Risques logiciels :sécurisation de l'open source dans l'IoT

Aujourd'hui, 7 milliards d'appareils IoT sont utilisés dans le monde. Ce nombre devrait tripler d'ici 2025, atteignant un chiffre sans précédent de 21,5 milliards d'appareils, déclare Lev Lesokhin de CAST . Le marché des appareils de l'Internet des objets (IoT) a explosé - aujourd'hui, les fabricants d'appareils IoT qui souhaitent profiter de la course à la mise en œuvre de l'IoT sont désespérés pour mettre leurs produits sur le marché. Dans la course incessante pour vendre des produits, tous les logiciels pour les appareils IoT ne sont pas conçus selon les normes les plus élevées.

Pour commercialiser rapidement de nouveaux produits et fonctionnalités, vous disposez de peu de temps pour écrire du code personnalisé, en particulier lorsque des packages et des frameworks préconçus peuvent être téléchargés gratuitement à partir de communautés open source telles que GitHub  et Apache . Cependant, avec le code IoT comme pour tout dans la vie, vous récupérez ce que vous y avez mis. Le rapport Software Intelligence 2018 de CAST a révélé que de nombreux projets Open Source ne respectaient pas les règles de sécurité.

Le code open source gratuit n'est pas livré avec une sécurité étanche intégrée. Dans la course au marché, de nombreuses entreprises sacrifient la sécurité à la vitesse, renonçant à des contrôles de sécurité rigoureux qui tiennent compte de la structure et du fonctionnement interne d'un tel code. Chaque appareil IoT, les sept milliards d'entre eux, doit également être exécuté avec un logiciel sécurisé suffisamment robuste pour repousser les activités des pirates.

L'open source peut être écrit par n'importe qui. Une grande partie du code des logiciels écrits pour les appareils IoT est également écrit par des ingénieurs du monde des logiciels embarqués des appareils autonomes. Cela contraste fortement avec le logiciel conçu pour gérer les données des grandes transactions à l'échelle de l'entreprise dont font partie les appareils IoT. La protection des données dans ce dernier contexte nécessite un type d'expertise et de compétence différent de celui de tous les développeurs.

Avec le fait que n'importe qui, quel que soit son niveau de développement, peut contribuer au logiciel Open Source, il est beaucoup plus difficile de garantir le respect des normes de sécurité et de qualité. Un code inefficace, bâclé ou même malveillant peut potentiellement passer inaperçu.

Tant de défauts, mais il est peu probable que les acheteurs les remarquent. Beaucoup voient les appareils IoT à travers le prisme de l'entreprise - un moyen d'atteindre une fin stratégique telle qu'une efficacité de production améliorée. L'ironie est que, bien que les appareils IoT soient suffisamment sophistiqués pour être retournés contre leurs propriétaires, ils ne sont souvent pas considérés comme suffisamment sophistiqués pour être protégés contre les attaques.

Les yeux du monde sont sur votre code

Des défauts dans le code propriétaire interne se produisent, mais seuls les développeurs engagés pour écrire le code peuvent en avoir connaissance. Le code source serait privé et inaccessible à tous les regards indiscrets. Cependant, tout comme l'open source est facile d'accès pour les entreprises, il en va de même pour tout le monde. Le code peut avoir été examiné par de nombreux développeurs et peut-être par des pirates avant d'être incorporé dans la base de code dont dépend un appareil IoT.

La chaîne de magasins américaine Target s'est retrouvée victime à hauteur de 220 millions de dollars américains (194 millions d'euros) via le vol des détails de sa carte de crédit en 2013, lorsque les attaquants ont découvert une faiblesse dans le système de climatisation utilisé par la chaîne.

Les informations d'identification ont été volées au fournisseur du système de climatisation et sont restées inchangées lors du déploiement chez Target, laissant chaque système installé complètement vulnérable.

Vérifiez-vous avant de vous ruiner

Bien que les vulnérabilités ne puissent jamais être complètement annulées, la probabilité peut être réduite en trois étapes clés :

La première étape essentielle est qu'un fabricant comprenne ce qu'il y a dans le logiciel IoT qu'il livre. L'open source, lorsqu'il est utilisé avec soin, peut être très bénéfique. Cependant, pour protéger toutes les personnes impliquées, des fabricants aux utilisateurs finaux, la provenance du code utilisé doit être retracée jusqu'à ses racines et croisée avec les vulnérabilités connues.

Un vrai soin et autant de temps que possible doivent être pris. Une fois fabriqués, il est peu probable que les problèmes découverts après coup soient corrigés, comme cela s'est produit dans le cas de Target où les systèmes étaient relativement faciles d'accès. Alors que les producteurs d'appareils IoT peuvent être impatients de sprinter devant leurs concurrents, ils doivent être conscients que tout problème peut persister pendant très longtemps.

Le logiciel doit être analysé de bout en bout, car le code sur l'appareil n'est plus autonome. Une fois scannées, les entreprises doivent immédiatement se mettre au travail. Corrigez toutes les vulnérabilités mises en évidence et renforcez les transactions avec une faible résilience. L'objectif devrait être de réduire au maximum la dette technique du code, en créant un système robuste qui résistera à l'épreuve du temps et protégera ses futurs propriétaires.

En fin de compte, rappelez-vous que les bureaux du fournisseur du système de contrôle climatique de Target ont fini par être visités par les services secrets américains et que la société fait toujours partie d'une enquête en cours qui leur a coûté 18,5 millions de dollars (16,3 millions d'euros). Cela ne devrait pas arriver à quelqu'un d'autre et cela peut être évité.

L'auteur de ce blog est Lev Lesokhin, vice-président exécutif de la stratégie et de l'analyse chez CAST.