Les objets connectés (IoT) se développent à grand pas, et les experts prévoient de 50 et 150 milliards d’objets connectés en 2020. Les volumes de données échangées entre objets doublent chaque année, et pourraient doubler chaque jour d’ici 10 ans.
La montée en puissanc des IoT
L’IoT promet de faciliter nos vies, voire de les transformer … On m’a promis que ma voiture passera me chercher, mon frigidaire fera les courses, mon pacemaker indiquera tout signe de faiblesse aux médecins, etc.
Et ces objets seront connectés entre eux … : mon réveil trouvera mon heure de réveil dans l’agenda de mon téléphone, qui allumera la cafetière 9 minutes après le réveil, qui indiquera à ma voiture l’heure à laquelle me prendre en bas et ma destination, etc.
Sachant que les coûts de production et de développement sont très faibles à ce jour, et que les idées sont sans limites, comment envisager sereinement leur usage sans risques graves pour notre sécurité et la préservation de notre intimité ?
Une étude réalisée par Hewlett Parkard indique qu’une moyenne de 25 vulnérabilités a été trouvée sur le top 10 des objets connectés : défaut d’authentification, de contrôle d’accès, etc.
Hélas, la prise en compte de la sécurité est parfois peu compatible avec la culture des concepteurs, leurs budgets, et ce maudit « time to market » laissant songeur sur les risques à venir face à la croissance exponentielle de ces objets…
Hier encore, un pirate chevronné pouvait s’emparer de mes données ; mais demain c’est le concepteur voire le grand public (avec l’open data) qui pourra, sans grands efforts techniques, accéder à toutes mes informations, les utiliser, les revendre, les modifier, les falsifier, etc.
Pour mieux comprendre, faisons un peu de politique fiction en reprenant l’exemple de ma voiture. Si savoir OU je me rends et QUAND ne palpite pas tout le monde, en revanche la possibilité d’ouvrir ma porte de garage en se faisant passer pour ma voiture devient plus intéressant pour une personne mal intentionnée. Quant à la capacité de prendre la main sur un parc de voitures techniquement vulnérables pour générer des accidents en masse …
Certes, il existe des normes techniques nombreuses qui s’imposent aux concepteurs de ces IoT, mais elles sont hétérogènes et encore bien peu adaptées aux enjeux majeurs de sécurité… De mon point de vue, il ne faut pas trop compter sur les concepteurs pour les intégrer dans les règles de l’art mais plutôt miser sur les plateformes de services les intégrant, devenant ainsi les premiers affectés lors des futurs incidents.
La communauté sécurité continuera à les chatouiller en publiant failles et trophées d’intrusion, faisant in fine bien mieux avancer le problème qu’une énième norme réglementaire…
Jusqu’à ce que le législateur s’en empare…