Prédictions: sécuriser, protéger l'internet des objets

Dans notre sommaire des prévisions significatives pour 2014, nous avons examiné de nouvelles cibles d'attaque, la montée de l'Internet national, la sécurité mobile et les paiements en ligne. La possibilité que des assaillants s’en prennent à l’Internet des objets est la deuxième prédiction la plus courante parmi les experts en sécurité, après la sécurité mobile. Symantec a même qualifié l’Internet des objets d’Internet des vulnérabilités.

L'Internet des objets indique comment les appareils électroniques grand public ont désormais une adresse IP et peuvent être contrôlés à distance. Les réfrigérateurs intelligents, les systèmes de thermostat domestique, les téléviseurs intelligents, les périphériques de stockage, les appareils médicaux, les voitures, les capteurs du réseau électrique, les appareils de musculation et même les ouvre-portes de garage ne sont qu'un échantillon de l'Internet des objets.

Les attaques sont à venir

Alors qu’il n’en est qu’à ses débuts, dès l’année prochaine, les réfrigérateurs, les serrures et les thermostats intelligents seront intégrés au marché traditionnel, a déclaré Andreas Baumhof, CTO de ThreatMetrix. L'Internet des objets n'est pas très différent des autres types d'activité en ligne; Les cyber-attaquants pourront pirater le réseau sans fil ou exploiter une vulnérabilité pour attaquer le réseau ou voler des informations personnelles, a-t-il déclaré.

Nous avons vu des exemples d'attaques potentielles dans le cadre de divers projets de démonstration de concept à Black Hat et d'autres conférences à travers le pays. Un chercheur de Qualys a démontré qu'il était possible d'exploiter les vulnérabilités de l'interface utilisateur des caméras IP D-Link pour détourner les caméras et le flux d'images. Le regretté Barnaby Jack a montré comment pirater une pompe à insuline il y a quelques années. Il avait été programmé pour discuter des risques liés aux stimulateurs cardiaques chez Black Hat cette année. L'ancien vice-président Dick Cheney a révélé en octobre que des médecins avaient désactivé la connectivité sans fil de son stimulateur cardiaque, craignant que quelqu'un ne puisse pirater l'appareil.

Toutefois, les éditeurs de matériel envisagent rarement la sécurité, qu’il s’agisse de la résolution de bugs dans le logiciel embarqué ou de la résolution de problèmes liés au matériel, lors du déploiement de nouveaux périphériques sur le marché. Même lorsque les problèmes sont identifiés, les fabricants hésitent souvent à corriger les vulnérabilités, ont déclaré des chercheurs de Rapid7. L'année 2013 a été une grande année pour les vers et autres formes d'exploitation de l'Internet des objets et, à mesure que le taux d'adoption de ces appareils explose, nous verrons davantage de types d'attaques.

Nous avons un peu de temps, cependant. Selon Internet Identity, des incidents dans lesquels "des pirates informatiques malveillants tireraient avantage en incendiant des maisons à distance et / ou en éteignant à distance les systèmes de sécurité pour permettre aux cambrioleurs de pénétrer à l'intérieur" ne sont pas attendus en 2014, mais en 2015, a déclaré IID.

Recherche, preuves de concepts

"Nous ne prévoyons pas que les attaques contre l'Internet des objets se généraliseront en 2014, mais nous prévoyons une augmentation des vulnérabilités et des exploits de validation de concept signalés", a déclaré Gerhard Eschelbeck, CTO de Sophos.

Les menaces à la sécurité sont vastes et "potentiellement dévastatrices" et les organisations doivent veiller à ce que les technologies destinées aux consommateurs et aux entreprises respectent des normes de sécurité élevées, a déclaré Steve Durbin, vice-président du Internet Security Forum. "Il devrait incomber aux entreprises elles-mêmes de continuer à renforcer la sécurité par la communication et l'interopérabilité", a déclaré Durbin.

Un petit groupe d'experts en sécurité influents exhortent les chercheurs à concentrer leur énergie sur ces appareils connectés et potentiellement vulnérables, tels que les stimulateurs cardiaques, les pompes à insuline et autres systèmes intégrés. Le groupe "We Are the Cavalry" veut éduquer le grand public sur les problèmes graves liés à ces dispositifs, qui arrivent sur le marché sans trop se soucier de la sécurité. Josh Corman, directeur du renseignement de sécurité chez Akamai Les dirigeants du groupe ont déclaré aux participants à la conférence OWASP AppSec USA en novembre.

"Il s'agit de faire de la recherche sur des choses importantes plutôt que sur des choses qui ne comptent vraiment pas", a déclaré Nick Percoco, directeur de KPMG et autre dirigeant du groupe, lors de la même présentation. Si une personne portant un stimulateur cardiaque décède, il faut que quelqu'un fasse des analyses judiciaires sur le stimulateur cardiaque, a-t-il déclaré. Si le milieu de la recherche ne se concentre pas sur ces dispositifs et ne fait pas connaître les problèmes, "comment allons-nous savoir, en tant que société, que ces problèmes ont des défauts?" Il a demandé.

"Faisons la sécurité qui compte, pas seulement notre travail quotidien. Le monde extérieur fait partie de l'ensemble des solutions. Il s'agit de la sécurité pour le bien public", a déclaré Corman.