Sécurisation des appareils IoT grand public :pourquoi une norme mondiale est nécessaire

Pour les consommateurs, la croissance de l'Internet des objets (IoT) signifie que de plus en plus d'objets dans leur maison sont désormais liés à Internet et sont potentiellement exposés à des cyberattaques ou à la divulgation de données personnelles lors d'atteintes à la vie privée.

Au cours des dernières années, déclare Alex Leadbeater, président de l'ETSI Comité technique sur la cybersécurité (TC CYBER), il y a eu de plus en plus de rapports sur ce type de problème IoT grand public. Par exemple, des chercheurs en sécurité ont récemment découvert que ZipaMicro , un hub domestique intelligent, utilisait la même clé privée dans chaque hub, codée en dur dans les appareils. Combiné aux mots de passe brouillés qu'ils ont trouvés sur Internet, cela a permis aux chercheurs d'ouvrir des verrous contrôlés par le hub.

Les appareils à risque incluent les jouets connectés, qui peuvent très bien contenir des caméras et des microphones accessibles à distance. En plus des attaques sur Internet, certains jouets utilisent désormais le Bluetooth, ce qui constitue une faiblesse potentielle. Haut-parleurs intelligents, tels que Amazon 's Echo, sont également vulnérables aux pirates qui écoutent des conversations privées.

Ces types de problèmes sont généralement résolus rapidement par les fournisseurs d'appareils une fois qu'ils ont été alertés de nouveaux produits, mais cela peut être trop tard et il existe une approche incohérente pour réparer ou rappeler ceux déjà sur le marché. Les gouvernements tentent d'adopter une législation pour imposer des normes plus élevées - par exemple, le Royaume-Uni consulte sur de nouvelles lois, qui peuvent inclure l'étiquetage obligatoire des produits et des normes minimales. Les États-Unis ne sont pas loin derrière, la Californie interdisant déjà les mots de passe génériques par défaut. Ensuite, en termes de protection des données, il existe des lois telles que le RGPD de l'UE qui s'appliquent à toutes les informations personnelles stockées.

Mais cela peut rendre la vie difficile pour les fournisseurs de produits. Comment peuvent-ils s'assurer qu'ils répondent de manière rentable aux différents ensembles d'exigences dans différents pays, dans un marché en évolution rapide où les réglementations sont encore en cours de définition ?

La norme fournit des recommandations de sécurité

Pour résoudre ce problème, l'ETSI a récemment annoncé l'ETSI TS 103 645, la première norme mondiale pour la sécurité de l'IoT grand public. La nouvelle norme vise à établir une référence sur la façon dont les entreprises doivent sécuriser tous les produits de consommation qui seront connectés à Internet, et à promouvoir les meilleures pratiques.

Dans le même temps, il a été rédigé en mettant l'accent sur les résultats plutôt que sur des méthodologies spécifiques, ce qui signifie qu'il y a suffisamment de flexibilité pour permettre aux entreprises d'innover et de trouver la meilleure solution pour leurs produits particuliers. La norme vise à répondre aux besoins d'une large gamme d'appareils connectés, y compris les jouets, les trackers de fitness portables, les assistants intelligents pour la maison, les téléviseurs intelligents, les serrures de porte et les systèmes domotiques.

Examinons les conseils de la nouvelle norme de l'ETSI et comment elle rendra les appareils grand public connectés plus sûrs.

Configuration requise pour l'appareil

Tout d'abord, la norme dit que tous les mots de passe des appareils doivent être uniques, ce qui surmonte le problème actuel où de nombreux produits sont vendus avec un nom d'utilisateur et un mot de passe par défaut, que les utilisateurs ne modifient souvent pas. Il indique également qu'il devrait être impossible de réinitialiser le mot de passe par défaut. Il est surprenant que de nombreux produits sur le marché ne répondent pas déjà à cette exigence ou à d'autres exigences plus fondamentales de la nouvelle norme.

La protection des données personnelles est une partie importante de la norme et elle exige que toutes les informations sensibles soient stockées en toute sécurité, à la fois sur les appareils eux-mêmes et dans tous les services connexes, tels que le cloud. Les appareils ne doivent pas avoir d'informations d'identification codées en dur, car elles sont relativement faciles à découvrir.

Les produits doivent permettre aux consommateurs de supprimer facilement leurs données personnelles quand ils le souhaitent, avec des instructions claires fournies. De même, l'installation et l'utilisation des appareils IoT doivent être simples et bien documentées. Les données doivent également être protégées et cryptées lors de leur communication. Les appareils doivent fournir une protection appropriée contre les attaques de chiffrement.

Tous les appareils connectés doivent suivre de bonnes pratiques d'ingénierie de sécurité, telles que la fermeture des logiciels et des ports réseau inutilisés pour minimiser le risque d'attaque. Toutes les données saisies doivent être validées, afin d'éviter les exploits tels que l'utilisation de valeurs hors limites. Les appareils doivent également être en mesure de vérifier leur logiciel à l'aide d'une sorte de mécanisme de démarrage sécurisé basé sur le matériel, et de gérer avec succès toute panne de courant ou de réseau.

En plus des exigences pour les appareils eux-mêmes, la norme ETSI a des exigences spécifiques pour les fournisseurs de produits. Il s'agit notamment de rechercher et d'agir rapidement sur les vulnérabilités.

Et le logiciel de l'appareil doit pouvoir être mis à jour facilement et en toute sécurité.

Construire la confiance des consommateurs

Les consommateurs sont à juste titre préoccupés par la sécurité de l'IoT. La nouvelle norme est un moyen inestimable pour les fournisseurs de rétablir la confiance avec leurs clients. En suivant ses directives, les fabricants peuvent garantir que leurs produits répondent aux niveaux appropriés de sécurité et de confidentialité. Cela signifie que les clients sont protégés et que les entreprises peuvent éviter des violations coûteuses et l'impact d'une publicité négative.

Plus important encore, la norme ETSI est un changement radical pour les consommateurs, leur donnant l'assurance que leur sécurité, leur confidentialité et leur sécurité ne seront pas mises en danger par l'utilisation d'appareils connectés.

Vous pouvez lire la norme ETSI ici

L'auteur est Alex Leadbeater, président du comité technique de cybersécurité de l'ETSI (TC CYBER).