L'importance croissante des logiciels critiques pour la sécurité dans l'IoT

L'Internet des objets introduit une nouvelle sécurité, parfois imprévue des risques.

Les applications critiques pour la sécurité, bien sûr, reposent sur des logiciels depuis des décennies. Le programme de vol Apollo lancé par John F. Kennedy en 1961, par exemple, utilisait un logiciel de vol embarqué. Mais la prolifération des appareils connectés dans les environnements industriels a permis un monde dans lequel les logiciels exécutent des processus de base dans les avions à réaction, les usines chimiques et nucléaires, les alarmes de bâtiments et de sécurité publique et les voitures autonomes.

Généralement, le sujet de la cybersécurité éclipse les problèmes de qualité logicielle. « Je pense que le monde du logiciel s'est réveillé à la sécurité. Je ne pense pas qu'ils se soient encore rendu compte des contraintes de sécurité », a déclaré Kate Stewart, directrice principale des programmes stratégiques à la Linux Foundation et finaliste du prix IoT World Leader of the Year.

[ Le monde de l'IoT est le plus grand événement IoT d'Amérique du Nord où les stratèges, les technologues et les responsables de la mise en œuvre se connectent, mettant l'IoT, l'IA, la 5G et la périphérie en action dans tous les secteurs verticaux. Réservez votre billet maintenant. ]

En ce qui concerne l'IoT et le flou des mondes numérique et physique qui peuvent transformer l'efficacité opérationnelle et la fonctionnalité des appareils allant des appareils médicaux aux équipements militaires. Mais l'innovation alimente également une collision de paradigmes de développement de logiciels, comme l'a écrit le spécialiste de la cybersécurité Bruce Schneier dans « Cliquez ici pour tuer tout le monde :sécurité et survie dans un monde hyper-connecté ».

D'une part, il y a le paradigme de développement logiciel agile qui donne la priorité à la vitesse et à l'adaptabilité. De l'autre, la méthodologie de développement de logiciels à évolution lente que l'on trouve dans les domaines aérospatial, industriel, médical et médical. « C'est le monde des tests rigoureux ou des certifications de sécurité et des ingénieurs agréés », a écrit Schneier.

À la Linux Foundation, l'un des domaines d'intérêt de Stewart est le projet Zephyr, qui a développé un système d'exploitation en temps réel qui donne la priorité à la sûreté et à la sécurité des appareils aux ressources limitées.

"Dans l'Internet des objets, les gens se concentrent sur ce avec quoi ils sont à l'aise", a déclaré Stewart. « Je me concentre sur le côté intégré en profondeur et sur la collecte de données en toute sécurité. » Cette dernière consiste à collaborer avec des experts en sécurité qui ne sont traditionnellement pas focalisés sur les logiciels. « Une grande partie du langage autour des normes existantes dans le domaine de la sécurité date de 20 à 30 ans », a-t-elle déclaré. Et les éléments liés aux logiciels sont souvent obsolètes, compte tenu du changement de méthodologie de développement logiciel et de l'augmentation du volume de code depuis.

L'un des défis est la question parfois floue de savoir comment une mise à jour logicielle peut provoquer des problèmes de sécurité inattendus. Les développeurs de logiciels travaillant dans des infrastructures critiques effectuent des analyses considérables avant de publier des logiciels. « Lorsque vous effectuez de nombreuses mises à jour de sécurité sur ce logiciel, cela invalide-t-il votre analyse initiale ? Que devez-vous faire pour vous assurer qu'en appliquant un bogue ou un correctif de sécurité, vous n'empirerez pas les choses ? Nous n'avons pas nécessairement les meilleurs outils en ce moment pour le comprendre », a déclaré Stewart.

Un autre obstacle est la nature traditionnellement fermée des normes de sécurité. "Il existe actuellement toute une série de normes [de sécurité] auxquelles tout le monde se tourne, et le défi intéressant du point de vue open source est que ces normes sont toutes fermées", a déclaré Stewart. « Les développeurs open source ne veulent pas nécessairement payer 3 000 $ pour examiner les normes. »

De tels défis justifient une collaboration plus poussée entre les experts en sécurité, en réglementation et en logiciels, a déclaré Stewart. « Nous travaillons actuellement avec des personnes [spécialisées dans la sécurité] et auprès des différentes autorités de certification, ainsi que potentiellement certaines réglementations pour comprendre ce qui est vraiment important et comment nous rendons le développement de logiciels sûrs pratique pour tout le monde. »