Sécurité IoT : surmonter les obstacles au déploiement

La sécurité reste la priorité absolue dans le développement et le déploiement de l'Internet des Objets. Gartner rapporte qu'en 2020, la sécurité IoT représentera 20 % de tous les budgets de sécurité.

Nick Sacke, responsable Produit et IoT chez Comms365, avertit que les analystes, vendeurs et parties prenantes sont de plus en plus préoccupés par les risques de sécurité significatifs associés aux déploiements IoT. Ces inquiétudes façonnent la prise de décision et érodent la confiance des utilisateurs finaux, surtout lors de l'utilisation de réseaux existants — comme le Wi-Fi, qui a un historique de vulnérabilités — ou de systèmes plus récents à spectre non licencié comme LoRaWAN et Sigfox.

L'absence de standardisation à l'échelle de l'industrie est un autre obstacle. Anciens et nouveaux réseaux ont tous besoin de politiques de sécurité cohérentes pour avancer.

Manque d'information

Un facteur majeur sapant la confiance est la rareté d'informations sur les mesures de sécurité déjà en place pour les réseaux qui sous-tendent l'IoT, tant licenciés que non licenciés. Les plateformes LPWAN (Low-Power Wide-Area Network) comme LoRaWAN et Sigfox opèrent dans le spectre non licencié et ont été critiquées pour manquer des mécanismes de sécurité traditionnels des réseaux cellulaires. Les opérateurs affirment souvent qu'un réseau IoT cellulaire est « plus sécurisé » car le trafic reste sous le contrôle de l'opérateur.

Il est essentiel de distinguer le type de trafic capteur et la sécurité applicable à chaque point du réseau. Tout le trafic LoRaWAN est non-IP, utilise un chiffrement AES 128-bit, et est déchiffré par un serveur d'application hébergé dans un environnement cloud privé. Cela contraste fortement avec les réseaux de capteurs basés Wi-Fi qui peuvent se connecter à des passerelles internet publiques et nécessitent donc des mesures de sécurité sur site strictes. Idéalement, les réseaux publics, leurs fournisseurs et fabricants d'appareils devraient examiner chaque élément de conception pour maximiser la protection et rassurer les utilisateurs.

Si les préoccupations de sécurité sont réelles, tous les réseaux IoT ne sont pas également vulnérables. Les déploiements LoRaWAN récents intègrent une sécurité intégrée dès le départ, ce qui est crucial pour protéger les données.

Qui porte finalement la responsabilité de la sécurité IoT ? La réponse est toutes les parties : opérateurs réseau, fabricants d'appareils et utilisateurs finaux. Une approche coordonnée de bout en bout est requise pour sécuriser l'IoT du développement au déploiement et aux opérations quotidiennes. Selon la technologie d'accès réseau choisie, des fonctionnalités de sécurité inhérentes — comme celles trouvées dans le LPWAN cellulaire — peuvent déjà exister, mais des arrangements similaires peuvent être établis pour les réseaux à spectre non licencié en créant des architectures de sécurité privées et multicouches.

Comment une ville l'a fait

Le projet ville intelligente de Milton Keynes a déployé un réseau LoRaWAN à la fin de l'année dernière, couvrant le centre-ville pour divers cas d'usage — énergie, stationnement et surveillance environnementale.

Les données de milliers de capteurs basés LoRa sont collectées de manière sécurisée via le LPWAN et déposées dans un hub de données IoT dédié, où elles peuvent être analysées par multiples parties prenantes dans un environnement surveillé et légalement conforme.

Compte tenu de l'échelle du déploiement et de la population desservie, la sécurité est primordiale. Les consommateurs doivent faire confiance à ce que le cadre de sécurité est robuste non seulement dans le logiciel mais aussi dans l'environnement physique. Des initiatives comme la blockchain sont déjà explorées pour approfondir la sécurité, même pour le trafic sur réseaux publics. Peut-être l'élément le plus critique est la protection des sites où les appareils sont physiquement déployés pour prévenir le sabotage local.

Si un attaquant local peut compromettre un appareil, l'intégrité de tout le chemin de données est compromise. L'inviolabilité est donc essentielle pour surveiller la santé des capteurs IoT — des simples vérifications d'accéléromètre aux variations de température — afin que l'analytics puisse détecter et atténuer les interférences.

L'incertitude des entreprises sur la sécurité peut retarder le déploiement, mais ce n'est pas une fatalité. En appliquant la sécurité à chaque étape — appareil, edge, WAN et cloud — une plus grande probabilité d'atténuer les violations potentielles est atteinte.

Les fabricants intègrent déjà de nombreuses fonctionnalités de sécurité directement dans les appareils, et l'industrie des semi-conducteurs s'attaque activement à la sécurité matérielle. Cependant, l'absence de directives standardisées de sécurité matérielle reste un obstacle. La fragmentation persiste alors que les fabricants poursuivent des solutions propriétaires, mais la coordination inter-industries peut surmonter ce défi.

Lorsque les bons partenaires et systèmes sont choisis, le déploiement et la sécurité peuvent être fluides. Les avancées continues en sécurité IoT donneront aux clients la confiance pour déployer à grande échelle et avec intensité.

L'auteur de ce blog est Nick Sacke, responsable Produit et IoT chez Comms365.