La sécurité des objets connectés

Magazine
Marque
MISC
Numéro
88
Mois de parution
novembre 2016
Domaines


Résumé

Le progrès dans le monde des systèmes embarqués a favorisé l'apparition d'objets dits « intelligents » (de l'anglais Smart Object) ou encore « connectés ». Ces derniers intègrent, dans un contexte de faible consommation énergétique, un microcontrôleur permettant de piloter un capteur et/ou un actionneur alliés à une capacité de communication. Les objets intelligents offrent à leurs usagers l'exploitation de scénarios intéressants induisant principalement deux classes d'interactions : d'une part, capturer et remonter vers le réseau la valeur courante d'une information spécifique à leur environnement immédiat (objet en tant que capteur) et, d'autre part, recevoir du réseau une commande dont l'exécution peut avoir un effet de bord sur leur environnement direct (objet en tant qu'actuateur). Un smartphone, un téléviseur ou un réfrigérateur connecté, une montre intelligente, des systèmes de détection de présence ou de chutes... constituent des exemples concrets d'objets connectés faisant partie de notre quotidien. L'Internet des Objets (IoT) permet de conceptualiser ce nouvel environnement reposant sur les réseaux traditionnels, auxquels sont connectés les objets en tant que composantes particulières du monde réel ayant des contraintes fortes en matière de ressources (mémoire, capacité de traitement, énergie) et disposant de méthodes multiples de communication sans fil. Selon IPSO (IP for Smart Objects), l'adoption massive du protocole IP par les objets devrait à terme conduire à une connectivité directe avec l'Internet, en ouvrant la voie à sa troisième grande évolution (Web 3.0). Ces objets peuvent être découverts, contrôlés et gérés depuis Internet. Cette articulation, qui représente un point fort de l'IoT, le fait aussi hériter de toute la problématique de la sécurité déjà présente dans l'Internet. Cette dernière se repose même avec une acuité renouvelée dans ce nouvel environnement, du fait de ses caractéristiques particulières. Il est important d'analyser la façon avec laquelle les exigences classiques de sécurité (CIA, AAA...) ainsi que celles liées au respect de la vie privée peuvent être déclinées dans ce nouvel environnement.


 

Introduction

De nombreuses études montrent que le nombre d'objets connectés déployés sur Internet va connaître une croissance exponentielle dans les années à venir [Stat], conduisant ainsi à une architecture de l'IoT complexe et soumise à un trafic important. D'un point de vue qualitatif, l'IoT possède les caractéristiques suivantes [Article1] :

1) L'IoT est un environnement non maîtrisé du fait principalement de la mobilité des objets et des possibilités étendues pour y accéder physiquement.

2) L'hétérogénéité : un environnement IoT peut intégrer des entités d'origines très variables (différentes plateformes, protocoles de communications, fournisseurs...).

3) La scalabilité liée à la quantité d'objets qui peuvent être interconnectés.

4) Les ressources limitées en matière d'énergie, de capacité de calcul et d'espace de stockage.

L'IoT présente ainsi de nombreux défis. Cet article propose un tour d'horizon des...

Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite
Références

[Article1] E. Vasilomanolakis, J. Daubert, M. Luthra, V. Gazis, A. Wiesmaier et P. Kikiras, « On the Security and Privacy of Internet of Things Architectures and Systems », International Workshop on Secure Internet of Things, Vienna, Austria, septembre 2015

[rfc7416] T. Tsao, R. Alexander, M. Dohler, V. Daza, A. Lozano et M. Richardson, « A Security Threat Analysis for the Routing Protocol for Low-Power and Lossy Networks (RPLs) », RFC 7416, IETF, janvier 2015

[SecuSO1] A. F. Skarmeta, J. Luis Hernández Ramos et J. Bernal Bernabe, « A required security and privacy framework for smart objects », ITU Kaleidoscope : Trust in the Information Society, Barcelona, Spain, décembre 2015

[Article2] A. Pfitzmann et M. Hansen, « A terminology for talking about privacy by data minimization : Anonymity, Unlinkability, Undetectability, Unobservability, Pseudonymity, and Identity Management » , 2010

[HIP-DEX] R. Hummen et R. Moskowitz, « HIP Diet EXchange (DEX) », IETF Draft, Expire : septembre 2016

[rfc5191] D. Forsberg, Y. Ohba, B. Patil, H. Tschofenig et A. Yegin, « Protocol for Carrying Authentication for Network Access (PANA) », RFC 5191, IETF, mai 2008

[rfc3748] B. Aboba, L. Blunk, J. Vollbrecht, J. Carlson et H. Levkowetz, « Extensible Authentication Protocol (EAP) », RFC 3748, IETF, juin 2004

[802,1X] S.Pack et Y.Choi, « Pre-authenticated fast handoff in a public wireless LAN based on IEEE 802.1 x Model », Springer, 2003

[RFC1777] W. Yeong and T. Howes and S. Kille, « Lightweight Directory Access Protocol », RFC 1777, IETF, mars 1995

[RFC3652] S. Sun and S. Reilly and L. Lannom and J. Petrone, « Handle System Protocol (ver 2.1) Specification », RFC 3652, novembre 2003

[DCapBAC] J. L. Hernández-Ramos, A. J. Jara et L. Marín, « DCapBAC: Embedding Authorization Logic into Smart Things Through ECC Optimizations », Int. J. Comput. Math., 2016

[RFC7252] Z. Shelby and K. Hartke and C. Bormann, « The Constrained Application Protocol (CoAP) », RFC 7252, IETF, juin 2014

[HP] « Internet of things research study 2015 report », Hewlett Packard, 2015

[Article3] M. B. Shemaili and C. Y. Yeun and K. Mubarak and M. J. Zemerly, « A new lightweight hybrid cryptographic algorithm for the internet of things », IEEE, 2012

[TC] A. Iliev et S. W. Smith. « Protecting client privacy with trusted computing at the server ». IEEE Security & Privacy, 2005

[CT] A. Jøsang, R. Ismail et C. Boyd. « A survey of trust and reputation systems for online service provision »,  Decision Support Systems, 2007

[RFC6749] D. Hardt, « The OAuth 2.0 Authorization Framework », IETF RFC 6749, octobre 2012

[DCAF] S. Gerdes, O. Bergmann et C. Bormann « Delegated CoAP authentication and authorization framework (DCAF) », IETF Draft, Expire : 21 avril 2016

[IdM-IoT] J. Chen and Y. Liu and Y. Chai, « An Identity Management Framework for Internet of Things », IEEE, octobre 2015

[Stat] D. Evans, « The internet of things: How the next evolution of the internet is changing everything », CISCO, 2011

[6LoWPAN] P. Pongle and G. Chavan, «  A survey: Attacks on RPL and 6LoWPAN in IoT », ICPC, janvier 2015

[ZigBee] X. Cao and D. Shila and Y. Cheng and Z. Yang and Y. Zhou and J. Chen, « Ghost-in-ZigBee : Energy Depletion Attack on ZigBee based Wireless Networks », IEEE, 2016

[IPSec-6LoWPAN] S. Raza, S. Duquennoy, T. Chung, D. Yazar, T. Voigt and U. Roedig, « Securing communication in 6LoWPAN with compressed IPsec », 2011 International Conference on Distributed Computing in Sensor Systems and Workshops (DCOSS), Barcelona, 2011, pp. 1-8



Articles qui pourraient vous intéresser...

Applications des TPM

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Les TPM, inventés il y a une vingtaine d’années, ont pénétré progressivement les plateformes numériques. Malgré ce long historique, les TPM ont encore aujourd’hui du mal à s’imposer. Pourtant, leurs applications potentielles sécuritaires sont très intéressantes : Authenticated Boot, Remote Attestation, Scellement, amélioration de la sécurité de la cryptographie logicielle. Cet article détaille ces principales applications et liste quelques produits connus qui utilisent les TPM.

Dora au pays du kernel debugging

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Après plusieurs années dans le monde de la sécurité informatique il est récurrent d'être confronté aux remarques telles que : « Wow tu bosses sur le kernel Windows, c'est trop cool, mais vachement compliqué quand même ! ». Que nenni, en réalité la documentation est conséquente et le point le plus difficile et rédhibitoire est bien souvent la mise en place d'un Labo permettant d'analyser celui-ci. En bref, cet article vous permettra de vous faire passer pour un super haxxor de ses morts qui dt des KPCR à tour de bras et vous permettra peut-être au passage de demander une augmentation.

En sécurité sous les drapeaux

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

En sécurité sous les drapeaux... du compilateur, ces fameux -fstack-protector-strong et autres -D_FORTIFY_SOURCE=2 que l’on retrouve dans de plus en plus de logs de compilation. Cet article se propose de parcourir quelques-uns des drapeaux les plus célèbres, en observant les artefacts dans le code généré qui peuvent indiquer leur utilisation, tout en discutant de leur support par gcc et clang. Après tout, nombre d’entre eux sont utilisés par défaut sous Debian ou Fedora, ils méritent bien qu’on s’y intéresse un peu.

Introduction aux TPM (Trusted Platform Modules)

Magazine
Marque
MISC
HS n°
Numéro
22
Mois de parution
octobre 2020
Domaines
Résumé

Les TPM (Trusted Platform Modules), brique de base du Trusted Computing, ont été imaginés il y a une vingtaine d’années, et pourtant ils ne sont pas très utilisés malgré leurs réelles qualités. Comment expliquer cela ? Cet article tend à fournir de premiers éléments de réponse.