Pourquoi 98 % du trafic IoT reste non chiffré — Un appel à l'action immédiate

Selon le rapport Unit 42 Threat Report 2020 de Palo Alto Networks, un chiffre stupéfiant : 98 % du trafic IoT circule sans chiffrement. Mike Nelson, VP IoT Security chez DigiCert, avoue avoir été sidéré par ce chiffre.

Un rapport Zscaler de l'année précédente confirmait cette tendance : 91 % du trafic IoT non chiffré.

Un trafic non chiffré permet aux attaquants de mener des attaques Man-in-the-Middle (MiTM), interceptant ou altérant les données entre appareils et réseaux.

Les fabricants précipitent souvent leurs appareils sur le marché, négligeant la sécurité fondamentale dès la conception. Les entreprises déploient ensuite ces équipements vulnérables dans des réseaux par ailleurs sécurisés. Les attaquants découvrent les points d'entrée exposés via des outils comme Shodan, gagnant un pied-à-terre.

L'IoT explose. McKinsey prévoit 43 milliards d'appareils connectés d'ici 2023. Si la tendance actuelle des 98 % non chiffrés persiste, les cybercriminels disposeront d'un buffet massif de données à exploiter.

On imagine souvent des piratages anecdotiques — poupées ou sonnettes — mais le vrai danger réside dans les déploiements d'entreprise à grande échelle. Un seul appareil exposé peut devenir une porte dérobée vers des réseaux sensibles.

En 2017, un casino de Las Vegas a subi une violation via... un aquarium. Un capteur IoT lié au bassin transmettait des données à un serveur distant en Finlande. L'enquête a révélé que les pirates avaient utilisé cet aquarium pour exfiltrer 10 Go de la base de données des gros joueurs du casino.

L'incident a mis en lumière trois failles critiques : (1) les données stockées par le casino n'étaient pas chiffrées, facilitant leur capture ; (2) des contrôles d'accès insuffisants ont permis aux attaquants de passer de l'appareil IoT aux données hautement sensibles ; (3) le capteur de l'aquarium était intégré au réseau global du casino, offrant un chemin direct vers l'information critique.

De telles brèches peuvent aller de pertes financières et exposition de données clients à des attaques sur les infrastructures critiques, pouvant causer pannes électriques, coupures internet et arrêts des systèmes de santé nationaux.

Atteindre 100 % de chiffrement

Toutes les données confidentielles — au repos comme en transit — doivent être chiffrées. Même un seul flux non chiffré constitue une vulnérabilité exploitable.

Chiffrer des données mobiles, en constante circulation entre hubs, passerelles et cloud, est complexe mais indispensable pour protéger les réseaux IoT d'entreprise qui reposent sur de nombreux terminaux échangeant des données.

L'infrastructure à clés publiques (PKI) avec certificats numériques offre une solution évolutive, permettant l'authentification mutuelle et le chiffrement de bout en bout sur de grands déploiements IoT. Les grandes entreprises adoptent la PKI pour sécuriser leurs réseaux.

Si des progrès sont en cours, l'industrie doit accélérer. Les fabricants doivent intégrer chiffrement, authentification et intégrité dans leurs produits dès la conception. Les correctifs incrémentaux ne suffisent plus.

Le chiffrement à l'échelle entreprise est l'avenir de la sécurité IoT. Alors que les grands fabricants implémentent la PKI, le reste de l'industrie doit suivre — et vite.

L'auteur est Mike Nelson, VP IoT Security chez DigiCert.

À propos de l'auteur

Mike Nelson est VP IoT Security chez DigiCert, fournisseur de sécurité numérique. Il supervise le développement stratégique de marché pour les industries d'infrastructure critique sécurisant réseaux hautement sensibles et appareils IoT : santé, transport, opérations industrielles, smart grid et smart cities.

Il conseille régulièrement les organisations, contribue aux médias, participe aux organismes de normalisation et intervient en conférences sur l'amélioration de la cybersécurité des systèmes critiques et des personnes qui en dépendent.

Sa carrière s'est déroulée dans l'IT santé : Département américain de la Santé et des Services sociaux, GE Healthcare, Leavitt Partners (conseil santé). Sa passion vient de son expérience personnelle : diabétique de type 1, il utilise des technologies connectées pour son traitement.