la capacité à rester opérationnel, même face aux cyberattaques et à la perte de données. La sauvegarde n’est pas suffisamment considérée Dans les faits, force est de constater que la sauvegarde n’est pas envisagée dans son entièreté par les entreprises qui n’ont pas eu à subir d’accidents et il est fréquent qu’elles ne sauvegardent pas les éléments les plus pertinents. A titre d’exemples une entreprise peut ne sauvegarder qu’un ou deux serveurs, ou un élément qu’elle a identifié comme critique quelques années auparavant. Certaines ne tiennent pas compte de l’évolution de leu

Implants cérébraux : la délicate question de la responsabilité juridique des interfaces homme-machine

Dans le film Transcendance , de Wally Pfister, sorti en 2014, le héros mourant transfère son esprit dans un ordinateur quantique. Wally Pfister, 2014 Par  Elise Roumeau , Université Clermont Auvergne (UCA) Depuis quelques années, Elon Musk ne cesse de faire des annonces relatives à des avancées technologiques. Voitures autonomes , voyages interplanétaires , interface homme-machine , achat du réseau social Twitter… rien ne semble arrêter l’homme d’affaires. Aucun obstacle technique, géographique, physiologique ne lui semble infranchissable. Pourtant, ses projets pourraient, à court terme, poser de véritables difficultés du point de vue juridique. La recherche d’une fusion entre le cerveau et l’intelligence artificielle Avec Neuralink, l’un des objectifs visés par Elon Musk est de créer une interface entre l’humain et la machine . À plus ou moins court terme, le projet porte sur le développement d’implants cérébraux pour pallier des troubles neur

Sondage : quatre Français sur dix craignent le vol d'identité

Selon un sondage représentatif commandé par le fournisseur de messagerie GMX , de nombreux internautes français sont préoccupés (31%), voire très inquiets (9%), d'être victimes d'un vol d'identité. La majorité craint que des inconnus puissent faire des achats (52%) avec leur argent. Dans le cas d'une usurpation d'identité, les criminels accèdent aux comptes en ligne et agissent au nom de leurs victimes. De nombreuses personnes interrogées craignent que des inconnus signent des contrats en leur nom (37 %), que des escrocs utilisent l'identité volée pour ouvrir de nouveaux comptes (36 %) et que des informations les plus privées tombent entre des mains étrangères ou soient rendues publiques (28 %). Besoin de rattrapage en matière de sécurité des mots de passe Il est urgent de rattraper le retard en matière d'utilisation de mots de passe sûrs selon GMX : 34 % des utilisateurs d'Internet en France utilisent dans leurs mots de passe des informations personnell

Sources d’information et orientation politique : ce que nous apprend Twitter

  Par  Laura Hernandez , CY Cergy Paris Université et Rémi Perrier , CY Cergy Paris Université Plusieurs études du discours médiatique ont mis en lumière, par des analyses quantitatives et qualitatives, des soutiens à peine voilés de certains médias envers certains courants politiques . Et si l’on inversait la question ? Bien qu’on ait tendance à considérer, par exemple, qu’un lecteur régulier du Figaro s’oriente politiquement à droite, peut-on établir des corrélations à grande échelle entre choix de sources d’information et orientation politique ? Des études basées sur des enquêtes d’opinion ont montré notamment la part grandissante des réseaux sociaux dans la diffusion de l’information et le rôle qu’ils jouent dans la formation de l’opinion publique depuis une décennie, à l’image des évolutions observées lors de deux dernières élections aux États-Unis (voir ici et ici ). Les médias traditionnels ont intégré cette donnée et utilisent les réseaux sociaux en se faisant l’écho