Le Japon lance un audit national de sécurité IoT pour combler les failles de vulnérabilité

Une initiative gouvernementale d'envergure

À partir de mi-février, le gouvernement japonais lancera un audit de sécurité systématique de plus de 200 millions d'appareils IoT déjà en service dans le pays.

Cette initiative, annoncée la semaine dernière, vise à mettre en lumière un fait que les experts connaissent depuis longtemps mais que les consommateurs ignorent largement : une part significative des produits IoT grand public restent vulnérables aux cyberattaques.

Origines de l'insécurité IoT

L'insécurité de l'IoT découle de plusieurs facteurs : l'indifférence des consommateurs — la plupart des utilisateurs ne changent jamais les mots de passe par défaut après l'achat et l'installation d'un appareil ; le manque inhérent de supervision dans la communication appareil-à-appareil ; et le déploiement peu fréquent de mises à jour de firmware automatisées par les fournisseurs de services.

Les spécialistes de la sécurité saluent le plan comme une mesure nécessaire, pourtant de nombreux médias japonais ont critiqué ce qu'ils perçoivent comme un excès de pouvoir de l'État.

Critiques et préoccupations

Les critiques arguent que l'initiative porte atteinte à la vie privée, se demandant pourquoi les citoyens devraient permettre à un gouvernement d'inspecter leurs appareils personnels. Beaucoup doutent de la capacité de l'État à protéger les données qu'il recueille, craignant des fuites accidentelles ou intentionnelles. Il y a aussi une préoccupation plus large que une telle surveillance pourrait éroder les libertés civiles et pousser le Japon vers un État de surveillance.

L'Institut national des technologies de l'information et des communications (NICT) a divulgué qu'il emploiera des tactiques telles que le test des mots de passe par défaut et d'autres méthodes pour tester des appareils IoT sélectionnés aléatoirement, dans le but de compiler un inventaire complet des produits vulnérables.

Le NICT transmettra les résultats aux fournisseurs d'accès internet, qui notifieront à leur tour les consommateurs et recommanderont des mesures de sécurité. Bien que l'étendue exacte reste indéfinie, le programme devrait se concentrer initialement sur les routeurs et les webcams, et l'agence a indiqué que l'initiative pourrait s'étendre jusqu'à cinq ans.

Justifications et débats

Les partisans justifient la surveillance étendue en citant les Jeux olympiques de Tokyo comme catalyseur pour une sécurité accrue.

Les événements internationaux à grande échelle provoquent régulièrement une hausse des alertes de cybersécurité de la part des experts et des autorités. Le souvenir récent du botnet Mirai — où un logiciel malveillant a détourné des appareils grand public comme des caméras IP et des routeurs domestiques pour lancer des attaques DDoS massives — renforce l'urgence de mesures proactives.

« Un tel événement que les Olympics est garanti d'attirer des millions de visiteurs, augmentant les préoccupations de sécurité globales », note Tanner Johnson, analyste en cybersécurité chez IHS Markit spécialisé dans l'IoT et les technologies émergentes. « Les pirates ciblent les maillons les plus faibles d'un réseau, exploitant les appareils les plus vulnérables plutôt que les plus sécurisés. »

Certains sceptiques s'interrogent sur la durée du programme : pourquoi s'étaler jusqu'à cinq ans si le motif principal est la sécurité olympique ? Gaku Ogura, country manager chez AnyConnect, souligne que de nombreux consommateurs japonais ne changent pas les mots de passe par défaut de leurs appareils connectés. Il met aussi en avant que le programme pourrait être une opportunité d'évaluer l'intégration des technologies Huawei dans l'infrastructure réseau du Japon.