Tester la sécurité des objets connectés

Le nombre d'appareils connectés ne cesse de croître. L’impact de ces objets grandissant avec leur nombre, les exigences réglementaires et normatives de sécurité deviennent une préoccupation majeure. Cet article fait un état des lieux de ces exigences, en s’attardant sur les cadres européens.

Les objets connectés au réseau cellulaire connaissent une forte croissance avec l’introduction de la 5G. Mais comme toute évolution, les outils et techniques de test d’intrusion doivent aussi être adaptés à ce type d’objet de plus en plus omniprésent. Voyons ensemble comment attaquer ces équipements de bout en bout.

En informatique classique, l’utilisateur s’authentifie sur son poste et sur ses applications, ce qui rend aisé la gestion des identités et la sécurité des connexions. Dans le monde des objets, ces derniers ne sont pas souvent dotés de moyens nécessaires (écran, clavier, lecteur de carte à puce ou tout autre moyen). Cet article décrit un exemple de solution dans le monde des drones répondant à la gestion sécurisée de la connectivité et qui pourrait être transposé à de nombreux autres objets.

La prolifération des objets connectés en entreprise ouvre la voie à de nouveaux vecteurs d’attaque. Une équipe Red Team préparée et entraînée ne pourra donc que les exploiter pour valider ses trophées.

Fuchsia est un nouveau système d’exploitation développé par Google, de son noyau Zircon jusqu'à son modèle logiciel. Dans cet article, nous présenterons les concepts fondamentaux de Fuchsia et ses avantages. Puis, nous détaillerons les premiers pas de notre étude du Google Nest Hub, premier appareil sous Fuchsia.

Les solutions domotiques sont de plus en plus adoptées par le grand public : contrôle de l’éclairage, ouverture de porte ou encore alarme et caméra. Nous aborderons une présentation d’une solution domotique grand public afin d’en analyser ses sécurités et identifier les vulnérabilités présentes.

En s’approchant au plus près de ce que ferait un attaquant, le bug bounty offre la promesse d’identifier des vulnérabilités avant qu’un acteur malveillant ne les exploite. Cet article décrit un exemple de mise en place de bug bounty, sa plus-value, mais aussi ses limites et ses contraintes. Sur la base d’un bug bounty appliqué à des drones, nous traiterons également des spécificités portant sur le domaine de l’IoT.