Tout devient IoT

Il y a un peu de technologie embarquée qui se connecte à Internet dans presque tous les nouveaux appareils. Les types de « choses » compatibles avec Internet incluent les bouilloires à thé (sérieusement), les baskets (baskets) et les téléviseurs.

En outre, les éléments qui ne sont pas nécessairement connectés à Internet mais qui sont souvent connectés à un réseau local incluent les appareils médicaux tels que les stimulateurs cardiaques et les pompes à insuline. Cette tendance, explique Art Dahnert, consultant en gestion chez Synopsys, Inc. , se produit depuis plusieurs années maintenant et il ne semble pas qu'il s'arrêtera de sitôt.

Le problème est que trop de choses dans l'Internet des objets (IoT) sont également piratées.

Vous n'avez pas besoin de chercher très loin pour voir des histoires sur des caméras de sécurité transformées en botnet ou votre téléviseur utilisé pour vous espionner, ou un moniteur de fitness utilisé pour identifier des bases militaires secrètes. Le problème avec toutes ces attaques est que le logiciel prenant en charge ces appareils n'est pas conçu dans un souci de sécurité. Souvent, personne ne pense à la sécurité jusqu'à ce qu'il soit trop tard et que son appareil IoT fasse l'actualité.

Véhicules vulnérables

Cela n'est nulle part plus évident qu'avec les voitures d'aujourd'hui. Le véhicule moderne compte aujourd'hui plus de 100 processeurs (unités de coprocesseur) et utilise des millions de lignes de code. Tout ce code est nécessaire pour prendre en charge des technologies avancées telles que le régulateur de vitesse adaptatif, l'assistance au maintien de la voie, le stationnement automatique et les fonctions de freinage d'urgence, dont aucune n'existait il y a 10 ans.

La combinaison d'un nouveau code et de nouvelles fonctionnalités ainsi que des pressions sur la vitesse de mise sur le marché signifient que certains coins ont probablement été coupés, y compris les contrôles de sécurité. Il est également possible que les exigences de sécurité n'aient pas été jugées suffisamment élevées pour en faire le produit final. Quelle que soit la raison pour laquelle la sécurité n'est pas incluse au début, un véhicule peu sûr est mûr pour que les attaquants puissent l'exploiter et en prendre le contrôle.

Et c'est exactement ce qui s'est passé. La plupart des méchants qui attaquent les logiciels automobiles ne cherchent pas à faire planter des milliers de voitures alors qu'ils roulent sur la route ; ils vont faire ce que font les méchants, voler des trucs. A savoir voler le véhicule, ou du moins ce qu'il y a à l'intérieur du véhicule. C'est exactement ce qui s'est passé à Houston en 2016, avec un gang volant plus de 30 jeeps en profitant de l'absence de contrôles de sécurité dans le logiciel du véhicule.

Que peut-on faire ?

Premièrement, les entreprises doivent prendre la sécurité au sérieux et intégrer la sécurité dans leurs produits dès le départ, en utilisant les meilleures pratiques de sécurité. Cela commence par la formation du personnel de développement sur l'écriture de logiciels sécurisés, et comprend le développement ou l'utilisation d'une architecture qui intègre la sécurité dans l'ensemble du système. C'est une chose d'avoir des modules ou des composants écrits de manière sécurisée, mais si le système transmet des données (mots de passe) en texte clair, vous aurez toujours un compromis à terme.

En plus du code et de l'architecture sécurisés, les entreprises devront investir dans un SDLC qui intègre la sécurité à des points spécifiques du processus. Cela peut inclure un outil d'analyse de code statique qui analyse la source à chaque démarrage d'une génération. Et enfin, faire effectuer une évaluation de sécurité (test de pénétration) sur le produit avant qu'il ne soit expédié en production est souvent utilisé pour valider les exigences de sécurité.

La sécurité logicielle est un voyage et ces étapes ne sont que le début. Avec tout ce qui passe à l'IoT, chaque « chose » de l'Internet des objets doit être sécurisée.

L'auteur de ce blog est Art Dahnert, consultant en gestion chez Synopsys, Inc.

À propos de l'auteur :

Art Dahnert est un consultant en sécurité de l'information qui a plus de 19 ans d'expérience dans les technologies de l'information, dont plus de 9 ans dans les tests d'intrusion d'applications. M. Dahnert a réalisé des centaines d'évaluations des risques de sécurité, de tests d'intrusion et d'évaluations de vulnérabilité d'applications Web, d'applications de bureau et d'applications mobiles.

Il a évalué la sécurité de systèmes et d'infrastructures dont la taille varie de petite à grande, y compris ; des applications Web simples, des applications bancaires pour les grandes entreprises et des systèmes de déploiement spécifiques à l'armée américaine entièrement fonctionnels.