La sécurité des objets connectés

Qu’est ce qu’un objet connecté ?

Montre connectée, frigo, pèse personne etc. Les objets connectés sont de plus en plus nombreux. Le Gartner prédit plus de 11,4 milliards d’objets d’ici 2018. Parfois défini de la manière suivante : « Objets connectés : Caractérise des objets physiques connectés ayant leur propre identité numérique et capables de communiquer les uns avec les autres » Il n’existe actuellement aucune définition officielle pour ces objets mais ils possèdent tous un point commun : une adresse IP. Souvent associés à la domotique : serrures connectées, caméras connectées, systèmes d'alarmes…, les objets connectés se retrouvent aussi pour un usage professionnel. Ils sont de plus en plus présents dans des secteurs comme l’industrie, ou la santé. Par exemple le projet Scoop, qui a été initié en 2014, dispose d'un budget de 20 millions d'euros. Il prévoit d'équiper 3000 véhicules sur près de 2000 km de routes. Les véhicules communiqueront ainsi des informations telles que les obstacles rencontrés, leur position, leur vitesse etc. L’utilisation de plus en plus répandue de ces objets pose la question de leur intégration au sein du système d’information et de la sécurité !

https://www.enisa.europa.eu/publications/security-resilience-good-practices Ils existent plusieurs catégories d’objets connectés :

• Les constrained devices : (RFC 7228) : généralement caractérisés par une faible portée, faible CPU et mémoire
• Les High capacity devices : n’utilisent pas de batterie et implémentent des fonctionnalités avancées

Il existe plusieurs types d’interactions :

• Depuis son mobile vers l’objet, par exemple en wifi chez soi
• Via le cloud du constructeur pour du management à distance

Les objets connectés sont sous-estimés. Toute la confiance repose sur le constructeur, s’il n’implémente pas les mécanismes de protection adéquats il laisse les individus sans protection et ils n’ont généralement pas conscience de la facilité avec laquelle un attaquant peut s’introduire dans leur système.

https://wtvox.com/iot-security/

Où trouve-t-on les objets connectés ?

Quasiment partout ! De plus en plus présents dans nos vies, c’est la tendance du moment. Leurs intérêts principaux sont entre autre, la simplification du quotidien et la possibilité de récupérer des informations.

Le protocole 802.15.4

Les contraintes de consommation d’énergie de ces objets ont obligé les constructeurs à créer un nouveau protocole plutôt que réutiliser le 802.11.x classique. Ce protocole se caractérise de la manière suivante :

• Courte portée (quelques centaines de mètres)
• Faible consommation
• Débit max 250 kB/s

La norme à été inventée pour la communication entre les objets. On distingue deux composants :

• RFD = Reduced Fonction Device
• FFD= Full function Device

Un FFD peut être coordinateur ou nœud dans le réseau. Alors qu’un RFD peut être uniquement un nœud, sa couche MAC n’ayant pas toutes les propriétés nécessaires, ce qui implique qu’un FFD peut communiquer avec un RFD ou un autre FFD en revanche un RFD ne communique que vers des FFD.

Topologie

Deux types de topologies existent :

• En étoile, avec un seul coordinateur qui agit comme un relai, les messages doivent obligatoirement passer par lui pour que des nœuds communiquent.
• En Peer-to-Peer, plusieurs coordinateurs sont présents et les messages des nœuds ne passent pas obligatoirement par le même coordinateur.

La sécurité de la norme

La première version de 802.15.4 garantissait déjà l’intégrité et la confidentialité des communications en proposant des mécanismes de détection d’erreur lors de la transmission des messages et différentes méthodes de chiffrement. Depuis 2006 on retrouve dans les trames MAC un champ « security header » sur 1 bit variable permettant d’activer ou non la sécurité. Ceci permet de dispenser les couches supérieures de ce traitement. Néanmoins la gestion des clés n’est pas couverte, il faudra alors qu’elle soit implémentée dans des couches de plus haut niveau. Un mode de sécurité est également prévu, utilisant des ACL dans un mode de whitelist uniquement.

Les vulnérabilités de la norme

DOS génériques : par l’envoi de trames en continu, ceci revenant à faire un « DOS classique » l’objet va alors avoir une consommation électrique excessive jusqu'à ce que la batterie s’épuise. DOS spécifique :

• Rejeux de trames : Si le compteur du nombre de trame n’est pas sécurisé, les trames légitimes seront écartées.
• CSMA-CA : c'st une méthode d’accès au média. Ainsi un équipement détecte que le canal soit libre pour commencer à communiquer. Si des trames sont envoyées sur tous les canaux libres, aucun équipement ne peut communiquer.
• PANid : chaque réseau possède un PANid, permettant aux éléments de communiquer entre eux. Il existe un mécanise de détection de conflit si deux PANid sont identiques. Il est alors possible d’envoyer des trames de conflit obligeant les coordinateurs à renégocier en permanence l’id, empêchant ainsi toutes communications.

Nous n’abordons pas ici les faiblesses liées aux méthodes de chiffrement présentes dans la norme.

Les menaces autours des objets connectés

L’OWASP a établit un top 10 des vulnérabilités les plus présentes dans ces objets :

• 1- Interface Web non sécurisée
• 2- Authentification / Autorisation insuffisante
• 3- Services réseaux non sécurisés
• 4- Absence de chiffrement de transport
• 5- Faiblesse concernant la confidentialité
• 6- Faible sécurité de l’interface vers le cloud
• 7- Application mobile non sécurisée
• 8- Capacité de configuration de la sécurité insuffisante
• 9- Logiciel / Firmware non sécurisé
• 10- Faible sécurité physique

On notera que ce sont des menaces déjà connues, n’ayant pas forcement un rapport direct avec le fait qu’ici nous soyons sur des objets connectés.

Comment se protéger ?

Nous pouvons considérer que les objets connectés agissent comme un ordinateur, la différence est qu’ils sont beaucoup plus nombreux et présents sous de nombreuses formes. Il est important de prendre en compte la sécurité lors de l’implémentation d’objets au sein de l’entreprise. Nous savons que les mécanismes utilisés par la norme 802.15.4 garantissent efficacement confidentialité et intégrité, il est nécessaire d’analyser les mécanismes proposés et de savoir si le constructeur offre la possibilité de les modifier. L’utilisation des équipements existants dans mon architecture, par exemple, si je possède un WAF il peut efficacement me protéger contre les vulnérabilités dans l’interface WEB. Enfin, des mises à jour régulières doivent être effectuées afin de disposer des derniers correctifs de sécurité.

Côté constructeur

Plusieurs de nos partenaires abordent le sujet de manière différente. Du côté de Fortinet, on propose le Fortinet Security Fabric avec un OS commun (FortiOS) un système de partage de mise à jour commun (FortiGuard) rendant ainsi le réseau plus intelligent, collaboratif, unifié.

Chez F5, de la même manière que Fortinet, plutôt que de proposer un équipement spécifique on parle d’écosystème global, permettant la réutilisation des équipements déjà présents dans la chaine de sécurité. L’approche Application Delivery Network est privilégiée, c’est à dire un ensemble de solution permettant d’avoir de la visibilité et sécurité via BIG-IQ. Le BIG-IQ va alors regrouper l’ensemble des configurations LTM, ASM et autres modules déjà présents. De plus il est possible d’ajouter les modules WebSafe et MobileSafe dans cette interface. CISCO propose Jasper. Suite à un rachat, Jasper société spécialisé dans les objets connectés, propose une interface Cloud, sur laquelle mes objets vont envoyer leurs données via le réseau mobile me permettant de profiter de dashboard et rapports personnalisés.