La sécurité des objets connectés

Magazine
Marque
MISC
Numéro
88
Mois de parution
novembre 2016
Spécialité(s)


Résumé

Le progrès dans le monde des systèmes embarqués a favorisé l'apparition d'objets dits « intelligents » (de l'anglais Smart Object) ou encore « connectés ». Ces derniers intègrent, dans un contexte de faible consommation énergétique, un microcontrôleur permettant de piloter un capteur et/ou un actionneur alliés à une capacité de communication. Les objets intelligents offrent à leurs usagers l'exploitation de scénarios intéressants induisant principalement deux classes d'interactions : d'une part, capturer et remonter vers le réseau la valeur courante d'une information spécifique à leur environnement immédiat (objet en tant que capteur) et, d'autre part, recevoir du réseau une commande dont l'exécution peut avoir un effet de bord sur leur environnement direct (objet en tant qu'actuateur). Un smartphone, un téléviseur ou un réfrigérateur connecté, une montre intelligente, des systèmes de détection de présence ou de chutes... constituent des exemples concrets d'objets connectés faisant partie de notre quotidien. L'Internet des Objets (IoT) permet de conceptualiser ce nouvel environnement reposant sur les réseaux traditionnels, auxquels sont connectés les objets en tant que composantes particulières du monde réel ayant des contraintes fortes en matière de ressources (mémoire, capacité de traitement, énergie) et disposant de méthodes multiples de communication sans fil. Selon IPSO (IP for Smart Objects), l'adoption massive du protocole IP par les objets devrait à terme conduire à une connectivité directe avec l'Internet, en ouvrant la voie à sa troisième grande évolution (Web 3.0). Ces objets peuvent être découverts, contrôlés et gérés depuis Internet. Cette articulation, qui représente un point fort de l'IoT, le fait aussi hériter de toute la problématique de la sécurité déjà présente dans l'Internet. Cette dernière se repose même avec une acuité renouvelée dans ce nouvel environnement, du fait de ses caractéristiques particulières. Il est important d'analyser la façon avec laquelle les exigences classiques de sécurité (CIA, AAA...) ainsi que celles liées au respect de la vie privée peuvent être déclinées dans ce nouvel environnement.


Introduction

De nombreuses études montrent que le nombre d'objets connectés déployés sur Internet va connaître une croissance exponentielle dans les années à venir [Stat], conduisant ainsi à une architecture de l'IoT complexe et soumise à un trafic important. D'un point de vue qualitatif, l'IoT possède les caractéristiques suivantes [Article1] :

  1. L'IoT est un environnement non maîtrisé du fait principalement de la mobilité des objets et des possibilités étendues pour y accéder physiquement.
  2. L'hétérogénéité : un environnement IoT peut intégrer des entités d'origines très variables (différentes plateformes, protocoles de communications, fournisseurs...).
  3. La scalabilité liée à la quantité d'objets qui peuvent être interconnectés.
  4. Les ressources limitées en matière d'énergie, de capacité de calcul et d'espace de stockage.

L'IoT présente ainsi de nombreux défis. Cet article propose un tour d'horizon des principales problématiques...

Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
S'abonner à Connect
  • Accédez à tous les contenus de Connect en illimité
  • Découvrez des listes de lecture et des contenus Premium
  • Consultez les nouveaux articles en avant-première
Je m'abonne
Références

[Article1] E. Vasilomanolakis, J. Daubert, M. Luthra, V. Gazis, A. Wiesmaier et P. Kikiras, « On the Security and Privacy of Internet of Things Architectures and Systems », International Workshop on Secure Internet of Things, Vienna, Austria, septembre 2015

[rfc7416] T. Tsao, R. Alexander, M. Dohler, V. Daza, A. Lozano et M. Richardson, « A Security Threat Analysis for the Routing Protocol for Low-Power and Lossy Networks (RPLs) », RFC 7416, IETF, janvier 2015

[SecuSO1] A. F. Skarmeta, J. Luis Hernández Ramos et J. Bernal Bernabe, « A required security and privacy framework for smart objects », ITU Kaleidoscope : Trust in the Information Society, Barcelona, Spain, décembre 2015

[Article2] A. Pfitzmann et M. Hansen, « A terminology for talking about privacy by data minimization : Anonymity, Unlinkability, Undetectability, Unobservability, Pseudonymity, and Identity Management » , 2010

[HIP-DEX] R. Hummen et R. Moskowitz, « HIP Diet EXchange (DEX) », IETF Draft, Expire : septembre 2016

[rfc5191] D. Forsberg, Y. Ohba, B. Patil, H. Tschofenig et A. Yegin, « Protocol for Carrying Authentication for Network Access (PANA) », RFC 5191, IETF, mai 2008

[rfc3748] B. Aboba, L. Blunk, J. Vollbrecht, J. Carlson et H. Levkowetz, « Extensible Authentication Protocol (EAP) », RFC 3748, IETF, juin 2004

[802,1X] S.Pack et Y.Choi, « Pre-authenticated fast handoff in a public wireless LAN based on IEEE 802.1 x Model », Springer, 2003

[RFC1777] W. Yeong and T. Howes and S. Kille, « Lightweight Directory Access Protocol », RFC 1777, IETF, mars 1995

[RFC3652] S. Sun and S. Reilly and L. Lannom and J. Petrone, « Handle System Protocol (ver 2.1) Specification », RFC 3652, novembre 2003

[DCapBAC] J. L. Hernández-Ramos, A. J. Jara et L. Marín, « DCapBAC: Embedding Authorization Logic into Smart Things Through ECC Optimizations », Int. J. Comput. Math., 2016

[RFC7252] Z. Shelby and K. Hartke and C. Bormann, « The Constrained Application Protocol (CoAP) », RFC 7252, IETF, juin 2014

[HP] « Internet of things research study 2015 report », Hewlett Packard, 2015

[Article3] M. B. Shemaili and C. Y. Yeun and K. Mubarak and M. J. Zemerly, « A new lightweight hybrid cryptographic algorithm for the internet of things », IEEE, 2012

[TC] A. Iliev et S. W. Smith. « Protecting client privacy with trusted computing at the server ». IEEE Security & Privacy, 2005

[CT] A. Jøsang, R. Ismail et C. Boyd. « A survey of trust and reputation systems for online service provision »,  Decision Support Systems, 2007

[RFC6749] D. Hardt, « The OAuth 2.0 Authorization Framework », IETF RFC 6749, octobre 2012

[DCAF] S. Gerdes, O. Bergmann et C. Bormann « Delegated CoAP authentication and authorization framework (DCAF) », IETF Draft, Expire : 21 avril 2016

[IdM-IoT] J. Chen and Y. Liu and Y. Chai, « An Identity Management Framework for Internet of Things », IEEE, octobre 2015

[Stat] D. Evans, « The internet of things: How the next evolution of the internet is changing everything », CISCO, 2011

[6LoWPAN] P. Pongle and G. Chavan, «  A survey: Attacks on RPL and 6LoWPAN in IoT », ICPC, janvier 2015

[ZigBee] X. Cao and D. Shila and Y. Cheng and Z. Yang and Y. Zhou and J. Chen, « Ghost-in-ZigBee : Energy Depletion Attack on ZigBee based Wireless Networks », IEEE, 2016

[IPSec-6LoWPAN] S. Raza, S. Duquennoy, T. Chung, D. Yazar, T. Voigt and U. Roedig, « Securing communication in 6LoWPAN with compressed IPsec », 2011 International Conference on Distributed Computing in Sensor Systems and Workshops (DCOSS), Barcelona, 2011, pp. 1-8



Article rédigé par

Les derniers articles Premiums

Les derniers articles Premium

Donnez une autre dimension à vos logs avec Vector

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Avoir des informations précises et détaillées sur ce qu’il se passe dans une infrastructure, et sur les applications qu'elle héberge est un enjeu critique pour votre business. Cependant, ça demande du temps, temps qu'on préfère parfois se réserver pour d'autres tâches jugées plus prioritaires. Mais qu'un système plante, qu'une application perde les pédales ou qu'une faille de sécurité soit découverte et c'est la panique à bord ! Alors je vous le demande, qui voudrait rester aveugle quand l'observabilité a tout à vous offrir ?

Du graphisme dans un terminal ? Oui, avec sixel

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

On le voit de plus en plus, les outils en ligne de commandes s'étoffent peu à peu d'éléments graphiques sous la forme d'émojis UTF8. Plus qu'une simple décoration, cette pointe de « graphisme » dans un monde de texte apporte réellement un plus en termes d'expérience utilisateur et véhicule, de façon condensée, des informations utiles. Pour autant, cette façon de sortir du cadre purement textuel d'un terminal n'est en rien une nouveauté. Pour preuve, fin des années 80 DEC introduisait le VT340 supportant des graphismes en couleurs, et cette compatibilité existe toujours...

Game & Watch : utilisons judicieusement la mémoire

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Au terme de l'article précédent [1] concernant la transformation de la console Nintendo Game & Watch en plateforme de développement, nous nous sommes heurtés à un problème : les 128 Ko de flash intégrés au microcontrôleur STM32 sont une ressource précieuse, car en quantité réduite. Mais heureusement pour nous, le STM32H7B0 dispose d'une mémoire vive de taille conséquente (~ 1,2 Mo) et se trouve être connecté à une flash externe QSPI offrant autant d'espace. Pour pouvoir développer des codes plus étoffés, nous devons apprendre à utiliser ces deux ressources.

Les listes de lecture

11 article(s) - ajoutée le 01/07/2020
Clé de voûte d'une infrastructure Windows, Active Directory est l'une des cibles les plus appréciées des attaquants. Les articles regroupés dans cette liste vous permettront de découvrir l'état de la menace, les attaques et, bien sûr, les contre-mesures.
8 article(s) - ajoutée le 13/10/2020
Découvrez les méthodologies d'analyse de la sécurité des terminaux mobiles au travers d'exemples concrets sur Android et iOS.
10 article(s) - ajoutée le 13/10/2020
Vous retrouverez ici un ensemble d'articles sur les usages contemporains de la cryptographie (whitebox, courbes elliptiques, embarqué, post-quantique), qu'il s'agisse de rechercher des vulnérabilités ou simplement comprendre les fondamentaux du domaine.
Voir les 55 listes de lecture

Abonnez-vous maintenant

et profitez de tous les contenus en illimité

Je découvre les offres

Déjà abonné ? Connectez-vous