Archives de catégorie : Chiffrement

Argent, Banque, Base de données, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Justice, Paiement en ligne, Particuliers, Phishing, Social engineering

Chantage informatique saveur Macaron

Une entreprise de Montmorillon piratée. Sa base de données volée. Les pirates ont tenté de faire chanter la PME spécialisée dans les Macarons.

Les amateurs de Macarons connaissent l’artisan Rannou-Métivier. Cette entreprise familiale basée à Montmorillon, dans la région de Poitiers, est spécialisée dans cette petite gâterie sucrée qu’est le macaron. Des pirates informatiques ont jeté leur dévolu sur le site Internet de la société. Une faille SQL plus tard et les malveillants sont repartis avec la base de données [BDD].

Une BDD comprenant les informations clients : mails et mots de passe. « Notre service informatique a immédiatement réagi pour renforcer la sécurité du site. Cependant, des données ont déjà été volées » souligne dans le courriel envoyé aux clients de Rannou-Métivier. Les pirates ont réclamé de l’argent à la société. En contre partie, les voyous du web ne diffuseraient pas les informations collectées. Depuis, le chiffrement des sésames a été instauré, espérons juste que cela n’est pas un modeste format MD5 et que les pirates ne diffuserons pas les informations volées.

Une attaque qui démontre une fois de plus l’intérêt des base de données pour le blackmarket. Si cette derniére ne peut-être vendue, ce qui ne veut pas dire  que les données n’ont pas été diffusés dans le BM, les pirates n’hésitent plus à contacter les victimes pour « dealer » une rançon. L’année derniére, le groupe Rex Mundi s’était spécialisé dans ce type de chantage à la base de données clients. [La Nouvelle république]

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Mise à jour

Oublier son mot de passe peut coûter 1 million d’euros par an

2 commentaires

Un exemple intéressant sur le problème de gestion des mots de passe. L’entreprise Allemande Volkswagen indique que les mots de passe perdus par ses employés lui coutent plusieurs centaines de milliers d’euros.

Oublier son mot de passe a un coût. Le constructeur automobile Allemand Volkswagen vient d’expliquer qu’oublier son mot de passe, et donc en changer, lui couterait 1 million d’euro par an. Un courriel a été envoyé aux 70 000 employés officiant à la maison mère basée, à Wolfsbourg (Allemagne), en leur demandant de faire attention.

Il faut dire aussi qu’après le scandale des moteurs trafiqués, VW tente de contrer la moindre perte d’argent qui viendrait rogner ses bénéfices. Pour permettre aux informaticiens de la marque de travailler à autre chose qu’à la modification d’un mot de passe, la direction indique que le personnel doit utiliser l’application interne permettant cette réinitialisation automatisée. Bref, il n’y a pas de petites économies.

Banque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Piratage, Social engineering

Code malveillant dans la gestion des Hôtel Hyatt

Après les Hôtels Sheraton, Hilton et Le Meridien, c’est au tour du groupe hôtelier Hyatt d’être la cible d’une attaque informatique.

L’hôtelier américain Hyatt a indiqué sur son site Internet avoir été la cible d’une attaque informatique d’envergure. Une enquête en cours a permis de découvrir que des ordinateurs de la marque américaine avait été infiltrés et qu’un code malveillant permettait l’accès aux informations internes et sensibles.

Dans son communiqué de presse Hyatt Hotels indique avoir identifié « récemment » un programme informatique malveillant dans des systèmes informatiques habituellement utilisés dans la gestion du système de paiement de ses sites Internet « Sitôt l’activité découverte, la société a lancé une enquête et engagé les meilleurs experts en sécurité, dixit Hyatt, Les clients peuvent avoir confiance quand ils utilisent une carte de paiement dans des hôtels Hyatt dans le monde ». Chuck Floyd, le président des opérations chez Hyatt, encourage les clients à surveiller de près leurs relevés bancaires. Sait-on jamais !

Les hôtels, cibles faciles pour les pirates
Comme je peux vous l’expliquer et démontrer depuis des années, les Hôtels, et leurs clients, sont des proies faciles pour les pirates informatiques. Poubelles, documents bancaires, ordinateurs sont quelques portes d’entrées faciles. Combien d’hôtels infiltrés sans que personne ne puisse le savoir ? Impossible à savoir. Les cas que je traite, via le protocole de zataz.com, sont de plus en plus nombreux à l’image de du Carthage Thalasso sur la côte Tunisienne. Des internautes annonçait avoir la main sur les ordinateurs de cet important établissement hôtelier.

Cheval de Troie, accès à l’administration, aux documents des employés. Autant de données revendus, ensuite, dans le blackmarket. Fin septembre, le Département de la Justice de l’État de Californie (DoJC) confirmait le piratage d’au moins sept hôtels du groupe Trump. Ici aussi, un code malveillant avait été découvert. Des Français impactés ? très certainement, à l’image de ceux touchaient par le piratage de 10 hôtels du groupe Mandarin Oriental ou encore cette révélation concernant plusieurs dizaines d’Hôtels de part le monde dans lesquels j’avais pu découvrir des données privées et sensibles appartenant à des entreprises Françaises. Documents oubliés par des vacanciers, dans les ordinateurs en accès libres des hôtels visités.

Base de données, BYOD, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, santé

Tendances cybercriminalité pour 2016

L’éditeur d’antivirus Bitdefender dévoile ses prédictions en matière de menaces et leur impact sur les entreprises et les particuliers.

Le marronnier de fin d’année, la boule de cristal des éditeurs de solution de sécurité informatique, vient de toucher BitDefenders. La société, qui annonce protéger plus de 500 millions d’utilisateurs dans le monde entier, a publié ses prévisions en matière de sécurité. Cinq évolutions notables sont à noter. Elles impacteront notre façon de travailler, de jouer et de se sociabiliser sur Internet, au cours de l’année prochaine.

Malwares et adwares : des frontières de plus en plus floues
L’année 2016 verra un changement majeur dans la façon dont opèrent les cybercriminels. Le domaine probablement le plus impacté par cette refonte sera celui des PUA, dont l’activité s’est déjà accrue sur des plates-formes telles que Mac OS X et Android.

Suite aux nombreuses fermetures de réseaux de machines zombies et arrestations en 2015, les nouveaux cybercriminels transiteront probablement vers des systèmes de monétisation publicitaire spécifiques aux adwares agressifs, plutôt que de développer de nouvelles souches de malwares. Si pour le moment les botnets constituent toujours une partie importante de l’écosystème de la cybercriminalité, nous assisterons à une augmentation de la sophistication des PUA et des programmes incluant plus de greywares à l’installation.

La publicité sur le Web va également évoluer : étant donné le taux d’adoption ainsi que la popularité des bloqueurs de publicités, les régies publicitaires chercheront à utiliser des mécanismes plus agressifs afin de contourner ces blocages.

Les APT abandonneront le facteur de longévité
Les entreprises et les institutions gouvernementales feront toujours face à des attaques de ce type tout au long de 2016. Cependant, les APT (Advanced Persistent Threats, menaces persistantes avancées) mettront l’accent sur l’obfuscation et la récolte d’informations plutôt que sur la longévité. Les pirates ne s’infiltreront sur le réseau de l’entreprise que quelques jours, voire quelques heures.

Le monde de l’entreprise connaîtra une augmentation des attaques ciblées et des bots fortement obfusqués, avec une courte durée de vie et des mises à jour fréquentes, estime Dragos Gavrilut, Chef d’équipe au sein des Laboratoires antimalwares de Bitdefender. La plupart de ces attaques se spécialiseront dans le vol d’informations.

Également, l’évolution latérale de l’infrastructure des fournisseurs de services Cloud ira de pair avec l’avènement d’outils permettant aux pirates de compromettre l’hyperviseur à partir d’une instance virtuelle et de passer d’une machine virtuelle à l’autre. Ce scénario est particulièrement dangereux dans des environnements de « mauvais voisinage », où un tiers mal intentionné serait amené à partager des ressources sur un système physique avec un fournisseur de services ou une entreprise légitimes.

Des malwares mobiles de plus en plus sophistiqués
Du côté des particuliers, les types de malware sous Android sont désormais globalement les mêmes que sous Windows. Alors que les rootkits sont en perte de vitesse sur Windows, ils vont probablement devenir monnaie courante sur Android et iOS, car les deux plates-formes sont de plus en plus complexes et offrent une large surface d’attaque, affirme Sorin Dudea, Chef de l’équipe de recherche antimalwares. De nouveaux malwares mobiles, aux comportements similaires à ceux des vers, ou un réseau botnet mobile géant, sont deux autres possibilités envisagées pour l’année prochaine, selon Viorel Canja, Responsable des Laboratoires antimalwares et antispam chez Bitdefender. Ces attaques pourraient être la conséquence de techniques d’ingénierie sociale ou de l’exploitation de vulnérabilités majeures (telles que Stagefright) sur des plates-formes non patchées.

L’Internet des Objets (IOT) et la vie privée
La façon dont nous gérons notre vie privée va aussi changer durant l’année 2016. En effet, les récents vols de données ont contribué à mettre une quantité importante d’informations personnelles en libre accès sur Internet, rendant ainsi le « doxing » (processus de compilation et d’agrégation des informations numériques sur les individus et leurs identités physiques) beaucoup plus facile pour des tiers.

Les objets connectés vont devenir de plus en plus répandus, donc plus attrayants pour les cybercriminels. Compte tenu de leur cycle de développement très court et des limites matérielles et logicielles inhérentes à ce type d’objet, de nombreuses failles de sécurité seront présentes et exploitables par les cybercriminels ; c’est pourquoi la plupart des objets connectés seront compromis en 2016, ajoute Bogdan Dumitru, Directeur des Technologies chez Bitdefender. Également, les réglementations de surveillance de type « Big Brother », que de plus en plus de pays essaient de mettre en place pour contrecarrer le terrorisme, déclencheront des conflits quant à la souveraineté des données et le contrôle de leur mode de chiffrement.

Les ransomwares deviennent multiplateformes
Les ransomwares sont probablement la menace la plus importante pour les internautes depuis 2014 et resteront l’un des plus importants vecteurs de cybercriminalité en 2016. Alors que certains pirates préfèrent l’approche du chiffrement de fichiers, certaines versions plus novatrices se concentreront sur le développement de « l’extortionware » (malware qui bloque les comptes de services en ligne ou expose les données personnelles aux yeux de tous sur Internet).

Les ransomwares visant Linux vont se complexifier et pourraient tirer parti des vulnérabilités connues dans le noyau du système d’exploitation pour pénétrer plus profondément dans le système de fichiers. Les botnets qui forcent les identifiants de connexion pour les systèmes de gestion de contenu pourraient aussi se développer. Ces identifiants pourraient être ensuite utilisés par les opérateurs de ransomwares visant Linux pour automatiser le chiffrement d’une partie importante d’Internet.

Enfin, les ransomwares chiffrant les fichiers s’étendront probablement aux systèmes sous Mac OS X, corrélant ainsi avec les travaux de Rafael Salema Marques et sa mise en garde illustrée autour de son ‘proof of concept’ malware nommé Mabouia. En effet, si le principe de conception de Mabouia reste pour le moment privé, il pourrait être créé par des cybercriminels enrichissant alors leurs offres orientées MaaS (Malware-As-A-Service).

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données

Fuite de données pour les fans de Hello Kitty

Nouvelle fuite de données en raison d’un MongoDB ma configuré. Plus de 3 millions de fans de Hello Kitty peut-être dans les mains de pirates informatiques.

Le site sanriotown.com, la communauté en ligne officielle pour Hello Kitty, s’est retrouvé avec les données de 3.3 millions de clients accessibles sur la toile. La fuite, comme les dernières en dates révélées par Chris Vickery, sortent de Shodan et d’un serveur dont l’outil de gestion de base de données, MongoDB, était mal configuré.

Les documents exposés comprennent les noms et prénoms, les dates d’anniversaire, le sexe, le pays d’origine, les adresses électroniques, le mot de passe non chiffré/hashs, les questions secrètes et leurs réponses correspondantes. Bref, toutes les informations sauvegardées par les clients et sauvegardées dans la basse de données du site.

Une base de données qui desservaient aussi les sites hellokitty.com ; hellokitty.com.sg ; hellokitty.com.my ; hellokitty.in.th et mymelody.com. En avril 2015, Sanrio avait déjà eu une fuite de données visant cette fois ses actionnaires.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Facebook, Justice, Particuliers, Sauvegarde, VPN

Facebook menace l’employeur d’un chercheur en sécurité informatique

Après avoir découvert une porte d’entrée dans l’administration d’Instragram, un chercheur en sécurité informatique est menacé par Facebook.

Wesley Wineberg, un chercheur en sécurité indépendant n’a pas apprécié la nouvelle méthode de Facebook pour récompenser les internautes qui lui remontent des problèmes de sécurité informatique. Il faut dire aussi que Wesley a été très loin dans sa recherche d’information.

Alors qu’il aurait pu se contenter d’expliquer comment il avait eu accès à un espace d’administration d’Instragram, le chercheur a continué de pousser sa recherche dans les méandres informatiques du service photographique de Facebook.

W.W. va sortir du serveur des fichiers de configuration, une clé d’un Amazon Web Services, … Il va utiliser cette clé [là, nous ne sommes plus dans de la recherche de bug, NDR] pour se connecter à des espaces de stockages. Une autre clé va lui ouvrir le code source d’Instagram, clés API et certificats SSL.

Wesley Wineberg va alerter le géant américain, le 1er décembre. L’entreprise va changer son fusil d’épaule à l’encontre de ce bidouilleur. Au lieu de parler « bug Bounty« , Facebook va le menacer en appelant son employeur. Alex Stamos, le CSO de Facebook, a contacté l’entreprise de Wesley en indiquant que les avocats de la firme étaient sur l’affaire. Facebook souhaitait faire disparaître la moindre trace de cette découverte et infiltration.

backdoor, Banque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Propriété Industrielle

Cybercriminalité et libertés individuelles au cœur des préoccupations de sécurité en 2016

A l’aube de l’année 2016, l’heure est au bilan et le marché de la cyber sécurité a une nouvelle fois été secoué par des failles de grande ampleur qui n’ont épargné aucun secteur. De Vtech, en passant par Ashley Madison, le parlement allemand, Sony Pictures, TV5Monde ou encore le Bureau Américain du Personnel (OPM), le constat est sans appel : les organisations doivent renforcer leur pratiques de sécurité et les gouvernements doivent poursuivre leurs efforts en vue de mettre en place des réglementations plus claires en faveur de la lutte contre les cybermenaces.

Les équipes informatiques doivent garder une longueur d’avance sur les pirates informatiques et ressentent par conséquent une forte pression face aux menaces émergentes. Dans de nombreux cas, cela requiert des formations poussées, notamment au sein des industries concernées par l’Internet des Objets (IoT), ainsi que de nouvelles compétences dans les domaines prenant de plus en plus d’importance comme l’analyse comportementale. L’investissement dans des systèmes d’automatisation d’alertes relatives à des comportements inhabituels ou au blocage des menaces peut permettre de soulager les équipes d’une partie du fardeau. En outre, l’émergence de « réseau auto-protégé », capable d’apprendre à se protéger lui-même une fois qu’une attaque est détectée, peut également constituer une réponse à la problématique de manque de compétences.

La vie privée et l’IoT dans le collimateur des responsables de la sécurité
La violation de données chez Vtech pourrait marquer un tournant décisif en ce qui concerne la vie privée des consommateurs et l’IoT. Toutefois, selon le cabinet d’études Altimeter Group, 87% des consommateurs n’ont pas la moindre idée de ce que le terme « l’Internet des Objets » signifie et il est urgent d’y remédier. Au cours des prochaines années, les consommateurs devront être mieux informés de la manière dont leurs données sont collectées par les fournisseurs, et comprendre que ces informations peuvent être compromises si elles ne sont pas correctement sécurisées par le vendeur. Le risque de faille existe à partir d’un seul terminal connecté au réseau domestique ou à d’autres appareils. Ces risques sont encore plus élevés pour les entreprises où le déploiement d’objets connectés devient une réalité. Bien que ces appareils intelligents augurent une simplification du quotidien professionnel, ils ne sont la plupart du temps pas conçus avec le niveau de sécurité adapté, ce qui engendre un risque conséquent pour les entreprises. Cela devient d’autant plus critique avec la généralisation de leur utilisation et l’augmentation du nombre d’appareils.

L’entreprise devient la cible privilégiée de la cybercriminalité
2015 fût le théâtre de nombreuses extorsions de fonds menaçant les organisations victimes de voir leurs activités IT ou opérationnelles interrompues. En 2016, ces attaques seront plus agressives et viseront l’extraction d’informations financières, agitant la menace de divulgation d’informations compromettantes et d’augmentation des rançongiciels (ransomwares) à l’échelle de l’entreprise. Ce type d’attaques va en effet croitre à mesure que les pirates informatiques développeront des méthodes plus créatives de chantage envers les individus et les corporations ; les attaques continueront en outre de se transformer et de s’adapter aux environnements des entreprises ciblées, en utilisant des approches de type « caméléon » pour dérober les identifiants de connexion. Cette activité peut également donner un nouvel élan pour faire évoluer et affiner l’industrie mondiale de la cyber-assurance afin de renforcer la protection des entreprises. Aux Etats-Unis par exemple, les risques de cyberattaques et les mesures de préventions consenties devraient avoir des conséquences notables sur les analyses financière et la cote des entreprises.

La convergence des risques de terrorisme physique et cybernétique sur les infrastructures critiques
En 2015 des actes de terrorisme dévastateurs ont impacté la communauté internationale. En 2016, il y aura davantage de convergence entre les formes de terrorisme physiques et virtuelles. Nous avons déjà pu observer le piratage d’une compagnie aérienne : plutôt que de s’attaquer à l’avion directement, le pirate pourrait également utiliser une faille pour engendrer la confusion au sein de l’aéroport, en ciblant le système de billetterie par exemple. Ces deux catégories d’attaques devraient être plus coordonnées entre elles : utiliser une cyberattaque pour semer la confusion et l’attaque physique pour causer un maximum de dégâts. Au-delà des transports, ces attaques visant les infrastructures critiques pourront aussi concerner les systèmes de santé, les marchés financiers ou encore les réseaux d’énergies.

Les cyber-traités et la législation
Les pays mettent en place de nouvelles lois pour lutter contre la cybercriminalité ainsi que des accords plus larges pour développer des tactiques de cyberguerre. Cependant, ces réglementations risquent davantage de porter préjudice aux avancées technologiques que de diminuer les activités malveillantes. Définir la conformité et rendre responsables les organisations qui ne la respectent pas permettra également de déterminer la capacité d’engagement des gouvernements sur la question de la cyber-sécurité et la possibilité d’avoir une incidence réelle sur ce sujet.

Le chiffrement : existe-t-il un équilibre entre sécurité et libertés individuelles ?
Les récentes attaques terroristes perpétrées dans le monde ont relancé le débat initié lors des révélations de Snowden : les consommateurs lambda doivent-ils avoir accès aux technologies de chiffrement ? La nécessité de surveiller les activités terroristes prime-t-elle sur les droits à la vie privée des citoyens et de leurs communications ? En fin de compte, la population aura-t-elle droit à plus de chiffrement et de préservation de sa vie privée malgré les coûts de sécurité ou 2016 sera-t-elle l’année de limitation des libertés civiles ? Dans certains pays du monde, de nombreux citoyens ont déjà accepté de renoncer à la confidentialité de leurs données au nom d’une cyber sécurité renforcée.

Identifier les cyber-infiltrés
Au cours de ces trois dernières années, le gouvernement fédéral américain et les entreprises privées ont été la cible de fuites massives d’informations privées. Comme pour l’OPM américain ou les attaques ciblant les compagnies aériennes, la principale question est de savoir ce qui a été volé alors qu’il vaudrait mieux se demander si les pirates n’ont pas eux-mêmes introduit quelque chose dans les systèmes piratés. 2016 sera-t-elle l’année où l’on découvre que les espions, les terroristes ou autres acteurs gouvernementaux sont finalement des utilisateurs vérifiés et approuvés sur la base d’informations introduites au cours d’une cyberattaque ? (Par Jean-François Pruvot, Regional Director France chez CyberArk)

Chiffrement, cryptage, Cybersécurité, iOS, Logiciels, Mise à jour, OS X, Patch

BackStab, le code malveillant qui s’attaque aux terminaux iOS

Dans un livre blanc, l’Unité 42 explique le mode opératoire des attaques BackStab qui visent des terminaux iOS à l’aide de malwares.

Palo Alto Networks, spécialiste des solutions de sécurité nouvelle génération, a révèle les détails d’une nouvelle attaque sournoise (« BackStab ») qui vise à dérober les informations privées de terminaux mobiles – informations contenues dans les fichiers de sauvegarde stockés sur l’ordinateur des victimes. Dans un livre blanc de l’Unité 42, l’équipe d’analyse des menaces de Palo Alto Networks explique le mode opératoire des cyber-malfaiteurs qui utilisent des malwares pour s’infiltrer à distance sur des ordinateurs afin de lancer leurs attaques BackStab d’une façon totalement inédite.

La méthode BackStab est utilisée par les forces de police comme par les cybermalfaiteurs pour recueillir messages texte, photos, données de géolocalisation et quasiment tout type d’information stockée sur un terminal mobile en leur possession. Mais au-delà du nouveau virage pris par les attaques BackStab pour opérer à distance à l’aide de malwares, le livre blanc de l’Unité 42 revient aussi sur les raisons qui font des terminaux Apple® iOS la principale cible de ces attaques : iTunes est configuré par défaut pour stocker les fichiers de sauvegarde à des emplacements fixes et dans un format non chiffré, et pour synchroniser automatiquement les terminaux dès qu’ils sont connectés à l’ordinateur de l’utilisateur. « Les équipes de cybersécurité doivent prendre conscience qu’une technique d’attaque reste dangereuse, même si elle est très connue. Lorsque nous nous sommes penchés sur les attaques BackStab, nous avons collecté dans une trentaine de pays plus de 600 exemples de malwares utilisés pour lancer des attaques BackStab à distance » , commente Ryan Olson, Directeur de la recherche sur les menaces au sein de l’Unité 42 de Palo Alto Networks

Recommandations
Les utilisateurs d’iOS sont invités à chiffrer leurs sauvegardes locales ou à utiliser le système de sauvegarde iCloud ; ils doivent également choisir un mot de passe sécurisé.
Il est recommandé de mettre à niveau les appareils iOS avec la dernière version du système d’exploitation car celui-ci crée des sauvegardes chiffrées par défaut.
Lorsqu’un utilisateur connecte un terminal iOS à un ordinateur ou à un chargeur non approuvé à l’aide d’un câble USB, il est déconseillé de cliquer sur le bouton « Trust » (Faire confiance) qui s’affiche dans la boîte de dialogue.

Android, Chiffrement, cryptage, Cybersécurité, Sécurité, Smartphone

Vuvuzela, le système qui permet de cacher ses SMS

Des chercheurs du Massachusetts Institute of Technology (MIT) annonce avoir créé un système permettant de cacher et sécuriser ses SMS.

Le Massachusetts Institute of Technology (MIT) est connu pour être un nid de chercheurs de grands talents. Une école qui dépose de nombreux, très nombreux brevets provenant de projets d’études. Des chercheurs du MIT viennent d’indiquer avoir mis au point Vuvuzela, un système qui permet de protéger de toute lecture un SMS. Pour les « inventeurs », Vuvuzela serait plus sécurisé que TOR. Avec le Laboratoire d’Intelligence Artificielle (CSAIL), le MIT a développé ce système qui permettra d’échanger des messages sécurisés. La technique reprend l’idée des trompettes Vuvuzela. Faire du bruit, via de nombreux nœuds de connexions.

Bref, Vuvuzela sera-t-il le système qui sécurisera les SMS comme le fait, pour les mails, le système ProtonMail. En juillet 2015, les mêmes chercheurs, secondés par ceux de l’Institut de recherche informatique Qatar (qcri) avaient démontré les failles de TOR lors de l’Usenix Security Symposium.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, IOT

Prendre en compte la sécurité dans le développement des smart cities : nouvel enjeu pour les gouvernements

Alors que le concept de smart cities (villes intelligentes) devient de plus en plus une réalité les problématiques concernant leur sécurité le deviennent également. Que peut-on faire pour s’assurer que les pratiques de sécurité mises en place soient adaptées à cette réalité ? Par Ismet Geri, vice-président Europe du Sud chez ForgeRock.

Le concept de smart city n’est plus une idée futuriste et lointaine. Il s’agit d’une véritable initiative que les gouvernements du monde entier adoptent. Toutefois, alors que l’Internet des Objets (IdO) continue à stimuler le développement des smart cities, il accroît également la nécessité de faire face aux problèmes liés à la sécurité qui vont de pair avec elles.

Au début du lancement de la première vague d’implémentations de l’Internet des Objets, il y a quelques années, la communication et la connectivité étaient naturellement les objectifs principaux. Le fait de se connecter au réseau de « simples » objets tels que les téléviseurs, les ampoules et les thermostats représentait une importante avancée technique. Ces nouveaux « objets » connectés donnaient de tels résultats que les aspects concernant la gestion des accès et de l’identité étaient souvent négligés.  Alors que les communications de l’IdO gagnent en maturité et en stabilité, nous comprenons maintenant mieux les vulnérabilités et les risques potentiels relatifs à la perte de données.

L’impressionnante quantité d’appareils de l’Internet des Objets offre un important vecteur d’attaque à des personnes malveillantes. À l’échelle d’une ville dans laquelle des milliers d’appareils communiquent simultanément à la fois avec des utilisateurs et entre eux, les implications en matière de sécurité sont importantes. Les villes intelligentes représentent la cible idéale pour les pirates informatiques souhaitant créer des réseaux de style botnet constitués d’appareils compromis et s’en servir afin d’exécuter des tâches différentes de celles pour lesquels ils étaient destinés à l’origine.

Par exemple, imaginez qu’un pirate informatique puisse compromettre le système gérant le flux de trafic d’une ville et qu’il fasse passer au rouge tous les feux de signalisation du centre-ville aux heures de pointe. Associez cela à des interférences sur les stations de radio locales : il ne serait alors plus possible d’avertir les citoyens. Alors que les automobilistes emprunteraient leur chemin habituel pour se rendre au travail sans se douter des problèmes, la ville entière risquerait de se retrouver embouteillée en l’espace de quelques minutes. Non seulement cet incident coûterait de l’argent à la ville du point de vue de la productivité, mais les services d’urgence ne pourraient également pas intervenir rapidement, ce qui pourrait potentiellement coûter des vies.

Comment peut-on réduire les menaces ?
Pour empêcher les menaces de cette nature, il faut en premier lieu comprendre d’où elles proviennent. La meilleure manière d’y parvenir consiste à s’assurer que chaque appareil connecté dans l’infrastructure de la ville intelligente, qu’il s’agisse d’une voiture, d’un réverbère ou d’un détecteur de tremblements de terre, dispose d’une identité validée et est correctement relié au réseau. En effet, si un appareil est identifiable, il est bien plus facile de confirmer que les données qu’il génère sont authentiques et qu’il est possible de leur faire confiance. En outre, cela signifie surtout que si l’appareil tente d’exécuter une action sans en avoir l’autorisation, il peut être identifié et son action peut être empêchée.

Des efforts axés sur une gestion des risques efficace
Il est irréaliste d’attendre d’un réseau qu’il soit entièrement exempt de comportements malveillants. Même si les meilleures mesures en matière de sécurité sont prises, quelqu’un/quelque chose finira par s’y introduire étant donné le grand nombre de vecteurs d’attaques et de menaces qui existent. À ce titre, une gestion des risques efficace est l’élément clé pour évaluer les menaces et y réagir dans n’importe quelle smart city.  Des contrôles et, de manière plus importante encore, des plans de restauration doivent également être mis en place non seulement pour réduire l’étendue du risque, mais aussi pour réagir activement une fois un problème décelé.

L’infrastructure publique représentera toujours une cible particulièrement attractive pour les criminels et les terroristes. Par conséquent, il est essentiel de prendre des mesures efficaces à cette échelle afin de sécuriser les smart cities. Tout programme visant à sécuriser les smart cities doit être vérifié régulièrement afin de garantir que les dernières innovations y soient intégrées et qu’il soit toujours conforme. En association avec la gestion de l’identité et une connaissance solide des vecteurs de menaces, ces mesures devraient suffire à protéger des smart cities qui ne cessent d’évoluer.