Zero Trust : la défense ultime pour la sécurité des appareils IoT

Les experts en cybersécurité s'efforcent de garder une longueur d'avance sur les pirates cherchant à exploiter les faiblesses de millions d'appareils internet des objets dans le monde. Mais peut-être se concentrent-ils sur le mauvais problème.

Les appareils IoT imprègnent pratiquement tous les aspects des affaires aujourd'hui, et font des percées rapides dans le secteur grand public. Chaque capteur qui se connecte à l'internet crée une autre vulnérabilité potentielle pour son utilisateur. Il n'est donc pas surprenant que l'état actuel de la sécurité IoT « est probablement pas très bon », comme le décrit Gary Kinghorn, directeur général chez Tempered Networks.

Quand la base de données des gros joueurs d'un casino est piratée via un thermomètre « intelligent » de bac à poissons, il est clair que l'univers IoT naissant a un problème sérieux. L'état de vulnérabilité de la technologie « est presque au point de l'absurdité », dit Kinghorn.

Les entreprises cherchant à renforcer leurs systèmes d'information se sont concentrées sur les appareils eux-mêmes, en particulier le besoin de mots de passe forts censés les protéger des voleurs cybernétiques. Le gouvernement aussi a cherché à renforcer les appareils IoT via des mesures comme le Cybersecurity Improvement Act récemment adopté. Mais Kinghorn croit que ce n'est pas la réponse entière — ou même la bonne question.

Chaque appareil connecté IoT a une adresse IP qui en fait une cible tentante pour les pirates. Pourtant, les émetteurs ne sont simplement pas aussi « intelligents » que cet adjectif tendance pourrait le suggérer. « Ce sont des appareils très simples », dit Kinghorn. « Ils ne seront jamais assez sophistiqués pour analyser une connexion réseau légitime ou une demande de données. »

Au lieu de cela, les utilisateurs devraient se concentrer sur ce que Kinghorn appelle « le vrai trou » dans la sécurité : le réseau lui-même. La clé est de s'assurer que les vecteurs d'attaque ne sont pas disponibles pour les pirates. Et pour ce faire, les systèmes doivent adopter un modèle « zero-trust » pour autoriser l'entrée.

Le terme signifie que « vous ne faites confiance à rien qui essaie de se connecter à votre réseau, même les applications ou appareils de vos propres utilisateurs internes, à moins qu'ils ne soient spécifiquement autorisés », explique Kinghorn. Pensez à une « liste blanche » qui protège une ligne téléphonique des arnaqueurs, télévendeurs et appels automatisés en bloquant tous les numéros non préalablement désignés.

Un environnement zero-trust assure que « tout le trafic traverse le réseau chiffré, donc il n'y a pas d'interceptions ou d'attaques man-in-the-middle », dit Kinghorn. La politique de sécurité de l'organisation est gérée autour de l'identification en amont des appareils et utilisateurs, plutôt que de compter sur la fiabilité des capteurs IoT.

Un tel système restreint l'accès au réseau même pour les appareils les plus fiables. Dans le cas du casino piraté, Kinghorn demande, pourquoi ce thermomètre de bac à poissons était-il lié à la base de données clients en premier lieu ? « Il ne devrait être autorisé à accéder qu'à un seul système — celui qui parle de la température du bac. »

Le zero trust rend possible pour les systèmes de cloisonner les capteurs individuels du réseau plus large. Alors pourquoi plus d'utilisateurs privés et publics n'ont-ils pas adopté le concept, même si les violations de sécurité continuent de monter ?

Kinghorn trouve quelques réponses dans le Zero Trust Adoption Report de Cybersecurity Insiders. Il trouve un niveau élevé d'enthousiasme pour le modèle zero-trust, avec 78 % des équipes de sécurité IT interrogées exprimant de l'intérêt pour implémenter l'accès réseau zero-trust à l'avenir. Ils répondent à un besoin de resserrer la sécurité des systèmes à un moment où les entreprises se tournent vers le cloud public et tentent de gérer sécurisément les effectifs mobiles.

En même temps, 47 % de l'échantillon ont dit qu'ils manquent de confiance dans la capacité de leur technologie de sécurité actuelle à implémenter le zero trust. Seulement 15 % ont déjà un tel système en place, et environ 20 % n'ont pas du tout réfléchi à la technologie.

Le coût est un facteur limitant, dit Kinghorn. Le zero trust peut être cher à atteindre, avec le besoin de « rip and replace » certains systèmes IT, et sous sa forme actuelle, il ne s'étend pas toujours aux applications hors du centre de données.

« C'est notre focus », dit Kinghorn, « être capable d'appliquer le zero trust à tout réseau ou appareil, à travers une combinaison d'un agent logiciel typique et de dispositifs passerelle matériels. »

Quand il s'agit de mises à niveau technologiques, le changement n'est jamais facile. Les équipes de sécurité IT pourraient se considérer à l'aise avec les pare-feu traditionnels et les réseaux privés virtuels (VPN), ou s'inquiéter du tracas de requérir l'authentification multi-facteurs. Mais le zero trust peut être mis en place avec un single sign-on, et les agents peuvent être installés en quelques minutes, affirme Kinghorn. « Ce n'est pas excessivement coûteux », dit-il, « bien que certaines organisations puissent le rendre ainsi. »

Il voit l'intérêt pour le zero trust monter rapidement, surtout en réponse à la pandémie de COVID-19 et aux problèmes de sécurité additionnels qu'elle a apportés aux départements IT. Et pendant que l'acceptation complète de la technologie peut prendre du temps, l'échec d'avancer exposera les entreprises à des attaques de plus en plus dommageables par des pirates créatifs.

Les systèmes hérités d'hier ne sont pas équipés pour adresser les cybermenaces modernes, dit Kinghorn. « La pile de protocole IP a 50 ans. Elle n'a jamais été conçue pour faire ce qu'on demande aux organisations IT de faire aujourd'hui. C'est pourquoi nous avons besoin d'un modèle complètement nouveau. »