Adoption de l'IoT : pourquoi l'engouement rate sa cible

Si le cycle de hype de Gartner est un indicateur fiable, l'Internet des objets (IoT) entre désormais dans le « creux de la désillusion ». Des études récentes montrent qu'environ 60 % des déploiements pilotes ne tiennent pas leurs promesses. Si des projets isolés peuvent trébucher, le marché au sens large n'a pas encore atteint la saturation en appareils pour signaler un pic ; c'est plutôt le rythme des nouvelles adoptions qui ralentit.

Plusieurs facteurs freinent la croissance de l'IoT

Un problème majeur est la tendance à ajouter de la connectivité à des appareils qui n'en ont simplement pas besoin. Prenez l'exemple de « l'aquarium IoT » qui surveillait l'alimentation, la température et la qualité de l'eau. Ken Munro, associé chez Pen Test Partners, rapporte qu'un casino ayant installé cet aquarium a perdu 10 Go de données au profit d'un appareil situé en Finlande. Cela illustre à quel point des terminaux IoT mal sécurisés peuvent devenir des portes dérobées vers les réseaux d'entreprise, permettant le vol d'identifiants et l'exfiltration de données.

La question de la longévité

De nombreuses organisations remplacent leurs appareils au lieu de mettre à jour leur firmware, ce qui jette le doute sur le retour sur investissement à long terme. Même lorsqu'un reste en service, la question persiste : le fabricant fournira-t-il un support continu et des correctifs de sécurité ? Les vulnérabilités qui apparaissent avec le temps peuvent laisser les appareils exposés si les fabricants manquent de ressources ou de volonté pour publier des mises à jour, ou pire, s'ils retirent purement et simplement leur support.

Vulnérabilités exposées

Les fabricants peinent à protéger leur base installée. La base de données publique de Shodan répertorie des milliers d'unités IoT déployées — y compris des systèmes de contrôle industriel — avec des détails tels que les adresses IP, les systèmes d'exploitation et les versions logicielles. Combinée à la publication par la FCC des schémas des appareils à venir, cela permet aux attaquants d'identifier les modèles vulnérables et d'exploiter les identifiants par défaut. Dans un incident, un technicien a publié publiquement une liste de « super mots de passe » donnant les identifiants de connexion quotidiens pour une année entière, soulignant la laxité de la sécurité dans la chaîne d'approvisionnement et la facilité avec laquelle des données confidentielles peuvent être compromises.

Face à ces risques, certains fournisseurs se tournent vers la monétisation des données. Vendre les données d'utilisation à des tiers peut générer des revenus, mais érode davantage la vie privée des utilisateurs. Par exemple, les données de plan d'étage d'un aspirateur robot connecté pourraient être vendues sur le dark web, ou les données d'un système de gestion de bâtiment (BMS) pourraient permettre des attaques par rançongiciel sur des thermostats intelligents.

La voie à suivre

Certains diront que les utilisateurs finaux devraient assumer plus de responsabilités, mais beaucoup ne reconfigurent pas leurs appareils après l'installation. Même lorsque des changements sont effectués, les codes PIN ou mots de passe par défaut restent souvent faibles — quatre ou six chiffres peuvent être craqués en quelques heures. La cause profonde du manque de confiance actuel est tout simplement une conception de sécurité médiocre, et les fabricants doivent agir.

Les meilleures pratiques de sécurité incluent : le développement sécurisé d'applications mobiles, une gestion robuste des sessions, le chiffrement de bout en bout pour les services web, une mise en œuvre rigoureuse des standards sans fil, la désactivation des interfaces inutilisées (ports série/débogage), l'obfuscation et le stockage sécurisé des clés sur l'appareil, et la garantie que le firmware est chiffré et signé numériquement. Tant que les fournisseurs ne donneront pas la priorité à ces mesures, l'adoption de l'IoT continuera de vaciller. Un incident malveillant de haut profil — notamment ciblant une interface omniprésente comme le port 80 — pourrait ébranler durablement la confiance du marché. Instaurer la confiance par des standards industriels ou une surveillance réglementaire est désormais essentiel.

Auteur : Ken Munro, associé chez Pen Test Partners