La norme ETSI EN 303 645 : les régulateurs protègent-ils suffisamment les objets IoT ?

En juin 2020, le Comité technique de l'ETSI a publié la norme EN 303 645, une base de sécurité complète pour les objets connectés, saluée par la communauté de la sécurité informatique.

Alan Grau, vice-président IoT et solutions embarquées chez Sectigo, rapporte.

Cette norme s'inscrit dans une tendance croissante : législateurs et régulateurs reconnaissent l'urgence de protéger les appareils connectés. La loi SB-327 de Californie, effective depuis janvier 2020, et le « Draft Code of Practice: Securing the Internet of Things for Consumers » australien de 2019 illustrent l'action décisive des gouvernements.

Lorsque le Royaume-Uni a annoncé son propre cadre IoT en janvier 2020, cela a souligné les lacunes persistantes en matière de sécurité des appareils et la volonté des régulateurs d'y remédier.

Pourtant, la question demeure : ces lois et normes suffisent-elles à protéger les milliards d'appareils IoT qui peuplent nos foyers et entreprises ?

Comment la législation façonne la sécurité IoT

Historiquement, les appareils IoT opéraient derrière des réseaux propriétaires isolés, protégés par un périmètre clair. L'expansion d'Internet a relié ces systèmes via TCP/IP, créant des bénéfices d'intégration sans précédent pour consommateurs et entreprises. L'IDC prévoit 41,6 milliards d'appareils connectés d'ici 2025 — une croissance qui dépasse l'évolution réglementaire.

L'alignement réglementaire a pris du retard sur cette expansion rapide. Dans la course à des produits à haut volume et coût réduit, de nombreux fabricants privilégient la rapidité de mise sur le marché au détriment d'une authentification et d'une sécurité robustes, laissant les appareils vulnérables.

Sans cadre IoT contraignant, les fabricants ont produit des appareils avec une sécurité minimale intégrée, s'appuyant souvent sur des identifiants statiques offrant peu de protection contre les attaquants. Tant que la sécurité ne sera pas obligatoire, les raccourcis continueront. Une législation et une gouvernance robustes sont essentielles pour intégrer la sécurité by design, de la fabrication au cycle de vie de l'appareil.

Progrès et lacunes

Des avancées comme la SB-327 californienne posent un cadre clair pour les outils de sécurité et d'authentification de nouvelle génération, ciblant les botnets qui ont exposé les failles des pratiques antérieures. Cependant, la loi ne s'applique qu'en Californie et manque de portée nationale contraignante.

L'ETSI EN 303 645, fruit d'une collaboration entre industrie, monde universitaire et gouvernements, offre une cible unifiée pour les parties prenantes. Pourtant, comme la SB-327, elle n'est pas juridiquement contraignante, permettant à certains fabricants d'adopter des pratiques de sécurité laxistes car moins coûteuses ou faute d'application.

Pour véritablement sécuriser l'IoT, des normes avant-gardistes doivent s'accompagner d'un agenda législatif imposant un cadre de cybersécurité pour le développement des appareils.

Pourquoi la sécurité intégrée est cruciale

Les meilleures pratiques actuelles soulignent que la sécurité doit être embarquée dès l'usine. Avec des chaînes d'approvisionnement de plus en plus complexes, les OEM doivent garantir que chaque appareil est sécurisé dès sa sortie de fonderie. Une infrastructure à clés publiques (PKI) intégrée garantit que les identifiants ne peuvent être altérés lors de l'assemblage en aval, préservant l'intégrité tout au long du cycle de vie.

Chaînes d'approvisionnement mondiales : le cas pour des standards universels

La portée mondiale de l'IoT signifie que les appareils sont conçus, fabriqués et assemblés à travers de multiples frontières, amplifiant le risque de failles de sécurité. Un effort législatif coordonné est nécessaire pour protéger les appareils à chaque étape, sauvegardant biens, vies et données.

Auteur : Alan Grau, vice-président IoT et Embedded Solutions chez Sectigo.