Attestation d'appareil : comment GlobalPlatform bâtit la confiance dans l'IoT

GlobalPlatform, bâtie sur l'expertise de ses membres, façonne l'industrie par le développement de standards qui apportent de façon sécurisée appareils et services numériques sur le marché.

Dans cette interview, Jeremy O'Donoghue — président du comité Trusted Platform Services (TPS) de GlobalPlatform et director of engineering chez Qualcomm — explique l'attestation d'appareil, son rôle critique dans l'IoT sécurisé, et comment l'Entity Attestation API de GlobalPlatform est appelée à élever la confiance à travers l'écosystème d'appareils connectés.

GlobalPlatform : Premièrement, qu'est-ce que l'attestation d'appareil ?

Jeremy O'Donoghue : L'attestation est une preuve fiable qu'un appareil se comporte comme attendu. En cybersécurité, elle permet à une partie de confiance — comme une banque ou un fournisseur cloud IoT — de vérifier confidentiellement l'identité et l'intégrité de l'appareil.

L'attestation d'appareil repose sur un Environnement Sécurisé — une Racine de Confiance (Root of Trust, RoT) — qui émet des attestations signées cryptographiquement sur l'état de l'appareil. Ces attestations répondent à des questions comme : l'appareil a-t-il démarré de façon sécurisée ? Le débogage est-il activé ? Y a-t-il des preuves de falsification ? Comme la preuve est signée, une partie de confiance peut confirmer le fabricant, l'identité, et le statut non falsifié de l'appareil avant connexion réseau.

GlobalPlatform : Pourquoi l'attestation est-elle importante pour le succès des déploiements Internet des objets (IoT) ?

Jeremy O'Donoghue : Le succès de l'IoT repose sur la confiance dans les appareils qui peuplent nos réseaux. L'attestation permet de déterminer si un appareil est authentique, tourne sur firmware actuel, ou est compromis — information essentielle pour évaluer le risque et assurer l'intégrité du réseau.

Quand les appareils sont appuyés par une RoT certifiée sécurité, les opérateurs peuvent faire des évaluations précises, basées sur des preuves, de la fiabilité de chaque appareil, réduisant le risque et permettant des déploiements IoT fiables.

GlobalPlatform : Y a-t-il des défis d'interopérabilité, et limitent-ils l'adoption ?

Jeremy O'Donoghue : Jusqu'ici, l'attestation fiable a été fragmentée, avec des métriques propriétaires limitant l'interopérabilité. Les organismes de standardisation — dont GlobalPlatform — convergent vers un framework unifié, interopérable, qui permettra aux fabricants d'appareils et parties de confiance de s'appuyer sur un ensemble commun de preuves d'attestation.

Les programmes de conformité et schémas de test d'interopérabilité de GlobalPlatform donnent confiance que les appareils construits selon ses standards interopéreront de façon fiable. De plus, tout le framework d'attestation est déjà en cours de standardisation par l'IETF, et l'intérêt grandit dans l'industrie, promettant un futur où un modèle d'attestation unique, fiable, sera la norme.

GlobalPlatform : Quelle est la valeur de l'Entity Attestation API de GlobalPlatform ?

Jeremy O'Donoghue : L'Entity Attestation API s'appuie sur le standard Entity Attestation Token (EAT) de l'IETF, l'étendant pour certifier les tokens émis par une RoT GlobalPlatform. En définissant le comportement RoT et la certification sécurité — comme la certification GlobalPlatform TEE ou Common Criteria — cette API délivre une attestation auditable par laboratoires indépendants, augmentant substantiellement la confiance dans l'identité et l'intégrité de l'appareil.

GlobalPlatform : Quelles sont les prochaines étapes pour l'écosystème ?

Jeremy O'Donoghue : Prochaines étapes : finaliser les spécifications, lancer tests d'interopérabilité prévus 2020, et poursuivre certification sécurité tierce des RoT. Audits indépendants — via certification GlobalPlatform TEE ou Common Criteria — fourniront l'assurance critique que la racine de confiance d'un appareil est robuste et fiable.

Rejoignez GlobalPlatform pour aider à façonner le travail continu du comité Trusted Platform Services et faire avancer les standards IoT sécurisés, interopérables.

L'auteur est Jeremy O'Donoghue, président du comité Trusted Platform Services (TPS) de GlobalPlatform et director of engineering chez Qualcomm.