La sécurité des objets connectés

Magazine
Marque
MISC
Numéro
88
Mois de parution
novembre 2016
Spécialités


Résumé

Le progrès dans le monde des systèmes embarqués a favorisé l'apparition d'objets dits « intelligents » (de l'anglais Smart Object) ou encore « connectés ». Ces derniers intègrent, dans un contexte de faible consommation énergétique, un microcontrôleur permettant de piloter un capteur et/ou un actionneur alliés à une capacité de communication. Les objets intelligents offrent à leurs usagers l'exploitation de scénarios intéressants induisant principalement deux classes d'interactions : d'une part, capturer et remonter vers le réseau la valeur courante d'une information spécifique à leur environnement immédiat (objet en tant que capteur) et, d'autre part, recevoir du réseau une commande dont l'exécution peut avoir un effet de bord sur leur environnement direct (objet en tant qu'actuateur). Un smartphone, un téléviseur ou un réfrigérateur connecté, une montre intelligente, des systèmes de détection de présence ou de chutes... constituent des exemples concrets d'objets connectés faisant partie de notre quotidien. L'Internet des Objets (IoT) permet de conceptualiser ce nouvel environnement reposant sur les réseaux traditionnels, auxquels sont connectés les objets en tant que composantes particulières du monde réel ayant des contraintes fortes en matière de ressources (mémoire, capacité de traitement, énergie) et disposant de méthodes multiples de communication sans fil. Selon IPSO (IP for Smart Objects), l'adoption massive du protocole IP par les objets devrait à terme conduire à une connectivité directe avec l'Internet, en ouvrant la voie à sa troisième grande évolution (Web 3.0). Ces objets peuvent être découverts, contrôlés et gérés depuis Internet. Cette articulation, qui représente un point fort de l'IoT, le fait aussi hériter de toute la problématique de la sécurité déjà présente dans l'Internet. Cette dernière se repose même avec une acuité renouvelée dans ce nouvel environnement, du fait de ses caractéristiques particulières. Il est important d'analyser la façon avec laquelle les exigences classiques de sécurité (CIA, AAA...) ainsi que celles liées au respect de la vie privée peuvent être déclinées dans ce nouvel environnement.


Introduction

De nombreuses études montrent que le nombre d'objets connectés déployés sur Internet va connaître une croissance exponentielle dans les années à venir [Stat], conduisant ainsi à une architecture de l'IoT complexe et soumise à un trafic important. D'un point de vue qualitatif, l'IoT possède les caractéristiques suivantes [Article1] :

  1. L'IoT est un environnement non maîtrisé du fait principalement de la mobilité des objets et des possibilités étendues pour y accéder physiquement.
  2. L'hétérogénéité : un environnement IoT peut intégrer des entités d'origines très variables (différentes plateformes, protocoles de communications, fournisseurs...).
  3. La scalabilité liée à la quantité d'objets qui peuvent être interconnectés.
  4. Les ressources limitées en matière d'énergie, de capacité de calcul et d'espace de stockage.

L'IoT présente ainsi de nombreux défis. Cet article propose un tour d'horizon des principales problématiques...

Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite
Références

[Article1] E. Vasilomanolakis, J. Daubert, M. Luthra, V. Gazis, A. Wiesmaier et P. Kikiras, « On the Security and Privacy of Internet of Things Architectures and Systems », International Workshop on Secure Internet of Things, Vienna, Austria, septembre 2015

[rfc7416] T. Tsao, R. Alexander, M. Dohler, V. Daza, A. Lozano et M. Richardson, « A Security Threat Analysis for the Routing Protocol for Low-Power and Lossy Networks (RPLs) », RFC 7416, IETF, janvier 2015

[SecuSO1] A. F. Skarmeta, J. Luis Hernández Ramos et J. Bernal Bernabe, « A required security and privacy framework for smart objects », ITU Kaleidoscope : Trust in the Information Society, Barcelona, Spain, décembre 2015

[Article2] A. Pfitzmann et M. Hansen, « A terminology for talking about privacy by data minimization : Anonymity, Unlinkability, Undetectability, Unobservability, Pseudonymity, and Identity Management » , 2010

[HIP-DEX] R. Hummen et R. Moskowitz, « HIP Diet EXchange (DEX) », IETF Draft, Expire : septembre 2016

[rfc5191] D. Forsberg, Y. Ohba, B. Patil, H. Tschofenig et A. Yegin, « Protocol for Carrying Authentication for Network Access (PANA) », RFC 5191, IETF, mai 2008

[rfc3748] B. Aboba, L. Blunk, J. Vollbrecht, J. Carlson et H. Levkowetz, « Extensible Authentication Protocol (EAP) », RFC 3748, IETF, juin 2004

[802,1X] S.Pack et Y.Choi, « Pre-authenticated fast handoff in a public wireless LAN based on IEEE 802.1 x Model », Springer, 2003

[RFC1777] W. Yeong and T. Howes and S. Kille, « Lightweight Directory Access Protocol », RFC 1777, IETF, mars 1995

[RFC3652] S. Sun and S. Reilly and L. Lannom and J. Petrone, « Handle System Protocol (ver 2.1) Specification », RFC 3652, novembre 2003

[DCapBAC] J. L. Hernández-Ramos, A. J. Jara et L. Marín, « DCapBAC: Embedding Authorization Logic into Smart Things Through ECC Optimizations », Int. J. Comput. Math., 2016

[RFC7252] Z. Shelby and K. Hartke and C. Bormann, « The Constrained Application Protocol (CoAP) », RFC 7252, IETF, juin 2014

[HP] « Internet of things research study 2015 report », Hewlett Packard, 2015

[Article3] M. B. Shemaili and C. Y. Yeun and K. Mubarak and M. J. Zemerly, « A new lightweight hybrid cryptographic algorithm for the internet of things », IEEE, 2012

[TC] A. Iliev et S. W. Smith. « Protecting client privacy with trusted computing at the server ». IEEE Security & Privacy, 2005

[CT] A. Jøsang, R. Ismail et C. Boyd. « A survey of trust and reputation systems for online service provision »,  Decision Support Systems, 2007

[RFC6749] D. Hardt, « The OAuth 2.0 Authorization Framework », IETF RFC 6749, octobre 2012

[DCAF] S. Gerdes, O. Bergmann et C. Bormann « Delegated CoAP authentication and authorization framework (DCAF) », IETF Draft, Expire : 21 avril 2016

[IdM-IoT] J. Chen and Y. Liu and Y. Chai, « An Identity Management Framework for Internet of Things », IEEE, octobre 2015

[Stat] D. Evans, « The internet of things: How the next evolution of the internet is changing everything », CISCO, 2011

[6LoWPAN] P. Pongle and G. Chavan, «  A survey: Attacks on RPL and 6LoWPAN in IoT », ICPC, janvier 2015

[ZigBee] X. Cao and D. Shila and Y. Cheng and Z. Yang and Y. Zhou and J. Chen, « Ghost-in-ZigBee : Energy Depletion Attack on ZigBee based Wireless Networks », IEEE, 2016

[IPSec-6LoWPAN] S. Raza, S. Duquennoy, T. Chung, D. Yazar, T. Voigt and U. Roedig, « Securing communication in 6LoWPAN with compressed IPsec », 2011 International Conference on Distributed Computing in Sensor Systems and Workshops (DCOSS), Barcelona, 2011, pp. 1-8



Articles qui pourraient vous intéresser...

Introduction au dossier : Tour d’horizon de la sécurité de la 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Spécialités
Résumé

Le présent dossier est consacré à un tour d’horizon de la sécurité de la cinquième génération de téléphonie mobile, la fameuse 5G. Au-delà des promesses usuelles avec l’arrivée d’un nouveau réseau, plus de débit, moins de latence, plus de service, on notera également l’avalanche de buzzwords et de polémiques qui a entouré sa promotion. On pourrait aussi se pencher sur les questions politiques et économiques sous-jacentes au déploiement de cette technologie, mais MISC n’a pas encore de corner géopolitique (il faut, pour cela, savoir lire entre les lignes).

Sécurité des infrastructures 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Spécialités
Résumé

Les réseaux 5G allient encore plus de technologies différentes que les réseaux 4G, ce qui entraîne une complexité de réseau rarement égalée, et donc une sécurité bien difficile à assurer pour les opérateurs comme pour les clients. Malgré les améliorations de sécurité sur le service mobile 5G, il reste de nombreuses manières d’attaquer (et de défendre) les infrastructures 5G de l’opérateur.

Retours d’un hackathon 5G

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Spécialités
Résumé

Encore insouciant de la crise qui allait frapper le monde fin 2019, un hackathon de 24h a eu lieu à l’université d’Oulu [1] en Finlande afin d’anticiper les attaques sur les futures installations 5G de manière pratique. Nous verrons dans cet article comment il a été possible d’avoir la main sur la quasi-totalité d’un réseau 5G privé comme celui du campus d’Oulu à partir d’une carte USIM et d’un téléphone 5G. Puis, nous verrons d’autres perspectives en termes de tests d’intrusion avec les outils publics actuels.

mod_md : quand Apache se met à parler couramment Let's Encrypt

Magazine
Marque
Linux Pratique
Numéro
125
Mois de parution
mai 2021
Spécialités
Résumé

L’autorité de certification (AC) Let’s Encrypt a ouvert son service au public le 12 avril 2016. La part du trafic web chiffré ne cessa alors d'augmenter pour représenter actuellement près de 90% du trafic total. Sur le plan technique, Let’s Encrypt a pu réaliser un tel exploit notamment grâce à ACME, son protocole normalisé par l’IETF d’obtention automatisée de certificats. De nombreux clients ACME en ligne de commandes ont été développé et ont répondu à beaucoup de cas d’usage. Plus récemment, une étape supplémentaire a été franchie avec l’intégration de l’obtention de certificats Let’s Encrypt directement au sein de composants d'infrastructures comme HAProxy, Traefik ou les serveurs web Caddy et Apache et son module mod_md. C’est de ce dernier dont nous allons parler ensemble aujourd’hui.